Diese Schwachstelle kann auftreten, wenn Entwickler Geschäftslogikregeln nicht korrekt implementieren, was ihre Anwendungen anfällig für verschiedene Angriffsarten machen kann, falls ein böswilliger Benutzer diese ausnutzt.

Wenn es etwas gibt, das die Weihnachtszeit in der Cybersicherheitsbranche ruinieren kann, dann ist es ein verheerender Datendiebstahl, der sich zum bisher größten bekannten Cyber-Spionageereignis gegen die US-Regierung entwickelt.

Wieder einmal ist die Ursache für den Equifax-Hack eine Schwachstelle in einer Webanwendung. Solche Sicherheitslücken gibt es schon seit über einem Jahrzehnt, doch sie sind heute aktueller denn je.

Injection-Angriffe, der berüchtigte König der Schwachstellen (nach Kategorie), wurden von Broken Access Control als schlimmste der schlimmen abgelöst – ein Umstand, den Entwickler unbedingt beachten sollten.

Folge 139: Matias Madou spricht über Schulungen zur sicheren Softwareentwicklung und Forschung im Bereich Software-Sicherheitstests

Grundsätzlich sollten für jede Funktion, die unter Verwendung von Benutzereingaben auf eine Datenquelle zugreift, Prüfungen der Autorisierung auf Objektebene implementiert werden. Das Unterlassen dieser Prüfungen birgt ein erhebliches Risiko.

Ein maßgeschneiderter Kurs, der genau die Module enthält, in denen Ihre Entwickler Kompetenz beweisen müssen, erzielt eine starke Wirkung und ermöglicht es ihnen, Sicherheits-Best-Practices von Anfang an direkt in ihre tägliche Arbeit zu integrieren.

Fast 300.000 Entwickler in rund 95.000 Anwendungen nutzen BSIMM8, um ihre Software-Sicherheitsinitiativen (SSIs) zu planen, umzusetzen und zu bewerten.

Sicherheitskorrekturen in den Entwicklungsprozess vorzuverlegen ist keine leichte Aufgabe, aber in der heutigen Welt notwendig, in der selbst scheinbar einfache Geräte wie Präsentationstools überraschend komplex und zudem mit allem anderen vernetzt sind.

Wir müssen dahin kommen, dass Sicherheit als gemeinsame Verantwortung im gesamten Unternehmen und über den gesamten SDLC hinweg betrachtet wird. Dies ist absolut möglich, wenn Sie sich für eine umfassende, unterstützende DevSecOps-Umgebung entscheiden.

Die Schwachstelle durch fehlende Zugriffskontrolle auf Funktionsebene ermöglicht es Benutzern, Funktionen auszuführen, die eigentlich eingeschränkt sein sollten, oder auf Ressourcen zuzugreifen, die geschützt sein müssten.

Die Authentifizierung fungiert oft als Zugangstor zu einer Anwendung und potenziell zum gesamten Netzwerk, was sie zu einem attraktiven Ziel für Angreifer macht. Wenn ein Authentifizierungsprozess fehlerhaft oder anfällig ist, ist die Wahrscheinlichkeit hoch, dass Angreifer diese Schwachstelle entdecken und ausnutzen.

Den Ermittlern zufolge verhinderte lediglich ein Fehler im Computercode der Angreifer eine Explosion.

Softwareentwicklung ist keine isolierte Angelegenheit mehr. Wenn wir alle Aspekte softwarebasierter Risiken berücksichtigen – von der Cloud über eingebettete Systeme in Haushaltsgeräten und Fahrzeugen bis hin zu unserer kritischen Infrastruktur, ganz zu schweigen von den APIs, die alles miteinander verbinden –, dann ist die Angriffsfläche grenzenlos und außer Kontrolle.

Entwickler haben hervorragende Voraussetzungen, um lukrativ in den Bereich AppSec zu wechseln.

Man kann mit Fug und Recht behaupten, dass die letzten Jahre die Cybersicherheitsstandards grundlegend verändert haben. Auch wenn es nicht verpflichtend ist, sollte es für alle Unternehmen ein Ziel sein, diesem Beispiel zu folgen und die Sicherheitspraktiken ihrer Anbieter so kritisch zu prüfen, als wären sie Teil des eigenen internen Sicherheitsprogramms.

Die Mass-Assignment-Schwachstelle entstand, weil viele moderne Frameworks Entwickler dazu ermutigen, Funktionen zu verwenden, die Eingaben von Clients automatisch an Codevariablen und interne Objekte binden.

