Mobile-Menu

Resilienz bei der Softwareentwicklung Mehr Sicherheit durch robuste Software-Lieferketten

Ein Gastbeitrag von Josh Lemos 5 min Lesedauer

Anbieter zum Thema

GitLab GmbH
FTAPI Software GmbH

Für eine sichere Softwareentwicklung sind der Überblick über die ver­wen­de­ten Komponenten und kontinuierliches Monitoring essenziell. Josh Lemos, CISO von Gitlab, gibt Tipps für „Security by Design“.

Entwickler müssen ihre Software täglich oft mehrere hundert Male aktualisieren. Dies sowie fehlende Sichtbarkeit können sich negativ auf die Sicherheit des Codes auswirken.(Bild: immimagery - stock.adobe.com)
Entwickler müssen ihre Software täglich oft mehrere hundert Male aktualisieren. Dies sowie fehlende Sichtbarkeit können sich negativ auf die Sicherheit des Codes auswirken.
(Bild: immimagery - stock.adobe.com)

Von der versuchten Hintertür in XZ Utils bis hin zur Übernahme und anschließenden Verbreitung von Malware im Polyfill JS-Projekt : Angriffe auf die Software-Lieferkette stellen eine ernstzunehmende Herausforderung für die DevSecOps-Community dar. Sie können selbst die erfahrensten Experten überraschen. Diese Vorfälle zeigen, dass die Angriffe auf die Software-Lieferkette unvermeidbar sind und ein Potenzial für schwerwiegende Folgen haben.

Um ihre Widerstandsfähigkeit zu stärken, sollten Unternehmen drei wichtige Komponenten in ihren Softwareentwicklungsumgebungen berücksichtigen: Transparenz, Governance und Continuous Deployment. So können Unternehmen ihre Verteidigung verbessern und die Zeit verkürzen, die sie benötigen, um sich vom nächsten Cyberangriff zu erholen.

Sichtbarkeit in dynamischen Systemen

Das Wissen eines Sicherheitsexperten über die von ihm geschützten Softwaresysteme ist in der Regel sowohl eingeschränkt als auch zeitlich begrenzt. Die Informationen, die in die Abläufe einfließen, sind Momentaufnahmen hochdynamischer und komplexer Computersysteme, während die Momentaufnahmen der Sicherheitskontrollen als zeitlich begrenzte Referenz für den Sicherheitsstatus dienen. Obwohl Künstliche Intelligenz einige Sicherheitskontrollen dynamischer und flexibler gestaltet, bleiben die meisten Sicherheitsgrenzen weiterhin statisch oder basieren auf heuristischen Ansätzen.

Umgekehrt ist die Zahl der Unbekannten in Large-Scale-Computing- Umgebungen zu jedem Zeitpunkt nahezu unbegrenzt. Ein Code wird täglich hunderte bis tausende Male aktualisiert, Änderungen an der Infrastruktur können zuvor definierte Sicherheitsgrenzen aufheben, und vorgelagerte Abhängigkeiten können massive Auswirkungen auf die Sicherheit haben.

Um auf den nächsten Angriff vorbereitet zu sein, müssen Sicherheitsexperten ihre Umgebungen in Echtzeit überwachen und die Anzahl unbekannter Variablen minimieren. So ist beispielsweise die Verwendung einer Software Bill of Materials (SBOM) sowohl für kommerzielle als auch für Open-Source-Software (OSS) von entscheidender Bedeutung. Sie liefert einen umfassenden Überblick der in der Software verwendeten Komponenten und ermöglicht eine schnelle Identifizierung anfälliger Komponenten, wenn neue Bedrohungen auftauchen. Solche Inventare dienen als kanonische Quelle für jedes Asset, Indexierung und unterstützen erweiterbare APIs und abfragbare Schnittstellen, um ihren Nutzen und Wert zu maximieren.

Auch die Kenntnis über das Alter der verwendeten Software kann bei der Entwicklung von Sicherheitsmaßnahmen hilfreich sein. Ältere Dienste sind anfälliger für Angriffe durch Dritte oder haben Schwachstellen, da sie nicht so häufig bereitgestellt oder gewartet werden. Andererseits ist neue Software anfälliger für „First-Party"-Probleme wie Fehler in der Business Logik oder, seltener, für völlig neue Angriffsarten. Die Kombination von neuer und alter Software birgt Risiken, insbesondere wenn Sicherheitsvorkehrungen entweder gerade erst definiert wurden oder aber bereits obsolet sind.

Steuerung und Verwaltung von Software-Lieferketten

Dabei reicht es oftmals nicht aus, die Softwaresysteme eines Unternehmens zu verstehen. Eine solide Governance – ein Rahmen aus Richtlinien, Prozessen und Kontrollen, die sichere Praktiken gewährleisten und von der Unternehmensleitung beaufsichtigt werden – ist für die Aufrechterhaltung von Sicherheitsmaßnahmen und Verantwortlichkeit während des gesamten Software-Lebenszyklus unerlässlich.

