Sicherheitsrahmen: Überwachung und Protokollierung | Gegenmaßnahmen

Produkt/Dienst	Artikel
Dynamics CRM	Identifizieren von vertraulichen Entitäten in der Lösung und Implementieren der Änderungsüberwachung
Web Application	Sicherstellen, dass Überwachung und Protokollierung für die Anwendung erzwungen werden Sicherstellen, dass die Protokollrotation und -trennung vorhanden sind Sicherstellen, dass die Anwendung keine sensiblen Benutzerdaten protokolliert Sicherstellen, dass für die Überwachungs- und Protokolldateien der Zugriff eingeschränkt ist Sicherstellen, dass Ereignisse der Benutzerverwaltung protokolliert werden Sicherstellen, dass das System über integrierte Schutzmaßnahmen gegen missbräuchliche Nutzung verfügt Aktivieren der Diagnoseprotokollierung für Web-Apps in Azure App Service
Datenbank	Sicherstellen, dass die Anmeldungsüberwachung in SQL Server aktiviert ist Aktivieren der Bedrohungserkennung in Azure SQL
Azure Storage (in englischer Sprache)	Verwenden der Azure-Speicheranalyse zum Überwachen des Zugriffs auf Azure Storage
WCF	Implementieren einer ausreichenden Protokollierung Implementieren einer ausreichenden Behandlung von Überwachungsfehlern
Web-API	Sicherstellen, dass Überwachung und Protokollierung für die Web-API erzwungen werden
Zwischengeschaltetes IoT-Gateway	Sicherstellen, dass geeignete Überwachung und Protokollierung auf dem Bereichsgateway erzwungen werden
IoT-Cloudgateway	Sicherstellen, dass geeignete Überwachung und Protokollierung auf dem Cloudgateway erzwungen werden

Identifizieren von vertraulichen Entitäten in der Lösung und Implementieren der Änderungsüberwachung

Titel	Details
Komponente	Dynamics CRM
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Identifizieren Sie in der Lösung Entitäten mit sensiblen Daten, und implementieren Sie eine Änderungsüberwachung für diese Entitäten und Felder.

Sicherstellen, dass Überwachung und Protokollierung für die Anwendung erzwungen werden

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Aktivieren Sie die Überwachung und Protokollierung für alle Komponenten. Überwachungsprotokolle sollten den Benutzerkontext erfassen. Identifizieren Sie alle wichtigen Ereignissen, und protokollieren Sie diese Ereignisse. Implementieren Sie eine zentralisierte Protokollierung.

Sicherstellen, dass die Protokollrotation und -trennung vorhanden sind

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Protokollrotation ist ein automatisierter Prozess, der bei der Systemadministration verwendet wird und bei dem mit einem Datum versehene Protokolldateien archiviert werden. Server, die große Anwendungen ausführen, protokollieren häufig jede Anforderung: Bei umfangreichen Protokollen ist die Protokollrotation eine Methode, die Gesamtgröße der Protokolle zu beschränken, während nach wie vor die Analyse von aktuellen Ereignissen möglich bleibt. Protokolltrennung bedeutet im Grunde, dass Sie die Protokolldateien auf einer anderen Partition speichern müssen als die, auf der das Betriebssystem/die Anwendung ausgeführt wird, um einen DoS-Angriff oder die Verschlechterung der Leistung Ihrer Anwendung abzuwenden.

Sicherstellen, dass die Anwendung keine sensiblen Benutzerdaten protokolliert

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Stellen Sie sicher, dass Sie keine sensiblen Daten protokollieren, die ein Benutzer an Ihre Website übermittelt. Achten Sie auf eine beabsichtigte Protokollierung und auf Nebeneffekte, die auf Entwurfsprobleme zurückzuführen sind. Beispiele für sensible Daten: Benutzeranmeldeinformationen Sozialversicherungsnummer oder andere identifizierende Informationen Kreditkartennummern oder andere finanzielle Informationen Informationen zur Gesundheit Private Schlüssel oder anderen Daten, die verwendet werden könnten, um verschlüsselte Informationen zu entschlüsseln System- oder Anwendungsinformationen, die für effektivere Angriffe auf die Anwendung verwendet werden können