Wir haben uns überlegt, wie wir die Hürden für notwendige Schulungen senken und Micro-Learning nahtloser in Ihren Arbeitsalltag integrieren können.

Entwickler können Schwachstellen nur dann effektiv reduzieren, wenn sie grundlegend verstehen, wie diese entstehen, warum sie gefährlich sind, welche Muster ihnen zugrunde liegen und welche Design- oder Programmieransätze sie in ihrem Arbeitsalltag beheben. Ein stufenweiser Lernansatz vermittelt das nötige Wissen, um sicher zu programmieren, eine Codebasis zu schützen und sich als sicherheitsbewusster Entwickler zu etablieren.

Zero-Day-Angriffe lassen Entwicklern per Definition keine Zeit, bestehende Schwachstellen zu finden und zu schließen, bevor sie ausgenutzt werden, da die Angreifer schneller sind. Der Schaden ist bereits entstanden, und es folgt ein hektischer Wettlauf, um sowohl die Software als auch den Ruf des Unternehmens zu retten. Angreifer haben immer einen Vorsprung, und es ist entscheidend, diesen so weit wie möglich zu verringern.

Dies ist der erste Teil einer zweiteiligen Serie über die erfolgreiche PCI-DSS-Compliance in Unternehmen. In diesem Kapitel erläutern wir, wie AppSec-Spezialisten eng mit Entwicklungsleitern zusammenarbeiten können, um Entwickler zu stärken, den SSDLC zu festigen und konkrete Ergebnisse aus allgemeinen gesetzlichen Vorgaben zu erzielen.

Wir wissen bereits, dass der Arbeitsalltag ohnehin schon übervoll ist. Welchen Anreiz haben Entwickler also, sich in einen Schulungsraum zu schleppen oder durch einen Kontextwechsel fünf Schritte zu durchlaufen, um auf statische, theoriebasierte Trainings zuzugreifen?

Es gibt einige Gründe, warum AppSec-Tools nicht so genutzt werden, wie man es vielleicht erwarten würde. Dabei geht es weniger um die Tools und ihre Funktionalität, sondern vielmehr darum, wie sie in das gesamte Sicherheitsprogramm integriert sind.

Wir möchten heute einen unserer Experten ins Rampenlicht rücken: Oscar Quintas. Er ist Teil unseres Product-Content-Teams und arbeitet als Senior Security Researcher. Zudem ist er unser hauseigener Zauberer für alles, was mit Infrastructure as Code (IaC) zu tun hat.

SQL-Injection feiert seinen 22. Geburtstag. Obwohl diese Schwachstelle alt genug ist, um Alkohol zu trinken, lassen wir uns immer noch von ihr in die Enge treiben, anstatt sie ein für alle Mal auszumerzen.

Die Ausgangslage zwischen Helden und Schurken in der Cybersicherheit ist notorisch unfair. Sensible Daten sind das neue Gold, und Angreifer passen sich schnell an, um Abwehrmechanismen zu umgehen und Sicherheitslücken – ob groß oder klein – für ihre Zwecke auszunutzen.

Diese Schwachstelle tritt auf, wenn zu viele Anfragen gleichzeitig eingehen und die API nicht über genügend Rechenressourcen verfügt, um diese zu verarbeiten. In der Folge kann die API nicht mehr verfügbar sein oder auf neue Anfragen nicht mehr reagieren.

Um Cyberkriminellen wirksam entgegenzutreten, müssen wir ihnen immer einen Schritt voraus sein und ihre Spielwiesen mit einer präventiven Denkweise besetzen. Hier sind die Bereiche, in denen sie meiner Einschätzung nach im kommenden Jahr für Unruhe sorgen könnten:

Wenn die Zugriffskontrolle auf Infrastrukturebene nicht einwandfrei funktioniert, ist das gesamte Unternehmen für Angreifer offen, die diese Schwachstelle als Einfallstor für unbefugte Spionage oder einen umfassenden Angriff nutzen können.

Cyberangriffe nehmen immer weiter zu, und Bedrohungen für Linux-basierte Infrastrukturen werden immer häufiger. Das Ziel ist dabei stets, sich Zugriff auf sensible Daten in der Cloud zu verschaffen.

Die eigentlichen Mechanismen hinter dieser Schwachstelle ähneln anderen, aber übermäßige Datenpreisgabe ist in diesem Fall dadurch definiert, dass sie gesetzlich geschützte oder hochsensible Daten betrifft.

