Schlagwort: Research

  • Checkmarx enttarnt gefährliche Schwachstellen im Online-Portal Meetup.com

    Das Security Research Team von Checkmarx hat zwei eklatante Sicherheitslücken bei der Online-Plattform Meetup.com entdeckt – einem Portal, das weltweit Millionen von Menschen nutzen, um persönliche oder virtuelle Treffen zu organisieren. Die von Checkmarx dokumentierten Schwachstellen erlaubten es Angreifern, sich bei Meetup-Events zunächst Co-Organisator-Rechte zu sichern und dann Zahlungen der Teilnehmer auf beliebige Paypal-Konten umzuleiten. Die Sicherheitsexperten von Checkmarx haben den Betreiber über die Schwachstellen informiert, der sie inzwischen behoben hat.

    Das Checkmarx Team hatte Meetup.com als einen von mehreren Online-Diensten unter die Lupe genommen und war dabei auf zwei weit verbreitete und äußerst gefährliche Schwachstellen gestoßen: Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF). Die Kombination der beiden Schwachstellen ermöglichte es den Security-Experten, Scripts in das Chat-Fenster eines Meetup-Events zu injizieren und so die volle Kontrolle über virtuelle Veranstaltungen zu erlangen. Hatte sich das Research-Team erst Organisator-Rechte gesichert, konnte es alle Privilegien nutzen, die sonst nur dem Veranstalter vorbehalten sind.

    Gängige, aber gefährliche Sicherheitslücken
    Nachdem sich das Experten-Team ohne jegliche Autorisierung oder Genehmigung von einem regelmäßigen Meetup-Nutzer zu einem Mitorganisator befördert hatte, führte es den Angriff im Rahmen eines Proofs-of-Concept noch eine ganze Stufe weiter: Unter Verwendung derselben Technik entwickelten die Experten ein zweites Skript, mit dem sich das für Teilnehmerzahlungen hinterlegte PayPal-Konto ändern ließ. Der rechtmäßige Organisator hätte von dieser Manipulation nichts bemerkt, da das System ihn nicht über die Änderung der E-Mail-Adresse informiert hätte – sämtliche Zahlungen wären unbemerkt an den Hacker geflossen.

    Besonders kritisch: Da die Chat-Funktion standardmäßig in allen Veranstaltungen verfügbar ist, waren potenziell auch alle Meetups von der Schwachstelle betroffen.

    Sicherheitslecks geschlossen
    Die Sicherheitsexperten von Checkmarx haben die identifizierten Schwachstellen umfassend dokumentiert und anschließend die Meetup.com-Plattform über das enorme Risikopotenzial informiert. Der Betreiber nahm die Hinweise ernst, übernahm die Verantwortung und schloss die Sicherheitslücken.

    Checkmarx sieht es als eine der wichtigsten Aufgaben eines Security-Anbieters, das Bewusstsein für die Software-Security zu schärfen und aufzuzeigen, welche Gefahr von unsicheren Anwendungen ausgeht. Wenn die Entwickler mit bekannten Schwachstellen wie Cross-Site Scripting oder Cross-Site Request Forgery vertraut sind und die etablierten Best Practices für sicheres Coding einhalten, lässt sich das Risikopotenzial bereits nachhaltig minimieren. Alternativ sind auf dem Markt heute auch durchgängige Software-Security-Plattformen erhältlich, die den Anwendungscode über den gesamten Entwicklungszyklus analysieren und sicherheitsrelevante Fehler im Code bereits in der Entwicklungsphase identifizieren und beheben.

    Über Checkmarx
    Checkmarx ist einer der weltweit führenden Anbieter von Software-Security-Lösungen für die Entwicklung von Enterprise-Software. Das Unternehmen bietet eine der branchenweit umfassendsten Software-Security-Plattformen, die mit statischem und interaktivem Application Security Testing, der Analyse von Open-Source-Komponenten und AppSec-Training für Entwickler an der Schnittstelle von DevOps und Security ansetzt. So minimiert Checkmarx auch in schnell getakteten DevOps-Umgebungen zuverlässig Risiken durch Software-Schwachstellen. Checkmarx ist für über 40 Unternehmen auf der Fortune 100 Liste und die Hälfte der Fortune 50 tätig, darunter führende Unternehmen wie SAP, Samsung und Salesforce.com. Erfahren Sie mehr unter www.checkmarx.com

