Analyse der Cybersicherheitsbranche: Eine weitere wiederkehrende Schwachstelle, die wir beheben müssen

Eine Version dieses Artikels erschien in Help Net Security. Er wurde hier aktualisiert und erneut veröffentlicht.

‍

Ich habe meine gesamte berufliche Laufbahn damit verbracht, Software-Schwachstellen auf die eine oder andere Weise zu finden, zu beheben, zu diskutieren und zu analysieren. Ich weiß, dass uns einige gängige Sicherheitslücken trotz ihrer Präsenz seit den 90er Jahren weiterhin in unserer Software verfolgen und große Probleme bereiten, obwohl die (oft einfachen) Lösungen schon fast genauso lange bekannt sind. Es fühlt sich wirklich wie „Und täglich grüßt das Murmeltier“ an: Wir als Branche scheinen immer wieder dasselbe zu tun und erwarten ein anderes Ergebnis.

Es gibt jedoch noch ein weiteres kleines Problem. Wir erhalten weder realistische Ratschläge noch die schnellsten Lösungen, um dem unaufhörlichen Ansturm der modernen Cybersicherheit zu begegnen. Natürlich ist jeder Sicherheitsvorfall auf seine Weise einzigartig, und es gibt zahlreiche Angriffsvektoren, die in anfälliger Software ausgenutzt werden können. Sinnvolle allgemeine Ratschläge sind zwar begrenzt, aber der Ansatz der „Best Practices“ wirkt mit jeder Stunde fehlerhafter.

Daher frage ich mich, warum so viele Kommentare und Analysen zur Cybersicherheit Lösungen auslassen, die die eigentliche Ursache so vieler Schwachstellen angehen: den Menschen. Gartners neuester Hype Cycle for Application Security und Forresters The State of Application Security 2021 – beides Bibeln für Sicherheitsexperten, die zweifellos ihre Programme und die potenzielle Produkteinführung mitgestalten – sind fast ausschließlich auf Tools ausgerichtet. Ein Bericht von Aberdeen aus dem Jahr 2017 zeigte, wie unübersichtlich der durchschnittliche Sicherheits-Tech-Stack geworden war, wobei CISOs Hunderte von Produkten als Teil ihrer Sicherheitsstrategien verwalteten; vier Jahre später kämpfen wir mit mehr Risiken, mehr Schwachstellen und weiteren Ergänzungen zu den wachsenden Tech-Stack-Monstern.

Sicherheitstools sind ein Muss, aber wir müssen den Blick weiten und das Gleichgewicht bei der menschlichen Komponente der Sicherheitsabwehr wiederherstellen.

Automatisierung ist die Zukunft. Warum sollten wir uns also um den menschlichen Faktor in der Cybersicherheit kümmern?

So gut wie alles in unserem Leben wird durch Software gesteuert, und es stimmt, dass die Automatisierung menschliche Elemente ersetzt, die einst in vielen Branchen vorhanden waren. Dies ist ein Zeichen des Fortschritts in einer Welt, die sich in rasantem Tempo digitalisiert, wobei KI und maschinelles Lernen aktuelle Themen sind, die viele Unternehmen zukunftsorientiert halten.

Warum sollte also ein menschzentrierter Ansatz für die Cybersicherheit etwas anderes sein als eine veraltete Lösung für ein technologisch fortschreitendes Problem? Die Tatsache, dass im vergangenen Jahr Milliarden von Datensätzen bei Sicherheitsverletzungen gestohlen wurden, einschließlich des jüngsten Facebook-Vorfalls, der über eine halbe Milliarde Konten betraf, sollte uns zeigen, dass wir nicht genug tun (oder nicht den richtigen Ansatz verfolgen), um den Angreifern wirksam entgegenzutreten.

Cybersicherheits-Tools sind ein notwendiger Bestandteil der Cyberabwehr, und sie werden immer ihren Platz haben. Analysten haben bei der Empfehlung neuester Tools zur Risikominderung für Unternehmen absolut ins Schwarze getroffen, und das wird sich auch nicht ändern. Da die Codequalität (und damit die Sicherheit) bei der Menge der Code-Produktion jedoch schwer zu verwalten ist, können Tools diese Aufgabe nicht allein bewältigen. Bisher gibt es kein einziges Tool, das:

• Jede Schwachstelle in jeder Sprache/jedem Framework scannt
• In hoher Geschwindigkeit scannt
• Den doppelten Arbeitsaufwand durch falsch-positive und falsch-negative Ergebnisse minimiert

Tools können langsam, umständlich und schwerfällig sein. Vor allem aber finden sie nur Probleme – sie beheben sie nicht und schlagen auch keine Lösungen vor. Letzteres erfordert Sicherheitsexperten, die ohnehin rar gesät und überlastet sind und sich durch Berge von Daten wühlen müssen, um in endlosen Pentesting- und Scan-Ergebnissen die wertvollen Erkenntnisse zu finden.

