Application Security Posture Management (ASPM) ASPM baut Brücken in der Anwendungssicherheit

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Anwendungssicherheit war nie wichtiger als jetzt. Jedoch kommen Entwicklungs- und IT-Security-Teams selten gut miteinander aus. Um die unüberwindbar scheinenden Gräben zu überbrücken, reichen organisatorische Ansätze allerdings nicht aus. Unternehmen brauchen die technische Unterstützung von ASPM-Lösungen.

Es ist ein Irrtum, dass Entwicklungs- und IT-Sicherheitsabteilungen immer auf einer Wellenlänge sind. Zwar haben Programmierer eine intrinsische Motivation, möglichst sichere Anwendungen zu schreiben, doch ihre Priorität liegt meist auf der Funktionalität. Hinzu kommt der Zeitdruck: Er führt dazu, dass Entwickler den Code von Anwendungen nicht immer selbst schreiben, sondern sich in öffentlichen Programmierbibliotheken (Public Libraries) bedienen und Funktionalitäten via Glue-Code („Klebe-Code“) in ihre Anwendungen einfügen. Eine nahezu hundertprozentige Sicherheit können sie damit kaum gewährleisten. IT-Security-Abteilungen stehen also vor der großen Aufgabe, Entwicklern die unbedingte Einhaltung von Sicherheitsstandards zu vermitteln. Allerdings sind die wenigsten Sicherheitsspezialisten Anwendungsentwickler, und das führt nicht selten dazu, dass Entwickler und Security-Experten aneinandergeraten.

Hängebrücken brauchen stabile Pfeiler

Der DevOps-Ansatz hilft, die Gräben zwischen Entwicklung und IT-Betrieb zu überbrücken. Organisatorisch lässt sich dieser Weg auch für die Zusammenarbeit zwischen Entwicklern, dem IT-Betrieb und der IT-Security in Form eines DevSecOps-Teams abbilden. Es genügt allerdings nicht, alle Bereiche einfach in einem Team zusammenzufassen und zu hoffen, dass die nötigen Synergien aus dem Nichts entstehen. Was DevSecOps-Teams an dieser Stelle brauchen, ist ein stabiler Pfeiler, auf dem die sprichwörtliche Brücke zwischen den Bereichen aufliegt: einen dedizierten Verantwortlichen für die Anwendungssicherheit, also die Application Security (AppSec). AppSec-Manager genießen bei Entwicklern in der Regel mehr Vertrauen als reine IT-Security-Spezialisten, da sie einen Hintergrund als Anwendungsentwickler haben oder zumindest über entsprechendes Fachwissen verfügen. Gleichzeitig genießen sie auch das Vertrauen der IT-Security-Abteilung, in deren Auftrag sie agieren. Ein vollwertiges DevSecOps-Team, in dem AppSec-Manager als Bindeglied dienen, ist die beste Methode, um den gesamten Secure Software Development Lifecycle (SSDLC) einer Anwendung abzubilden.

Personal ist nicht alles

Anwendungssicherheit ist allerdings nicht nur eine organisatorische und fachliche Frage, sondern impliziert auch eine technologische Komponente. Um die Zusammenarbeit im DevSecOps-Team zu erleichtern und die Aufgabenbereiche nahtlos miteinander zu vereinen, dienen ASPM (Application Security Posture Management)-Lösungen. Sie stellen zunächst die für die IT-Security wichtige Visibilität her, zeigen also, wo das Unternehmen überhaupt in Sachen AppSec steht. Einmal mit der zentralen Quellcodeverwaltung, dem so genannten Source-Code-Management-System (SCM), des Unternehmens verbunden, zeigen ASPM-Lösungen auf, welche Technologien und -Tools bei den Softwareentwicklern Verwendung finden. Nicht selten werden dabei diverse, unabhängig voneinander agierende Security-Tools entdeckt, die beispielsweise nach Schwachstellen im selbst entwickelten Code suchen. Diese Übersicht ermöglicht es, den Tool-Stack zu konsolidieren, denn oft nutzen unterschiedliche Teams verschiedene Softwarelösungen, die die gleiche Funktionalität haben. Unternehmen profitieren dadurch von geringeren Kosten und einer deutlich verminderten Komplexität.

