Wichtige Grundlagen und Phasen der sicheren Anwendungsentwicklung

Anbieter zum Thema

Vogel IT-Medien GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Secure Deployment

Software läuft immer in einer bestimmten Umgebung; sie ist beispielsweise abhängig vom Betriebssystem, benötigt einen Web-Browser etc. Die Umgebung ist oft eine Quelle von Sicherheitsproblemen, insbesondere im Zusammenspiel mit Schwachstellen der neu entwickelten Software.

Entsprechend müssen die Sicherheitsanforderungen unter Umständen auch auf die Konfiguration der bestehenden Software-Umgebung angewendet werden. Möglicherweise sind auch weitere Sicherheitstools und -Techniken erforderlich, um die geforderte Sicherheit erreichen zu können (etwa: sicheres Konfigurieren des Web-Servers und Einsatz von SSL).

Zudem darf der Installationsprozess selbst keine Sicherheitslücken hinterlassen, etwa durch Einrichten von Test-Accounts. Das „Scharf-Schalten“ von Software (also etwa das Abstellen von erweiterter Fehler-Information und Zugriffsmöglichkeiten über das Web für Administratoren) gehört ebenfalls in diese Phase.

Security Response

Keine Software ist fehlerfrei, erfolgreiche Angriffe wird es immer geben. Auch wenn diese Aussage vielleicht nicht immer zutrifft, so ist sie doch eine sehr gute Arbeitshypothese; sie fordert einen dazu auf, für den Fall vorzusorgen, dass doch eine Schwachstelle gefunden wird.

Um auf entdeckte Sicherheitslücken angemessen zu reagieren, ist eine Vorbereitung innerhalb der Entwicklungsorganisation erforderlich. Sehr oft ist es sinnvoll, hierfür eine eigene Spezialisten-Gruppe einzusetzen. Denn im Gegensatz zu vielen Standard-Software-Fehlern ist bei Sicherheitsproblemen zu entscheiden, wann das Problem dem Kunden kommuniziert wird, evtl. macht es Sinn, ihn schon zu informieren, auch wenn noch kein Patch vorhanden ist, damit der Kunde selbst Vorsorge tragen kann.

Security Metrics

Investitionen in die Sicherheit der Software sind oft schwer zu rechtfertigen, insbesondere da sie nicht unmittelbar zu einem schnell sichtbaren Ergebnis führen. Im Gegenteil: oft ist die Software erst einmal weniger flexibel und vielleicht dauert die Entwicklung auch länger.

Um einer grundsätzlichen Ablehnung von Sicherheitsmaßnahmen im Entwicklungsprozess entgegenwirken zu können, ist es sinnvoll, die Auswirkung von Sicherheitsmaßnahmen messbar zu machen. Mögliche Faktoren sind beispielsweise Angriffsfläche, Aufwand durch nachträgliches Lösen von Sicherheitsproblemen oder Anzahl gefundener Coding-Schwachstellen bei Black-Box-Tests. Misst man derartige Werte regelmäßig, dann wird der Effekt von Aktivitäten zur Verbesserung der Software-Sicherheit von Software transparent

Seite 4: Source Code und Ressourcen schützen

(ID:2045772)