    Firmenkontakt
    Checkmarx Ltd.
    Dr. Christopher Brennan
    c/o: Neue Straße 7
    91088 Bubenreuth
    +49 175 2676 264
    christopher.brennan@checkmarx.com
    https://www.checkmarx.com/

    Pressekontakt
    H zwo B Kommunikations GmbH
    Michal Vitkovsky
    Neue Straße 7
    91088 Bubenreuth
    +49 9131 81281-25
    michal.vitkovsky@h-zwo-b.de
    http://www.h-zwo-b.de/

  • ThousandEyes deckt im Cloud Performance Report gravierende Leistungsunterschiede zwischen AWS, Google Cloud Platform, Azure, Alibaba und IBM Cloud auf

    ThousandEyes deckt im Cloud Performance Report gravierende Leistungsunterschiede zwischen AWS, Google Cloud Platform, Azure, Alibaba und IBM Cloud auf

    Studie zur Performance von Cloud-Dienstleistern unterstützt IT-Führungskräfte mit umfassenden Daten bei strategischen Entscheidungen zu Cloud-Services

    München, 14. November 2019 – ThousandEyes, das Internet- und Cloud Intelligence-Unternehmen, gibt die Ergebnisse seines jährlichen Cloud Performance Benchmark-Reports bekannt. Die Studie zeigt die Unterschiede in Bezug auf die globale Netzwerkperformance und Konnektivität der fünf großen Public Cloud-Anbieter auf. Untersucht wurden Amazon Web Services (AWS), Google Cloud Platform (GCP), Microsoft Azure, Alibaba Cloud und IBM Cloud. Der Report ist eine Hilfestellung für IT-Führungskräfte in Unternehmen, um qualifizierte Entscheidungen bezüglich Investitionen im Cloud-Bereich zu treffen.

    „Wenn Unternehmen sich vor die Entscheidung gestellt sehen, einen passenden Cloud Provider wählen zu müssen, liegen ihnen meist keine Daten zur jeweiligen Performance vor. Der Grund hierfür ist, dass solche Informationen nie vorhanden oder nur oberflächlich verfügbar waren“, sagt Archana Kesavan, Director für Produktmarketing bei ThousandEyes. „Der Cloud Performance Report liefert Unternehmen hierzu passende Vergleichsdaten. Umfassende Informationen zur Cloud-Performance sind für die Planung und das weitere Vorgehen unerlässlich, um sicherzugehen, dass Kunden und Mitarbeiter die bestmöglichen Leistungen erhalten.“

    ThousandEyes bietet eine Plattform, die analysiert, wie Internet-, Cloud- und andere Drittanbieter sich gegenseitig beeinflussen und sich so auf die digitale Benutzererfahrung auswirken. Für Forschungszwecke wurde die Plattform dazu verwendet, die Netzwerkleistung in von globalen und innerhalb von Cloud-Umgebungen zu messen. Die Ergebnisse stammen aus einer Analyse von mehr als 320 Millionen Datenpunkten, die in 98 globalen Metropolregionen im Laufe von 30 Tagen gesammelt wurden. Dabei wurden umfassende Methoden zur Messung der Ende-zu-Ende-Performance sowie von Datenpfaden genutzt. Der Performance Report kann Unternehmen dabei unterstützen, die für sie relevanten regionalen und Cloud Provider-spezifischen Informationen zu erhalten.

    Die wichtigsten Ergebnisse der Untersuchung lauten:

    -Beim Datenverkehr verlassen sich einige Cloud-Anbieter stark auf das frei zugängliche Internet statt auf ihre eigenen Backbones; eine Vorhersage der Leistung kann dadurch beeinflusst werden. Google Cloud und Azure nutzen bei der Koordination des Datenverkehrs ihrer Kunden verstärkt ihre privaten Backbone-Netzwerke, um Leistungsschwankungen zu verhindern, die mit der Nutzung des frei zugänglichen Internets einhergehen können. AWS und Alibaba Cloud greifen bei dem Großteil des Datenverkehrs auf das frei zugängliche Internet zurück. Dies führt zu einem höheren Betriebsrisiko, das die Vorhersage der Leistung beeinträchtigen kann. IBM verfolgt einen hybriden Ansatz, der sich regional unterscheidet.
    -Lateinamerika und Asien haben die höchsten Performance-Schwankungen über alle untersuchten Cloud-Anbieter hinweg, während in Nordamerika die Cloud-Performance im Allgemeinen konstant ist. Verantwortliche und Entscheidungsträger sollten aufgrund der Ergebnisse des Reports einen regional passenden Cloud Provider auswählen, um eine weltweit optimale Performance zu gewährleisten. Denn regionale Performance-Schwankungen können einen erheblichen Einfluss auf die Performancegewinne oder -verluste haben.
    -AWS Global Accelerator weist nicht immer eine bessere Performance auf als das frei zugängliche Internet. AWS Global Accelerator wurde im November 2018 eingeführt, um Kunden die Nutzung des privaten Backbone-Netzwerks von AWS gegen eine Gebühr zu ermöglichen. Standard von AWS ist hingegen der Datenverkehr über das frei zugängliche Internet. Trotz zahlreicher weltweiter Beispiele für Performancesteigerungen ist der Global Accelerator keine Universallösung. Verschiedene Beispiele zeigen, dass der Weg über das frei zugängliche Internet schneller und zuverlässiger arbeiten kann als der Global Accelerator. Teils unterscheiden sich die Ergebnisse nur geringfügig.
    -Cloud-Performance basiert auf der Wahl des Breitband-ISP. Unternehmen, die einen Performancevorsprung erzielen wollen, sollten ihren Breitband-ISP-Anbieter danach auswählen, auf welche Cloud sie am stärksten angewiesen sind. Dies kann zu Performancegewinnen und -verlusten führen, je nachdem, welche Breitband-Provider Unternehmen für die Verbindung mit der jeweiligen Cloud nutzen.
    -Die Great Firewall of China sorgt bei allen Cloud-Anbietern für Performanceverluste. Obwohl Alibaba seinen Ursprung in China hat, tritt beim Passieren der Great Firewall of China ein Paketverlust auf – genau wie bei allen anderen Cloud-Anbietern. Dies beweist, dass Alibaba keine gesonderte Stellung innehat. Unternehmen mit Kunden in China, die aufgrund strenger Regularien bezüglich Datenverkehr und Datenschutz zögern, eine Hosting-Umgebung in China zu nutzen, können Hongkong als Option in Betracht ziehen. Der Datenverkehr von Hongkong nach China durch Alibaba Cloud hatte den geringsten Paketverlust, gefolgt von Azure und IBM.

    Ergebnisse aufgeschlüsselt nach Cloud Providern
    Der letztjährige Cloud Performance Report verglich die drei größten Cloud Provider mit den höchsten Marktanteilen, also AWS, Azure und GCP. Alibaba Cloud und IBM Cloud kamen in diesem Jahr neu hinzu, sodass zu diesen Diensten keine Vergleichsdaten vorliegen. Deutliche Unterschiede zeichneten sich zwischen einzelnen Cloud-Anbietern im Bezug auf Gesamtperformance und Konnektivität ab. Die wichtigsten Erkenntnisse, aufgeschlüsselt nach Cloud Providern, lauten:

    -AWS weist allgemein eine geringe Latenz auf und konnte im Vergleich zum letzten Jahr insgesamt besser abschneiden. Die Kennzahlen zur Vorhersehbarkeit der Leistung haben sich deutlich verbessert, in Asien gab es zudem eine starke Verringerung der Variabilität um 42 Prozent. Im Vergleich zu Azure und Google Cloud Platform hat AWS jedoch immer noch eine geringere Leistungsvorhersehbarkeit, da der Provider weitgehend das frei zugängliche Internet anstelle des eigenen Backbones nutzt.
    -Azure überzeugt weiterhin durch die sehr gute Netzwerkperformance. Diese hat ihren Grund in der Nutzung des eigenen Backbones, das für den Datenverkehr der Benutzer in Cloud Hosting-Umgebungen genutzt wird. Besondere Veränderungen im Vergleich der Daten von 2018 und 2019 sind eine 50-prozentige Verbesserung der Vorhersehbarkeit der Performance in Sydney, während in Indien ein Rückgang der Leistungsvorhersehbarkeit um 31 Prozent zu verzeichnen war. Trotz eines leichten Rückgangs gegenüber dem Vorjahr ist Azure in Asien im Vergleich zu den anderen Cloud-Anbietern weiterhin führend bei der Vorhersage von Leistungszahlen.
    -Bei Google Cloud favorisiert man weiterhin die Nutzung des eigenen Backbones für die Bereitstellung von Traffic in der Cloud. Benutzer profitieren von einer starken Performance in den meisten Hosting-Regionen. Der Cloud Provider weist weltweit aber immer noch einige signifikante Lücken auf, die seit der Veröffentlichung des Reports im letzten Jahr nicht geschlossen wurden. Der Datenverkehr aus Europa und Afrika benötigt 2,5 bis 3-mal länger, um nach Indien zu gelangen, da Daten zunächst um die Welt reisen, anstatt eine direkte Verbindung zu nutzen. Google Cloud verringerte zudem die Transparenz des internen Netzwerks, so dass es schwieriger wurde, die Netzwerkpfade und -leistung zu analysieren.
    -Alibaba Cloud bietet im Vergleich mit anderen Providern eine ähnliche Performance. Der Provider ähnelt AWS in Bezug auf Verbindungsmuster, Regionspositionen und sogar der einzelnen Benennung von Regionen. Wie AWS setzt Alibaba Cloud für den Großteil des Datenverkehrs stark auf das frei zugängliche Internet und nicht auf sein eigenes privates Backbone-Netzwerk. Besonders ist hierbei, dass der Datenverkehr zwischen Regionen nicht zwischen einzelnen Dependancen von Alibaba Cloud stattfindet, sondern aus der internen Cloud austritt, das Internet durchquert und anschließend wieder in das regionale Cloud-Netzwerk eintritt.
    -Auch die Performance von IBM Cloud ist mit der anderer großer Cloud-Provider vergleichbar. IBM verfolgt einen hybriden Ansatz bei der Koordinierung des Datenverkehrs, in dessen Rahmen die Nutzung des eigenen privaten Backbones und des frei zugänglichen Internets variiert, abhängig davon, auf welche Regionen der Benutzerzugriff erfolgt.

    „Bisher haben die meisten IT-Entscheider bei der Suche nach dem passenden Cloud-Anbieter auf Faktoren wie den Preis oder die Nähe zum Nutzer geachtet. Dabei wurde die zugrundeliegende Netzwerkarchitektur oft völlig außer Acht gelassen, obwohl diese einen erheblichen Einfluss auf die Performance haben kann“, erläutert Zeus Kerravala, Principal Analyst, ZK Research. „Der Cloud Performance Benchmark Report 2019 von ThousandEyes zeigt, wie sehr sich die Leistungen der bekanntesten Cloud-Service-Provider unterscheiden können. Die Einblicke beweisen, dass Unternehmen weiterhin ihre Netzwerkinformationen und Leistung messen sollten, um sicherzustellen, dass sie die Leistung von Cloud-Providern erhalten, die sie erwarten.“

    Laden Sie den Cloud Performance Benchmark Report 2019 hier herunter.

    Über ThousandEyes
    ThousandEyes, das Internet- und Cloud Intelligence-Unternehmen, ermöglicht einen auf aggregierten Informationen basierenden umfassenden Einblick in das Internet. Dies ermöglicht es Unternehmen und Dienstleistern zusammenzuarbeiten, um die Qualität für Endnutzer zu optimieren. Die Plattform von ThousandEyes nutzt dazu Informationen einer Vielzahl globaler Datenpunkte im Internet, von Datencentern, VPCs und Endanwendergeräten, um Abhängigkeiten herauszustellen, die die Servicebereitstellung und -performance beeinflussen. Dies bietet Unternehmen die Möglichkeit, die Benutzererfahrung der Kunden und Mitarbeiter von digitalen Websites, Anwendungen und Services nachzuvollziehen und zu optimieren. ThousandEyes ist von zentraler Bedeutung für die weltweit größten und am schnellsten wachsenden Unternehmen, darunter mehr als 140 der Global 2000, über 75 der Fortune 500, sechs der sieben führenden US-Banken und 20 der 25 führenden SaaS-Unternehmen. Für weitere Informationen besuchen Sie www.ThousandEyes.com oder folgen Sie dem Unternehmen auf Twitter unter @ThousandEyes.

    Firmenkontakt
    ThousandEyes
    Ben Stricker
    Mission Street, Suite 1700 201
    94105 San Francisco
    +1 (800) 757-1353
    bstricker@thousandeyes.com
    https://www.thousandeyes.com/de

    Pressekontakt
    HBI Helga Bailey GmbH
    Jasmin Rast
    Stefan-George-Ring 2
    81929 München
    +49 89 / 99 38 87 27
    jasmin_rast@hbi.de
    http://www.hbi.de

    Bildquelle: @ ThousandEyes