Veritas warnt vor Hersteller-Haftung bei Schwachstellen 5 Best Practices für sichere Software-Entwicklung

Anbieter zum Thema

Windhoff Group

Mit der National Cybersecurity Strategy hat die US-Regierung den ersten Schritt unternommen, um Software-Anbieter bei Sicherheitsverletzungen zur Verantwortung zu ziehen. Vor diesem Hintergrund hat Veritas fünf Best Practices für das Entwickeln sicherer Software erarbeitet.

Die Übertragung der Verantwortung hätte unterschiedliche Folgen für die Softwareanbieter, gibt Veritas zu bedenken. Ein positiver Effekt: Weil sich die Anbieter stärker auf die Suche und Behebung von Schwachstellen konzentrieren müssen, könnte eine Verlagerung der Verantwortung auch das Vertrauen der Kunden erhöhen.

Negative Aspekte scheinen jedoch zu überwiegen: Beispielsweise könnte die zusätzliche Verantwortung für bestimmte Qualitätsstandards von Softwareprodukten und -dienstleistungen zu höheren Kosten oder Änderungen in den Herstellungsverfahren führen. Ebenso könnten Mehrinvestitionen für Tests, Qualitätssicherung und Security-Maßnahmen oder Änderungen bei Softwareverträgen und Garantien nötig sein.

Veritas hat fünf Best Practices zusammengestellt, die Unternehmen anwenden können, um sichere Softwareanwendungen zu entwickeln:

1. Sichere Codierung und Bedrohungsmodellierung

Eine sichere Codierung ist für die Entwicklung sicherer und robuster Anwendungen unerlässlich. Zu ihren wichtigsten Bestandteilen gehören die Eingabevalidierung, die Authentifizierung und Autorisierung, eine sichere Kommunikation, Fehlerbehandlung, Zugriffskontrolle sowie Sicherheit bei der Konfiguration, ebenso wie die Überprüfung des Codes.

Softwarehersteller sollten auch potenzielle Sicherheitslücken in einem System oder einer Anwendung identifizieren und unverzüglich Maßnahmen zu deren Behebung ergreifen. Dazu zählen unter anderem das Identifizieren von Schwachstellen im Design, in der Konfiguration oder in der Implementierung der Anwendung, die Erkennung potenzieller Angriffsvektoren sowie das Einrichten von Sicherheitskontrollen.

2. Software Bill of Materials Management (SBOMs)

SBOMs beinhalten alle Komponenten, aus denen eine Softwareanwendung besteht, einschließlich Bibliotheken und Frameworks. Als wesentlicher Bestandteil der Softwareentwicklung können SBOMs dabei helfen, potenzielle Schwachstellen zum Beispiel in Lieferketten, Risiken in Komponenten und Abhängigkeiten von Drittanbietern zu identifizieren.

Darüber hinaus unterstützen sie Unternehmen bei der Einhaltung von Branchenvorschriften und -standards und der Zusammenarbeit zwischen verschiedenen Entwicklungsteams. Mithilfe von SBOMs können Unternehmen ihr Risikomanagement in der Lieferkette verbessern, Sicherheitsverletzungen eindämmen und für eine bessere Einhaltung von Open-Source-Lizenzanforderungen sorgen.

3. Penetrationstests und sicheres Konfigurationsmanagement

Penetrationstests bilden das zentrale Element einer umfassenden Sicherheitstest-Strategie. Das Konfigurationsmanagement beinhaltet die Definition und Durchsetzung von Sicherheitsrichtlinien und Best Practices für die Systemkonfiguration.

Ein sicheres Konfigurationsmanagement umfasst mehrere zentrale Komponenten wie Standardkonfigurationen, Änderungsmanagement, Sicherheitskontrollen sowie das Schwachstellen- und Patchmanagement. Damit werden häufige Sicherheitslücken in Anwendungen vermieden.

4. Zugriffskontrolle und Sicherheitsschulungen

Sensible Daten, Funktionen und Ressourcen sollten nur autorisierten Benutzern oder Systemen zugänglich sein. Sicherheitsschulungen vermitteln den Entwicklern die notwendigen Fähigkeiten und Kenntnisse, um sichere Software zu entwickeln und Schwachstellen einzudämmen.

5. Reaktion auf Vorfälle und kontinuierliche Überwachung

Klar definierte Reaktionen auf Sicherheitsvorfälle und Schwachstellen in Anwendungen sind ein wesentlicher Bestandteil der Softwareentwicklung. Die Hersteller sollten ihre Systemprotokolle, den Netzwerkverkehr und das Benutzerverhalten kontinuierlich auf Anzeichen von Sicherheitslücken oder -verletzungen analysieren.

(ID:49672353)