Maximilian Steiner

• In der heutigen Zeit spielt die Absicherung von modernen IT-Systemen eine wichtige Rolle und stellt gleichzeitig eine Herausforderung für viele Unternehmen dar. Bei den Versuchen, strikte Richtlinien umzusetzen und die eigenen Daten zu schützen, stoßen einige davon an ihre Grenzen. Die konstant wachsende Anzahl an modernen Bedrohungen forciert dabei hohe Investitionen und regelmäßige Überprüfung, Anpassung und Verbesserung der unternehmensinternen Prozesse. Aufgrund der Diversität der Bedrohungen stellen unterschiedliche Systeme dabei unterschiedliche Funktionalitäten bereit und es gibt keine zentrale Stelle für Abwehrmechanismen. Dabei stellt sich die Frage, ob eine zentrale Abhandlung diverser Bedrohungen auf Seiten einer Applikation sinnvoll ist, oder ob davon abgesehen werden sollte. Um dies zu beantworten werden sicherheitsrelevante Aspekte im Bereich von Web Application Security untersucht und ein Einblick in die Relevanz zur Absicherung von WebApplikationen gegeben. Darüber hinaus werden einige der gängigsten Bedrohungen von modernen Systemen analysiert und beschrieben. Neben Konzepten, die dabei unterstützen, die Sicherheit von Software-Systemen zu erhöhen, werden ebenfalls die Möglichkeiten zur Auslagerung sicherheitsrelevanter Aspekte untersucht. Der Fokus der Arbeit bezieht sich auf Web Application Firewalls und es wird konkret auf deren Verwendung, Architektur und deren Grenzen eingegangen. In diesem Kontext werden sowohl Lösungen kommerzieller Anbieter, als auch bekannte Open-Source Lösungen vorgestellt und verglichen. Die Open-Source Lösung ModSecurity wurde dabei für eine Anwendung in der Praxis ausgewählt. Es wurde ein Konzept aufgestellt, um die Integrität von HTTP-Cookies zu validieren und dieses wurde mithilfe eines eigens erstellten Regelwerks innerhalb von ModSecurity umgesetzt. Die Umsetzung dieses Konzepts hat gezeigt, dass eine solche moderne Anforderung auch erfüllt werden kann, ohne dabei die betroffene Applikation an sich verändern zu müssen. Anhand der zuvor durchgeführten Recherche und der praktischen Anwendung wird einerseits die Flexibilität und der Nutzen einer WAF verdeutlicht, und andererseits dargelegt, dass eine eigens adaptierte Implementierung keinen Mehrwert gegenüber der Verwendung bestehender Lösungen bietet.
• In today’s world, securing modern IT systems plays an important role, while also posing a challenge for many companies. In their attempts to implement strict policies and protect their own data, some of them come up against their limits. The constantly growing number of modern threats forces high investments and regular review, adaptation and improvement of the company’s internal processes. Due to the diversity of the threats, different systems provide different functionalities, and there is no central point for defense mechanisms. This raises the question of whether or not it makes sense to deal with diverse threats centrally within an application. To answer this question, this thesis examines the security-relevant aspects in the area of web application security and then illustrates their relevance for securing web applications. Furthermore, some of the most common threats to modern systems are analyzed and described. In addition to concepts that help to increase the security of software systems, the possibilities for outsourcing security-relevant aspects are also examined. The main part of this thesis then introduces Web Application Firewalls in terms of their use, architecture and limits and compares both commercial and well-known open-source solutions. The open-source solution ModSecurity was then selected for a practical illustration of how to secure a web application. A concept for validating the integrity of HTTP-Cookies was created, and it was shown that such a modern requirement can be fulfilled by using a custom ruleset within ModSecurity, without needing to apply changes to the application itself. The results from both the literature research and the practical application highlight the flexibility and benefits of Web Application Firewalls and demonstrate that an adapted implementation ultimately offers no added value compared to the use of existing solutions.