Open Source Tools schützen Twitter

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Brakeman - Rails Security Scanner

Brakeman ("Der Bremser") ist ein Opensource-Werkzeug für die statische Analyse von Code, der in Ruby on Rails geschrieben ist, und zwar auch während Code-Tests. Näheres dazu unter http://brakemanscanner.org. Durch den Einsatz des Code-Scanners Brakeman konnte zahlreiche Schwachstellen aufgespürt und beseitigt werden.

Phantom Gang

Phantom Gang ist ein OpenSource-Werkzeug für die dynamische Analyse von JavaScript auf Basis von PhantomJS, das gemischte Inhalte, Formulare mit vertraulichen Daten in HTTP-Messages, jQuery-Abfragen und Formulare ohne Authentisierungs-Token durchforsten soll. Findet Phantom Gang Fehler, findet das Ticket Tracking System JIRA Verwendung, um die geeigneten Programmierer und Sicherheitsmanager zu benachrichtigen.

Content Security Policy

Content Security Policy (CSP) ist seit 2011 ein Standard, um das Verhalten von Browsern gegenüber JavaScript und ähnlichem Code zu steuern. Ziel ist es, Cross-Site Scripting (XSS) abzuwenden. CSP blockiert die Script-Ausführung standardmäßig und lässt nur Inhalte zu, die auf einer langen Whitelist stehen (X-content-type-Optionen). Twitter verzeichnete am 8. Mai 2012 nach Angaben von Green und Smolen einen großen Erfolg mit der Einführung von CSP.

Außerdem verwendet Twitter nun HTTP Strict Transport Security, um SSC-Angriffe (SSC: Secure Socket Certificate) abzuwehren, implementiert X-Frame-Optionen, um "ClickJacking" zu verhindern und nutzt die Option "Secure Headers".

Threat Deck

Dies ist ein weiteres Dashboard, das über Schwachstellen informiert. "Threat Deck" ist ein Begriff aus Spielkarten-basierten Rollenspielen.

Roshambo

Ro-sham-bo ist eine Variante des alten Hand-Spiels "Schere, Stein, Papier". Dieses Tool prüft alle Meldungen und liefert eine finale Übersicht, um so sicherzustellen, dass kein Aspekt übersehen worden ist. Außerdem werden aufgrund dieses Filters die Mitarbeiter nicht ständig mit Meldungen über "false positives" bombardiert.

Test-Alternative für Unternehmen

Der Einsatz von quelloffenen Werkzeugen ist zwar kostengünstig, aber zumindest bei Twitter hoch effizient. Für viele OSS-Entwickler könnte Twitters Einsatz dieser Tools als Anregung dienen, es dem Vorreiter nachzutun. Ein Grund, den green und Smolen nannten: "Security ist nicht mehr 'nice to have', sondern inzwischen erfolgsentscheidend, also ein 'must have', auf das die Kunden bestehen.

Nicht jedes Unternehmen hat die Möglichkeiten und Ressourcen, um eigene Tools zu entwickeln. Eine interessante Alternative dafür kann das Software Testing Automation Framework (STAF) sein. STAF ist ein Open Source EPL (Eclipse Public License) Projekt, das die Erstellung verteilter, Plattformübergreifender Softwaretestumgebungen erlaubt.

Auf seiner Entwickler-Seite stellt Twitter weitere Tools vor und informiert im dazugehörigen Entwickler-Blog über Security-Themen und Testwerkzeuge.

Seit kurzem hat Twitter auch die Zwei-Faktor-Authentifizierung eingeführt, die auf ein geteiltes Echo stößt. Aber wenn einem die FCC-Behörde im Nacken sitzt, dann sollte sich auch ein Unternehmen wie Twitter besser anstrengen und alle Möglichkeiten nutzen.

(ID:40202720)