Security

​

Unser Versprechen

Bei Corgea stehen Sicherheit und Datenschutz im Mittelpunkt. Gute Software schafft Mehrwert und schützt zugleich die Daten ihrer Benutzer. Corgea wurde von Grund auf für den Schutz von Benutzerdaten und hohe Zuverlässigkeit entwickelt. Das Corgea-Team verfügt aus früheren Tätigkeiten über umfangreiche Erfahrung mit der Entwicklung und dem Betrieb hochskalierbarer Anwendungen nach strengen Vorgaben wie FedRAMP, ITAR, HIPAA und PCI sowie verschiedenen Datenschutzstandards. Diese Erfahrung hilft Corgea, Branchenstandards zu erfüllen und häufig zu übertreffen. Corgea steht für unser konsequentes Engagement für Sicherheit und Datenschutz. Unsere Benutzer können darauf vertrauen, dass wir ihre Daten sorgfältig schützen. Mit freundlichen Grüßen, Ahmad Sadeddin CEO von Corgea

​

Sicherheits-FAQ

​

Sicherheitskontrollen

​

Authentifizierung und Sitzung

​

Passwortrichtlinie

Corgeas Passwort-Richtlinie ist darauf ausgelegt, die Verwendung schwacher Passwörter zu verhindern, die ein häufiger Schwachpunkt in Sicherheitssystemen sind. Die Richtlinie umfasst mehrere Anforderungen:

• Keine Ähnlichkeit mit persönlichen Daten: Passwörter dürfen den persönlichen Informationen des Benutzers nicht zu ähnlich sein.
• Mindestlänge: Jedes Passwort muss mindestens 8 Zeichen enthalten. Längere Passwörter entsprechen im Allgemeinen einer höheren Sicherheit.
• Einschränkung gängiger Passwörter: Passwörter, die häufig verwendet oder leicht zu erraten sind, sind verboten. Dazu gehören Passwörter wie „123456“, „password“ oder „qwerty“.
• Numerische Beschränkung: Passwörter, die vollständig numerisch sind, sind nicht erlaubt, da nur aus Zahlen bestehende Passwörter oft leichter zu knacken sind.
• Passwort-Reset: Eine Passwortänderung muss per E-Mail bestätigt werden.
• Corgea verwendet PBKDF2 mit SHA-256, einen von NIST empfohlenen Mechanismus für Password Stretching.

​

Kontorichtlinie

Die Kontorichtlinie von Corgea verhindert Missbrauch und erhöht die Sicherheit:

• E-Mail-Konten können nur einmal verwendet werden.
• Benutzerkonten werden über E-Mail aktiviert.
• Corgea behält sich vor, Benutzer- und Unternehmenskonten zu kündigen.

​

Rate Limiting

Corgea begrenzt die Anzahl der Requests pro Benutzer und Zeitraum. Dies mindert Distributed-Denial-of-Service-Angriffe (DDoS) und schützt die Verfügbarkeit.

​

Verhinderung von Authentifizierungs-Brute-Force-Angriffen

Diese Kontrolle ist wesentlich, um sich gegen Angreifer zu schützen, die versuchen, durch Erraten von Passwörtern unbefugten Zugriff zu erlangen. Nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche kann das Konto für einen Zeitraum gesperrt werden oder die Antwortzeit absichtlich verlangsamt werden.

​

Schädliche Requests

Corgea verwendet eine Web Application Firewall (WAF), um schädliche Requests im gesamten Traffic zu erkennen und abzuwehren. Bei verdächtigem Traffic startet die WAF eine JavaScript-Challenge, die der Benutzer vor dem Zugriff bestehen muss.

