Welche Angriffe muss man nun über SOAP konkret befürchten,
bzw. welche Gegenmaßnahmen könnte eine SOAP-Firewall bieten?
Die folgenden exemplarisch ausgewählten Beispiele sollen einen Überblick
darüber geben. [Skoudis 2002]
| |
Dabei werden valide oder fragmentierte Nachrichten SOAP Nachrichten
in hoher Frequenz und/oder großem Datenvolumen an den Web Service
gesendet, mit dem Ziel das Web Service zum Stillstand zu bringen,
die Maschine auszulasten bzw. diesen Zustand dann für weiterführende
Attacken zu nutzen. |
|
Hier kann die Firewall entweder für ein ganzes
Netzwerk oder bestimmte/Gruppen von Methoden Schwellenwerte für
eingehende Requests und deren Größe(1) definieren bzw.
wäre es auch denkbar nach Erkennen einer DoS Attacke automatisch
durch die SOAP Firewall einträge in der normalen FW machen zu
lassen, welche den Angreifenden Host endgültig oder für
eine gew. Zeit negiert. |
Ein Angreifer könnte überlange Requests schicken, welche
den Web Service zum Absturz bringen oder einen Zustand hervorrufen
in dem bösartiger Code eingeschleust und ausgeführt werden
kann. |
|
Eine Applikation Level Firewall könnte durch Typenüberprüfung
und Validierung der Daten gegen ein Schema bösartige Nachrichten
erkennen, den Inhalt inspizieren und die Gesamtgröße bzw.
die bestimmter Teile der Nachricht limitieren. |
Ein Angreifer könnte versuchen ein passwortgeschütztes Web
Service zu knacken, einerseits durch eine Brute-Force-Attacke, anderseits
mittels häufig verwendeten Passwörtern bzw. Standardpasswörtern.
|
|
Die Firewall kann einerseits die Anzahl der aufeinander
folgenden fehlgeschlagenen Anmeldeversuche zu protokollieren und darauf
aufbauend Entscheidungen zu treffen, andererseits eine starke Passwort-Policy
integrieren und überprüfen. |
Dabei wird grundsätzlich immer die Lücke benutzt direkt
in die Applikation Code einzuschleusen, welcher dann ausgeführt
wird und so andere, als die spezifizierten Ergebnisse zu bekommen
|
|
Im Prinzip können solche Attacken auf Firewall
Seite durch Sequence-Matching beim Parsen des Codes bzw. durch entfernen
gefährlicher Sonder- bzw. Escape-Zeichen verhindert werden. |
Im Prinzip kann der Body eines SOAP Requests auch Viren enthalten,
die der Anwender dem WS schickt. Diese können von heute üblichen
Virenscannern jedoch auf Grund des möglicherweise verschlüsselten
Bodys oder dem Einsatz von SSL nicht erkannt werden. |
|
Im Fall von Viren in verschlüsselten Teilen des
Requests muss die Überprüfung auf viralen Code am Endpunkt
bzw. auf einem Zwischenpunkt, welcher den Request entschlüsseln
kann, erfolgen |