Einer für alle und alle für einen Maximierung von Sicherheit und Effizienz durch Zusammenarbeit

Anbieter zum Thema

Mimecast Germany GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Cloud-Architektur und optimierte Software-Lebenszyklen haben in vielen Unternehmen die Spielregeln verändert und neue Impulse gesetzt. So konnte die Bereitstellung von digitalen Produkten und Dienstleistungen beschleunigt, die Kundenzufriedenheit verbessert und der Umsatz gesteigert werden. Doch der Fokus auf eine schnelle Bereitstellung kann auch auf Kosten der Sicherheit gehen und zu einer Zunahme von Schwachstellen und Fehlern in der Produktivumgebung führen.

Diese Entwicklung bestätigen auch die Ergebnisse einer aktuellen DevSecOps-Umfrage von GitLab. Demnach haben nahezu drei Viertel der Befragten bereits eine DevOps-Plattform eingeführt oder planen dies im Laufe des Jahres. Ziel ist es, die steigenden Erwartungen der Branche in Bezug auf Sicherheit, Compliance, Toolchain-Konsolidierung und schnellere Softwarebereitstellung zu erfüllen.

Doch der Fokus auf eine schnelle Bereitstellung kann auch auf Kosten der Sicherheit gehen und zu einer Zunahme von Schwachstellen und Fehlern in der Produktivumgebung führen. Deshalb gilt es Sorge zu tragen, dass Effizienz und IT-Security im Kern des Prozesses gleichrangig behandelt werden. Die Zusammenarbeit zwischen Entwicklungs- und Sicherheitsteams steht dabei im Mittelpunkt dieser Bemühungen.

Achillesferse Anwendungen

Anwendungen sind der bevorzugte Angriffspunkt für erfahrene Cyberkriminelle. Sie wissen, dass dort reichlich Software-Schwachstellen existieren. So waren 2021 DDoS-Angriffe (Distributed Denial of Service) auf Anwendungsebene in der Fertigungsindustrie am weitesten verbreitet. Dieser Sektor verzeichnete laut Cloudflare zwischen dem 3. und 4. Quartal einen Anstieg der Angriffe um 641 Prozent.

Um den Entwicklungsprozess sicherer zu machen, ohne dabei die Effizienz zu beeinträchtigen, müssen die Entwicklungsteams Sicherheitsprotokolle mithilfe von Tools und sicheren Programmiertechniken in ihre Arbeitsabläufe integrieren. Die Mehrheit der im oben erwähnten DevSecOps-Bericht befragten Entwickler (60 Prozent) geben ihren Code zwar schneller frei als früher. Der Wildwuchs an Toolchains wirkt sich jedoch auf ihre Geschwindigkeit und Produktivität aus und raubt ihnen wertvolle Zeit. Gleichzeitig müssen die Entwickler während des gesamten Prozesses mit den Security-Teams zusammenarbeiten. Beide Seiten sollten dafür verantwortlich gemacht werden, dass Cloud-native-Anwendungen frei von Softwarefehlern und Schwachstellen bleiben.

Methoden für die Entwicklung und Bereitstellung der Cloud erfordern einen durchgehenden Ansatz in Hinblick auf die Anwendungssicherheit. Es ist von entscheidender Bedeutung, dass Unternehmen ihre Security-Methoden kontinuierlich evaluieren und ihre Investitionen entsprechend erhöhen. Dass Sicherheit für Unternehmen die höchste Priorität bei Neuinvestitionen hat, belegt auch der DevSecOps-Bericht. Nur so können Organisationen ihre eigene Sicherheit sowie die Sicherheit ihres Netzwerks, einschließlich der Kunden und Partner, gewährleisten.

Klare und transparente Prozesse entwickeln

Da der Entwicklungszyklus viele verschiedene Phasen umfasst, ist es wichtig, dass Teams eine DevSecOps-Strategie anwenden. Dies impliziert, dass von Anfang an und bei jedem Schritt das Thema Security berücksichtigt wird. Schließlich ist es viel einfacher, Softwarefehler zu verhindern, bevor sie in die Produktivumgebung gehen. Je früher im Software-Lebenszyklus Fehler oder Schwachstellen erkannt werden, desto besser.