​

Session-Timeout

Session-Timeouts sind ein zentraler Bestandteil der Session Security bei Corgea:

• Inaktivitäts-Timeout: Benutzersitzungen werden nach einem festgelegten Zeitraum ohne Aktivität automatisch beendet. Die Dauer berücksichtigt sowohl Security als auch Benutzerfreundlichkeit.
• Schutz vor unbefugtem Zugriff: Der Timeout schützt insbesondere dann, wenn ein Benutzer vergisst, sich an einem gemeinsam genutzten oder öffentlichen Computer abzumelden.
• Erneute Authentifizierung: Nach Ablauf einer Session müssen sich Benutzer erneut authentifizieren.

​

Web Security

​

Schutz vor Cross-Site Scripting (XSS)

Corgea maskiert bestimmte Zeichen, um das Einschleusen schädlicher Skripte in Webseiten zu verhindern.

​

Schutz vor Cross-Site Request Forgery (CSRF)

Der CSRF-Schutz prüft bei jedem POST-Request ein benutzerspezifisches Secret aus einem Cookie. Dadurch kann ein Angreifer einen Formular-POST nicht erneut einspielen und von einem anderen angemeldeten Benutzer unbemerkt absenden lassen.

​

SQL-Injection-Schutz

Parametrisierte Queries schützen Corgea vor nicht autorisierten Datenbankmanipulationen durch SQL-Injection. Der SQL-Code wird getrennt von den Query-Parametern definiert. Da Parameter aus Benutzereingaben stammen können, maskiert sie der zugrunde liegende Datenbanktreiber.

​

Clickjacking-Schutz

Die X-Frame-Options-Middleware verhindert in unterstützten Browsern, dass eine Website in einem Frame dargestellt wird. Dadurch können Angreifer Benutzer nicht unbemerkt auf andere Elemente klicken lassen als die sichtbaren.

​

Host-Header-Validierung

Die Validierung des Host-Headers stellt sicher, dass HTTP-Requests an die vorgesehene Domain gerichtet sind.

​

Datensicherheit

​

Datenerfassung

Corgea erfasst die für den Betrieb erforderlichen Informationen und schützt dabei Datenschutz und Security. Erfasst werden:

• E-Mail-Adressen: Für Kontoerstellung, Kommunikation und Benachrichtigungen.
• Vor- und Nachnamen: Zur Personalisierung und Identifikation in der Kontoverwaltung.
• IP-Adressen: Für Security-Zwecke wie die Nachverfolgung von Anmeldeversuchen und die Erkennung potenziell schädlicher Aktivitäten.
• Schwachstelleninformationen aus SAST-/SCA-Tools: Details zu Schwachstellen aus Static Application Security Testing (SAST) und Software Composition Analysis (SCA).
• Code: Für Corgea-Dienste wie Code Reviews und Schwachstellen-Scans erforderlicher Quellcode.
• GitHub Access Tokens: Für den sicheren Zugriff auf Repositorys beim Code-Scanning und für Integrationen.

​

Verschlüsselung während der Übertragung und im Ruhezustand

Corgea verschlüsselt Daten sowohl während der Übertragung als auch im Ruhezustand: Verschlüsselung während der Übertragung:

• Corgea leitet den Verkehr vom HTTP-Protokoll (Port 80) zu HTTPS (Port 443) um
• Verwendet AWS Certificate Manager (ACM), um SSL/TLS-Zertifikate zu verwalten und bereitzustellen.
• Setzt TLS 1.3 ein, damit über das Internet übertragene Daten vor Abhören und Manipulation geschützt sind.

Verschlüsselung im Ruhezustand:

• Verwendet Advanced Encryption Standard (AES) mit einer Schlüssellänge von 256 Bit.
• AES-256 ist ein anerkannter, robuster Standard zum Schutz gespeicherter Daten vor unbefugtem Zugriff.

