Höhere Sicherheitsintelligenz: Geführte Kurse, die Entwickler fit für NIST machen

In der Cybersicherheitsbranche gab es in letzter Zeit einige sehr erfreuliche Entwicklungen. Es scheint, dass das Bewusstsein dafür, Sicherheit in Software-Builds so früh wie möglich zu priorisieren, in vielen Unternehmen wächst. Dies, gepaart mit offiziellen Maßnahmen wie Bidens Executive Order zur Cybersicherheit, hat deutlich gemacht, dass jeder seinen Beitrag zur Gewährleistung von Softwaresicherheit und Datenschutz leisten muss. Besonders spannend ist, dass sich der Dialog über die Rolle des Entwicklers bei der Einhaltung sicherer Codierungsstandards weiterentwickelt, selbst auf Regierungsebene.

In diesem Dialog fehlt jedoch etwas. Die Executive Order legt nahe, dass Entwickler verifizierte Sicherheitskompetenzen benötigen, doch eine solche offizielle Zertifizierung existiert derzeit nicht. Viele Unternehmen orientieren sich bei ihrem Streben nach Compliance und höheren Standards der Softwaresicherheit an NIST (das als Reaktion auf die EO aktualisierte Richtlinien bereitgestellt hat). Wenn wir jedoch Strategien zur signifikanten Reduzierung von Schwachstellen suchen, die gleichzeitig die richtigen Tools integrieren und die Release-Geschwindigkeit beibehalten, sind die meisten Ansätze zu allgemein, um das gewünschte Ergebnis zu erzielen. Hier bleiben viele Unternehmen stecken, indem sie an begrenzten Entwicklerschulungen festhalten oder nicht auf allgemeinen Grundlagen aufbauen, um praktische, anwendbare Fähigkeiten zu vermitteln.

Sicherheitsbewusste Entwickler wachsen nicht auf Bäumen, aber mit den richtigen Tools können sie deutlich schneller gefördert und weiterentwickelt werden. Daher freuen wir uns, unseren eigenen, proprietären Kurs für NIST-Compliance anzukündigen, der gemäß den Richtlinien der Executive Order der US-Regierung strukturiert ist.

Sinnvolle Unterstützung für Entwickler auf Code-Ebene

Unter Verwendung der NIST-Richtlinien für EO-kritische Software hier haben wir den Kurs so strukturiert, dass er die fünf Hauptziele abdeckt. Dies wird letztendlich die Sicherheit wichtiger Software auf höchster Regierungsebene verbessern und sollte idealerweise als Maßstab für eine qualitativ hochwertigere Entwicklung von Grund auf dienen.

Um in einem Entwicklerteam wirklich etwas zu bewirken, muss jede Weiterbildung über die Theorie hinausgehen. Sie muss so implementiert werden, dass sie nicht zu ständigem Kontextwechsel zwischen Arbeit und Training führt, um Antworten zu finden und agil zu bleiben. Sorgfältige Sicherheitspraktiken (ganz zu schweigen vom Sicherheitsteam) werden oft als Hindernisse für pünktliche Entwicklungssprints angesehen und bremsen den typischen, auf Features fokussierten Ingenieur erheblich aus.

Kurze, leicht verdauliche Lerneinheiten, die passgenau auf die Bedürfnisse von Entwicklern zugeschnitten sind, stoßen auf deutlich weniger Widerstand und führen zu einem nachhaltigen, praktischen Kompetenzaufbau.

Sehen Sie sich an, wie wir dies für unseren NIST-Kurs strukturiert haben:

Ziel 1: Schutz von EO-kritischer Software und EO-kritischen Softwareplattformen vor unbefugtem Zugriff und unbefugter Nutzung.‍

Sicherheitsfehlkonfigurationen und unsachgemäße Authentifizierungspraktiken werden von Angreifern genutzt, um erfolgreich in Systeme einzudringen, Konten zu übernehmen und Daten zu stehlen. Es handelt sich um einen häufigen Fehler, der bei erfolgreicher Ausnutzung zu massiven Problemen führen kann.

Auf der Secure Code Warrior Learning Platform können Entwickler Herausforderungen basierend auf realen Code-Snippets lösen, die genau widerspiegeln, wie diese Fehler in ihrer täglichen Arbeit auftreten würden. Sie lernen, präzise Lösungen zu finden, um diese abzusichern. Für DevOps-Ingenieure erfordert die Absicherung der Infrastruktur sorgfältige Zugriffskontrollkonfigurationen. Es gibt spezialisierte Herausforderungen, um diese Anforderungen in Infrastructure-as-Code (IaC)-Sprachen wie Terraform, CloudFormation und Ansible sowie in dem für Docker und Kubernetes verwendeten Code zu erfüllen.

