Sicherheitsüberprüfungen sind ein gängiges Verfahren, das verwendet wird, um den Sicherheitsstatus eines Systems oder einer Anwendung zu bewerten. Überprüfungen können viele Formen annehmen, von automatisierten Scans, die eine Vielzahl von Regeln oder Fehlerbedingungen testen, über Werkzeuge, die APIs unscharf machen, indem sie absichtlich zufällige oder bösartige Eingaben zur Suche nach Schwachstellen bereitstellen, bis hin zu aktiven Maßnahmen wie Penetrationstests, die von Teams von Fachleuten durchgeführt werden.
Die Sicherheitsüberprüfung kann für eine bestimmte Anwendung durchgeführt werden, z. B. für eine Anwendung, die mit einem ArcGIS SDK erstellt wurde oder als eingebettete ArcGIS-App enthalten ist. Sie kann aber auch auf ein ganzes System angewendet werden, wobei so viele verschiedene Überprüfungsarten und -ansätze verwendet werden, wie es zu überprüfende Systeme gibt. Viele Sicherheitsüberprüfungen führen zu einer gemeldeten Anzahl von Problemen, deren Schweregrad von gering oder informativ bis hin zu hoch oder kritisch mit den entsprechenden Warnungen reicht und die entweder auf potenziell ausnutzbaren Situationen oder bekannten ausnutzbaren Sicherheitsrisiken beruhen. Die Bewertung, was ein geringes oder ein hohes Risiko darstellt, ist oft sehr subjektiv und kann von der Überprüfungsumgebung oder vom Anbieter der Services abhängen oder auf einer externen Risikobewertung wie einem CVSS-Wert (Common Vulnerability Scoring System) basieren. In jedem Fall muss das anfängliche Risiko gegen die Möglichkeit eines Exploits abgewogen werden, der mit der Zugänglichkeit des Systems zu tun hat, ob die betroffene Software den Anforderungen der Endbenutzer ausgesetzt ist und ob sie in einer Weise verwendet oder implementiert wird, die das System anfällig für das identifizierte Problem macht.
ArcGIS basiert auf einer Vielzahl von Bibliotheken von Drittanbietern und stellt eine Reihe von APIs und Endpunkten zur Verfügung, die von Esri entwickelt wurden. Es kommt häufig vor, dass Sicherheitsüberprüfungen zu potenziellen Problemen führen, die von der Organisation überprüft und verifiziert werden müssen, um ihr Ausnutzungspotenzial und ihre Relevanz zu bewerten, bevor sie zur Überprüfung und Bearbeitung an Esri übermittelt werden. Bei einer Überprüfung, bei der eine Schwachstelle an einem administrativen Endpunkt von ArcGIS Server erkannt wird, wird beispielsweise unter Umständen nicht berücksichtigt, dass die administrativen Endpunkte in dieser Umgebung für Endbenutzer nicht verfügbar gemacht werden (z. B. durch Deaktivieren des Administratorzugriffs in ArcGIS Web Adaptor), sodass das Ergebnis als falsch positiv angesehen werden kann, da es keinen realistischen Exploit für dieses Problem gibt.
Beachten Sie die folgenden wichtigen Hinweise und Empfehlungen im Zusammenhang mit Sicherheitsüberprüfungen:
Weitere Ressourcen zum Thema Sicherheitsüberprüfung finden Sie im Dokument ArcGIS Vulnerability Scanning Guidance im ArcGIS Trust Center (für den Zugriff ist eine ArcGIS-Anmeldung erforderlich).