Genau wie bei webbasierter Software, APIs und Mobilgeräten kann anfälliger Code in eingebetteten Systemen von Angreifern ausgenutzt werden, sobald er in freier Wildbahn entdeckt wird.

Dies ist der zweite Teil unserer Miniserie zur PCI-DSS-Compliance in Unternehmen. In diesem abschließenden Kapitel zeigen wir auf, wie CTOs und CISOs mit gutem Beispiel vorangehen können, um Cyberrisiken zu minimieren und den Prozess nahtlos, erfolgreich... und für Entwickler vielleicht sogar ein wenig unterhaltsam zu gestalten.

Denken Sie im Hinblick auf Ihr Unternehmen über diese Fragen in Ihrem spezifischen Kontext nach. Wie würde es bei einem DevSec-Test abschneiden?

Es gibt die bekannte Theorie, dass Kakerlaken so gut wie alles überleben können – sogar eine nukleare Explosion.

Die Schwachstelle „unzureichendes Logging und Monitoring“ entsteht meist durch ein mangelhaftes Cybersicherheitskonzept, bei dem fehlgeschlagene Anmeldeversuche, Zugriffsverweigerungen und Eingabevalidierungsfehler nicht protokolliert werden.

Die Verschlüsselung kritischer Daten wie Passwörter, persönlicher Informationen und Finanzunterlagen im Ruhezustand ist heutzutage ein Eckpfeiler jeder Cybersicherheitsstrategie.

Die jüngste Executive Order zur Cybersicherheit der Biden-Administration sorgt in der Sicherheitsbranche für reichlich Gesprächsstoff – insbesondere bei denjenigen, die Entwickler davon überzeugen wollen, wie wichtig die Anwendung bewährter Verfahren für sicheres Programmieren im Arbeitsalltag ist.

Wir müssen einen menschenzentrierten Ansatz für Cybersecurity-Best-Practices stärken. Dies wird zu besseren Ergebnissen führen als eine starke Abhängigkeit von Automatisierung, Tools und der Reaktion auf Probleme, die bereits entstanden und entdeckt wurden.

Entwickler sind diejenigen, die am engsten mit dem Code sowie mit Sicherheitskonfigurationen und Zugriffskontrollen arbeiten. Ihre Sicherheitskompetenzen müssen gefördert werden. Um die hohen Standards des NIST zu erreichen, ist eine praxisorientierte Kursstruktur der effizienteste Weg – insbesondere bei großen Entwicklerteams.

Wir freuen uns, eine brandneue Funktion auf der Secure Code Warrior-Plattform ankündigen zu können: Missions. Diese völlig neue Kategorie von Herausforderungen ist der nächste Schritt in der entwicklerorientierten Sicherheitsschulung und führt die Nutzer von der reinen Wissensabfrage hin zur Anwendung in einer realitätsnahen Simulationsumgebung.

Obwohl Unbehagen durch die Unwägbarkeiten einer neuen Arbeitsweise, ein wenig Misstrauen oder vielleicht die Skepsis gegenüber Remote-Arbeit entstehen kann, stelle ich fest, dass Unternehmen, die sich dagegen sträuben, bei der Gewinnung von Top-Talenten, der Aufrechterhaltung einer globalen Reichweite und – offen gesagt – beim Schritt mit der Zeit ins Hintertreffen geraten.

Der Schlüssel zur Computersicherheit liegt heutzutage meist in Passwörtern. Auch wenn andere Sicherheitsmethoden wie die Zwei-Faktor-Authentifizierung oder biometrische Verfahren eingesetzt werden, nutzen die meisten Unternehmen passwortbasierte Sicherheit weiterhin als einen Bestandteil ihres Schutzkonzepts.

Die Änderung einer einzigen Zeile Code in einem Avionikgerät kostet 1 Million Dollar und die Umsetzung dauert ein Jahr. Für Southwest Airlines, deren Flotte auf der Boeing 737 basiert, wäre das der „Bankrott“.

Eine Flut komplexer Sicherheitstools macht die Cybersecurity für CISOs immer schwieriger.

Secure Code Warrior hat eine GitHub Action entwickelt, die kontextbezogenes Lernen in das GitHub Code Scanning integriert. Entwickler können damit Drittanbieter-Tools wie die Snyk Container Action nutzen, um Schwachstellen zu finden und die Ergebnisse um CWE-spezifische, hochrelevante Lerninhalte zu ergänzen.

