OWASP Automatisierte Bedrohungen für Webanwendungen

Hier ist die Liste der automatisierten Bedrohungen, die vom OWASP Automated Threats to Web Application Project identifiziert und zusammengestellt wurden.   

1. Kontoaggregation. Das Ziel dieser Angriffe besteht darin, die Anmeldeinformationen von Benutzerkonten von mehreren Websites oder Plattformen zu erbeuten, oft zu böswilligen Zwecken wie Identitätsdiebstahl, Finanzbetrug oder unbefugtem Zugriff auf vertrauliche Informationen. Account-Aggregationsangriffe werden mithilfe automatisierter Bots oder Skripte durchgeführt, die menschliche Interaktionen mit verschiedenen Webdiensten oder Anwendungen nachahmen. 
   
2. Kontoerstellung. Bei diesen Angriffen verwenden böswillige Akteure automatisierte Skripte oder Bots, um eine große Anzahl gefälschter Benutzerkonten auf einer Plattform oder Website zu erstellen. Angreifer können diese gefälschten Konten verwenden, um die Plattform mit Spam-Inhalten, Werbung oder bösartigen Links zu überfluten und so zu Störungen und Belästigungen für legitime Benutzer zu führen. Gefälschte Konten können auch dazu verwendet werden, die öffentliche Meinung und Bewertungen einer Website oder Anwendung zu manipulieren oder sich als echte Benutzer oder Persönlichkeiten des öffentlichen Lebens auszugeben, um Fehlinformationen zu verbreiten oder den Ruf zu schädigen.  Diese Bedrohung kann auch zu Betrug bei der Eröffnung neuer Konten führen, auch als First-Party-Betrug bezeichnet, und hat Auswirkungen auf die gesamte digitale Welt .
3. Anzeigenbetrug. Diese Bedrohung wird auch als Klickbetrug bezeichnet und umfasst betrügerische Aktivitäten, um die Anzahl der Interaktionen mit Online-Werbung, wie z. B. Klicks oder Impressionen, zu verfälschen. Diese betrügerischen Aktionen werden normalerweise über automatisierte Bots oder Skripte ausgeführt und zielen darauf ab, Einnahmen für die Betrüger zu generieren oder die Leistungskennzahlen von Werbung zu manipulieren. 
4. CAPTCHA-Niederlage. Diese Bedrohung verwendet automatisierte Techniken, um CAPTCHA-Herausforderungen zu umgehen oder zu umgehen und stellt ein erhebliches Problem für die Sicherheit von Webanwendungen dar, da böswillige Akteure auf diese Weise eine gängige Abwehrmaßnahme gegen Bots umgehen können. CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) ist eine Sicherheitskontrolle, die verwendet wird, um zwischen menschlichen Benutzern und automatisierten Bots oder Skripten zu unterscheiden. Angreifer können Bilderkennungssoftware verwenden, um visuelle CAPTCHAs zu lösen, und maschinelle Lernalgorithmen einsetzen, um akustische CAPTCHAs und Rätsel-CAPTCHAs zu lösen. In einigen Fällen setzen Angreifer menschliche CAPTCHA-Löser ein, die CAPTCHAs manuell in Echtzeit lösen. Obwohl CAPTCHA eine häufig verwendete Sicherheitskontrolle ist, kann es umgangen werden und erschwert das Kundenerlebnis für legitime Benutzer, was zu Transaktions- und Umsatzabbrüchen führen kann.   
5. Kartenrisse. Hierbei handelt es sich um eine automatisierte Form der Internetkriminalität, bei der es darum geht, die Sicherheitsmerkmale einer Zahlungskarte wie etwa die Kartennummer, das Ablaufdatum und den Sicherheitscode (CVV/CVC) zu erraten oder zu knacken. Beim Kartenknacken kommen typischerweise Brute-Force-Angriffe zum Einsatz, bei denen automatisierte Bots oder Skripte systematisch zahlreiche Kombinationen von Kartendetails ausprobieren, bis sie eine Kombination finden, die mit einer gültigen Karte übereinstimmt. Sobald gültige Kartendaten identifiziert wurden, können diese für verschiedene illegale Aktivitäten verwendet werden, beispielsweise für nicht autorisierte Einkäufe oder Finanzbetrug. Der Angreifer könnte sich in einem Ladengeschäft ein paar unbenutzte physische Geschenkkarten schnappen, um zu prüfen, ob der Herausgeber der Geschenkkarten auf fortlaufende Nummerierungsmuster zurückgegriffen hat. 