Sicherstellen, dass für die Überwachungs- und Protokolldateien der Zugriff eingeschränkt ist

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Stellen Sie sicher, dass die Zugriffsrechte für die Protokolldateien in geeigneter Weise festgelegt werden. Anwendungskonten sollten lesegeschützten Zugriff und Operatoren und Supportmitarbeiter sollten bei Bedarf schreibgeschützten Zugriff erhalten. Administratorkonten sind die einzige Konten, die vollständigen Zugriff haben sollten. Überprüfen Sie die Windows-ACL auf Protokolldateien, um sicherzustellen, dass sie ordnungsgemäß beschränkt sind: Anwendungskonten sollten lesegeschützten Zugriff haben. Operatoren und Supportmitarbeiter sollten bei Bedarf schreibgeschützten Zugriff haben. Nur Administratorkonten sollten vollständigen Zugriff haben.

Sicherstellen, dass Ereignisse der Benutzerverwaltung protokolliert werden

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Stellen Sie sicher, dass die Anwendung Ereignisse der Benutzerverwaltung überwacht, z.B. erfolgreiche und fehlgeschlagene Benutzeranmeldungen, Kennwortzurücksetzungen, Kennwortänderungen, Kontosperrungen, Benutzerregistrierungen. Auf diese Weise kann potenziell verdächtiges Verhalten erkannt und darauf reagiert werden. So wird auch das Sammeln von Betriebsdaten ermöglicht, um z.B. nachzuverfolgen, wer auf die Anwendung zugreift.

Sicherstellen, dass das System über integrierte Schutzmaßnahmen gegen missbräuchliche Nutzung verfügt

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Es sollten Kontrollen vorhanden sein, die bei einer missbräuchlichen Anwendungsnutzung eine Sicherheitsausnahme auslösen. Beispiel: Wenn eine Überprüfung von Eingaben vorhanden ist und ein Angreifer versucht, schädlichen Code einzufügen, der nicht mit dem regulären Ausdruck übereinstimmt, kann eine Sicherheitsausnahme ausgelöst werden, die ein Hinweis auf die missbräuchliche Nutzung des Systems sein könnte. Beispielsweise wird empfohlen, für die folgenden Probleme Sicherheitsausnahmen zu protokollieren und Maßnahmen zu ergreifen: Eingabeüberprüfung CSRF-Verstöße Brute-Force (obere Grenze für die Anzahl von Anforderungen pro Benutzer und Ressource) Verstöße bei Dateiuploads

Aktivieren der Diagnoseprotokollierung für Web-Apps in Azure App Service

Titel	Details
Komponente	Webanwendung.
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	EnvironmentType: Azure
Referenzen	–
Schritte	Azure bietet integrierte Diagnosefunktionen zur Unterstützung beim Debuggen einer App Service-Web-App. Dies gilt auch für API-Apps und mobile Apps. App Service-Web-Apps bieten Diagnosefunktionen zum Protokollieren von Informationen sowohl über den Webserver als auch über die Webanwendung. Diese sind logisch in Webserverdiagnose und Anwendungsdiagnose unterteilt.

Sicherstellen, dass die Anmeldungsüberwachung in SQL Server aktiviert ist

Titel	Details
Komponente	Datenbank
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	Konfigurieren der Anmeldungsüberwachung
Schritte	Die Anmeldungsüberwachung für Datenbankserver muss aktiviert sein, um Angriffe zu erkennen/bestätigen, bei denen das Kennwort erraten wird. Es ist wichtig, fehlgeschlagene Anmeldeversuche zu erfassen. Das Erfassen erfolgreicher und fehlgeschlagener Anmeldeversuche bietet zusätzliche Vorteile während der forensischen Untersuchung.