Penetrationstests und statische Analysetools (besser bekannt als SAST) sind nur ein Teil des Gesamtprozesses zur Minderung von Sicherheitsrisiken. Sie arbeiten weitgehend unabhängig von unserer täglichen Arbeit – bis der Code natürlich für Hotfixes zu uns zurückkommt!

Code ab einer gewissen Qualitätsstufe ist per Definition auch sicher, aber nicht jeder sichere Code ist zwangsläufig von guter Qualität. Ist „links von links“ anzufangen die Formel, um echte Standards für sicheres Programmieren zu gewährleisten?

Das verletzungsanfällige Verhalten, auf das wir uns hier konzentrieren, ist die Verwendung von Code aus nicht vertrauenswürdigen Quellen – eine scheinbar harmlose Praxis, die jedoch große Probleme verursacht.

Im Jahr 2016 entdeckte ein Sicherheitsforscher, der unter dem Namen x0rz bekannt ist, laut einem Tweet eine verbreitete Schwachstelle namens Cross-Site Scripting (XSS) auf der Hauptwebsite von Equifax.

Bei dieser Schwachstelle handelt es sich eher um ein menschliches oder organisatorisches Problem, das dazu führt, dass ältere APIs lange nach ihrer eigentlich notwendigen Ablösung durch neuere, sicherere Versionen weiterhin aktiv bleiben.

Viele Unternehmen, die bei ihrem Cybersecurity-Ansatz Maßstäbe setzen, haben ein offizielles Security-Champion-Programm eingeführt. Dabei werden wichtige Sicherheitsverantwortlichkeiten – von der Vermittlung zwischen Teams und allgemeiner Motivationsarbeit bis hin zur Überwachung von Best Practices – an Personen übertragen, die für eine solche Rolle Eignung und Leidenschaft zeigen.

Rust integriert bekannte und funktionale Elemente gängiger Sprachen, folgt jedoch einer anderen Philosophie, die Komplexität eliminiert und gleichzeitig Leistung und Sicherheit in den Vordergrund stellt.

Dies ist bei APIs zwar etwas häufiger der Fall, doch Angreifer suchen überall im Netzwerk nach ungepatchten Schwachstellen sowie ungeschützten Dateien oder Verzeichnissen. Eine API mit aktiviertem Debugging oder deaktivierten Sicherheitsfunktionen macht ihre bösartige Arbeit nur noch einfacher.

Die Welt bewegt sich über Waterfall, Agile und nun DevOps hinaus – was ist also die nächste Lösung? Und welche Rolle spielen Sie als Entwickler dabei, mit diesen veränderten Ansätzen Schritt zu halten?

Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards für die Befähigung von Entwicklern einführen, damit diese qualitativ hochwertigere Software produzieren können.

Gelegentlich tauschen Anwendungen im Rahmen eines gesamten Workflows Daten mit anderen Programmen aus. Wenn die Transportschicht nicht geschützt ist, ist sie sowohl für externe Spionage als auch für unbefugte interne Einsichtnahme anfällig.

Jede Organisation kann den Cybersecurity Awareness Month nutzen, um ihr Sicherheitsbewusstsein aufzufrischen. Dieses Jahr veröffentlichen wir zudem eine neue, kostenlose App für die Coding-Community!

Eine Beziehung, die auf dem wackeligen Fundament des Misstrauens aufgebaut ist, sollte man besser mit niedrigen Erwartungen angehen. Leider ist dies oft der Zustand der Zusammenarbeit zwischen Entwicklern und dem AppSec-Team in einem Unternehmen.

Sicherheitsfehlkonfigurationen, insbesondere im Bereich unzureichender Berechtigungen, entstehen meist dann, wenn ein Entwickler einen neuen Benutzer anlegt oder einer Anwendung für eine bestimmte Aufgabe Berechtigungen zuweist.

Angreifer suchen immer zuerst nach leicht ausnutzbaren Schwachstellen und verwenden dafür oft Skripte, die gängige Sicherheitslücken systematisch abprüfen. Das ist vergleichbar mit einem Dieb, der in einer Straße alle Autos auf unverschlossene Türen prüft – das ist schließlich viel einfacher, als eine Scheibe einzuschlagen.

Angesichts eines anhaltenden Fachkräftemangels, der im Widerspruch zur Flut an Code steht, die zur Deckung des weltweiten Softwarebedarfs geschrieben wird, hinken viele Unternehmen bei ihrer Cybersicherheitsstrategie und ihrer bestehenden Infrastruktur hinterher. Es ist an der Zeit, unsere allgemeine Cybersicherheitsreife ehrlich zu betrachten und die machbaren schnellen Erfolge zu bewerten, die direkt vor uns liegen.