ASPM-Lösungen haben zudem den Vorteil, dass sie aufzeigen, welche Daten und Metriken die vorhandenen Security-Tools bereits erfassen, sammeln und bereitstellen – und auch, was mit ihnen anschließend geschieht. So legt eine ASPM-Lösung offen, ob die Tools Daten und Metriken lediglich allokieren oder ob sie auf deren Basis automatisiert auch weiterführende Maßnahmen ergreifen. Gute ASPM-Lösungen lassen sich darüber hinaus direkt in die IDE (Integrated Development Environment) der Entwickler implementieren. Auf diese Weise kann die IT-Security-Abteilung Entwicklern Informationen zu erkannten Schwachstellen im Code nativ und nahtlos in deren gewohnter Entwicklungsumgebung und ohne lästiges Ticket-System oder zusätzliche Tools bereitstellen. Visuell erscheinen sie als einfaches zusätzliches Fenster in ihrer IDE. Das senkt die Hürden für Entwickler, auf die Sicherheit ihrer Anwendungen zu achten und spart zeitraubende Iterationen.

Priorisierung und Visualisierung

Ein ganz entscheidendes Thema ist überdies die Priorisierung von Schwachstellen. Gerade in großen Anwendungslandschaften gibt es schnell Hunderttausende Violations – Schwachstellenscanner definieren deren Kritikalität zumeist ohne jeglichen Kontext. IT-Security-Teams haben demnach oft damit zu kämpfen erst einmal sämtliche relevanten Informationen zu potenziellen Schwachstellen zusammenzutragen, den Kontext herzustellen und anschließend eine Triage durchzuführen. Gute ASPM-Lösungen bieten diesen Service nativ und KI-gestützt an. IT-Sicherheitsexperten sehen dann im Dashboard bereits eine Übersicht über die dringlichsten Violations und eine vom System kuratierte Liste, die anzeigt, welche Schwachstellen das größte Schadenspotenzial haben.

Um alle relevanten Informationen über eine Sicherheitslücke dann auch noch an genau den richtigen Entwickler weiterleiten zu können, ist es extrem hilfreich, wenn eine ASPM-Lösung sämtliche Abhängigkeiten aufspürt, die Verantwortlichkeiten ermittelt und dafür eine Visualisierung bereitstellt. Dadurch stellt sie totale Visibilität auf einen Blick für die IT-Security-Abteilung her. Da Schwachstellen zwar oft genug nur an einer Stelle im Code oder in einer verwendeten Library vorzufinden sind, allerdings gleichzeitig erheblich Auswirkungen auf unterschiedlichste Bereiche der Softwareinfrastruktur haben können, ist eine Visualisierung aller Abhängigkeiten einer Schwachstelle von größtem Wert.

Optionalität ist alles

Das Problem vieler ASPM-Lösungen ist, dass sie lediglich ein „Hub“ für Drittanbieter-Tools sind, während gute ASPM-Lösungen zusätzlich native Funktionen bieten. Das Konzept ist an dieser Stelle, alles aus einem Guss bereitzustellen, was Entwicklungs- und IT-Security-Abteilung an Anwendungssicherheitsfunktionalität benötigen. Dazu zählen Sicherheitslösungen für die Pipeline- und die Software-Supply-Chain-Security, eine nahtlose Integration in die CI/CD-Pipelines sowie AppSec-Testing-Tools. Der Vorteil: ein reibungsloser Secure Software Development Lifecycle (SSDLC).

Bei der Einführung einer ASPM-Lösung ist vor allem wichtig, nicht zu viel auf einmal zu verlangen. Unternehmen, die auf einen Schlag sämtliche eingesetzten Secure-Development-Tools ersetzen wollen, werden auf heftigen Widerstand stoßen. Viel wichtiger ist die sogenannte Optionalität: sie müssen einerseits die Möglichkeit haben, die ASPM-Lösung ihrer Wahl nahtlos in die Git-Umgebung der Entwickler zu integrieren und somit die Sichtbarkeit über sämtliche Code-Basen, IT-Infrastrukturen und Tools hinweg herzustellen. Andererseits muss die ASPM-Lösung auch die (möglicherweise nur vorübergehende) Verwendung sämtlicher vorhandener Teile des Tool-Stacks zu gewährleisten. Durch diesen holistischen Ansatz, bestehend aus nativen Tools und der Kombinierbarkeit mit Drittanbieter-Software, erleichtern ASPM-Lösungen den schrittweisen Übergang zu einem konsolidierten Tool-Stack.

Über den Autor: Jochen Koehler ist Vice President of Sales EMEA bei Cycode.

(ID:50365824)