6. Kardieren. Bei dieser Form der automatisierten Internetkriminalität werden gestohlene Zahlungskarteninformationen unbefugt verwendet, um betrügerische Transaktionen oder Käufe durchzuführen. Kriminelle verwenden automatisierte Bots oder Skripte, um die gestohlenen Kredit- oder Debitkartendaten auf verschiedenen Websites oder Anwendungen zu testen und diejenigen zu identifizieren, die die gestohlenen Informationen akzeptieren. Sobald die automatisierten Bots anfällige Ziele identifiziert haben, nutzen sie die gestohlenen Karteninformationen, um betrügerische Einkäufe zu tätigen, häufig für hochwertige Waren oder digitale Dienste, oder übertragen den verfügbaren Betrag auf andere Konten.  
7. Auszahlung. Darunter versteht man die Umwandlung illiquider Vermögenswerte oder virtueller Währungen in reale Geldmittel oder materielle Güter. Diese Bedrohung folgt häufig auf erfolgreiche Angriffe, die zum Diebstahl wertvoller Vermögenswerte von Online-Plattformen oder -Konten führen. Wenn Angreifer die Kontrolle über Benutzerkonten bei Webanwendungen oder Online-Plattformen übernehmen, können sie diese Konten verwenden, um Vermögenswerte des Kontoinhabers, beispielsweise Geschenkkarten, Treuepunkte oder virtuelle Währungen, auszuzahlen. Bots werden häufig verwendet, um Auszahlungen zu erleichtern, da sie es Cyberkriminellen ermöglichen, diese betrügerischen Aktivitäten in großem Umfang und effizient durchzuführen. 
8. Knacken von Anmeldeinformationen. Bei dieser Bedrohung handelt es sich um eine Art Brute-Force-Angriff, der auf die Anmeldemechanismen von Webanwendungen abzielt, beispielsweise Anmeldeseiten, Benutzerkontoportale oder Authentifizierungs-APIs. Der Angreifer probiert mithilfe der Automatisierung systematisch gängige Kombinationen aus Benutzernamen und Passwörtern aus, bis er eine findet, die funktioniert und unbefugten Zugriff auf Benutzerkonten gewährt. Dies ermöglicht dem Angreifer böswillige Aktivitäten wie Identitätsdiebstahl, Finanzbetrug oder andere nicht autorisierte Aktionen.  
9. Credential-Stuffing. Credential Stuffing ist eine der häufigsten Formen der Bedrohung für Web-Anwendungen und entsteht, wenn Cyberkriminelle Listen mit Benutzernamen-/Passwort-Paaren beschaffen (die sie oft im Darknet gekauft haben) und versuchen, mit diesen Anmeldeinformationen auf andere, durch die Anmeldung geschützte Konten zuzugreifen. Da viele Menschen Benutzernamen und Passwörter wiederverwenden, können diese Angriffe (auch als „Account Takeover“ bezeichnet) außerordentlich effektiv sein und es Kriminellen ermöglichen, die Kontrolle über Benutzerkonten zu übernehmen, um Vermögenswerte zu stehlen oder Betrug durch Dritte zu begehen.  
10. Verweigerung der Bestandsaufnahme. Bei diesem Angriff nehmen Angreifer E-Commerce-Waren aus dem Verkehr, indem sie mithilfe von Bots eine große Anzahl von Artikeln in einen Einkaufswagen legen, ohne sie anschließend zur Kasse zu bringen und zu kaufen. Diese Situation verhindert, dass andere Käufer die Ware kaufen, weil das System einen Lagerbestandsmangel registriert, und verweigert dem Verkäufer außerdem den Verkauf, weil der Einkauf nie abgeschlossen wird. Eine Variante dieser automatisierten Bedrohung entsteht, wenn Bots verwendet werden, um Reservierungen für Hotelzimmer, Restauranttische oder Flugzeugsitze vorzunehmen oder diese zu reservieren, ohne die Zahlung abzuschließen. 