CISOs befinden sich in einer zunehmend schwierigen Lage: Sie müssen mehr Assets schützen, mehr Code bereitstellen und eine größere Angriffsfläche reduzieren – und das bei rapide schwindenden finanziellen Mitteln. Es ist eine unumstößliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird. Obwohl das Sicherheitsprogramm eines Unternehmens genau das ist, was einen Angreifer davon abhält, das Unternehmen morgen in die Schlagzeilen zu bringen, müssen Sicherheitsverantwortliche mehr tun, um den geschäftlichen Mehrwert ihrer Abteilung zu belegen – und zwar in einer Sprache, die für die Geschäftsführung verständlich ist.

Unser aktueller Forschungsbericht „Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise“ ist das Ergebnis einer tiefgreifenden Analyse realer Secure-by-Design-Initiativen auf Unternehmensebene und leitet datengestützte Best-Practice-Ansätze ab.

Der wachsende Fokus auf sicheren Code und „Secure-by-Design“-Prinzipien erfordert, dass Entwickler von Beginn des Softwareentwicklungszyklus (SDLC) an in Cybersicherheit geschult werden. Tools wie der Trust Score von Secure Code Warrior helfen dabei, diese Fortschritte zu messen und zu verbessern.

Unsere Untersuchungen haben gezeigt, dass Schulungen für sicheren Code funktionieren. Der Trust Score nutzt einen Algorithmus, der auf mehr als 20 Millionen Lerndatenpunkten von über 250.000 Lernenden in mehr als 600 Unternehmen basiert. Er zeigt, wie effektiv diese Schulungen Schwachstellen reduzieren und wie sich die Initiative noch weiter optimieren lässt.

Es ist bekanntermaßen schwierig, aussagekräftige Daten zum Erfolg von Secure-by-Design-Initiativen zu finden. CISOs stehen oft vor der Herausforderung, den Return on Investment (ROI) und den geschäftlichen Mehrwert von Sicherheitsprogrammen sowohl auf Mitarbeiter- als auch auf Unternehmensebene nachzuweisen. Zudem fällt es Unternehmen schwer, ihre eigene Performance im Vergleich zu aktuellen Industriestandards einzuschätzen. Die nationale Cybersicherheitsstrategie des US-Präsidenten forderte die Beteiligten dazu auf, „Sicherheit und Resilienz von Grund auf zu verankern“. Der Schlüssel zum Erfolg von Secure-by-Design-Initiativen liegt nicht nur darin, Entwicklern die Fähigkeiten für sicheren Code zu vermitteln, sondern auch Regulierungsbehörden die Wirksamkeit dieser Maßnahmen nachzuweisen. In dieser Präsentation teilen wir eine Vielzahl qualitativer und quantitativer Daten aus verschiedenen Primärquellen, darunter interne Datenpunkte von über 250.000 Entwicklern, datengestützte Kundeneinblicke und öffentliche Studien. Durch die Bündelung dieser Daten vermitteln wir ein Bild des aktuellen Stands von Secure-by-Design-Initiativen in verschiedenen Branchen. Der Bericht erläutert, warum dieser Bereich derzeit untergenutzt ist, welchen erheblichen Einfluss erfolgreiche Weiterbildungsprogramme auf die Risikominderung haben und wie sich ganze Schwachstellenkategorien aus dem Code eliminieren lassen.

Bei der KI-Debatte geht es nicht um das Ob, sondern um das Wie der Anwendung. Erfahren Sie, wie Sie die Produktivitätsvorteile von KI mit robuster Sicherheit in Einklang bringen, indem Sie auf Entwickler setzen, die ihren Code bis ins Detail verstehen.

Anthropic Claude Mythos markiert einen dauerhaften, grundlegenden Wandel in der Art und Weise, wie Sicherheitsverantwortliche ihre Sicherheitsprogramme gestalten müssen – insbesondere beim Patch-Management von Altsystemen.

In diesem Whitepaper erörtert der Sicherheitsexperte und CTO sowie Mitbegründer von Secure Code Warrior, Dr. Matias Madou: Die sechs Säulen, die Sie für eine effektive Sicherheitsausbildung und -befähigung Ihres Entwicklerteams benötigen. Erkenntnisse von zehn Führungskräften, die Sicherheitsprogramme auf Unternehmensebene implementiert haben, sowie häufige Fallstricke, die Sie auf Ihrem Weg zum Erfolg vermeiden sollten.