In 6 Schritten zu DevSecOps

Illustration: Absmeier, mming

Während DevOps schon weitverbreitet ist, erkennen nun immer mehr Unternehmen, dass es entscheidend ist, nicht nur Entwicklung und Betrieb enger zu verzahnen, sondern, dass man auch Sicherheit immer von Anfang an mitdenken sollte. Dem trägt der DevSecOps-Ansatz Rechnung. Doch ebenso wie DevOps, ist dieser Ansatz kein Produkt, das man kauft, oder eine Lösung, die man implementiert. Es erfordert einen Kulturwandel im Unternehmen. Wie kann man vor diesem Hintergrund eine Strategie für DevSecOps formulieren? Ein Bericht des Analyseunternehmens Securosis im Auftrag von Veracode gibt einen Überblick über die Sicherheits-Tools und -Techniken, die in jeder Phase des Software-Lebenszyklus benötigt werden [1]. Julian Totzek-Hallhuber, Solution Architect bei Veracode, fasst die wichtigsten Punkte zusammen:

Schritt 1: Die Definitionsphase

Zunächst gilt es, die eigene Sicherheitsarchitektur gründlich zu analysieren, um zu verstehen, wie Anwendungen arbeiten und kommunizieren. Dazu gehören auch Richtlinien von Cloud Providern. Nachdem Unternehmen sich den vollen Überblick verschafft haben, können sie damit beginnen, verbindliche Operationsstandards zu definieren. Dazu sollten Dinge gehören wie Mindestanforderungen für Sicherheitstests und feste Zeitrahmen für die Fehlerbehebung. Außerdem muss hier die Entscheidung fallen, welche Sicherheitstest durchgeführt werden sollen und welche Metriken man heranziehen möchte, um den Erfolg zu messen.

Schritt 2: Die Design-Phase

In diesem Schritt geht es vor allem darum, sicherzustellen, dass die Entwicklungs- und Testumgebungen sicher sind. Dazu braucht es strikte Zugangskontrollen für CI/CD-Pipelines und zusätzliches Monitoring für Skripte im Hintergrund. Außerdem sollten Entwickler zu häufigen Bedrohungstypen geschult werden.

Schritt 3: Die Entwicklungsphase

Wenn die Voraussetzungen geschaffen sind, kann man nun einen zentralen Punkt angehen: die Automatisierung des Testings. Dazu benötigen Entwickler sichere Repositories. Unternehmen sollten den Zugriff auf sichere und intern freigegebene Open-Source-Bibliotheken ermöglichen. Mit einer Kombination aus Analyse-Tools und Skripten können Verantwortliche dabei sicherstellen, dass Entwickler nur mit den freigegebenen Versionen arbeiten. Außerdem sollten Unternehmen Interactive Application Security Testing (IAST) etablieren. Mit dieser Methode können Schwachstellen in der Laufzeit identifiziert werden, bevor ein Code in Produktion geht.

Schritt 4: Die Testphase

Im Sinne des »Shift Left«-Ansatzes sollte man möglichst früh im Software-Lebenszyklus mit Tests beginnen. Es versteht sich von selbst, dass Unternehmen Fehler in ihrer Software finden wollen, bevor dies Kriminelle tun. Außerdem sollten auch die Testumgebungen kontinuierlich geprüft werden, um ihre Effizienz sicherzustellen. Mit verschiedenen, parallel durchgeführten Tests lassen sich die Methoden identifizieren, die das System verlangsamen und durch effektivere ersetzen.

Schritt 5: Die Pre-Release-Phase

Jetzt geht es darum, Sicherheit und Geschwindigkeit zu vereinen. Dazu sollten Unternehmen auch flexible On-Demand-Services aus der Cloud einsetzen. Produktionsumgebungen sollten außerdem gegen Datenlecks abgesichert werden, indem Tools wie Data Masking oder Tokenisierung zum Einsatz kommen, die dafür sorgen, dass Entwickler zwar alle Testdaten zur Verfügung haben, allerdings ohne Zugriff auf sensible Informationen.

Schritt 6: Die Deployment-Phase

Nun sollte man einzelne Testballons steigen lassen, um zu sehen, ob der Code, der vor dem Deployment funktionierte, auch im Deployment läuft. Muss das Deployment dann erweitert werden, können sich Unternehmen dieser drei Methoden bedienen: Beim Blue-Green oder Red-Black Deployment laufen alter und neuer Code parallel auf eigenen Servern. Treten Fehler auf, greifen die Load Balancer auf den alten Code zurück. Eine weitere Methode ist das sogenannte Canary Testing. Dabei werden einzelne Sessions auf neuen Code umgestellt. Werden dabei Fehler entdeckt, wird der entsprechende Code zurückgezogen und die Probleme werden behoben. Als dritte Methode können durch Feature-Tagging neue Code-Elemente aktiviert und deaktiviert werden. Wenn Ereignisfehler in einem neuen Codeabschnitt gefunden werden, können Entwickler die Funktion deaktivieren, bis das Problem behoben ist.

 
[1] Im englischsprachigen Report Building an Enterprise DevSecOps Program finden Interessierte nach Registrierung noch weitere Informationen zum Aufbau eines DevSecOps-Programms.

