Illustration: Absmeier Geralt

Immer wieder sorgen Datenverluste und Datenschutzverletzungen aufgrund fehlerhafter Software für Schlagzeilen. Auf der einen Seite werden Cyberkriminelle immer findiger, wenn es darum geht, Sicherheitslücken auszunutzen. Andererseits verschärfen Regierungen und Regulierungsbehörden zurecht die Bestimmungen zum Datenschutz. Das hat in vielen Unternehmen zu der Situation geführt, dass die IT-Sicherheitsspezialisten der beschleunigten Entwicklung von Software durch den Einsatz von DevOps kritisch gegenüberstehen. DevOps-Teams hingegen betrachten ihre Kollegen im Cybersecurity-Team häufig als Bremsen.

Einige Organisationen haben darum einen »Shift Security Left«-Ansatz gewählt, der die Sicherheit früher in den Entwicklungsprozess integriert und haben dem Ganzen den Namen »DevSecOps« gegeben. So konnten sie zwar die Qualität der freigegebenen Software verbessern, aber die Sicherheitsrisiken blieben im Prozess selbst und schränkten die Fähigkeit des Unternehmens ein, Probleme im Entwicklungsprozess zu erkennen und zu beheben. DevSecOps, das diesen Namen verdient, muss über den »Shift Security Left«-Ansatz hinausgehen und die Sicherheit überall berücksichtigen anstatt sie »nach links« zu verlagern, ein »Shift Security Everywhere« sozusagen. Durch das Einbinden von Sicherheitsprozessen und -technologien in die automatisierten Abläufe des Software Delivery Management (SDM) können Unternehmen mehr Probleme vor der Freigabe entdecken, Drifts erkennen und auf elegante Weise auf Probleme nach der Veröffentlichung reagieren. DevSecOps in dieser Form gewährleistet, dass die Software während der Entwicklung, der Auslieferung und im Produktivbetrieb sicher ist.

Gute Ausgangsbasis

DevOps beziehungsweise SDM bietet die ideale Basis für die Entwicklung sicherer Software. Standardbestandteile von DevOps wie Automatisierung, Test-Orchestrierung, kurze Feedback-Schleifen, verbesserte Transparenz und Zusammenarbeit sowie konsistente Release-Praktiken sorgen dafür, dass Sicherheit ein zentraler Aspekt aller Stufen der Pipeline werden kann, von der Code-Entwicklung und dem Testen über die Infrastrukturkonfiguration bis hin zur Bereitstellung und Nutzung im Produktivumfeld. Die folgenden neun Punkte lassen sich mit DevOps und Automatisierung realisieren und sollten von Unternehmen entsprechend umgesetzt werden.

Sicherheit von Beginn an

Sicherheit muss bereits in den ersten Phasen des DevOps-Prozesses eine wesentliche Rolle spielen, und darf nicht erst am Ende der Entwicklung betrachtet und getestet werden. Genauso wie andere Qualitätsaspekte muss die Sicherheit Gegenstand der Tests werden, die regelmäßig im Entwicklungsprozess stattfinden. Genauso wie Continuous Integration durch kürzere Test- und Feedback-Schleifen »Shifting Everywhere« ermöglicht und so dafür sorgt, dass Fehler früher im Entwicklungsprozess erkannt werden, sorgt »Shift Security Everywhere« durch automatisierte Security- und Compliance-Test sowie den Einsatz bereits zugelassener Komponenten für sichere Software.

Automatische Sicherheit

Je mehr Tests und Prozesse automatisiert werden, desto stärker sinkt das Risiko, dass Sicherheitslücken durch menschliche Fehler entstehen. Automatisierte Tests sind effizienter und können mehr Aspekte abdecken. Die Abläufe sind konsistenter und vorhersehbarer. Wenn also doch etwas schiefläuft oder eine unsichere Komponente in die Pipeline eingeschleust wird, ist es mit Automatisierung einfacher, die Ursache des Problems zu finden und zu beheben und sicherzustellen, dass gefährdeter Code nie in die Produktivumgebung gelangt.

Durchgängige Sicherheit

Wenn verschiedene Funktionen und Teams im Unternehmen Tools gemeinsam nutzen und für die Verwaltung der Software-Entwicklung eine einzige, sichere Pipeline-Orchestrierungsplattform einsetzen, erhalten Unternehmen Transparenz und Kontrolle über den gesamten Lebenszyklus. Die automatisierte Pipeline wird zu einem Closed-Loop-Prozess, um Sicherheitsprobleme sofort zu testen, zu berichten und zu beheben.

Bessere Kommunikation ohne Schuldzuweisungen

Indem Sicherheits-Tools und -Tests integraler Bestandteil der Pipeline werden, die Dev und Ops zur Bereitstellung von Updates verwenden, wird die Informationssicherheit (InfoSec) zu einer wichtigen Komponente der Bereitstellungspipeline und ein Enabler des gesamten Prozesses. Wenn alle Beteiligten auf demselben Wissensstand sind und dieselbe Pipeline nutzen, sprechen Security-, Dev- und Ops-Teams dieselbe Sprache und entwickeln ein gemeinsames Verständnis der jeweiligen Situation. Schuldzuweisung nach einem Vorfall werden durch inkrementelle Korrekturen am Anwendungscode und der Pipeline ersetzt, die Probleme beheben, sobald sie auftreten.

