Open Source 2.0 stellt hohe Anforderungen an Sicherheit

Server und alle kritischen Endpunkte absichern

"Damit können kleine DOSAttacken bereits recht sinnvoll vermieden werden", betont Weinberger. Zusätzlich sei auch die Sperre von bestimmten Adressbereichen - mit Unterstützung einschlägiger Blacklists - eine gute Lösung gegen kleinere DDOS-Attacken. Außerdem bieten IPS-Appliances verschiedene Möglichkeiten zur Abschwächung der Effekte im Netzwerk an.

Auch die Erhöhung der Performance und die Verschleierung der eigentlichen Serverstandorte mit Hilfe eines zusätzlich ins Boot geholten externen Dienstleister kann ein probates Mittel darstellen. Bei der Absicherung gegen Spam-Relays auf Serverseite geht es darum, den oder die Rechner möglichst umfassend abzusichern. Zuallererst sind die vorhandenen SMTP-Services durch sichere Konfiguration und Firewalls gegen missbräuchliche Verwendung zu schützen.

Grundsätzlich muss laut Roman Weinberger aber der gesamte Server gegen Angriffe gesichert sein, da etwa eine Lücke in einem CMS wie Joomla dazu dient, schädliche Software zu installieren, welche zum Versenden von Spam-Mails verwendet werden kann. Auf Seite der Server, die Mails von Spam-Relays entgegen nehmen, sollten alle bekannten Anti-Spam Maßnahmen wie Blacklisting, Greylisting, Bayessche Filter und andere erprobte Methoden verwendet werden, um eine Zustellung der Spam-Mails weitestgehend zu verhindern.

Um der Bedrohung durch Bot-Netzwerke Herr zu werden, gilt es sich zunächst einmal mit der verteilten Struktur von Bot-Netzwerken auseinanderzusetzen. "Diese macht ein Vorgehen schwierig, vor allem, da bei jüngeren Bot-Netzen auch deren Steuerung dezentral erfolgt", gibt Weinberger zu bedenken.

Bestehende Methoden zur automatischen Erkennung von Angreifern bzw. Mitgliedern eines Bot-Netzwerks basieren meist auf Fingerprinting-Methoden und sind vor allem in modernen IPS-Appliances integriert. Auch gibt es Ansätze, die an Bot-Netzen beteiligten Rechner durch die Herkunftsanalyse von Spam-Mails zu identifizieren.

Integration bereitet die größten Hürden

Auch das Mittun der Hersteller ist gefragt, und zwar in der kompletten Wertschöpfungskette von Customizing über Implementierung bis hin zu Wartung und Service und dem Zusammenspiel mit anderen proprietären Systemen. "Natürlich sollte eine CMS-Applikation so sicher wie möglich sein und Security muss einen hohen Stellenwert beim Hersteller haben", sagt der Experte.

In der Praxis erscheint es vor allem wichtig, den Security Record der CMS-Applikation und die Response-Time der Entwickler zu analysieren. Beim Customizing sollte laut Roman Weinberger darauf Wert gelegt werden, dass Anpassungen ohne Veränderung der eigentlichen Anwendung (phpBB-Hacks) über eine Plugin-Architektur möglich sind, um spätere Security-Updates nicht zu verzögern oder gar zu verhindern.

Das Zusammenspiel mit anderen Systemen sollte - wenn möglich - nur über definierte Schnittstellen erfolgen, da es zu erheblichen Sicherheitsproblemen kommen kann, wenn sich etwa zwei Anwendungen den Zugriff auf bestimme Datenbanktabellen teilen. Denn letztlich gilt es auch zu verhindern, dass unsichere Komponenten und Module von Drittanbietern die Sicherheit des Gesamtsystems torpedieren.. "Der Installation von Komponenten von Drittanbietern sollte natürlich immer ein Security Audit vorangehen", betont Weinberger.