​

Datensicherungen

Zur Vermeidung von Datenverlust und Sicherstellung der Verfügbarkeit verwendet Corgea eine umfassende Backup-Strategie:

• Tägliche Backups: Automatisierte Sicherung aktueller Daten, um Datenverluste bei Systemausfällen oder beschädigten Daten zu minimieren.
• 30-Tage-Archiv: Fortlaufendes Archiv der Backups für die vergangenen 30 Tage, das eine Wiederherstellung bei verzögert erkanntem Datenverlust ermöglicht.
• AWS S3 / RDS Backups: Amazon S3 dient zur sicheren und skalierbaren Speicherung von Backup-Daten. Amazon RDS Backups ermöglichen automatisierte Datenbank-Backups und Point-in-Time Recovery.

​

Nicht-Produktionsumgebungen

Nicht-Produktionsumgebungen enthalten keine Produktionsdaten.

​

SDLC-Kontrollen

​

Security im SDLC

Corgea integriert Security als grundlegenden Bestandteil in jede Phase des Software Development Life Cycle (SDLC):

• Threat Modeling beim Design: Potenzielle Security-Issues werden in der Designphase ermittelt und durch geeignete Maßnahmen reduziert.
• Secure Coding: Entwickler werden in Secure-Coding-Praktiken geschult, um Schwachstellen im Code zu minimieren.
• Regelmäßige Security-Audits: Audits während des Entwicklungsprozesses erkennen und beheben mögliche Security-Lücken.
• Security-Tests vor dem Deployment: Umfassende Tests einschließlich Penetrationstests und Vulnerability Assessments prüfen die Anwendung auf bekannte Bedrohungen.

​

Code-Reviews

Corgea hat einen strengen Code-Review-Prozess eingeführt:

• Verpflichtende Peer Reviews: Alle Codeänderungen werden von anderen Entwicklern gründlich auf mögliche Probleme einschließlich Security-Schwachstellen geprüft.
• Checklisten und Standards: Prüfer folgen einer Checkliste und halten sich an etablierte Codierungsstandards, um sicherzustellen, dass während des Review-Prozesses nichts übersehen wird.
• Feedback und Iteration: Feedback aus Code-Reviews wird für sofortige Verbesserungen und als Lernwerkzeug für die zukünftige Entwicklung verwendet.

​

Supply-Chain-Scanning beim Code-Merge

Corgea berücksichtigt Supply-Chain Security insbesondere bei der Integration neuen Codes aus externen Quellen:

• Automatisiertes Schwachstellen-Scanning: Beim Merge von neuem Code suchen automatisierte Tools nach Schwachstellen aus externen Bibliotheken oder Abhängigkeiten.
• Kontinuierliches Monitoring: Fortlaufende Scans der Codebasis erkennen Schwachstellen, die durch Änderungen an externem Code oder verwendeten Bibliotheken entstehen.

​

Secret-Scanning

Zum Schutz sensibler Daten setzt Corgea automatisiertes Secret-Scanning ein:

• Automatisierte Erkennung: Tools durchsuchen Code-Repositorys nach versehentlich eingecheckten Secrets wie Passwörtern, API-Keys und Tokens.
• Sofortige Benachrichtigungen: Beim Erkennen von Secrets werden unmittelbar Alerts ausgelöst, damit offengelegte Daten schnell abgesichert werden können.

​

SAST-/SCA-Scanning und Security-Fixes mit Corgea

Corgeas Ansatz für Code-Scanning und Security-Fixes umfasst:

• Static Application Security Testing (SAST): Scannt Quellcode auf potenziell ausnutzbare Schwachstellen.
• Software Composition Analysis (SCA): Analysiert Drittanbieterkomponenten und Open-Source-Bibliotheken auf bekannte Schwachstellen.
• Automatisierte Security-Fixes: Corgea erkennt Schwachstellen und kann automatisch Fixes vorschlagen oder implementieren, wodurch sich die Behebungszeit verkürzt.

​

Infrastruktur

​

Cloud-Infrastruktur

Corgea nutzt die Leistungsfähigkeit und Flexibilität von Amazon Web Services (AWS) für seine Anforderungen an die Cloud-Infrastruktur. Diese Wahl bietet eine robuste, skalierbare und sichere Umgebung für das Hosting von Diensten und Anwendungen.

