1. Sicherheit durch Plugins?

Im ersten und zweiten Teil der Artikelserie WordPress absichern habe ich Tipps vorgestellt, um die Wahrscheinlichkeit eines erfolgreichen Angriffs deutlich zu reduzieren. Die dargestellten Maßnahmen hatten alle etwas gemeinsam: Sie mussten händisch vom Anwender durchgeführt werden – was wiederum ein gewisses Maß an technischem Verständnis erforderte.

Doch es geht auch anders. Sogenannte Security Plugins versprechen WordPress gegen allerlei Angriffe abzusichern. Dabei reicht die Palette vom “Rundum-Sorglos-Paket” bis hin zu Einzellösungen für bestimmte Angriffsszenarien. Je nach Anwendungsfall und technischem Vorwissen stehen dem Anwender also eine ganze Reihe von Security Plugins zur Verfügung.

Wie sinnvoll bzw. nützlich sind diese Plugins? Welche bieten einen wirklichen Zugewinn an Sicherheit? Anhand von Beispielen versuche ich euch eine Idee bzw. Gefühl zu vermitteln was sinnvoll sein kann und welche Plugins ihr euch sparen könnt.

Weiterlesen →

1. Zusätzliches Wissen

Im ersten Teil der Artikelserie WordPress absichern habe ich Tipps vorgestellt, die jeder mit wenigen Handgriffen umsetzen kann und das Mindestmaß an Sicherheit darstellen. Damit ist es möglich die Wahrscheinlichkeit eines erfolgreichen Angriffs deutlich zu reduzieren – sozusagen erste Hilfe Sofortmaßnahmen gegen die aktuelle Angriffswelle.

Neben diesem Basisschutz existieren weitere Maßnahmen und wissenswerte Tipps für einen sicheren WordPress-Betrieb. Denn sobald der Bekanntheitsgrad eines Blogs oder Webseite ansteigt sind Konkurrenten und Neider nicht weit – plötzlich steht man im Fokus der Aufmerksamkeit.

Die heute dargestellten Tipps und Informationen dienen dem erweiterten Schutz und lassen sich mit etwas Zeitaufwand umsetzen. Wie bereits erwähnt wird das Niveau bzw. der Schwierigkeitsgrad mit jedem Beitrag der Artikelserie ansteigen.

Weiterlesen →

1. Und täglich grüßt das Murmeltier…

WordPress wird vielfach für Blogs, Webseiten oder andere Zwecke genutzt. Aufgrund der globalen Verbreitung im Web ist es gleichzeitig ein beliebtes Angriffsziel. Aktuell überschlagen sich Newsseiten (heise Artikel) und Blogs mit Warnungen vor einem Botnetzwerk, welches WordPress-Installationen weltweit attackiert.

Um seine WordPress-Installation abzusichern und gegen solche Übergriffe zu schützen sind zunächst nur ein paar einfache Maßnahmen notwendig. In dieser Artikelserie erkläre ich die Absicherung von WordPress (3.x) . Los geht’s mit einfachen Tipps, die wirklich jeder mit wenigen Mausklicks umsetzen kann. Das Niveau wird sich langsam steigern und Folgendes umfassen:

• Basisschutz – Was wirklich jeder umsetzen sollte wenn er WordPress einsetzt.
• Erweiteter Schutz bzw. was muss ich beachten?
• Sicherheits-Plugins. Sind die eigentlich sinnvoll?
• Konfigurationsbeispiele für die Absicherung des Admin-Bereichs (Apache, Lighttpd)
• Eingriffe in den Quellcode.
• Installation eines Host Intrustion Detection System (HIDS) zur frühzeitigen Erkennung von Angriffen. (setzt Systemzugang vorraus)

Unnütze Tipps und Schnickschnack lasse ich weg. Folgt ihr den vorgestellten Maßnahmen erhöht sich die Wahrscheinlichkeit, dass ihr kein Opfer eines Angriffs werdet. Weiterlesen →

1. Sicherheitsprüfung

Webanwendungen auf Schwachstellen und Fehlkonfigurationen zu prüfen wird mittlerweile von vielen Unternehmen als notwendige Maßnahme anerkannt. Denn oftmals ist der Erfolg eines Unternehmens eng mit einer funktionierenden IT bzw. Webanwendung verknüpft – bei einem Ausfall oder Einbruch drohen empfindliche Umsatzeinbußen. Vom Imageschaden ganz zu schweigen.