Schnell handeln

Leider kann es trotzdem gelegentlich zu Sicherheitslücken oder Schwachstellen kommen, die ein schnelles Handeln erfordern. Die mittlere Zeit bis zur Erkennung und die mittlere Zeit bis zur Behebung sind zwei wichtige Kennzahlen, um Resilienz zu beurteilen. Es ist entscheidend, die Zeitspanne zwischen Erkennung und Behebung auf ein Minimum zu reduzieren. Status und Entwicklungsstand aller Komponenten, Anwendungen, Umgebungen und Pipeline-Stufen müssen permanent im Auge behalten werden. So werden Reporting und Fehlerbehebung signifikant vereinfacht und beschleunigt. Die Möglichkeit, eine Schwachstelle sofort und ohne Rollback zu beseitigen, verschafft mehr Zeit für die Entwicklung und Freigabe eines Fixes.

Entwickler unterstützen und Governance gewährleisten

Entwickler wünschen sich, dass DevOps-Tools und Automatisierung Experimente ermöglichen und nicht einschränken. Operations und InfoSec wollen, dass DevOps-Tools Standardisierung und Compliance-Reporting bieten. Beides lässt sich mit einer geregelten und sicheren Software-Pipeline erreichen, die bestehende Technologien und Prozesse problemlos übernehmen kann und gleichzeitig inkrementelle Verbesserungen und eine kontinuierliche Neuausrichtung anhand von Unternehmensstandards ermöglicht.

Code und Tools sichern

Genau wie der Code müssen auch die Software-Pipelines überprüfbar sein und sich leicht versionieren und umgestalten lassen, um gut zu verwaltende Systeme zu schaffen, die sowohl geschützt als auch regelkonform sind. Zugriffskontrollen sollten regeln, wer Änderungen am Code sowie an der Pipeline vornehmen darf, und vorschreiben, welche Versionen der Pipeline als Teil aller genehmigten Prozesse zu verwenden sind. So wird sichergestellt, dass niemand »versehentlich« ein kritisches Schwachstellen-Flag ändert, eine Sicherheits-Compliance-Prüfung umgeht oder ungetesteten Code einschleusen kann, ohne dass aufgezeichnet wird, wer das getan hat und warum.

Compliance-Reports mit einem Klick

Der Hauptvorteil der Automatisierung sind konsistente, wiederholbare Ergebnisse für ähnliche Aktionen, die automatisch protokolliert und dokumentiert werden. Ein weiterer Vorteil ist der unwiderlegbare Beweis, dass das, was getan wurde, auch das ist, was versprochen wurde – die Grundlage für Compliance. Da DevOps die gesamte Pipeline umfasst, bietet es Nachvollziehbarkeit von der Code-Änderung bis zur Freigabe, was das Auditing erheblich erleichtert. Mit der Ausweitung der Automatisierung von Build-, Test- und Integrationszyklen auf Bereitstellungs- und Freigabeprozesse erfasst eine DevOps-Automatisierungsplattform gleichzeitig die Daten für den Audit Trail, das Sicherheitsprotokoll und das Compliance-Reporting. Das Compliance-Reporting wird zu einem Ein-Klick-Prozess, der manuelle Eingriffe oder stundenlanges Zurückverfolgen von manuellen Prozessen und Aktionen überflüssig macht.

Schneller sichere Releases

Sicherheits- und Compliance-Kontrollen als integraler Bestandteil von DevOps-Workflows sind Grundlage für langfristigen Erfolg. DevSecOps richtig verstanden und umgesetzt sorgt nicht allein für bessere, sichere Software, es beschleunigt auch die Softwarebereitstellung. DevSecOps sorgt dafür, dass Probleme erkannt und behoben werden, bevor die Software in die Produktionsumgebung gelangt. Es ist ein Unterschied zwischen wenigen Minuten, die das erneute Testen eines Codes in der Entwicklungsphase dauert, und den Stunden, Tagen oder sogar Wochen, die benötigt werden, um den gesamten Release-Orchestrierungsprozess nachzuverfolgen, um den Fehler zu finden.

Alles in allem

Sicherheit, Governance und Qualitätssicherung liegen in der Verantwortung eines jeden. Sie sind nichts, das sich nachträglich behandeln lässt. Unternehmen, die die Sicherheit während der gesamten Entwicklung, Auslieferung und Produktion integrieren und mit bewährten, wiederverwendbaren Pipelines, Testschwellenwerten und automatisierter Erkennung und Behebung von Sicherheitslücken arbeiten, bringen ihre Produkte schneller auf den Markt und machen ihre Systeme widerstandsfähiger. DevOps wird so zu einer Sicherheits-Ressource statt zu einer Bedrohung: Sicherheit wird zum Weg des geringsten Widerstands.

Enterprise Software Delivery | CloudBees

251 Artikel zu „DevSecOps“

NEWS | IT-SECURITY | STRATEGIEN | TIPPS

Security-Praxistipps: Sechs DevSecOps-Metriken für DevOps- und Sicherheitsteams

30. Dezember 2020

Mitarbeiter im DevOps-Team bekommen leicht das Gefühl, dass das Sicherheitsteam dazu da ist, ihnen die Arbeit schwerer zu machen. Sicherheitsfachkräfte haben vielleicht das Gefühl, dass DevOps ihre Prioritäten nicht teilt und die Sicherheit nie so ernst nehmen wird, wie sie es gerne hätten. Glücklicherweise muss das nicht so sein. Durch das Festlegen und Verfolgen gemeinsamer…