Optionale Prüfungen der Sicherheitsdiagnose: Kontoanlage, ausführbare Dateien, Befehlsausführung und Datenimport
Veröffentlicht 5 Min. Lesezeit
Auch verfügbar auf: English · 日本語 · 中文 · Español · Français · Português
Kernpunkte
- Die Standarddiagnose besteht überwiegend aus Leseprüfungen und beschränkt sich auf das, was im Einwilligungstext offengelegt ist. Die vier optionalen Punkte können bei der Prüfung Spuren auf dem Ziel hinterlassen und laufen daher nur, wenn Sie jeden einzeln freigeben.
- Spuren bleiben nur, wenn das Ziel die Schwachstelle tatsächlich hat. Andernfalls werden die Anfragen abgelehnt, und es bleiben nur ihre Einträge in den Zugriffsprotokollen.
- Freigegebene Punkte kommen ab der Diagnose des Folgemonats hinzu und lassen sich jederzeit wieder entfernen. Der Bericht hält fest, welche Punkte liefen und wie Zurückgebliebenes zu bereinigen ist.
Inhalt
- Standardprüfungen, optionale Prüfungen und Prüfungen, die nie laufen
- Was alle optionalen Punkte gemeinsam haben
- Prüfung durch Anlegen eines Kontos
- Was geprüft wird
- Was gesendet wird
- Was bei bestehender Schwachstelle zurückbleiben kann
- Bereinigung
- Vor der Aktivierung
- Prüfung durch Ablegen einer ausführbaren Datei
- Was geprüft wird
- Was gesendet wird
- Was bei bestehender Schwachstelle zurückbleiben kann
- Bereinigung
- Vor der Aktivierung
- Prüfung durch Ausführen eines Befehls
- Was geprüft wird
- Was gesendet wird
- Was bei bestehender Schwachstelle zurückbleiben kann
- Bereinigung
- Vor der Aktivierung
- Prüfung durch Importieren von Daten
- Was geprüft wird
- Was gesendet wird
- Was bei bestehender Schwachstelle zurückbleiben kann
- Bereinigung
- Vor der Aktivierung
- Einwilligung und Verantwortung
Die Diagnose von SPHIOR umfasst Prüfungen, die standardmäßig laufen, und Prüfungen, die nur laufen, wenn Sie sie einzeln freigeben. Letztere können schwerwiegendere Schwachstellen finden, können dafür aber bei der Prüfung Spuren auf dem Ziel hinterlassen.
Diese Seite soll Ihnen helfen, konkret zu verstehen, was passiert, bevor Sie einen Punkt auf der Einwilligungsseite ankreuzen.
Standardprüfungen, optionale Prüfungen und Prüfungen, die nie laufen
| Inhalt | Auswirkung auf das Ziel | |
|---|---|---|
| Standard | Lesen öffentlicher Seiten und Einstellungen, Übermittlungen (POST), die die Verarbeitung von Eingaben prüfen, Upload-Prüfungen, die eine harmlose Datei mit zufälligem Namen ablegen, und ein einzelner Anmeldeversuch, um zu prüfen, ob noch ein Standardpasswort verwendet wird | Eine fehlgeschlagene Anmeldung oder eine harmlose Testdatei kann zurückbleiben (im Einwilligungstext offengelegt) |
| Optional | Prüfungen, die durch Anlegen eines Kontos, Ablegen einer ausführbaren Datei, Ausführen eines Befehls oder Importieren von Daten prüfen | Besteht die entsprechende Schwachstelle, können die unten je Punkt beschriebenen Spuren zurückbleiben |
| Laufen nie | Einstellungen ändern, Daten löschen, Passwörter zurücksetzen oder die Ersteinrichtung erneut ausführen, viele Anfragen gleichzeitig senden, mehr als 200 Anfragen in einer einzelnen Prüfung senden sowie HTTP-Methoden, die Daten schreiben oder löschen (PUT / PATCH / DELETE) | Werden unter keiner Einwilligung durchgeführt |
Auch die vier optionalen Punkte senden keine HTTP-Methoden, die Daten schreiben oder löschen. Prüfungen, die Löschen, Zurücksetzen oder Überschreiben beinhalten, sind vorab ausgeschlossen.