Gerade weil Webanwendungen über öffentliche Netze ständig erreichbar sind, unterliegen sie in besonderer Weise unautorisierten, anonymen Zugriffsversuchen. Durch Vulnerability Assessments und Penetrationstests lassen sich mögliche Schwachstellen aufdecken – wer die Lücken kennt, kann sich dagegen auch schützen.

1. Open Web Application Security Project (OWASP)

Jeder Betreiber einer Webseite muss mit Angreifern rechnen. Zweckentfremdete Webanwendungen werden für Spam, Phishing und sonstige Zwecke missbraucht. Besonders anfällig dafür sind Webanwendungen mit PHP oder anderen Skriptsprachen.

In einer Top-10 Liste für das Jahr 2013 hat die OWASP die größten Risiken für Webanwendungen erfasst. Ein umfassender Penetrationstest kann diese Risiken sichtbar machen und für Klarheit beim Stand der Sicherheit sorgen. Wer die gängigen Angriffstechniken kennt, kann sich dagegen auch schützen.

Im heutigen Beitrag werden einige Angriffstechniken aus der OWASP-Liste vorgestellt. Es zeigt auf welch unterschiedliche Arten Webanwendungen verwundbar sein können. Weiterlesen →

1. Ebenenmodell

Webanwendungen stellen ganz spezielle Anforderungen an die Sicherheit. Durch ihre Offenheit im Web sind sie nicht nur für legitime Benutzer zugänglich, sondern ziehen auch dubiose Gestalten magisch an. Im Schatten der Anonymität verschaffen sie sich Zugang zu sensiblen Daten. Herkömmliche Firewalls bieten dagegen keinen Schutz.

Im ersten Teil wurde bereits auf die Frage eingegangen aus welchem Grund Webanwendungen ein Risiko darstellen. Weiterhin wurden mit der OWASP eine offene Community vorgestellt, die sich die sich zum Ziel gesetzt hat die Sicherheit von Anwendungen und Diensten im Internet zu verbessern.

In diesem Beitrag wird die Sicherheit von Webanwendungen in einem 6 Ebenen-Modell charakterisiert. Es ist angelehnt an das Modell vom Bundesamt für Sicherheit in der Informationstechnik (BSI), das in einem Maßnahmenkatalog die Schutzmaßnahmen zur Vorbeugung gegen typische Schwachstellen in Webanwendungen zusammenfasst. Weiterlesen →

1. Webanwendungen

Heutzutage ist ein Alltag ohne Web kaum noch vorstellbar. Besonders im Consumer-Bereich hat sich das Web als unverzichtbares Medium etabliert. Aber auch Geschäftsprozesse sowie der Austausch zwischen Bürger und Behörde lagert sich zunehmend in das Internet aus. Angefangen bei der Suche nach Informationen, sozialer Vernetzung, über das Lesen/Senden von E-Mails bis hin zum Online-Shopping, Internet-Banking oder Auktionen – all diese Anwendungszwecke gelten als selbstverständlich und werden im Hintergrund durch Webanwendungen realisiert.

Aufgrund ihrer globalen Erreichbarkeit ziehen Webanwendungen nicht nur interessierte Anwender an, sondern sind gleichzeitig ein begehrtes Angriffsziel. Zweckendfremdete Webanwendungen werden für Spam, Phishing und sonstige Zwecke missbraucht. Daneben stehen Kreditkartennummern und Kundendaten ganz oben auf dem Wunschzettel der Angreifer. Etablierte Sicherheitsmaßnamen wie Firewalls bieten dagegen kaum Schutz.

In der Artikelserie “Sicherheit von Webanwendungen” möchte ich auf Folgendes eingehen:

• Warum Webanwendungen ein Risiko darstellen.
• Auf welchen Ebenen eine Webanwendung verwundbar ist.
• Welche Informationen möchten Angreifer ausspähen.
• Welche typischen Angriffsszenarien auf Webanwendungen existieren.
• Maßnahmen und Tools zur Erhöhung der Sicherheit vorstellen. Weiterlesen →