Codenomicon - Jetzt ist die Zeit für eine proaktive Sicherheit

(openPR) Der IT-Security Experte Ari Takanen, Gründer und Chief Technology Officer von Codenomicon schreibt über die Entwicklung und den Einsatz von Fuzzing Test Tools als proaktive IT-Sicherheitsmaßnahme.

Die einfachste Methode, ein IT-Sicherheitsproblem zu verursachen, ist nach Schwachstellen in weitverbreiteten Software-Lösungen Ausschau zu halten und diese gezielt mittels Exploits auszunutzen. Die generelle heutige Problematik ist die schnelle Veröffentlichung solcher Schwachstellen. Die Schwelle zur Veröffentlichung selbst gravierender Schwachstellen liegt im Gegensatz zu früheren Zeiten sehr niedrig und ist heute vor allem finanziell motiviert. Dies führt leider auch dazu, dass reaktive IT-Sicherheitslösungen wie Intrusion Detection Systeme, Sicherheits-Scanner und Schwachstellen-Scanner vor allem bei neuen Schwachstellen nahezu wirkungslos werden. Diese Lösungen basieren größtenteils auf dem Wissen über öffentlich bekannte Schwachstellen.

Aber aufgrund der heutigen Informationsflut iund der gewaltigen Untergrund-Wirtschaft mit integriertem Schwachstellenhandel st dies nicht mehr praktikabel. Immer mehr und mehr Zero-Day Attacken werden bekannt, für die (noch) keine Schutzmöglichkeiten bestehen. Daher ist es an der Zeit, schnellstens proaktiv zu handeln.

Glücklicherweise gibt es aber eine ganze Reihe von proaktiven Sicherheits-Assessment Tools, die diese Lücke füllen können. Diese Tools können in drei Gruppen eingeteilt werden: Tools zur statischen Code Analyse, Reverse-Engineering Tools und Fuzzers. Aber welche dieser Tools sind wohl am Besten geeignetsten, um ihren IT-Sicherheitsspezialisten im Unternehmen bei der täglichen Arbeit zu helfen, das Netzwerk vor Bedrohungen zu schützen? Vielleicht machen diese Tools auf Sie ja auch eher den Eindruck von reinen Qualitätsverbesserungslösungen anstatt von wirklichen Hilfsmitteln zur Verbesserung der Unternehmenssicherheit?
Code-Analyse-Tools erfordern einen Zugang zum reinen Quellecode, damit sie ihre Arbeit optimal verrichten können. Auch Reverse-Engineering Tools sind sehr leistungsstark - stehen aber oft auch im sicherheitstechnischen Wiederspruch, da mit diesen Tools viele neue Schwachstellen entdeckt und illegal ausgebeutet werden könnten. Somit bleiben Fuzzing Tools als einzige proaktive Maßnahme zur Schutz ihres Systems übrig.

Aktuell sind Fuzzing Tools gerade erst in viele Standard Penetration Test Methoden und Zertifizierugsprozesse aufgrund ihres Leistungsumfangs integriert worden. So wurde beispielsweise in SCADA (industrieller
Automatisierungsstandard) Fuzzing ein bedeutender Bestandteil der durchgeführten Sicherheitstests. Solche Tests werden wiederum als Kaufentscheidungskriterium von großen Unternehmen aus dem Telekommunikationsumfeld herangezogen. Auch wenn Sie die aktuellen Werbebroschüren von Google Chrome
(http://www.google.com/googlebooks/chrome/) ansehen, können Sie feststellen, dass mittlerweile die größten Software-Unternehmen Fuzzing als Teil ihrer Qualitätssicherungsmaßnahmen fest integriert haben.

Vielleicht haben Sie ohne Ihr Wissen bereits ein Produkt oder eine Lösung im Einsatz, die Fuzzing Tests während ihres Lebenszykluses durchlaufen hat. Ich hoffe zumindest für Sie, dass dies der Fall gewesen ist. Die einzige Möglichkeit, dies aber wirklich herauszufinden, ist sich selbst zu fuzzen. Dies war auch der Grund, warum sich Fuzzing immer mehr und mehr auch im "End-User"-Unternehmensumfeld etabliert und sich für diesen Bereich ein neuer Markt gebildet hat. Immer mehr End-Anwender im Unternehmensbereich führen Fuzzing in ihre Auditing-, Genehmigungs- und Bestellwesenprozessen aktiv ein.