Was alle optionalen Punkte gemeinsam haben
- Spuren bleiben nur, wenn die Schwachstelle besteht. Bei einem Ziel ohne die Schwachstelle werden die Anfragen abgelehnt, und es wird nichts angelegt. In jedem Fall werden die Anfragen jedoch in den Zugriffsprotokollen des Ziels erfasst.
- Sie beginnen mit der Diagnose im Monat nach Ihrer Freigabe. Entfernen Sie das Häkchen, läuft der Punkt ab dem Folgemonat nicht mehr.
- Sie werden im Bericht festgehalten. Das Kapitel „Umfang und Methodik“ listet die freigegebenen Punkte und die Zahl der hinzugefügten Prüfungen; das Kapitel „Befunddetails“ nennt für jeden Befund aus einer optionalen Prüfung, was zurückbleiben kann und wie es zu bereinigen ist.
- Die gesendeten Werte sind harmlose Testwerte. Wir verwenden niemals Informationen realer Nutzer oder Ihre Daten.
Prüfung durch Anlegen eines Kontos
Was geprüft wird
Eine Schwachstelle, durch die jeder ohne Authentifizierung Benutzer- oder Administratorkonten anlegen kann. Ursache sind fehlerhaft konfigurierte öffentliche Registrierungen oder Verwaltungsfunktionen. Wird sie ausgenutzt, kann ein Dritter als legitimer Benutzer eindringen.
Was gesendet wird
Anfragen, die ein Testkonto anlegen. Name, E-Mail-Adresse und Passwort sind entweder je Prüfung festgelegte Testwerte oder Zufallswerte.
Was bei bestehender Schwachstelle zurückbleiben kann
- Das Testkonto (es kann Benutzer- oder Administratorrechte haben)
- Bei einigen Prüfungen ein anderer Testeintrag als ein Konto
- Durch die Kontoanlage ausgelöste Benachrichtigungen (E-Mails an Administratoren, Willkommens-E-Mails usw., je nach Konfiguration Ihres Systems)
Bereinigung
Suchen Sie ausgehend von der im Befund genannten Stelle das Testkonto in Ihrer Verwaltungsoberfläche oder Ähnlichem und löschen Sie es. Bleibt es mit Rechten bestehen, kann es selbst zum Einfallstor werden.
Vor der Aktivierung
Wenn Sie Nutzerzahlen nach außen berichten oder die Kontoanlage mit anderen Vorgängen wie Abrechnung oder Lagerbestand verknüpft ist, legen Sie vorab fest, wie mit Testkonten umzugehen ist.
Prüfung durch Ablegen einer ausführbaren Datei
Was geprüft wird
Eine Schwachstelle, durch die über eine Upload-Funktion oder Ähnliches eine Datei abgelegt werden kann, die der Server ausführt (etwa ein Skript). Sie öffnet die Tür zur Ausführung beliebigen Codes und gehört zu den schwerwiegendsten Schwachstellen.
Was gesendet wird
Eine Testdatei. Ihr Inhalt zeigt nur eine feste Zeichenkette, ein Rechenergebnis oder den empfangenen Wert an oder besteht nur aus einer zufälligen Zeichenkette; Befehle kann sie nicht ausführen. Anschließend rufen wir die abgelegte Datei auf und stellen anhand der Antwort fest, ob sie ausgeführt wurde.
