Was sind eigentlich Webanwendungen?
Web Applications oder zu Deutsch Webanwendungen sind wichtige Tools für alle Unternehmen, deren Geschäft ganz oder teilweise auf dem Internet basiert. Denn mit Hilfe von Webanwendungen können Unternehmen mit Geschäftspartnern und Kunden kommunizieren bzw. diese besser kennenlernen. Dies geschieht mit Hilfe von Web Applications wie Submit-Feldern, Anfrage- und Anmeldeformularen, Warenkörben etc.
Moderne Websites sind längst nicht mehr so statisch wie in den Anfangstagen. Sie erlauben es, personalisierte dynamische Inhalte nach individuellen Vorlieben und Einstellungen herunterzuladen. Darüber hinaus können Websites auch clientseitige Skripte ausführen, die den Browser beispielsweise in eine Schnittstelle für Anwendungen wie Webmail oder interaktive Kartensoftware (z.B. Google Maps) verwandeln.
Webanwendungen sind also Computerprogramme, die es den Besuchern ermöglichen, Daten über das Internet an eine Datenbank zu übermitteln und von dieser abzurufen. Sie fragen den Content-Server bzw. eine Content-Repository-Datenbank ab und generieren dynamisch Webdokumente, die dem Client (Browser des Websitebesuchers) zur Verfügung gestellt werden. Die Dokumente werden in einem Standardformat wie z.B. HTML generiert, sodass diese von allen Browsern unterstützt werden.
Als clientseitiges Skript erlaubt JavaScript das Ausführen dynamischer Elemente auf jeder Seite. Zum Beispiel, dass sich ein Bild verändert, wenn der Benutzer mit der Maus darüberfährt. Solche Applikationen sind für Unternehmen von grundlegender Bedeutung, um durch ihre Online-Präsenz langfristige und profitable Beziehungen zu Interessenten und Kunden aufzubauen.
Angriffe auf Webanwendungen: Web Application Attacks
„Im ersten Halbjahr 2022 haben wir weltweit einen deutlichen Anstieg der Angriffe auf Webanwendungen und APIs beobachtet, mit mehr als 9 Milliarden Angriffsversuchen im bisherigen Jahresverlauf – ein Anstieg um das Dreifache gegenüber dem ersten Halbjahr 2021“, so der Security-Spezialist Akamai in seinem „Web Application and API Threat Report H1 2022“ Insbesondere die Erfassung, Verarbeitung, Speicherung und Übermittlung sensibler Kundendaten – dazu gehören persönliche Daten oder Zahlungsdaten – über Web-Applikationen macht diese zum interessanten Ziel für Cyberkriminelle. Dabei spielen Sicherheitslücken in den Web Applications eine Rolle, die etwa auf kleinere Fehler in der Codierung zurückzuführen sind. Diese Schwachstellen ermöglichen Hackern den direkten Zugriff auf Datenbanken, um sensible Daten zu manipulieren bzw. zu stehlen.
Dabei werden drei primäre Arten von Web Application Attacks unterschieden:
- SQL-Injection (SQLi): Mithilfe von Scheinanfragen an Datenbanken versuchen Angreifer, in wichtige Anwendungen und Datenbanken einzudringen oder sie lahmzulegen.
- Local File Inclusion (LFI): Angreifer führen schädlichen Code auf dem Webserver aus, nachdem sie eine Anwendungsschwachstelle ausgenutzt haben.
- Cross-Site-Scripting (XSS): Angreifer nutzen Schwachstellen, um ein Skript einzuschmuggeln, das dann im Browser des Nutzers ausgeführt wird.
Abwehr durch Web Application Firewalls
Um den Gefahren durch Web Application Attacks wirkungsvoll zu begegnen, sind „Spezialisten“ wie Web Application Firewalls gefragt. Viele Unternehmen setzen inzwischen zwar Netzwerkfirewalls und Lösungen für Intrusion Detection (IDS) und Intrusion Prevention (IPS) ein. Doch eine dezidierte Web Application Firewall (WAF) gehört meist noch nicht zum Standard in deutschen Unternehmen.
Eine WAF schützt Webanwendungen, indem sie den Datenverkehr zwischen Webservern und Clients auf Anwendungsebene kontrolliert. Sie filtert, analysiert und überwacht den HTTP-Verkehr. Je nach Bedarf wird eine Web Application Firewall entweder direkt auf dem Webserver oder als eigenständige Firewall implementiert. Der wesentliche Unterschied zu anderen Firewalls liegt darin, dass eine WAF die Daten auf Anwendungsebene kontrolliert – nicht auf Netzwerk- oder Protokollebene.
Standard- und komplexe Attacken
Ihre 360° Security
Die passenden Schutzlösungen für Ihr Unternehmen bietet plusserver gemeinsam mit einem breiten Partnernetzwerk – inkl. Beratung.
Über den Autor
Erfahren Sie mehr
Blog
Was ist Credential Stuffing?
Blog
Security Operations Center (SOC): Der Königsweg der IT-Security?
Produkte
Cloud Security
Haben Sie noch Fragen?
Senden Sie mir einfach eine Nachricht mit Ihrem Anliegen und ich melde mich schnellstmöglich zurück.
