Security und DevSecOps früh im Entwicklungsprozess integrieren So gelingt der Sicherheits-Shift-Left

Anbieter zum Thema

PROGRESS SOFTWARE GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Klar: Sicherheit muss in den DevOps-Prozess integriert werden. Doch bei der praktischen Umsetzung stehen Unternehmen einigen Herausforderungen gegenüber. Bewährte Strategien und Best Practices helfen ihnen dabei, sie zu meistern.

Die Integration der Sicherheit in die DevOps-Landschaft ist inzwischen nicht mehr wegzudenken. Geschwindigkeit und Agilität sind heute geschäftskritisch und deshalb ist es unerlässlich, IT-Security und Compliance in der DevOps-Pipeline nach links zu verschieben. Dieser Ansatz ist das Grundprinzip von DevSecOps. Die Prüfung auf Sicherheitsprobleme findet zu einem frühen Zeitpunkt im Entwicklungsprozess statt, damit Entwickler Fehler frühzeitig erkennen und schnell beheben können, anstatt sie erst nachträglich mit großem Aufwand zu beseitigen.

Losgelöste Sicherheitsansätze verlangsamen den Prozess

Die Einbettung der IT-Security in den Entwicklungsprozess bringt in der Praxis allerdings einige Herausforderungen mit sich. Wenn sie die Entwickler unter Druck setzt, kann das ein Unternehmen ausbremsen. Kommen losgelöste Sicherheitsansätze zum Einsatz, verschlimmert das die Situation weiter. So kann es beispielsweise den Produktionsprozess verlangsamen, wenn man von der Entwicklung über die Qualitätssicherung zum Staging übergeht und dann einen Security Review einfügt. Dieses Vorgehen bedeutet in den meisten Fällen einen langen manuellen Prozess bei der Sicherheitsprüfung – auch das Thema Security wird hierbei zu weit hinten platziert. Kosten, Zeit und Aufwand für die Behebung von Fehlern sind erheblich höher als in einem früheren Stadium des Entwicklungszyklus.

Zahlreiche Dimensionen sind zu berücksichtigen

Eine weitere Herausforderung stellt die Größenordnung dar, die Sicherheit inzwischen angenommen hat. Ihr Maßstab wurde klassischerweise von der Anzahl der physischen Geräte im Unternehmen bestimmt, inzwischen müssen aber viele weitere Dimensionen berücksichtigt werden. Heutige technische Ökosysteme umfassen oft mehrere Clouds und verschiedene Gerätetypen, die sich über mehrere Standorte erstrecken. Wenn Unternehmen zu einem serviceorientierten Ansatz übergehen und Container einsetzen, bekommen sie es außerdem mit einer Flut an Containern zu tun. Nicht zuletzt müssen Unternehmen eine wachsende Anzahl an regulatorischen Sicherheitsvorschriften und Sicherheitsstandards managen. All diese Anforderungen zu erfüllen, erfordert große personelle Ressourcen – über die die wenigsten Unternehmen verfügen.

Zero-Trust erfordert Einbindung von Compliance-Experten

Eine zusätzliche Herausforderung: Immer mehr Unternehmen verfolgen einen Zero-Trust-Ansatz. Für echtes DevSecOps ist es wichtig, Sicherheitsexperten zu integrieren, aber vor dem Hintergrund von Zero Trust ist es genauso entscheidend, auch Compliance-Experten einzubinden. Sie können für Transparenz über Konfigurationen und ihre Analysen sorgen. In den allermeisten Fällen sind es nämlich nicht anfällige oder veraltete Komponenten, Authentifizierungsprobleme oder ausgeklügelte Phishing-Angriffe, die zu Schwachstellen führen, sondern simple Konfigurationsfehler in Software und Geräten.

Richtiges technologisches Framework ist erforderlich

Bei der effektiven Durchführung von DevSecOps haben sich einige Strategien und Best Practices bewährt. Während DevOps eine Mischung aus Menschen, Kultur, Prozessen und Technologie beinhaltet, ist der Schlüssel zu DevSecOps vor allem Technologie. Mit dem richtigen Framework aus Automatisierungstools lassen sich Sicherheitsprozesse rationalisieren und Sicherheitsmaßnahmen nahtloser in den Entwicklungszyklus integrieren. Zu den Eckpunkten dieses Frameworks zählen:

Continuous Compliance. Mit entsprechenden Tools kann über Entwicklungs-, Test- und Produktionsumgebungen hinweg die anfängliche Entwicklungskonfiguration automatisiert bestätigt werden. Wenn Konfigurationsabweichungen kontinuierlich erkannt und behoben werden, erhöht sich die Sicherheit des Softwareentwicklungszyklus deutlich.

„Menschenfreie Zone“. Ein wichtiger Ansatz für eine erfolgreiche Automatisierung ist das Konzept einer menschenfreien Zone. Der Mensch bleibt zwar für die Entwicklung der Anwendung verantwortlich, sollte aber nicht mit Routineaufgaben belastet werden, die bei Automatisierungstools besser aufgehoben sind. Das Vier-Augen-Prinzip hat sich als sinnvolle Regel für den Code-Review-Prozess etabliert und kann durch Automatisierung unterstützt und effizienter gestaltet werden. Entsprechende Werkzeuge sorgen dafür, dass sich der manuelle Review auf kritischere Aspekte wie Designentscheidungen und Architektur beschränkt. Menschliche Fehler werden dadurch reduziert, und die Entwickler werden entlastet.

Policy as a Code. Die Ausweitung des Konzepts von Infrastructure-as-a-Code (IaC) auf Policy-as-a-Code (PaC) ermöglicht Automatisierung im großen Stil. Bei PaC werden Sicherheits- und Compliance-Richtlinien nicht mehr mithilfe von Tabellenkalkulationen verwaltet, sondern in Form von menschenlesbarem Code definiert, der maschinell durchgesetzt werden kann. So lässt sich automatisiert gewährleisten, dass Infrastruktur und Anwendungen den Sicherheits- und Compliance-Vorgaben entsprechen.

Produktivität fördern und die Sicherheit maximieren

Diese Best Practices ermöglichen es Führungskräften, Sicherheit zu einem frühen Zeitpunkt im DevOps-Prozess zu berücksichtigen. Der Policy-as-a-Code-Ansatz sorgt dabei für ein automatisiertes Konfigurationsmanagement und die kontinuierliche Überprüfung und Korrektur von Richtlinien. Dadurch spielt DevSecOps auch eine wichtige Rolle für Zero-Trust-Strategien. Indem sie Security in den Prozess des Software Development Life Cycle einbetten, fördern die „menschenfreie Zone“ und der PaC-Ansatz die Produktivität und maximieren die Sicherheit.

(ID:50253128)