Sicherheitsstrategien für moderne Anwendungen Eine Roadmap für moderne Anwendungssicherheit

Anbieter zum Thema

SolarWinds Software Germany GmbH

Windhoff Group

Moderne Anwendungen erleichtern die digitale Transformation, bergen jedoch Sicherheitsrisiken durch ihre Komplexität und Open-Source-Nutzung. Frühe Sicherheitschecks, eine Software Bill of Materials (SBOM) und Observability helfen bei der Früherkennung von Sicherheitsproblemen.

Vor mehr als 10 Jahren schrieb der renommierte Silicon Valley Risikokapitalgeber Marc Andreesen: „Software frisst die Welt“. Damals war diese Aussage leicht zu treffen. Microsoft hatte gerade angekündigt, Skype in einem 8,5 Mrd. Dollar-Deal zu übernehmen, und zu Beginn des Jahres hatte die IBM Watson-KI den heutigen Gastgeber und langjährigen Jeopardy! Champion Ken Jennings geschlagen.

Die Entwicklung der Softwarebranche in den Jahren seit Andreesons Äußerung ist bemerkenswert. Monolithische Software, die auf einem Server vor Ort gehostet wurde, wich benutzerfreundlichen, flexiblen und skalierbaren modernen Anwendungen. Diese modernen Anwendungen, die schnell erstellt und eingesetzt werden können, haben den Unternehmen den Weg zur digitalen Transformation geebnet und macht Mitarbeiter innovativer, effizienter und produktiver. Gleichzeitig erfordern moderne Entwicklungsprozesse wie Microservices, Container und Kubernetes zur Erstellung von Anwendungen die Kompromisse in Sachen Komplexität und Sicherheit.

Mit modernen Anwendungen, die oft dezentral über mehrere Plattformen, Umgebungen und Infrastrukturen verteilt sind, erhöht sich die Angriffsfläche. Diese komplexen, hybriden und Multi-Cloud-Anwendungsumgebungen sind außerdem schwer zu visualisieren. Wenn man nicht weiß, woher ein Problem kommt oder was die Ursache für anomale Aktivitäten ist, ist es viel schwieriger, es zu beheben.

Ein weiterer potenzieller Problembereich ist die Verwendung von Open-Source-Code in modernen Anwendungen – und der kommt fast immer zum Einsatz. Ein Bericht zu Beginn dieses Jahres fand „mindestens eine bekannte Open-Source-Schwachstelle“ in 84 Prozent der kommerziellen Codebasis.

Die Lösung für dieses Problem besteht natürlich nicht darin, zu monolithischer Legacy-Software zurückzukehren. Stattdessen braucht die Branche Lösungen, die eine moderne Anwendungsentwicklung bei hoher Sicherheit erlaubt. Früh in den Entwicklungsprozess integrierte Sicherheitstests, transparent gemachte Komponenten und Abhängigkeiten in jeder Anwendung für Kunden und die Branche und die Transparenz innerhalb der Anwendungsumgebung machen das möglich. Diese drei Schritte können Unternehmen auf den Weg zu sicheren modernen Anwendungen bringen.

Schritt 1: Bauen Sie die Sicherheit mit der Linksverschiebung ein

Bevor ein Ingenieur sich dem Bau eines Autos widmen kann, muss man jedes Teil testen und genehmigen, um sicherzustellen, dass das Auto sicher funktioniert. Dieser Prozess sollte auch bei der Anwendungsentwicklung stattfinden, und zwar durch die sogenannte „Linksverschiebung“ (Shift-Left).

Die Linksverschiebung kann den Entwicklungsprozess verbessern, indem Sicherheitsmaßnahmen früher eingebettet werden. So können DevOps-Teams Schwachstellen bereits während der Anwendungsentwicklung erkennen. Traditionell werden Sicherheitsprüfungen erst nach Abschluss des Builds in der so genannten Testphase durchgeführt. Wenn in dieser Phase ein Problem auftritt, müssen DevOps-Teams schnell arbeiten, um das Problem zu identifizieren und zu beheben, was letztlich den Prozess verlangsamt und eine gründliche Überprüfung der Anwendung verhindert.

DevOps-Teams können den Prozess beschleunigen, indem sie der Sicherheit im Erstellungsprozess Priorität einräumen und sichere, zuverlässige Produkte liefern. Genauso wie der Automobil-Ingenieur nicht mit einem defekten Lenkrad auf der Straße fahren wollen, möchte er sicherstellen, dass jeder Teil der Anwendung ordnungsgemäß und sicher läuft.