Was bei bestehender Schwachstelle zurückbleiben kann
- Eine ausführbare Testdatei auf dem Zielserver
Bereinigung
Suchen Sie ausgehend von der im Befund genannten Stelle die Testdatei und löschen Sie sie unbedingt. Ihr Inhalt gibt nur etwas aus, doch eine ausführbare Datei an einem öffentlichen Ort ist an sich unerwünscht. Prüfen Sie zudem die Einstellungen, damit hochgeladene Dateien nicht ausgeführt werden können (getrennter Speicherort, kein Ausführungsrecht, Beschränkung der Dateiendungen).
Vor der Aktivierung
Wenn Sie eine Manipulationserkennung für Dateien oder eine Überwachung von Dateiänderungen auf dem Server einsetzen, kann die Testdatei einen Alarm auslösen. Eine vorherige Information des zuständigen Teams vermeidet Verwirrung.
Prüfung durch Ausführen eines Befehls
Was geprüft wird
Eine Schwachstelle, durch die externe Eingaben die Ausführung von Betriebssystembefehlen auf dem Server bewirken. Sie ist schwerwiegend und kann zur Übernahme des Servers führen.
Was gesendet wird
Ein Befehl, der das Ergebnis bestätigt: Anzeige des Benutzers, unter dem der Prozess läuft, Lesen einer Systemkonfigurationsdatei, Anzeige einer festen Zeichenkette oder eine Berechnung. Prüfungen, die Schreiben oder Löschen beinhalten, sind vorab ausgeschlossen. Der Inhalt der Antwort erscheint nicht im Bericht; nur ihr Fingerabdruck (Hash) wird aufbewahrt.
Was bei bestehender Schwachstelle zurückbleiben kann
- Ein Eintrag, dass auf dem Server ein Befehl ausgeführt wurde (Betriebssystem- oder Anwendungsprotokolle)
- Die Befehle legen keine Dateien an, ihre Ausführung kann aber von Überwachungswerkzeugen erkannt werden
Bereinigung
Es bleiben keine Dateien zurück. Beheben Sie die Verarbeitung der Eingaben an der im Befund genannten Stelle und prüfen Sie anhand der Daten im Bericht, ob die Ausführungsspuren in Ihren Protokollen von dieser Prüfung stammen.
Vor der Aktivierung
Wenn Sie eine Angriffserkennung (EDR, IDS und Ähnliches) einsetzen, können die Testbefehle Alarme auslösen. Teilen Sie den Zeitplan der Diagnose dem zuständigen Team mit, damit sie nicht als echter Angriff behandelt werden.
Prüfung durch Importieren von Daten
Was geprüft wird
Eine Schwachstelle, durch die sich Daten ohne Authentifizierung importieren lassen. Ein Dritter könnte gefälschte Daten einspielen oder die Importfunktion als Sprungbrett zu weiteren Schwachstellen nutzen.
Was gesendet wird
Eine kleine Menge harmloser Testdaten.
Was bei bestehender Schwachstelle zurückbleiben kann
- Die importierten Testdaten (sie können in Listen oder Verwaltungsansichten erscheinen)
Bereinigung
Suchen Sie ausgehend von der im Befund genannten Stelle die importierten Testdaten und löschen Sie sie.
Vor der Aktivierung
Fließen importierte Daten automatisch in andere Vorgänge (Auswertung, Versand, Anbindungen an externe Dienste), können die Testdaten auch dort ankommen.
Einwilligung und Verantwortung
Sie geben die optionalen Punkte nach eigenem Ermessen frei, nachdem Sie die oben beschriebenen Spuren und Auswirkungen verstanden haben. Im Einwilligungstext ist festgehalten, dass Sie diese Auswirkungen annehmen und im Übrigen die Nutzungsbedingungen (Abschnitt 10, Haftungsbeschränkung) gelten.
Wenn Sie unsicher sind, können Sie zunächst nur mit der Standarddiagnose beginnen und Punkte hinzufügen, nachdem Sie den Bericht gesehen haben. Optionale Punkte lassen sich jederzeit hinzufügen oder widerrufen.