Schutz von Web Services durch erweiterte und effiziente Nachrichtenvalidierung (PDF)

Kurzfassung
Netzwerkdienste sind einer Vielzahl von Angriffen ausgesetzt. Insbesondere die sogenannten Denial-of-Service-Angriffe (kurz: DoS-Angriffe) stellen eine grosse Gefahr dar. Bei Web Services sind derartige Angriffe auch noch deutlich einfacher durchzuführen als gegen "`klassische"' Dienste (wie dem WWW). Experimentelle Untersuchungen haben gezeigt, dass es problemlos möglich ist, die Verfügbarkeit mit wenigen oder sogar nur einer einzelnen Nachricht erheblich zu beeinträchtigen. Dabei wurde auch festgestellt, dass viele Angriffe auf der Abweichung vom korrekten Protokoll basieren. Einer der wichtigsten Gegenmassnahme gegen DoS-Angriffs ist daher auch die Überprüfung der Konformität von Nachrichten bezüglich der Protokolldefinition. Allerdings sind die meisten heutigen Netzwerkschutzsysteme zur Analyse der Web-Service-Nachrichten (SOAP-Nachrichten) und damit zur Erkennung von Angriffen auf Web Services ungeeignet. Dies hat verschiedene Gründe. Zunächst erfordern die XML-basierten SOAP-Nachrichten eine grundlegend andere Verarbeitungsmethode als "`klassische"' Protokollnachrichten. Weiterhin definiert SOAP nur eine generische Nachrichtenhülle. Die Definition für die konkreten Web-Service-Nachrichten ergibt sich erst aus einer Reihe von Metadaten, die für jeden Web Service unterschiedlich sind.

Zur Lösung dieser Probleme werden in dieser Arbeit Methoden zur Überprüfung von Web-Service-Nachrichten und zum Schutz von Web-Service-Systemen vor Angriffen entwickelt. Den Kern dieser Gegenmassnahmen stellt dabei die sogenannte erweiterte und effiziente Nachrichtenvalidierung dar.

Unter erweiterter Validierung wird dabei die Untersuchung von Nachrichten auf Konformität zu sämtlichen beteiligten Definitionen verstanden. Dies umschliesst sowohl die Web-Service-Standards, die Nachrichtenformate definieren, als auch die Metadaten, die jedem Web Service zu eigen sind und die an andere Web-Service-Systeme propagiert werden. Dabei hat sich gezeigt, dass diese Art der Validierung nicht nur gegen DoS-Angriffe wirksam ist.

Das grösste Problem der erweiterten Validierung ist die Realisierung der Nachrichtenverarbeitung. Zur Validierung ist eine Nachrichtenverarbeitung notwendig, die robust gegenüber Angriffsnachrichten ist. Die in heutigen Web-Service-Systemen überwiegend genutzte baumbasierte XML-Verarbeitung ist zur Analyse von potentiellen Angriffsnachrichten ungeeignet. Daher werden in dieser Arbeit Algorithmen zur Verarbeitung und Validierung von Web-Service-Nachrichten entwickelt, die vollständig auf der sogenannten ereignisbasierten Verarbeitungsmethodik aufbauen.

Die darauf basierenden Validierungsmechanismen und Schutzmassnahmen wurden in Form einer Web-Service-Firewall realisiert, welche zum Schutz von herkömmlichen Web-Service-Systemen genutzt werden kann. Die Evaluation der Implementierung hat die hergeleitete Laufzeit- und Speicherkomplexität und damit die theoretische Schutzwirkung bestätigt. Zusätzlich hat die Web-Service-Firewall ihre Schutzwirkung gegen konkrete Angriffe und geringen Ressourcenbedarf unter Beweis gestellt.