Ziel 2: Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Daten, die von EO-kritischer Software und EO-kritischen Softwareplattformen verwendet werden.

Bei diesem Ziel führt jeder Weg zur Zugriffskontrolle. Fehlerhafte Zugriffskontrolle hat kürzlich Injektionsfehler als Spitzenreiter in den OWASP Top 10 2021 abgelöst. Es ist ein schwerwiegender Fehler, der die Fähigkeiten sicherheitsbewusster Entwickler erfordert, um ihn so früh wie möglich zu finden und zu beheben.

Der Kurs behandelt Konzepte wie das Prinzip der geringsten Rechte (Least Privilege) auf Code-Ebene und hilft dabei, den Ansatz zu verinnerlichen, den Zugriff auf Benutzerkonten als Best Practice auf die notwendigen Bereiche zu beschränken.

Ziel 3: Identifizierung und Wartung von EO-kritischen Softwareplattformen sowie der auf diesen Plattformen bereitgestellten Software, um die EO-kritische Software vor Ausnutzung zu schützen.

Eine der größten Herausforderungen in großen Unternehmen ist die Aufrechterhaltung des Sicherheitsüberblicks über alle verschiedenen Softwarelösungen, Systeme und Komponenten, die aktuell im Einsatz sind. Wenn es um Risikomanagement und Patching geht, müssen diese Elemente in jedem Sicherheitsprogramm Priorität haben, wobei Entwickler stets wachsam sein müssen, um Sicherheitswartungen durchzuführen.

Auf der Secure Code Warrior Learning Platform können Entwickler Herausforderungen spielen, die ihnen helfen, anfällige Komponenten sowie berechtigungsbasierte Sicherheitsfehlkonfigurationen zu identifizieren und zu beheben.

Ziel 4: Bedrohungen und Vorfälle, die EO-kritische Software und entsprechende Plattformen betreffen, schnell erkennen, darauf reagieren und die Wiederherstellung sicherstellen.

Es ist bedauerlich (und eine Verschwendung von Zeit und Geld), dass sich viele Unternehmen bei Cybersicherheitsproblemen immer noch auf die Reaktion auf Vorfälle statt auf deren Prävention konzentrieren. Wir setzen uns dafür ein, diese Kultur zu ändern. Entwickler spielen dabei eine Schlüsselrolle, da sie mit der richtigen Schulung in Sicherheits-Best-Practices die nötige präventive Schlagkraft liefern können.

Ziel 4 erfordert von Entwicklern, im Rahmen ihrer Tätigkeit die Sicherheit in ihren Umgebungen sowie an Endpunkten sowohl auf Software- als auch auf Netzwerkebene kontinuierlich zu überwachen. Unzureichende Protokollierung und Überwachung sind ein weiterer verbreiteter, tückischer Fehler. Es ist entscheidend, dass Ingenieure diese Aspekte in ihrem Arbeitsalltag sicher beherrschen.

Auf der Secure Code Warrior Learning Platform können Entwickler durch das Lösen von Challenges ihre Fähigkeiten vertiefen – egal ob sie mit Web-, API- oder Cloud-Sprachen arbeiten.

Nachhaltiges Sicherheitsbewusstsein.

Ziel 5: Stärkung des Verständnisses und der Leistung menschlicher Handlungen, die die Sicherheit von EO-kritischer Software und entsprechenden Plattformen fördern.

Dies ist zwar allgemein gehalten, aber das wichtigste Ziel überhaupt – und es lässt sich nicht ohne die Erfüllung der ersten vier Ziele erreichen. Diese Richtlinie fordert regelmäßige Aktivitäten zur Sensibilisierung für Sicherheit und stellt sicher, dass alle „menschlichen Handlungen“ an EO-kritischer Software von Personen durchgeführt werden, die für ihre jeweiligen Rollen und Verantwortlichkeiten angemessen geschult sind.

Entwickler arbeiten am engsten mit dem Code sowie mit Sicherheitskonfigurationen und Zugriffskontrollen. Ihre Sicherheitskompetenzen müssen gefördert werden. Um die hohen NIST-Standards zu erreichen, ist eine praxisorientierte Kursstruktur der effizienteste Weg, insbesondere bei großen Entwicklerteams.

Starten Sie noch heute damit, die Erfahrungspunkte und den Sicherheits-IQ Ihres Entwicklungsteams zu steigern.