Sicherheit im Software-Lebenszyklus Wie Automatisierung DevSecOps und Anwendungssicherheit verändert

Anbieter zum Thema

Perforce Software UK Ltd.

FTAPI Software GmbH

Automatisierte Sicherheitsprozesse machen DevSecOps unverzichtbar. KI, Policy-as-Code und Compliance-Automatisierung sorgen dafür, dass Sicherheit in jeder Phase des Software-Lebenszyklus mitläuft – proaktiv statt reaktiv.

Anwendungssicherheit ist und bleibt das sensible Thema in vielen Unternehmen, erst recht in Anbetracht der ständig wachsenden Cyberrisiken. Es gehört deshalb in jede Phase des Software­lebens­zyklusses – aus DevOps-Initiativen werden zunehmend DevSecOps-Teams. Durch die Automatisierung sicherheitsrelevanter Aufgaben ändern sich nicht nur die Arbeitsabläufe, sondern die gesamte Art und Weise, mit Sicherheit umzugehen. Hier die fünf wichtigsten Entwicklungen im Überblick.

Anwendungsentwicklung und operationaler Betrieb sind in den letzten Jahren als DevOps-Initiativen näher aneinander gerückt. Das ist sinnvoll, weil die Anforderungen beider Phasen des Software-Lebenszyklus so schon früh aufeinander abgestimmt werden können: Bestimmte Erfordernisse des IT-Betriebs können bei der Entwicklung bereits berücksichtigt werden, Unstimmigkeiten und Inkompatibilitäten werden früher erkannt und schneller gelöst. Da erscheint es als logischer Schritt, die Sicherheit der Anwendung ebenfalls mit diesem Blickwinkel zu betrachten und sie in jeden Entwicklungsschritt zu integrieren.

Anwendungssicherheit stärken

DevSecOps ist unverzichtbar!

Was ist DevSecOps-Automatisierung?

DevSecOps will genau das in der Praxis etablieren: Sicherheitsmaßnahmen wie Security Scans, Abhängigkeitsprüfungen, Konfigurations- und Schwachstellen-Management, Patching sowie proaktive Reaktionen auf Unregelmäßigkeiten und Ähnliches in jede Phase des Software-Lebenszyklus zu integrieren. Manuell ist das kaum möglich, zu komplex sind die Verfahren moderner Softwareentwicklung und zu hoch die Entwicklungs­geschwindigkeit zunehmend digitalisierter Unternehmen. Doch viele dieser Funktionen und Abläufe lassen sich automatisieren.

An zwei Beispielen – der kontinuierlichen Überwachung des Entwicklungsprozesses und der Nutzung von Policy-as-a-Code – lässt sich die DevSecOps-Automatisierung gut verdeutlichen: Auf der Basis vordefinierter Ereignisse können jedes Stück Code und jedes Container Image während des laufenden Entwicklungsprozesses automatisch überprüft werden. Solche Ereignisse sind beispielsweise unautorisierte Änderungen, Verschiebungen der Abhängigkeiten oder Abweichungen bei der definierten Konfiguration. Die Entwickler werden sofort informiert und können eingreifen.

Mit Policy-as-Code-Konzepten lässt sich ebenfalls ein wichtiges Maß an Sicherheit automatisch in den Entwicklungsprozess einbringen. In jedem Unternehmen gibt es zahlreiche interne und externe Richtlinien, die eingehalten werden müssen. Das können bestimmte Grundregeln, wie eine Anwendung aufgebaut ist, Zugriffsrechte oder übergreifende Compliance-Regeln für die IT-Infrastruktur sein. Wenn diese Richtlinien als Code definiert und hinterlegt werden, ist sichergestellt, dass deren Einhaltung schon während des Entwicklungsprozesses geprüft wird. So verlangen Compliance-Regularien beispielsweise ein kontinuierliches Configuration Monitoring, bei dem laufend geprüft wird, welche Konfigurationen geändert werden und ob diese Änderungen den Vorgaben entsprechen. So ist jederzeit nachvollziehbar, wer was geändert hat.

Sicherheit im Entwicklungsprozess

DevSecOps Integration – Security von der Basis her

Aktuelle Trends

Die Akzeptanz von DevSecOps nimmt zwar stetig zu, die Umsetzung in der Praxis ist aber nicht immer ausgereift. Viele Teams haben Schwierigkeiten damit, ihre Sicherheits- und Entwicklungsabläufe zu einem kohärenten System zusammenzufügen. Technologien wie KI und ständig neue Vorgaben seitens der Compliance machen die DevSecOps-Automatisierung mehr und mehr zu einer Notwendigkeit.

Fünf bedeutende Entwicklungen im Überblick:

1. KI wird DevSecOps nachhaltig verändern

Eine KI-gestützte Orchestrierung wird künftig dabei helfen, die Bedrohungen besser zu identifizieren und die Reaktionen bei Vorfällen spezifischer zu priorisieren. So können beispielsweise Modelle für maschinelles Lernen Schwachstellen auf der Basis von Nutzungsmustern erkennen oder das Gefahrenpotenzial einer Fehlkonfiguration vorhersagen. Genauso stehen die KI-Technologien aber auch Cyberkriminellen zur Verfügung, die sie für ihre Zwecke nutzen. Von KI optimierte Malware oder intelligente Penetrationsangriffe – bereits jetzt entwickelt sich hier eine interessante Dynamik. Um gegen KI-optimierte Cyberangriffe gewappnet zu sein, werden Unternehmen gezwungen sein, sich mit KI-basierter Security und DevSecOps-Automatisierung zu beschäftigen.