Der Vorteil: Bei zahlreichen Open-Source-basierten CMS kann das Unternehmen seitens der Community auf wertvolle Anhaltspunkte zur Bewertung der jeweiligen Komponenten zurück greifen. Ergänzt mit den Informationen der einschlägigen Security Tracker sollte sich dadurch ein recht eindeutiges Gesamtbild ergeben, ob man dem Modul vertrauen kann. "Bei Unsicherheiten empfiehlt sich auch eine Analyse des Quellcodes", so der Experte weiter.

Fazit: Virtualisierung erhöht Sicherheitsniveau

Auf jeden Fall sollte vermieden werden, dass aufgrund von benötigten Features auf Module mit zweifelhafter Sicherheit zurückgegriffen wird. Wie aber lässt sich verhindern, dass Legacy-Systeme die Stabilität und Sicherheit bedrohen? Einerseits lässt sich mit den bereits oben erwähnten Methoden wie mod_security oder IPS die Sicherheit von Legacy-Systemen prinzipiell erhöhen.

Wie bei jeder sicherheits-relevanten Anwendung sollte das wichtigste Ziel nach dem EOL das Upgrade auf ein aktuelles System darstellen. Je nach Größe der Anwendung und den geschätzten Kosten eines Upgrades inklusive Einschulung kommt im Open-Source Bereich auch eine Weiterentwicklung bzw. Absicherung des bestehenden Systems auf eigene Kosten in Betracht. "Hierbei sind aber Probleme bezüglich der Verfügbarkeit von ExpertInnen wie auch der jeweiligen Lizenzierung denkbar", räumt Weinberger ein.

Regelmäßige Updates und Wartung bei den Herstellern sind dennoch oder gerade auch angesichts der begrenzten Fachressourcen ein absolutes Pflichtkriterium. Die Wartung und die Fehlerbereinigung spielen mittlerweile bei allen größeren CMS-Anbietern eine wichtige Rolle. Bei Joomla falle jedoch negativ auf, dass auch schwerwiegende Sicherheitslücken nur recht unscheinbar auf der Herstellerseite erwähnt werden, kritisiert Weinberger.

Dennoch zieht der Experte insgesamt eine positive Bilanz, was die Sicherheitsbilanz bei OSS-basierten CMS-Lösungen angeht. Das Einspielen von Bugfixes bereite mittlerweile nur noch selten Probleme, "sei es bei Typo3, Joomla oder auch Drupal", bilanziert Weinberger. Sehr wohl seien aber Upgrades auf neue Versionen nach wie vor komplexer und sollten deshalb zunächst nur in einer Testumgebung durchgeführt werden. "Als hervorzuhebende Ausnahme hat sich unserer Erfahrung nach das LMS-Moodle erwiesen", glaubt der Experte.

Um unerwarteten Problemen möglichst aus dem Weg zu gehen, sollten Unternehmen abschließend generell auf Best-Practice Methoden zur Absicherung und alternative Wege im zunehmenden Methodenmix zwischen proprietären Anwendungen zurück greifen, um den Spagat sicherheitstechnisch besser zu beherrschen. Experten empfehlen dazu durchgängige Security-Audits der jeweils verwendeten Applikationen wie auch der Server Setups. Zur bestmöglichen Absicherung der Systeme bieten sich zudem die mittlerweile ausgereiften Lösungen zur Virtualisierung an.

In Verbindung mit einer auf standardisierten Schnittstellen basierenden Kommunikation der Anwendungen untereinander bietet die Virtualisierung immerhin den größtmöglichen Schutz, da das Kompromittieren einer Anwendung nicht zwangsweise negative Auswirkungen auf weitere Programme der individuellen Softwarelandschaft nach sich zieht. "Leider werden Schnittstellen-Protokolle wie etwa SOAP auf Seite der populären CMS-Systeme nur teilweise genützt und es ist mitunter notwendig, eigene Module zu entwickeln", fasst Roman Weinberger zusammen.