Aktivieren der Bedrohungserkennung in Azure SQL

Titel	Details
Komponente	Datenbank
SDL-Phase	Entwickeln
Zutreffende Technologien	SQL Azure
Attribute	SQL-Version: V12
Referenzen	Erste Schritte mit der Bedrohungserkennung von SQL-Datenbank
Schritte	Die Bedrohungserkennung erkennt anomale Datenbankaktivitäten, die auf potenzielle Sicherheitsrisiken für die Datenbank hindeuten. Sie bietet eine neue Sicherheitsebene und ermöglicht es den Kunden, auf erkannte potenzielle Bedrohungen zu reagieren. Zu diesem Zweck werden Sicherheitswarnungen zu anormalen Aktivitäten bereitgestellt. Die Benutzer können die verdächtigen Ereignisse mithilfe der Überwachung von Azure SQL-Datenbank untersuchen, um zu ermitteln, ob sie auf einen Zugriffsversuch zurückzuführen sind oder die Verletzung der Datensicherheit oder den Missbrauch von Daten zum Ziel haben. Die Bedrohungserkennung vereinfacht den Umgang mit potenziellen Bedrohungen für die Datenbank, ohne das Fachwissen eines Sicherheitsexperten besitzen oder komplexe Sicherheitsüberwachungssysteme verwalten zu müssen.

Verwenden der Azure-Speicheranalyse zum Überwachen des Zugriffs auf Azure Storage

Titel	Details
Komponente	Azure Storage
SDL-Phase	Bereitstellung
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	Verwenden der Speicheranalyse zur Überwachung des Autorisierungstyps
Schritte	Für jedes Speicherkonto kann die Azure-Speicheranalyse zur Protokollierung und Speicherung von Metrikdaten aktiviert werden. Bei der Speicheranalyse werden wichtige Informationen bereitgestellt, z. B. die Authentifizierungsmethode, die von einem Benutzer verwendet wird, wenn er auf den Speicher zugreift. Dies kann sehr hilfreich sein, wenn Sie den Zugriff auf den Speicher sehr genau beobachten. In Blob Storage können Sie z. B. alle Container als privat festlegen und die Verwendung eines SAS-Diensts in allen Anwendungen implementieren. Anschließend können Sie die Protokolle regelmäßig überprüfen, um festzustellen, ob der Zugriff auf Ihre Blobs über die Schlüssel des Speicherkontos erfolgt, was auf eine Sicherheitslücke hinweisen könnte, oder ob die Blobs öffentlich sind, obwohl sie es nicht sein sollten.

Implementieren einer ausreichenden Protokollierung

Titel	Details
Komponente	WCF
SDL-Phase	Entwickeln
Zutreffende Technologien	.NET Framework
Attribute	–
Referenzen	MSDN, Fortify Kingdom
Schritte	Das Fehlen eines richtigen Audit-Trails nach einem Sicherheitsincident kann die forensische Untersuchung behindern. Windows Communication Foundation (WCF) bietet die Möglichkeit, erfolgreiche und/oder fehlgeschlagene Authentifizierungsversuche zu protokollieren. Die Protokollierung fehlgeschlagener Authentifizierungsversuche kann Administratoren vor Brute-Force-Angriffen warnen. Die Protokollierung von Ereignissen für eine erfolgreiche Authentifizierung können einen nützlichen Audit-Trail bereitstellen, wenn ein berechtigtes Konto gefährdet wird. Aktivieren Sie die Funktion für die Sicherheitsüberwachung von Diensten in WCF.

Beispiel

Im Folgenden wird eine Beispielkonfiguration mit aktivierter Überwachung veranschaulicht.

