Eine gepatchte Landschaft mit sechs Befunden ohne Exploit: Berichtsdisziplin

TL;DR: Alle Plugins waren aktuell, alle bekannten Exploits scheiterten, und der Bericht hatte trotzdem sechs Befunde. Ich erkläre die Berichtsdisziplin eines Negativbefunds und was eine fehlkonfigurierte Perimeter exponiert hätte.

Ausgangslage

Ich habe das Ziel als Black-Box geprüft: keine Zugangsdaten, nur die öffentlich sichtbare Fläche. Das ist, was ich sah, bevor ich etwas angefasst habe.

Eine kleine Gastronomieseite auf einer aktuellen Content-Plattform hinter einer kommerziellen Web Application Firewall, mit Caching, Statistik-Plugin und Consent-Plugin. Geprüft wurden Header-Status, E-Mail-Authentifizierung, Benutzer-Enumeration, Versionsangabe und Firewall-Fingerprinting.

Ich habe alle identifizierenden Informationen entfernt. Das Ziel wird ausschließlich nach Branche und Technologieklasse beschrieben, damit das Muster übertragbar bleibt.

Das Muster

Das Muster, das ich erkannt habe — und das ich in ähnlichen Landschaften immer wieder finde:

Eine Bewertung hinter einer Firewall erzeugt ein anderes Dokument. Die Vektoren werden von der Methodik zum Ergebnis: sechs geplante Vektoren, alle sechs gescheitert, und das ist die Schlagzeile. Alles Berichtswertige ist jetzt Hygiene, weil die ausnutzbare Schicht genau das ist, was die Firewall abdeckt.

Hier wird Berichtsdisziplin getestet. Die Versuchung ist Aufblähung: ein Versions-Banner als Schwachstelle, ein Enumeration-Endpunkt als Kontoübernahme. Die Alternative ist Präzision: was wurde versucht, was hat die Firewall geantwortet, was wäre ohne Firewall ausnutzbar.

Das Fingerprinting-Befund verdient eigene Erwähnung, weil er das Perimeter-Denken verändert. Eine Firewall, die sich in jeder Antwort identifiziert, tut Ihnen keinen Gefallen, sondern zeigt dem Angreifer, welche Schicht er betrachten muss.

TL;DR: Eine Restaurantseite hinter einer Web Application Firewall. Alle Plugins aktuell, alle bekannten Exploits scheiterten, und der Bericht hatte trotzdem sechs handlungsrelevante Befunde.

Befunde

Schweregrad	Befund	Nachweis
MITTEL	Keine Sicherheits-Header auf der öffentlichen Oberfläche	HSTS, Frameschutz und Content-Type-Schutz fehlen
MITTEL	E-Mail-Authentifizierung mit Soft-Fail ohne Enforcement-Policy	Absenderdomain fälschbar
NIEDRIG	Benutzer-Enumeration über die Lese-Schnittstelle	Autorenkonto und Kennung exponiert
NIEDRIG	Plattform- und Plugin-Versionen in Generator-Metadaten	Genauer Build identifizierbar
NIEDRIG	Firewall-Fingerprint im Response-Header	Perimeter-Produkt identifiziert
NIEDRIG	Keine veröffentlichte Sicherheitskontaktdatei	Kein Kanal für koordiniertes Melden

Der Angriffspfad

Reproduktion im Labor

Jeder Befehl unten zielt auf einen Lab-Container, den ich selbst kontrolliere. Nichts davon ist auf ein laufendes System gerichtet.

Fingerprint und Header-Lücken der eigenen Seite bestätigen

~/code/bash bash

$ curl -sI https://example.org/ | grep -iE 'x-ws|x-cdn|x-firewall|x-sucuri|x-cf-ray|^server:'
$ curl -sI https://example.org/ | grep -icE 'strict-transport-security|content-security-policy|x-frame-options|x-content-type-options|referrer-policy'
$ curl -so /dev/null -w '%{http_code}\n' 'https://example.org/.well-known/security.txt'

Erkennung in eigener Infrastruktur

Die Mail-Kette einer Mail sendenden Domain prüfen

~/code/bash bash

$ dig +short TXT example.org | grep -i spf
$ dig +short TXT _dmarc.example.org
# Hinweis: keine _dmarc-Antwort ist bereits der Befund

Behebung

Die Header-Baseline ergänzen, ohne die Firewall-Regeln zu berühren

~/code/nginx nginx

# die Firewall ergänzt keine Response-Header; das muss der Origin tun
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), camera=(), microphone=()" always;

Keine Sicherheits-Header auf der öffentlichen Oberfläche

E-Mail-Authentifizierung mit Soft-Fail ohne Enforcement-Policy

Fazit — was ich daraus mitnehme

Ein blockierter Vektor ist ein Ergebnis. Schreiben Sie ihn als solches auf.
Blähen Sie ein Versions-Banner nicht zur Schwachstelle auf, um einen Bericht zu füllen.
Beschreiben Sie, was eine fehlkonfigurierte Perimeter exponieren würde; das ist der aktive Teil.
Eine Firewall, die sich identifiziert, ist eine Perimeter zum Testen, nicht zum Vertrauen.