 

104 Artikel zu „DevSecOps“

Cybersicherheit und Container – So funktioniert die Umstellung auf DevSecOps

Die schnelle Einführung von Containern im Unternehmen sind eine einzigartige Gelegenheit dar, die generelle Sicherheitsstrategie zu verändern. Container stellen eine gute Möglichkeit dar, die Kluft zwischen Entwicklungs- und Sicherheitsteams zu überbrücken. Ist es möglich, dass Container das Unternehmen einen Schritt näher an DevSecOps heranbringen? Palo Alto Networks nimmt das Thema unter die Lupe. Computing hat…

DevSecOps: Unternehmen müssen umdenken, um in der Softwareentwicklung erfolgreich zu sein

Hindernis für die Integration von Sicherheit in die gesamte Softwareentwicklung sei laut der weltweiten Studie die bestehende Unternehmenskultur.   Im Zentrum der weltweiten Studie »Integrating Security into the DNA of Your Software Lifecycle« von CA Technologies stand die Frage, wie sich die Kultur eines Unternehmens auf dessen Fähigkeit auswirkt, Sicherheit in den gesamten Software-Entwicklungsprozess einzubinden.…

DevSecOps: Wie sich Microservices auf die Anwendungssicherheit auswirken

Die Architektur von Software verändert sich grundlegend – Microservices sind auf dem Vormarsch. Drei zentrale Herausforderungen, die das für die Anwendungssicherheit mit sich bringt. Microservices sind im Software Development schon seit mehreren Jahren auf dem Vormarsch. Viele kleine Services anstatt einzelner monolithischer Applikationen zu entwickeln, bietet in der Tat zahlreiche Vorzüge. Eine kleine Auswahl der…

Compliance: Kollege Computer als Kompagnon

Sechs Ansatzpunkte, die die Einhaltung externer und interner Regularien im Mittelstand erleichtern.   Gesetze, Verordnungen und andere Regelwerke vermehren sich beständig, sie wachsen und gedeihen. Manuell lässt sich die Befolgung sämtlicher Regularien nicht mehr prüfen, geschweige denn dokumentieren. Der ERP-Lösungsanbieter proALPHA zeigt in sechs Beispielen, wie ein ERP-System die Compliance wesentlich erleichtern kann. EU-Verordnungen, Bundes-…

5 wichtige Schritte auf dem Weg zu DevOps

  Um die Business Transformation eines Unternehmens erfolgreich umzusetzen, benötigt man bei der Implementierung eine agile IT, die auf Basis eines DevOps-Modells arbeitet. Zu diesem Ergebnis kommt eine aktuelle IDC-Studie, die vom IT-Dienstleister Consol unterstützt wurde. Auf dem Weg dahin sollten Unternehmen allerdings einige Schritte beachten.   Die Nutzung von DevOps setzt sich durch –…

Cybersicherheit 2020: Vier konkrete Bedrohungsszenarien

Jedes Jahr erstellen die Experten von Stormshield eine Analyse der Tendenzen, die sich für das angebrochene Jahr abzeichnen. Auf den Prüfstand stellt der Hersteller dabei selbst schwache Angriffssignale aus dem Vorjahr, die jüngsten Branchenanalysen und die Meinungen seiner Sicherheitsspezialisten. Daraus resultiert 2020 ein Ausblick mit vier Hypothesen und Szenarien, die alles andere als realitätsfremd sind.…

Agilität lernen – Young Professionals in der IT

Eine neue Generation junger Fachkräfte erobert den Arbeitsmarkt, speziell im IT-Bereich, während viele Unternehmen um mehr Agilität ringen – eine doppelte Belastung oder bringen Young Professionals vielmehr Schwung in die agile Transformation? Agiles Arbeiten wird in den Unternehmen derzeit vor ganz unterschiedlichem Erfahrungshintergrund diskutiert: von ersten Ideen und Pilotprojekten, über agil arbeitende Abteilungen bis hin…

Cybervorfälle sind erstmals das wichtigste Geschäftsrisiko für Unternehmen weltweit

Neunte Umfrage der Allianz Global Corporate & Specialty zu den wichtigsten Unternehmensrisiken unter mehr als 2.700 Risikoexperten aus über 100 Ländern. Cyber steigt zum weltweiten Top-Risiko für Unternehmen auf. Betriebsunterbrechungen bleiben eine zentrale Herausforderung für Unternehmen: weltweit auf Platz zwei und in Deutschland weiterhin an der Spitze. Risiken aus dem Klimawandel sind der größte Aufsteiger…

Mobile Malware: Vom Konsumentenschreck zur veritablen Unternehmensbedrohung

Laut Verizon Mobile Security Index für 2019 räumen 33 Prozent der befragten Unternehmen ein, dass sie bereits von einer Datenschutzverletzung betroffen waren, bei der ein mobiles Endgerät beteiligt war. Das ist ein Anstieg um 27 % gegenüber 2018. Die Ergebnisse machen deutlich, dass es ganz offensichtlich an der Zeit ist, Mobilgeräte besser zu sichern. Allerdings…

Software-Security-Trends 2020

Im Zuge von Digitalisierung und IoT wird Software-Security über alle Branchen und Unternehmensgrößen hinweg immer wichtiger. Unternehmen von KMU bis Konzern benötigen leistungsfähige Software-Analyse-Lösungen, um ihre Anwendungen über den gesamten Software Development Lifecycle zuverlässig abzusichern. Dr. Christopher Brennan, Regional Director DACH bei Checkmarx, gibt einen Ausblick auf die Themen, die den Software-Security-Markt 2020 prägen werden.…

Wie wirkt sich CI/CD auf die Geschäftstätigkeit von Unternehmen aus?

Eine gute CI/CD-Strategie generiert Umsatz und hält Entwickler bei Laune. Durch Continuous Integration (CI) und Continuous Delivery (CD) können DevOps-Teams Software mit höherer Qualität schneller ausliefern. Aber sind alle CI/CD-Strategien gleich? Wie sieht eine erfolgreiche CI/CD-Implementierung aus und wie können Unternehmen sicherstellen, dass sie auf dem richtigen Weg sind?   Auf der Suche nach Antworten,…