​

Sicherheitspraktiken für die Cloud-Infrastruktur

Corgea setzt AWS Security Best Practices wie VPCs, Security Groups und IAM-Rollen ein und führt regelmäßige Sicherheitsprüfungen durch.

​

Geteiltes Verantwortungsmodell der Cloud-Sicherheit

Corgea hält sich an das geteilte Verantwortungsmodell von AWS, das die Sicherheitsverantwortlichkeiten zwischen AWS und Corgea definiert:

• Sicherheit “der” Cloud: AWS ist verantwortlich für den Schutz der Infrastruktur, die alle in der AWS Cloud angebotenen Dienste betreibt.
• Sicherheit “in” der Cloud: Corgeas Verantwortung betrifft die Sicherung der Inhalte, Plattformen, Anwendungen, Systeme und Netzwerke, die sie auf AWS nutzen.

​

Netzwerksegmentierung und Isolation

Corgeas Ansatz zur Netzsegmentierung und Isolation ist darauf ausgelegt, Sicherheit und Kontrolle zu verbessern:

• Virtuelle Private Clouds (VPCs) und Subnetze: Durch die Nutzung von VPCs und Subnetzen segmentiert Corgea sein Netzwerk effektiv und isoliert verschiedene Teile seiner Infrastruktur für spezifische Zwecke.
• Sicherheitsgruppen und Netzwerk-ACLs: Diese werden verwendet, um den Datenverkehr zu und von Ressourcen zustandsbehaftet und zustandslos zu filtern.
• Kontrollen der Dienstkommunikation: Es wird sichergestellt, dass Dienste innerhalb der Corgea-Infrastruktur nur mit autorisierten Gegenstellen kommunizieren, wodurch das Risiko interner Bedrohungen und externer Sicherheitsverletzungen verringert wird.

​

Zugangskontrollen

​

Zugang zu Daten

Corgea erzwingt strenge Zugriffskontrollen, um sicherzustellen, dass der Datenzugriff des Personals begrenzt und überwacht wird:

• Eingeschränkter Datenzugang: Der Zugriff auf sensible Daten wird streng kontrolliert und ist nur unter bestimmten Umständen erlaubt, wie zum Beispiel zur Behebung von Produktionsproblemen. Dies minimiert das Risiko eines unbefugten Datenzugriffs oder -lecks.
• Infrastruktur-Zugriffskontrolle: Der Zugriff auf die Infrastruktur von Corgea wird über ein unternehmensweites Virtual Private Network (VPN) verwaltet. Unser VPN bietet eine sichere und verschlüsselte Verbindung, wodurch der Zugriff auf interne Ressourcen nur autorisiertem Personal gestattet wird.
• Rollenbasierte Zugriffskontrolle (RBAC): Implementierung von RBAC, um sicherzustellen, dass Mitarbeiter nur auf die Informationen und Ressourcen zugreifen können, die für ihre Aufgaben erforderlich sind.

​

Zugriffsprotokolle

Corgea führt umfassende Zugriffsprotokolle, um den Zugriff auf seine Server zu verfolgen und zu prüfen:

• WAF-Protokollierung: Jeder Serverzugriff wird innerhalb unserer WAF protokolliert. Dies umfasst Informationen darüber, wer auf den Server zugegriffen hat, wann der Zugriff stattgefunden hat und welche Aktionen durchgeführt wurden.
• Prüfung und Überprüfung: Regelmäßige Prüfungen der Zugriffsprotokolle werden durchgeführt, um ungewöhnliche oder unbefugte Zugriffsmuster zu identifizieren. Dies hilft, potenzielle Sicherheitsvorfälle schnell zu erkennen und darauf zu reagieren.
• Transparenz und Verantwortlichkeit: Detaillierte Zugriffsprotokolle gewährleisten Transparenz im Zugriffsmanagement und machen das Personal für seine Handlungen innerhalb der Infrastruktur verantwortlich.