2. Shift Left für die DevSecOps-Automatisierung

Je früher manche Aufgaben im Softwarelebenszyklus erledigt werden oder zumindest Beachtung finden, umso besser. Dafür werden Aufgaben wie eben die Umsetzung von Sicherheitsfeatures bei der Anwendung nun innerhalb des Prozesses nach vorn, also nach links verschoben (Shift Left). „Secure by Design“ und „Secure by Default“ sind typische Konzepte innerhalb der DevSecOps-Prinzipien. Viele der Verfahren, wie zum Beispiel statische und dynamische Anwendungssicherheitstests (SAST und DAST, Static/ Dynamic Application Security Testing) lassen sich automatisieren. Shift-Left-Strategien werden dadurch gestärkt.

Security und DevSecOps früh im Entwicklungsprozess integrieren

So gelingt der Sicherheits-Shift-Left

3. Klare Verantwortung für Sicherheit in der Software-Lieferkette

Einige Richtlinien, wie zum Beispiel die NIS2-Directive (Network and Information Security) oder der EU Cyber Resilinec Act, fordern bereits jetzt die Einführung von Software-Stücklisten (SBOM, Software Bill of Materials). In diesen detaillierten Listen sind alle Software-Komponenten, dazugehörige Bibliotheken, Abhängigkeiten, etc. verzeichnet, die in der Software verwendet werden. SBOMs schaffen Transparenz über die gesamte Software-Lieferkette und stellen die Integrietät sicher – ein wichtiger Bestandteil einer Sicherheitstrategie. Automatisierung kann DevSecOps-Teams hier zusätzlich unterstützen: So kann durch ein Policy-as-a-Code-Konzept praktisch erzwungen werden, das jedes Stück Code signiert und verifiziert wird. Manipulationen werden dadurch deutlich erschwert und es ist stets transparent, wie die Software entstanden ist. Scanning-Tools können während des gesamten Prozesses den Code auf Abhängigkeiten überprüfen, um veraltete oder unsichere Beziehungen blockieren.

4. Die Hyper-Automatiseriung der Compliance

Compliance Frameworks, wie die DSGVO (Datenschutzgrundverordnung), die NIS-Richtlinie oder EU AI Act, sind umfangreiche Regelwerke. Deren Einhaltung ist jedoch geschäftskritisch und wird deshalb mehr und mehr automatisiert umgesetzt werden. Anstatt Server und virtuelle Maschinen manuell zu validieren, werden Unternehmen Compliance-Standards künftig auf jeder Ebene kodifizieren. Das heißt konkret, dass die IT-Infrastruktur auf der Basis vordefinierter und unumgänglicher, weil fest einprogrammierter, Security Baselines konfiguriert und verwaltet wird (Infrastructure-as-a-Code). Richtlinien können so kontinuierlich und konsistent auch in hybriden IT-Umgebungen durchgesetzt werden und skalieren jederzeit automatisch mit.

Softwaresicherheit im Wandel

Den Schwachstellen-Teufelskreis durchbrechen

5. Schwachstellen nicht nur automatisiert erkennen, sondern beheben

Sicherheitsrelevante Ereignisse werden durch Monitoring und kontinuierliche Analyse automatisch erkannt. Dies löst entsprechende Workflows aus, der IT-Administrator wird informiert, die Nutzer gesperrt oder Ähnliches. Im nächsten Entwicklungsschritt übernimmt nun das System selbst bestimmte, regelbasierte Maßnahmen selbst: etwa problematische Updates zurücksetzen, Patches einspielen oder kompromittierte Systeme isolieren. Durch die Integration von Patch-Management und Schwachstellenbehebung in die bestehenden CI/CD-Workflows sind DevSecOps-Teams den Fehlerquellen immer einen Schritt voraus und werden zugleich von zahlreichen Routineaufgaben befreit.

Proaktive Strategien statt reaktive Brandbekämpfung

Die Sicherheit jeder Software von Beginn an konsequent miteinzubeziehen, sorgt nicht nur für sicherere Anwendungen, sondern beschleunigt den Entwicklungs- und Bereitstellungsprozess sogar. Langfristige Tests und Überarbeitungen entfallen, kürzere Release-Zyklen werden möglich. Mit der Automatisierung verschiedener Security-Funktionen setzt sich die Entwicklung fort: Sicherheitsprobleme weniger lösen, sondern sie gar nicht erst entstehen lassen.

Über den Autor: Volker Rippegather ist Regional Director DACH & CEE bei Perforce Puppet.

Resilienz bei der Softwareentwicklung

Mehr Sicherheit durch robuste Software-Lieferketten

(ID:50548796)