Das Fehlerrisiko in den Anwendungen kann gesenkt werden, indem ein ausführlicher und umfangreicher, kontinuierlicher Test-, Überwachungs- und Feedback-Prozess eingeführt wird. Dabei ist es auch wichtig, genaue Zeitpläne in den Entwicklungsprozess mit einzubeziehen, um alle funktionsübergreifenden Teams mit im Boot zu haben. Die Einhaltung dieser sorgfältigen Zeitpläne gewährleistet, dass alle Beteiligten die nötige Zeit haben, um auf Schwachstellen zu reagieren und diese zu beheben.

Tools richtig einsetzen

Oft ist es den Security-Teams unmöglich, auf jede einzelne Bedrohung zu reagieren. Deshalb sind Tools für die Automatisierung so wichtig. Diese Werkzeuge können Teams dabei helfen, umfangreiche Probleme zu erkennen, eine Ausgangslage zu definieren und Anomalien zu identifizieren. Dabei ist klar – diese Tools können und sollen keine menschlichen Sicherheitsexperten ersetzen. Vielmehr sollten sie als Ergänzung zu den Fachkräften betrachtet werden. IT-Experten können einen differenzierteren Blick auf Angriffsflächen werfen, proaktive Maßnahmen ergreifen und versteckte Schwachstellen identifizieren, die ein Tool möglicherweise nicht aufspürt. Erst durch die Kombination von Mensch und Technologie wird das bestmögliche Ergebnis erzielt.

Zusammenarbeit fördern

Eine gute Zusammenarbeit ist entscheidend, um zu gewährleisten, dass sich die Produktpipeline effizient fortsetzt, ohne die Security zu vernachlässigen. DevSecOps bedeutet, alle Teams sind gemeinsam dafür verantwortlich, den Code und das Produkt sicher zu halten.

Die Entwickler sollten während des gesamten Prozesses der Softwareentwicklung kontinuierlich Feedback von den Security-Teams einholen. Dadurch können Schwachstellen in Echtzeit erkannt und beseitigt werden, so dass alle Produkte von vornherein frei von Mängeln sind. Die Zusammenarbeit zwischen den Teams sorgt für Transparenz sowie für eine Feedback-Kultur und trägt damit zu einer höheren Sicherheit und Effizienz bei.

Die Zukunft der Anwendungssicherheit

Bereits 2021 explodierte die Zahl der Cyberangriffe und es ist kein Ende in Sicht. Deshalb ist es von entscheidender Bedeutung, dass Unternehmen einen proaktiven Ansatz für die Anwendungssicherheit wählen und sich auf die Prävention konzentrieren, nicht nur auf die Fehlerbehebung. Die Einführung einer DevSecOps-Strategie erfordert einen kompletten Kulturwandel und eine neue Priorisierung von Security innerhalb eines Unternehmens.

Sicherheitsbewertungen proaktiv einbeziehen und Schutz und Zuverlässigkeit von Anfang an in den Entwicklungsprozess zu integrieren führt dazu, dass Produkte frei von Schwachstellen bleiben, ohne die Effizienz zu beeinträchtigen. Cybersecurity liegt in der Verantwortung aller, nicht nur in der Verantwortung des Sicherheitsteams.

Über den Autor: Jörn Schneeweisz ist Staff Security Engineer im GitLab Security Research Team. Sein Werdegang in der IT Sicherheit ist greprägt von mehr als einer Dekade technischem Security Consulting. Durch den Wechsel aus dem Beratungsbereich zu GitLab sammelte er in den letzten Jahren tiefergehende Erfahrungen im Bereich Produkt- und Organistionssicherheit, weiterhin immer auf der Suche nach Lücken, die es zu beheben gilt.

(ID:48768340)