Tatsache ist: Laut dem IBM Cyber Security Intelligence Index Report spielt menschliches Versagen bei 95 % aller erfolgreichen Datenschutzverletzungen eine Rolle. Fast die Hälfte davon steht in direktem Zusammenhang mit Software-Schwachstellen, von denen viele gemildert werden könnten, wenn in den frühen Phasen des SDLC stärker auf sichere Programmierung und Bewusstsein geachtet würde. Damit dies jedoch geschieht, ist ein schärferer und relevanterer Fokus auf die Ausbildung von Entwicklern – zusätzlich zur Integration in ihren Arbeitsablauf – der Schlüssel.

Ob es uns gefällt oder nicht: Der Mensch ist tief in den Softwareentwicklungsprozess eingebunden, und Cybersicherheit ist in überwältigendem Maße ein menschliches Problem. Tools werden kein Allheilmittel sein, um einen grundlegenden Fehler in unserem Ansatz zu korrigieren, aber sie können eine wichtige unterstützende Rolle bei der Neugestaltung menschlicher Lösungen spielen.

Was wäre, wenn wir einfach bessere Tools (und davon viele) bauen würden?

Sicherheitstools verbessern sich ständig. SAST-, DAST- und IAST-Tools haben große Fortschritte gemacht, sind schneller und intelligenter geworden, und RASP sollte in vielen Anwendungsumgebungen ernsthaft als Verteidigungsmaßnahme in Betracht gezogen werden. Firewalls, Secrets-Manager, Cloud- und Netzwerksicherheitsanwendungen: Das alles ist selbstverständlich.

Menschen können immer danach streben, bessere Tools zu entwickeln, aber die Innovation hält nicht mit den Sicherheits- und Datenschutzanforderungen der digitalen Welt, in der wir leben, Schritt. Tools sind größtenteils für Roboter konzipiert. Sie mögen Entwicklern und dem Sicherheitsteam beim Scannen, Überwachen oder Schützen von Code helfen, aber die Interaktion ist sehr begrenzt, und nur sehr wenige Lösungen zielen darauf ab, das Sicherheitsbewusstsein zu schärfen oder Kernkompetenzen zu verbessern, die zu besseren Sicherheitsergebnissen führen können.

Tatsächlich wissen mehr als die Hälfte der Unternehmen nicht einmal, ob die Tools für sie funktionieren, noch sind sie zuversichtlich, dass sie eine verheerende Datenschutzverletzung verhindern könnten. Das ist eine sehr bedenkliche Einstellung, die in einer auf Tools fixierten Branche, der es an Unterstützung für einen anderen Ansatz mangelt, dazu neigt, den Status quo und die damit verbundenen Probleme zu zementieren.

Wie kann ein Unternehmen einen menschenzentrierten Ansatz für die Sicherheit nutzen?

Es steht außer Frage, dass es von Vorteil ist, bei der Anwendungssicherheit technologisch am Ball zu bleiben. Dies kann sogar dabei helfen, Upgrades oder Konsolidierungen in einem überladenen Tech-Stack zu priorisieren. Doch wenn wir die Ursache anfälliger Software – uns Menschen – ignorieren, werden wir den Kampf um die Cybersicherheit weiterhin verlieren.

Wenn wir die Anzahl der Sicherheitslücken auf Code-Ebene ernsthaft reduzieren wollen, müssen Entwickler die Grundlagen erhalten, um gemeinsam Verantwortung für die Sicherheit zu übernehmen. Sie benötigen praxisnahe Schulungen, kontinuierliche Weiterbildung und funktionale Tools, die ihren Arbeitsablauf nicht stören oder Sicherheit zur lästigen Pflicht machen. Idealerweise sollten Tools entwicklerzentriert sein und die User Experience in den Mittelpunkt stellen.

Bis heute gibt es kein formelles Sicherheitszertifizierungsprogramm für Entwickler. Doch jedes Unternehmen profitiert davon, sichere Programmierkenntnisse zu messen und auszubauen, um häufige Schwachstellen frühzeitig zu beheben, bevor der gesamte Tech-Stack eingreifen muss und Prozesse ausbremst.

Ein Team aus sicherheitsbewussten Entwicklern ist ein wertvoller Schatz für jedes Unternehmen. Doch wie alles, was erstrebenswert ist, erfordert der Aufbau eines solchen Dream-Teams Zeit und Mühe. Entwickler davon zu überzeugen, Sicherheit als Grundlage für Code-Qualität zu betrachten, erfordert ein unternehmensweites Engagement. Wenn ganze Teams erkennen, welchen positiven Beitrag sie leisten können, indem sie Schwachstellen direkt beim Schreiben des Codes eliminieren, kann kein Tool der Welt damit konkurrieren.