Was aber ist Fuzzing eigentlich?

Fuzzing ist zunächst nichts Neues. Bereits seit mehreren Jahren nutzen Tester, Entwickler und Auditoren "Fuzzing" als proaktive Sicherheits-Bewertungsmethode. Fuzzing wird eingesetzt, um auf einfache Weise Defekte in Software-Lösungen und/oder eigenerstellten Applikationen mittels absichtlichen, deformierten Eingaben über externe Schnittstellen herauszufinden. Dies bedeutet, dass Fuzzing in der Lage ist, sehr zuverlässig die gefährlichsten und kritischsten Angriffsmöglichkeiten bei einem System zu entdecken und somit die gängigsten Fehler und potentiellen Schwachstellen schnell und kosteneffizient zu identifizieren. Zudem gibt es keine False-Positives bei Fuzzing Tests. Ein Systemabsturz ist ein Systemabsturz - dagegen gibt es keine Argumentationen.

Obwohl die meisten Fuzzing-Lösungen heute auf kommerzieller Basis erhältlich sind, so beruht ihr Erfolg ursprünglich auf erfolgreichen Open Source Projekten. Die bekanntesten Fuzzing-Forschungen stammen von Tests der Unix Command Line Tools mit Fuzzing-Parametern aus dem Jahr 1989 von Miller et al. (siehe auch http://www.cs.wisc.edu/~bart/fuzz/).
Diese Forschungen zeigten, dass 20 - 40 Prozent der getesteten Software-Lösungen scheiterten (abstürzten), als zufällige Eingaben bei diesen Software-Lösungen vorgenommen wurden. Nach diesen ersten Forschungsergebnissen wurde es um Fuzzing ruhig, obwohl es als sehr leistungsstarke Test-Technik angesehen wurde. Während der letzten 10 bis 15 Jahre hat sich Fuzzing dann aber kontinuierlich als eigenständige Test-Disziplin mit Unterstützung sowohl von Security-Forschern wie auch traditionellen Q&A Test-Communities weiterentwickelt. Auch wenn einige Leute noch immer an den Möglichkeiten, der Effektivität und der praktischen Implementierung zweifeln, hat sich Fuzzing heute zu einer äußerst intelligenten Test-Technologie entwickelt.

Der Mehrwert durch Fuzzing

Fuzzing zeigt vor allem seinen Wert bei der Analyse von proprietären und kommerziellen Systemen - und benötigt dazu nicht einmal einen direkten Zugang zum reinem Quellcode der zu überprüfenden Applikation. Das zum Testen vorgesehene System wird als Black-Box mit einer oder mehreren externen Schnittstellen zur Durchführung der Test angesehen, aber ohne irgendwelche zusätzliche Informationen über die sonstigen genauen Inhalte / des Designs des zu testenden Systems. Ein praktisches Beispiel für Fuzzing ist das Senden von gezielt deformierten HTTP Anfragen an einen Web-Server oder das Erzeugen von deformierten Word Dokument Dateien mit Beobachtung des Öffnens dieser Dateien mit der zum Testen gewünschten Word Applikation.

Die dahinter befindliche Absicht des Fuzzings ist das Aufspüren von Lücken in der Software - und dies wird äußerst effizient vorgenommen. In mehreren von den Codenomicon Labs durchgeführten Tests
(http://www.gohackyourself.net) fanden die Forscher heraus, dass nicht einer der in diesen Tests und von vielen Endnutzern eingesetzten WLAN Access Points einem Fuzzing Test standhalten konnte. Das Ausmärzen solcher Fehler durch automatisierte Black Box Tools reduziert sowohl die
Forschungs- und Entwicklungskosten der Software wie auch die durch die End-Nutzer verursachten Wartungskosten beim Einsatz der Lösungen.
Vielleicht brauchen wir in der Welt von Morgen keine zusätzlichen Sicherheitslösungen mehr, da die Netzwerke selbst ausgiebig im Vorfeld mittels Fuzzing getestet wurden, um vor etwaigen Überraschungen gewappnet zu sein.