Bei der Entwicklung von „Secure-by-Design"-Software gibt es mehrere Überlegungen:

  • Erstellung reproduzierbarer Software und Aufrechterhaltung von dienstspezifischen Metriken zur Gewährleistung der Sicherheit
  • Regelmäßige Kontrollen, um funktionierende Sicherheitsvoraussetzungen sicherzustellen,
  • Verwendung von vorgefertigten Infrastructure-as-Code-Mustern
  • Aufbau von SBOMs, die von Teams für Sicherheitsoperationen und Schwachstellenwarnungen genutzt werden können, sowie von entsprechenden Instrumenten
  • Automatisierung von Sicherheitsprüfungen, um die Einhaltung der „Secure-by-default“-Prinzipien zu gewährleisten
  • Integration von KI-Validierung in den SDLC, um die Effizienz zu steigern, Fehler zu reduzieren und tiefere Einblicke in den Entwicklungsprozess zu erhalten
  • Implementierung von Policy-as-Code zur Automatisierung der Verwaltung und Durchsetzung von Sicherheitsrichtlinien für Cloud-Dienste, -Anwendungen, -Netzwerke und -Daten zur Gewährleistung einer einheitlichen und umfassenden Sicherheitsabdeckung
  • Entwurf von Sicherheitsgrenzen durch das richtige Design, die Fehlerbereiche einschränken

Unternehmen könnten auch die Einrichtung eines Open-Source- Programmbüros (OSPO) in Betracht ziehen, um die OSS-Sicherheit zu erhöhen. Diese Teams verwalten die OSS-Nutzung, überwachen die Sicherheitspraktiken, pflegen die Beziehungen zur Open-Source-Gemeinschaft, halten sich über die neuesten Sicherheits- und Compliance-Entwicklungen auf dem Laufenden und überwachen die Zuverlässigkeit und Sicherheit von Open-Source-Komponenten.

Kontinuierliche Bewertung nimmt das Unbekannte vorweg

Das kontinuierliche Testen und Überwachen einer Softwareumgebung ist entscheidend für die Widerstandsfähigkeit eines Unternehmens gegenüber Sicherheitslücken in der Software-Lieferkette. Beim Continuous Deployment werden Code-Änderungen automatisch getestet und nach erfolgreichem Bestehen der Tests direkt in die Produktion überführt – und das oft hunderte bis tausende Male am Tag. Es geht über die herkömmliche Integration und Bereitstellung hinaus, indem der gesamte Prozess automatisiert wird, um die Softwarequalität zu verbessern und die Bereitstellung zu beschleunigen. Continuous Deployment ist jedoch nur möglich, wenn die entsprechenden Komponenten für Transparenz und Governance vorhanden sind.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Viele Entwickler empfinden das Schreiben von Tests als herausfordernd, und die Testabdeckung ist häufig geringer, als es oftmals unter optimalen Zeitbedingungen möglich wäre. Eine umfassende Testabdeckung, einschließlich Unit- und Integrationstests, stellt sicher, dass jeder Teil einer Umgebung isoliert und im Zusammenspiel mit anderen Komponenten auf Fehler geprüft wird. In diesem Bereich kann Generative KI (GenAI) eine große Hilfe bei der Automatisierung oder Beschleunigung der langweiligen Arbeit sein. Das kommt den Entwicklungsteams nicht nur in Bezug auf die Geschwindigkeit zugute, sondern auch durch die kontinuierliche Überprüfung der Sicherheit und Belastbarkeit ihrer Software.

Die automatisierte Überprüfung der Sicherheitsgrenzen stellt ebenso sicher, dass diese lückenlos sind und gut gewartet werden, und dient als erste Verteidigungslinie gegen potenzielle Verstöße. Bei der Überwachung von Produktionsumgebungen lassen sich Diskrepanzen oder unerwartet Verhaltensweisen erkennen, die auf ein Sicherheitsproblem hindeuten könnten. Und schließlich ist die kontinuierliche programmatische Erkennung entscheidend für die Vollständigkeit und Konsistenz der Inventare.

Widerstandsfähigkeit gegen das Unbekanntes aufbauen

Cyber-Resilienz ist die Fähigkeit eines Unternehmens, seine Sicherheitslage anzupassen und weiterzuentwickeln, um der nächsten Sicherheitsbedrohung einen Schritt voraus zu sein. Um darauf vorbereitet zu sein, müssen Sicherheitsexperten dafür sorgen, dass ihr Software-Ökosystem für eine wirksame Reaktion und Widerstandsfähigkeit gut gerüstet ist und die Zeitspanne von der Identifizierung bis zur Behebung des Problems minimiert wird. Indem sie durch Transparenz, durch Governance und durch Continuous Deployment vorausschauend handeln, werden Unternehmen besser für den nächsten Angriff auf die Lieferkette vorbereitet.

Über den Autor: Josh Lemos ist CISO und somit Verantwortlicher für die Informationssicherheit bei GitLab.

(ID:50238896)

Weiterführende Inhalte