Wichtige Grundlagen und Phasen der sicheren Anwendungsentwicklung

Anbieter zum Thema

Vogel IT-Medien GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Code and Resource Protection

Angriffe auf Software werden nicht selten gut vorbereitet; dafür ist es für den Angreifer oft sehr hilfreich, wenn im Rahmen des Entwicklungsprozesses die Möglichkeit besteht, den Code einzusehen bzw. idealerweise gar zu manipulieren. Folgerichtig ist es in allen vorgenannten Phasen wichtig, dass die Erkenntnisse und Ergebnisse der Arbeit entsprechend vertraulich gehalten werden bzw. vor Eindringlingen – und im Extremfall auch Innentätern – geschützt werden.

Dazu gibt es eine Reihe von Techniken, die beim Projektstart beachtet werden sollten; nicht erst am Ende, denn dann ist das Kind meist schon in den Brunnen gefallen. Auch ist es unter Umständen sinnvoll, den Code zu verschleiern („Code obfuscation“), um es möglichen Angreifern zu erschweren, mittels Reverse Engineering an diese Informationen zu kommen.

Standards und Best Practices

Es gibt eine Reihe umfassender Methodiken, die diese einzelnen Aspekte zusammenfassen, um den Software-Entwicklern einen möglichst leichten Einstieg in die Materie der sicheren Software zu geben. Diese sind zum Teil Technologie- bzw. Hersteller-spezifisch (etwa der Microsoft Secure Development Lifecycle, SDL) und zum Teil sehr formalistisch, um möglichst viele Aspekte beweisbar nachzuhalten (etwa Common Criteria). Eine gute, offene Quelle zum Start ist das Open Web Application Security Project, genannt OWASP.

Letztendlich ist es aber wichtig, die Anwendungsentwickler in allen genannten Bereichen zu schulen, damit sie in der Lage sind, in Bezug auf Sicherheit die richtigen Entscheidungen zu treffen. Davor steht natürlich eine Beschäftigung mit dem Thema Software-Qualität, denn ohne die Prinzipien des allgemeinen Qualitätsmanagement werden auch die hier kurz angerissenen Sicherheitsmaßnahmen oft nur einmalige Aktionen bleiben und werden nicht verstetigt.

Schulungen zu diesem Thema gibt es beispielsweise bei (ISC)² oder über die von ISSECO (www.isseco.org) akkreditierten Schulungsanbieter zum „Certified Professional for Secure Software Engineering“ (CPSSE).

Sachar Paulus ist Senior Analyst für die Themen SAP-Sicherheit und GRC bei Kuppinger Cole.

(ID:2045772)