Illustration Absmeier foto freepik ki

Schwachstellen und Sicherheitslücken in Software müssen nicht sein – kommen aber viel zu häufig vor. Die Gründe dafür sind vielfältig und reichen von einem nicht beherrschbaren Security-Tool-Wildwuchs bis hin zu lückenhafter Visibilität. In Sachen Cybersecurity führt kein Weg an Application Security Posture Management (ASPM) vorbei.

Auf dem Weg von der Idee zur fertigen Software – und über den gesamten Software Development Lifecycle (SDLC) hinweg – kann viel schiefgehen. Trotz größter Sorgfalt der Entwickler schleichen sich immer wieder kritische Sicherheitslücken in Unternehmensanwendungen ein. Cycode erklärt fünf Kernaspekte, die eine ASPM-Lösung unverzichtbar machen.

Visibilität herstellen

Einer der Grundsätze von Cybersecurity ist: »You can’t protect what you can’t see«. Heutzutage sind die Anwendungslandschaften in Unternehmen oft sehr groß und dementsprechend unübersichtlich. Zudem stammen 80 Prozent und mehr der Code-Basis aus Open-Source-Libraries oder anderen Abhängigkeiten, die möglicherweise bis dato unentdeckte Exploits enthalten können. IT-Teams setzen darüber hinaus immer mehr Sicherheits-, Testing- und Analyse-Tools ein, die selten hundertprozentig interoperabel sind, was blinde Flecken verursacht. Es ist daher umso wichtiger, Visibilität herzustellen. ASPM-Lösungen erfüllen diesen Anspruch, indem sie es ermöglichen, Code-Repositories, Security-Tools, Container- oder CI/CD-Pipeline-Infrastrukturen mit wenig Aufwand zentral in einer Applikation zu verknüpfen. Die Lösungen bieten zudem die Möglichkeit, Schwachstellen-Scanner von Drittanbietern zu integrieren, deren Ergebnisse zu aggregieren und der Security-Abteilung damit eine konsolidierte Übersicht über den Sicherheitsstatus ihrer Anwendungen zu geben. Fortgeschrittene Lösungen stellen überdies native Applikations-Scanner bereit, die verbundene Quellen auf Sicherheitsverstöße und potenzielle Compliance-Probleme durchsuchen.

Wissenssilos abbauen

In vielen IT-Teams sind die Zuständigkeiten zwischen Entwicklung (Dev), IT-Sicherheit (Sec) und Betrieb (Ops) getrennt. Moderne Unternehmen versuchen zunehmend, den DevSecOps-Ansatz umzusetzen und die Wissenssilos aufzubrechen. Oft fehlt es jedoch an einer interdisziplinären Software, die alle spezifischen Anforderungen in sich vereint und als einheitliche Informationsquelle und Arbeitsgrundlage für den gesamten SDLC dient. ASPM-Lösungen haben sich in diesem Zusammenhang als äußerst hilfreich erwiesen. Sie stellen nämlich nicht nur die Visibilität her, sondern fungieren als »Single Pane of Glass«, also ein Ort, an dem alle sicherheitsrelevanten Informationen zentral zusammenlaufen, vom Code-Snippet bis zur Cloud-basierten Container-Infrastruktur.

Sicherheitslücken und Risiken priorisieren

Ist die Visibilität über die Anwendungs- und Sicherheitslandschaft einmal hergestellt, geht es darum, den gesamten Entwicklungszyklus abzusichern und potenzielle Sicherheitslücken zu schließen. Doch da es für gewöhnlich deutlich mehr Schwachstellen zu fixen gibt, als Personal und Arbeitszeit unmittelbar zur Verfügung stehen, müssen IT-Teams priorisieren. ASPM-Lösungen helfen dabei: Nachdem ihre Scanner – eigene oder fremde – die Violations entdeckt haben, sortieren sie diese, basierend auf (KI-)Algorithmen und Machine Learning, nach ihrer »Criticality«, also ihrem Schweregrad. Faktoren, die in die Beurteilung einfließen, sind unter anderem das Geschäftsrisiko, die Reachability und die Exploitability, also die Frage, ob und wie leicht Cyberkriminelle eine Sicherheitslücke ausnutzen können, und das Gefahrenpotenzial der Schwachstellen.

Schwachstellen beheben und Entwicklereffizienz steigern

Auch wenn künstliche Intelligenz und generative KI (GenAI) bereits große Fortschritte gemacht haben, ist die Softwarebranche noch weit davon entfernt, völlig automatisiert Sicherheitslücken zu fixen. Manche ASPM-Lösungen können allerdings durch GenAI-Kapazitäten bereits Lösungsvorschläge für Schwachstellen vorschlagen und somit die Effizienz von Entwicklern steigern. Ein weiterer Aspekt, der ihre Arbeit deutlich erleichtert, ist die Integration der ASPM-Lösungen in ihre eigenen Tools und Workflows. Programmierer können auf diese Weise Sicherheitslücken, die von einer solchen Lösung identifiziert und priorisiert sowie vom Security-Personal an sie zugewiesen wurden, direkt in ihrer Entwicklungsumgebung (IDE) fixen. Auf diese Weise ersparen sie sich das Durchforsten unhandlicher Ticket-Systeme und müssen nicht sämtliche Repositories manuell durchsuchen.

Prävention fördern

Viele Sicherheitslösungen sind rein reaktiv: Sobald eine Schwachstelle im Softwarebetrieb auftritt oder sie eine Anomalie erkennen, melden sie es und ermöglichen damit die Ursachenforschung durch Sicherheitsexperten und die Behebung durch das Dev-Team. Holistische ASPM-Lösungen durchdringen allerdings sämtliche Bereiche des Software Development Lifecycle. Durch diesen Ansatz und die ununterbrochene Überwachung und Prüfung der Code-Basis und der eingesetzten Anwendungen können Expertinnen und Experten Sicherheitslücken allerdings schon lange vor dem Rollout identifizieren und fixen. Dabei ist es wichtig, dass die Unternehmen möglichst ihre gesamte IT-Infrastruktur in das Tool einbinden. Der maximal positive Effekt wird dann erreicht, wenn die ASPM-Lösung eine lückenlose Visibilität herstellen kann.

»Lösungen für das Application Security Posture Management fungieren als Brückenbauer zwischen den Entwicklern sowie den Betreibern von Software und der Security-Abteilung in einem Unternehmen«, erklärt Jochen Koehler, Vice President of Sales EMEA bei Cycode. »Sie sind sozusagen der Schmelztiegel, in dem alle sicherheitsrelevanten Informationen zusammenlaufen. Als Schaltzentrale für das Security-Team lassen sich aus einer holistischen ASPM-Lösung heraus Tasks wie das Schließen hochkritischer Softwareschwachstellen delegieren – und zwar über den gesamten Entwicklungszyklus hinweg.«

896 Artikel zu „Application Security“

News | Digitalisierung | Effizienz | Favoriten der Redaktion | IT-Security | Künstliche Intelligenz | Services | Strategien

Observability, Application Security und KI: Tiefe KI-gestützte Echtzeit-Einblicke für Entwicklungsprozesse

10. Mai 2024

Optimierung von DevOps und Platform Engineering durch Observability, Application Security und KI. Bei der Bereitstellung von Cloud-nativen Technologien und Software spielen die Disziplinen DevOps und Platform Engineering eine entscheidende Rolle. Um Zuverlässigkeit, Sicherheit und Effizienz in den Prozessen zu gewährleisten, ist es wichtig, weitere technologische Investitionen zu tätigen. Eine dieser Schlüsseltechnologien ist Observability. …