11. Denial of Service (DoS) und Distributed Denial of Service (DDoS). Bei diesen Angriffen handelt es sich um böswillige Versuche, die normale Funktionsweise eines Zielsystems oder -netzwerks zu stören und es für legitime Benutzer unzugänglich zu machen. Bei einem DDoS-Angriff überlastet der Angreifer das Ziel mit einem enormen Volumen an Datenverkehr oder Ressourcenanforderungen, was zu einer Serverüberlastung führt und den Dienst unzugänglich macht. Diese Angriffe können mit verschiedenen Methoden durchgeführt werden, beispielsweise durch Überfluten des Ziels mit Paketen oder durch Senden speziell gestalteter Anfragen. DoS- und DDoS-Angriffe sind ähnlich, allerdings sind bei DDoS-Angriffen mehrere Quellen beteiligt und die Koordination erfolgt normalerweise über Botnetze, also ein Netzwerk kompromittierter Computer oder Geräte unter der Kontrolle des Angreifers. Der Angreifer koordiniert diese verschiedenen Quellen, um den Angriff gleichzeitig gegen das Ziel zu starten. Durch Ausnutzung der kombinierten Ressourcen des Botnetzes kann der Angreifer enorme Mengen an Datenverkehr oder Anfragen generieren, wodurch die Kapazität des Zielsystems überlastet wird und es zu einer Diensteverweigerung kommt. Diese Angriffe können die Statustabellen der Firewall, die CPU-Ressourcen und die Bandbreite der Infrastruktur überfordern. Ein DoS-Angriff kann mit einer einzigen, gut formulierten Anfrage an eine Webanwendung ausgeführt werden, beispielsweise einer komplexen SQL-Abfrage, die zu einer hohen CPU-Belastung und einer Verschlechterung der Leistung führt.
12. Beschleunigung. Bei dieser Bedrohung werden automatisierte Bots oder Skripte verwendet, um eine Reihe von Bewerbungsprozessen schnell abzuschließen und dabei die normalen Einschränkungen oder Kontrollen zu umgehen. Durch die Automatisierung von Prozessen können Angreifer oder böswillige Benutzer einen unfairen Vorteil gegenüber anderen legitimen Benutzern erlangen. Diese Aktivität ist oft mit Betrug verbunden und kann zu Verlusten für andere Parteien führen.  
13. Fingerabdrücke. Bedrohungsakteure nutzen Fingerprinting als Methode zur Informationsbeschaffung, um einzigartige Merkmale oder Eigenschaften des Webbrowsers oder Geräts eines Benutzers zu sammeln und zu analysieren und so einen unverwechselbaren „Fingerabdruck“ zu erstellen. Auf diese Weise können Bedrohungsakteure einzelne Benutzer über verschiedene Websites und Onlineplattformen hinweg identifizieren und verfolgen oder ein Profil einer Anwendung erstellen und anschließend angreifen. 
14. Fußabdruck. Dabei handelt es sich nicht um eine automatisierte Bedrohung an sich, sondern eher um die Vorphase eines Hacking- oder Aufklärungsprozesses. Beim Footprinting werden Bots oder Skripte verwendet, um Informationen über die Zusammensetzung, Konfiguration und Sicherheitsmechanismen einer Ziel-Webanwendung zu sammeln. So können Angreifer nachfolgende Angriffe besser planen, etwa gezielte Exploits starten, um unbefugten Zugriff zu erlangen oder bestimmte Schwachstellen auszunutzen. 
15. Scalping oder Lagerbestandshortung. Dabei handelt es sich um eine Form der Kaufautomatisierung, bei der Angreifer Bots verwenden, um große Mengen von Waren oder Dienstleistungen mit begrenztem Lagerbestand zu kaufen, sobald diese online in den Verkauf gelangen (denken Sie an Konzertkarten und Turnschuhe in limitierter Auflage). Durch die sofortige Durchführung des Bezahlvorgangs erlangen Kriminelle Massenkontrolle über wertvolle Lagerbestände, die normalerweise auf dem Zweitmarkt mit einem erheblichen Aufschlag weiterverkauft werden, was zu künstlicher Verknappung, Lagerbeständen und Frustration bei den Verbrauchern führt.  