<system.serviceModel>
    <behaviors>
        <serviceBehaviors>
            <behavior name=""NewBehavior"">
                <serviceSecurityAudit auditLogLocation=""Default""
                suppressAuditFailure=""false"" 
                serviceAuthorizationAuditLevel=""SuccessAndFailure""
                messageAuthenticationAuditLevel=""SuccessAndFailure"" />
                ...
            </behavior>
        </servicebehaviors>
    </behaviors>
</system.serviceModel>

Implementieren einer ausreichenden Behandlung von Überwachungsfehlern

Titel	Details
Komponente	WCF
SDL-Phase	Entwickeln
Zutreffende Technologien	.NET Framework
Attribute	–
Referenzen	MSDN, Fortify Kingdom
Schritte	Die entwickelte Lösung wird so konfiguriert, dass keine Ausnahme generiert wird, wenn nicht in ein Überwachungsprotokoll geschrieben werden kann. Wenn WCF so konfiguriert ist, dass keine Ausnahme ausgelöst wird, wenn nicht in ein Überwachungsprotokoll geschrieben werden kann, wird das Programm nicht über den Fehler benachrichtigt, und es findet möglicherweise keine Überwachung auf kritische Sicherheitsereignisse statt.

Beispiel

Das <behavior/>-Element der folgenden WCF-Konfigurationsdatei weist WCF an, die Anwendung nicht zu benachrichtigen, wenn WCF nicht in ein Überwachungsprotokoll schreiben kann.

<behaviors>
    <serviceBehaviors>
        <behavior name="NewBehavior">
            <serviceSecurityAudit auditLogLocation="Application"
            suppressAuditFailure="true"
            serviceAuthorizationAuditLevel="Success"
            messageAuthenticationAuditLevel="Success" />
        </behavior>
    </serviceBehaviors>
</behaviors>

Konfigurieren Sie WCF so, dass das Programm benachrichtigt wird, wenn nicht in ein Überwachungsprotokoll geschrieben werden kann. Im Programm sollte ein alternatives Benachrichtigungsschema vorhanden sein, um die Organisation zu informieren, dass Audit-Trails nicht verwaltet werden.

Sicherstellen, dass Überwachung und Protokollierung für die Web-API erzwungen werden

Titel	Details
Komponente	Web-API
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Aktivieren Sie die Überwachung und Protokollierung für Web-APIs. Überwachungsprotokolle sollten den Benutzerkontext erfassen. Identifizieren Sie alle wichtigen Ereignissen, und protokollieren Sie diese Ereignisse. Implementieren Sie eine zentralisierte Protokollierung.

Sicherstellen, dass geeignete Überwachung und Protokollierung auf dem Bereichsgateway erzwungen werden

Titel	Details
Komponente	Zwischengeschaltetes IoT-Gateway
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	–
Schritte	Wenn mehrere Geräte zu einem Bereichsgateway verbunden werden, stellen Sie sicher, dass Verbindungsversuche und der Authentifizierungsstatus (Erfolg oder Fehler) für die einzelnen Geräte protokolliert und auf dem Bereichsgateway verwaltet werden. In Fällen, in denen das Bereichsgateway die IoT Hub-Anmeldeinformationen für die einzelnen Geräte verwaltet, stellen Sie zudem sicher, dass die Überwachung ausgeführt wird, wenn diese Anmeldeinformationen abgerufen werden. Entwickeln Sie einen Prozess, um die Protokolle in regelmäßigen Abständen in Azure IoT Hub/Speicher für die langfristige Aufbewahrung hochzuladen.

Sicherstellen, dass geeignete Überwachung und Protokollierung auf dem Cloudgateway erzwungen werden

Titel	Details
Komponente	IoT-Cloudgateway
SDL-Phase	Entwickeln
Zutreffende Technologien	Allgemein
Attribute	–
Referenzen	Einführung in die IoT Hub-Vorgangsüberwachung
Schritte	Berücksichtigen Sie im Entwurf das Sammeln und Speichern von Überwachungsdaten, die durch die IoT Hub-Vorgangsüberwachung erfasst werden. Aktivieren Sie die folgenden Kategorien für die Überwachung: Geräte-Identitätsvorgänge Gerät-zu-Cloud-Kommunikation Cloud-zu-Gerät-Kommunikation Verbindungen Dateiuploads