Webserver-Sicherheit und Virtualisierung

Abstract

Beinah im Wochentakt berichten die Medien von Hackerangriffen auf Webseiten. Selbst Konzerne wie Sony, Banken (Citigroup) und Kreditkartenunternehmen (Mastercard) sind betroffen. Motiviert durch ein aktuelles Softwareprojekt des Autors zeigt diese Arbeit welche aktuellen Angriffe und Best-Practice-Gegenmaßnahmen Webserver und Webseiten betreffend derzeit existieren. Zusätzlich wird auf die Sicherheitsaspekte von Hosting, Virtualisierung und Cloud-Computing eingegangen. Die Ergebnisse wurden in die Ebenen Netzwerk, Betriebssystem, Dienste, Webanwendung kategorisiert und stammen aus Experten-Interviews, Case-Studies, veröffentlichten Schwachstellen, bekannten Angriffen auf Unternehmen, Gegenüberstellungen von Sicherheitslösungen, durchgeführten Experimenten in einem virtuellen Labor und einer ausführlichen Literaturstudie. Im Rahmen dieser Arbeiten wurden Schwachstellen (Fakultät für Informatik der TU-Wien, Ruby on Rails) aufgedeckt, anhand von Proof-Of-Concept-Code belegt und mittels aufgezeichneten Screencasts dokumentiert.<br />

Nearly every week attacks on websites are reported by the media.<br /> Even transnational corporations like Sony, banks (Citigroup) or credit card companies are affected. Motivated by a recent software project, the author of this paper shows current attacks and best-practice-countermeasures concerning webservers and websites.<br />Furthermore the security aspects of hosting, virtualization and cloud-computing are shown. The results were categorized in network, operating system, services and webapplication and were deduced through expert-interviews, case studies, published vulnerabilities, publicly known attacks on companies, comparison of security-solutions, experiments executed in a virtual labor and a detailed study of literature. In the context of this paper there have been discovered vulnerabilities (faculty of informatics of the TU-Vienna, Ruby on Rails), which are proven by proof-of-concept-exploits and documented by recorded screencasts.