Schritt 2: Transparenz und eine Software-Stückliste

In einem Zeitalter unvorhersehbarer Cyberangriffe durch engagierte staatliche Akteure, die neuartige und ausgefeilte Techniken einsetzen, braucht die Branche mehr denn je den Austausch von Informationen. Transparenz in Bezug auf Schwachstellen und Bedrohungen ist entscheidend, um die Sicherheit unserer gemeinsamen Cyberinfrastruktur zu gewährleisten. Viele positive Bemühungen der CISA und anderer Regierungsbehörden haben dazu beigetragen, den Informationsaustausch und die Zusammenarbeit zu verbessern, um das Bewusstsein für Cyberbedrohungen zu schärfen. Es gibt aber noch mehr zu tun.

Aus diesem Grund sollten Anwendungsentwickler ein hohes Maß an Transparenz an den Tag legen, indem sie klar kommunizieren, was in ihren Produkten steckt. Dies kann mit einer Software Bill of Materials (SBOM) geschehen, die im Wesentlichen eine Zutatenliste für jede Komponente einer Anwendung enthält. Wir bei SolarWinds sind stolz darauf, dass wir die Branche mit unserer Forderung, SBOMs zu einem neuen Standard zu machen, anführen und so für mehr Sicherheit in der Branche sorgen.

Eine SBOM ist eine Liste aller Komponenten und Abhängigkeiten, aus denen eine bestimmte Softwareanwendung besteht. Ihr Ziel ist es, Transparenz und Einblick in die Software-Lieferkette zu gewähren, was Entwicklern hilft, Schwachstellen zu erkennen und zu beheben. Das wiederum ermöglicht es Unternehmen, schneller auf Sicherheitsbedrohungen zu reagieren. Wenn beispielsweise eine neue Schwachstelle in einer Open-Source-Bibliothek entdeckt wird, kann eine SBOM dabei helfen, die betroffenen Anwendungen zu identifizieren, sodass die Teams Schritte zur Risikominderung unternehmen können. Auf diese Weise können Unternehmen kostspielige und zeitaufwändige Sicherheitsverletzungen vermeiden, indem sie den Entwicklern helfen, Schwachstellen sowie größere und kleinere Probleme zu erkennen und die Funktionalität des Endprodukts vorherzusagen.

Schritt 3: Mehr Transparenz in komplexen IT-Umgebungen durch Observability

Stellt man sich vor, der Ingenieur hat gerade ein neues Auto fertiggestellt, das sicher ist und gefahren werden kann. Nach einer gewissen Zeit muss das Auto ungeachtet der durchgeführten Tests unweigerlich gewartet werden, und die Kontrollleuchte für den Motor leuchtet auf. Für die meisten von bedeutet dies, dass das Auto zu einem Mechaniker muss, der eine Reihe von Diagnosetests durchführt. Er bestätigt dann das Problem zu bestätigen und kann sagen, wie es behoben werden kann und wie viel es kosten wird. Das ist ein zeitaufwändiger und ineffizienter Prozess.

Stellt man sich stattdessen vor, man hätte eine Motorkontrollanzeige, die über das Problem informiert und Schritt für Schritt erklärt, wie es behoben wird. Diese erhöhte Transparenz und die empfohlenen Abhilfemaßnahmen sind auch für moderne IT-Umgebungen erforderlich, und hier kommt Observability ins Spiel.

Observability kann bei der Anwendungsentwicklung und ‑sicherheit eine entscheidende Rolle spielen, indem es Echtzeittransparenz bietet, um Sicherheitsprobleme zu erkennen und zu beheben. Indem Observability die Zeit bis zur Entdeckung von Sicherheitsproblemen verkürzt, kann sie dazu beitragen, die Sicherheit von benutzerdefinierten Webanwendungen und die Zufriedenheit der Benutzer zu gewährleisten. Durch die Überwachung einer Anwendung in Echtzeit können Teams potenzielle Sicherheitsprobleme erkennen, bevor sie sich zu größeren Problemen auswachsen, und schnell Abhilfemaßnahmen ergreifen.

Warum das wichtig ist

Moderne Anwendungen sind benutzerfreundlich, flexibel und skalierbar. Dies ermöglicht es Unternehmen, die digitale Transformation zu vollziehen und die Produktivität zu verbessern, aber die Komplexität moderner Anwendungen und die Verwendung von Open-Source-Code bedrohen ihre Sicherheit.

Um die Sicherheit moderner Anwendungen zu gewährleisten, müssen Unternehmen einen proaktiven Ansatz verfolgen, indem sie Sicherheitsmaßnahmen früher in den Entwicklungsprozess einbinden, SBOMs nutzen, um Transparenz zu schaffen, und die Sichtbarkeit durch Observability erhöhen. Auf diese Weise können Unternehmen sichere und optimierte Anwendungen erstellen und gleichzeitig die Geschwindigkeit und Innovation der modernen Entwicklung beibehalten.

* Chrystal Taylor ist Senior Technical Product Marketing Manager und Head Geek bei SolarWinds.

(ID:49676464)