16. Schaben. Scraping ist zwar nicht grundsätzlich bösartig, aber es handelt sich dabei um den automatisierten Prozess des Extrahierens von Daten aus Websites oder Webanwendungen. Scraping wird zu einer automatisierten Bedrohung, wenn es für nicht autorisierte oder böswillige Zwecke verwendet wird, etwa wenn Bots zum Sammeln von Inhalten einer Zielwebsite eingesetzt werden, um diese zu analysieren, wiederzuverwenden oder Preismanipulationen durchzuführen, insbesondere in wettbewerbsintensiven Märkten. Scraping kann sich auch auf die Leistung einer Site auswirken und legitime Benutzer am Zugriff auf eine Site hindern. 
17. Schiefstellung. Dies ist die Folge, wenn böswillige Akteure wiederholt auf Inhalte einer Webanwendung klicken, diese anfordern oder übermitteln und so absichtlich anwendungsbasierte Kennzahlen wie Anzahl, „Gefällt mir“-Angaben, Impressionen, Umfrageergebnisse, Häufigkeit oder Raten beeinflussen. Eine Verzerrung kann durch den Einsatz automatisierter Bots erfolgen, die menschliches Verhalten nachahmen, um künstliche Interaktionen mit der Webanwendung zu erzeugen. Das Ziel der Verzerrung besteht darin, die von anwendungsbasierten Metriken generierten Daten zu manipulieren und zu verzerren, was zu ungenauen oder irreführenden Ergebnissen führt. 
18. Scharfschießen. Hierbei handelt es sich um eine Art böswilliger Aktivität, bei der automatisierte Bots oder Skripte eingesetzt werden, um sich bei Online-Auktionen, Verkäufen oder Reservierungssystemen einen Wettbewerbsvorteil zu verschaffen. Der Begriff „Sniping“ wird häufig im Zusammenhang mit zeitgesteuerten Ereignissen oder Artikeln mit begrenzter Verfügbarkeit verwendet, bei denen Geschwindigkeit und präzises Timing eine entscheidende Rolle spielen, sodass einem anderen Benutzer nicht genügend Zeit bleibt, ein Gebot abzugeben oder ein Angebot zu machen. Durch Sniping können Angreifer einen Wettbewerbsvorteil gegenüber menschlichen Benutzern erlangen, die manuell am Event teilnehmen, da Bots Aktionen schneller und präziser ausführen können. 
19. Spamming. Damit sind bösartige Inhalte oder fragwürdige Informationen gemeint, die von Bots verbreitet werden und in öffentlichen oder privaten Inhalten, Datenbanken oder Benutzernachrichten in Webanwendungen auftauchen. Der schädliche Inhalt kann Malware, IFRAME-Popups, Fotos, Videos, Werbung und Tracking-/Überwachungscode umfassen. Angreifer nutzen Spamming auch, um in Foren und anderen Messaging-Apps falsche Kommentare einzufügen und so Informationen zu verfälschen oder Malware zu verbreiten. 
20. Token-Knacken. Dieser automatisierte Angriff ist das Ergebnis einer Massenerfassung von Couponnummern, Gutscheincodes und Rabattgutscheinen durch Kriminelle. Der erhaltene Vorteil kann ein Rabatt, eine Bargeldalternative, eine Gutschrift oder der Zugang zu einem Sonderangebot sein.
21. Schwachstellenscan. Diese Bedrohung bezieht sich auf die Verwendung automatisierter Tools oder Skripte zum Identifizieren und Ausnutzen von Schwachstellen in Webanwendungen. Anders als beim legitimen Schwachstellenscan, der auf die Identifizierung von Schwachstellen zum Zwecke der Verbesserung der Sicherheit abzielt, wird der Schwachstellenscan als automatisierte Bedrohung mit der böswilligen Absicht durchgeführt, die Sicherheit der Anwendung zu gefährden. Kriminelle verwenden automatisierte Scan-Tools oder Skripte, um im Internet exponierte Anwendungen systematisch zu scannen, normalerweise unmittelbar nachdem eine Sicherheitslücke bekannt geworden ist. Sobald Schwachstellen identifiziert sind, versuchen Kriminelle, diese auszunutzen, um unbefugten Zugriff auf die Anwendung, vertrauliche Daten oder die zugrunde liegende Serverinfrastruktur zu erhalten.