Die Architektur von AppSensor

Das Herz von AppSensor ist die Server-Komponente, die mit Events aus der zu überwachenden Anwendung versorgt wird. In der Webanwendung werden über die AppSensor-API Events aufgezeichnet, die im Server registriert und ausgewertet werden. Die Auswertung geschieht anhand der Policies, die dann im Ernstfall Maßnahmen einleiten, indem sie an den Response-Handler die entsprechenden Befehle erteilen. Der Response-Handler kann sich innerhalb der Webanwendung oder in einer separaten Anwendung befinden.

Das AppSensor-Dashboard

Die zentrale Stelle für das Monitoring ist das AppSensor-Dashboard. Es ist dem Integrations-Team überlassen, wie genau das Dashboard gestaltet wird, denn die Monitoring-Anwendung von AppSensor wird üblicherweise selbst entwickelt. Alle Daten, die visualisiert werden sollen, werden vom AppSensor-Server zur Verfügung gestellt.

Die Abbildung unten zeigt die Variante einer Design-Studie, die die eingegangenen Events der Anwendung als Indikator und Details dazu in der Detection-Tabelle anzeigt. Außerdem werden eingeleitete Maßnahmen in der Response-Tabelle angezeigt, sowie Trends und Statistiken rechts unten aufgeführt. Wird ein Angriff erkannt, leuchten die Indikatoren zunächst rot und werden nach gewisser Zeit orange, gelb, dann wieder weiß. Die rote Ampel links oben zeigt an, dass gerade ein SQL-Injection Angriff stattfindet.

Durch ein solches Sicherheits-Monitoring kann tatsächlich bemerkt werden, dass ein Angriff stattfindet - und zwar rechtzeitig. Zudem können die Abwehrmaßnahmen im Dashboard in Echtzeit verfolgt werden.

Der Aufwand, die Sensoren in eine existierende Anwendung einzubauen, ist minimal. Erheblich größer ist der Aufwand, den AppSensor-Server aufzusetzen und das Dashboard zu entwickeln, das letztendlich den Leitstand für das Sicherheitsmonitoring darstellt. Dazu sollte am besten ein separater Server verwendet werden, der unabhängig von der Anwendung existiert und auch für andere zu überwachende Anwendungen zur Verfügung stehen kann. Wenn Sever und Dashboard einmal errichtet sind, ist die Integration neuer Sensoren in der Anwendung sowie die Integration neuer Anwendungen ein verhältnismäßig kleiner Aufwand.

Fazit

Ein Monitoring-System wie AppSensor, das auf sicherheitskritische Events reagiert, bietet Transparenz und die Möglichkeit, Abwehrmaßnahmen in Echtzeit durchzuführen. Zudem bringt es Mehrwerte hinsichtlich Prävention und Reaktion mit sich. Die Investition in ein Monitoring-System ist eine sinnvolle und notwendige Maßnahme, um die Sicherheit gemäß den Anforderungen an eine moderne IT-Umgebung maßgeblich zu erhöhen. (jd)