Damit Entwickler das Biest der Cyberkriminalität bezwingen können, ist die Schulung eine Quest in zwei Teilen

Eine Version dieses Artikels erschien auf DevOps.com. Er wurde aktualisiert und hier erneut veröffentlicht.

Die Ausgangslage zwischen Helden und Schurken in der Cybersicherheit ist notorisch unfair. Sensible Daten sind das neue Gold, und Angreifer passen sich schnell an, um Abwehrmechanismen zu umgehen und Sicherheitslücken – ob groß oder klein – für ihre Zwecke auszunutzen.

Das Volumen des produzierten Codes ist zu groß, als dass Sicherheitsexperten – die ohnehin immer knapper werden – damit Schritt halten könnten, und die steigenden Kosten von Datenpannen beweisen, dass sich etwas ändern muss. Glücklicherweise trägt die DevSecOps-Bewegung dazu bei, Entwickler von Beginn des Softwareentwicklungsprozesses an in die Sicherheitsstrategie einzubinden – zum Wohle unserer digitalen Sicherheit und zur Entlastung der CISOs weltweit. Sie werden als erste Verteidigungslinie gegen Cyberangreifer anerkannt und haben die Möglichkeit, häufige Schwachstellen direkt an der Quelle zu eliminieren.

Ihre Verteidigungsfähigkeiten sind jedoch nur so gut wie die Schulung, die sie erhalten, und das ist eine weitere Hürde für Sicherheitsteams. Für viele Entwickler, die während der Arbeit in sicherem Programmieren geschult werden, besteht die größte Herausforderung darin, bei langweiligen, rein theoretischen Inhalten wach zu bleiben, die weder effektiv sind noch dazu motivieren, Sicherheit in den Vordergrund zu stellen. Seelenlose Videokurse bringen uns nicht weiter, jährliche Pflichtveranstaltungen zum „Abhaken“ sind Zeitverschwendung, und niemand gewinnt gegen den potenziellen Angreifer, der nur auf eine kleine Gelegenheit wartet.

In unserer Branche haben wir inzwischen erkannt, dass kontextbezogene, praxisnahe Schulungen, die in relevanten Programmiersprachen und Frameworks vermittelt werden und Herausforderungen bieten, wie sie Entwicklern in der realen Welt begegnen, ein weitaus effektiverer Ansatz sind.

Dies ist die erste Phase auf dem Weg der Entwickler, AppSec-Gurus bei der Beseitigung häufiger Schwachstellen zu unterstützen. In der zweiten Phase müssen die Szenarien jedoch realistisch werden, um eine schlagkräftige, sicherheitsbewusste Verteidigungstruppe zu schaffen.

Gerüstgestütztes Lernen ist in der Erwachsenenbildung entscheidend

Bei externen Kursen oder betrieblichen Schulungen wird oft übersehen, dass Erwachsene bereits ein gewisses Maß an Erfahrung und Vorwissen mitbringen. Gute Schulungen bauen auf diesem Fundament auf und sind so strukturiert, dass sie ein tieferes Verständnis und eine schnellere Autonomie im Lernprozess ermöglichen.

Gerüstgestütztes Lernen (Scaffolded Learning) ist eine wirkungsvolle und positive Methode, die darauf abzielt, Vorerfahrungen zu aktivieren und zu erweitern, während gleichzeitig neue Fähigkeiten in überschaubaren Einheiten aufgebaut werden. Dies ermöglicht es den Lernenden, zunehmend schwierigere Aufgaben mit mehr Selbstvertrauen zu bewältigen. Typischerweise ist dies eine Methodik, die am besten mit einer gesunden Portion Demonstration, visuellen Hilfsmitteln und eigenständiger Erkundung funktioniert.

Überträgt man diesen Ansatz auf die Sicherheitsschulung für Entwickler, überrascht es nicht, dass die dynamische „Learning-by-Doing“-Methode der drögen, theoriebasierten Wissensvermittlung längst vorgezogen wird. Entwickler sollten die Freiheit haben, ihre Arbeit selbst zu meistern, und sehen, dass ihre Zeit sinnvoll investiert ist.

In diesem Sinne ist das Erlernen von sicherem Programmieren in einer hochrelevanten, kontextbezogenen Umgebung der Schlüssel. Der nächste Schritt besteht jedoch darin, einen Exploit von anfälligem Code in Aktion zu sehen. Durch die gleichzeitige Darstellung von Frontend- und Backend-Ansichten entsteht eine greifbare Verbindung zwischen den Handlungen während des Programmierens und dem, was ein Angreifer potenziell mit Abkürzungen, Fehlkonfigurationen oder Versehen anstellen kann, die nicht erkannt und behoben werden.

Vom reinen Abrufen zum Anwenden: für einen wirklich präventiven Sicherheitsansatz

Die Auswirkungen von Sicherheitslücken aus erster Hand zu erleben, ist ein entscheidendes Puzzleteil der Ausbildung – und selbst bei modernsten Sicherheitsschulungen für Entwickler noch eine Seltenheit. Die grundlegende Arbeit, Fähigkeiten beim Erkennen und Beheben von Schwachstellen zu schärfen und diese Erfahrung zu nutzen, um dieselben Fehler beim Schreiben von Code zu vermeiden, ist extrem wichtig, aber eben nicht das ganze Bild. Zu sehen, wie anfälliger Code von einem Angreifer ausgenutzt wird, fügt eine wirkungsvolle Kontextschicht hinzu. Dies verdeutlicht, wie wichtig es ist, Code abzusichern und das hart erarbeitete Sicherheitswissen anzuwenden, um jede Sicherheitslücke zu schließen.

Es ist allgemein bekannt, dass Entwickler Sicherheit nicht lieben und Sicherheitsschulungen noch weniger mögen. Ihre Erfahrungen mit AppSec-Spezialisten können sehr unterkühlt sein, und die Nacharbeit, die entsteht, wenn das Sicherheitsteam anfälligen Code zur Korrektur an die Entwickler zurückgibt, ist ihnen ein Dorn im Auge. Für ein ohnehin überlastetes Engineering-Team ist Sicherheit das Problem anderer Leute, keine Priorität und ein Hindernis für ihre Kreativität und ihr Hauptziel: das Entwickeln von Funktionen. Doch es gibt schlicht zu viel Code, zu viele Sicherheitsverletzungen und zu große Risiken für die weltweiten Daten, als dass diese Einstellung fortbestehen könnte.

Ein funktionierender DevSecOps-Prozess sorgt dafür, dass Entwickler und Sicherheitsteams von Beginn des SDLC an harmonisch zusammenarbeiten. Die Möglichkeit zum angewandten Lernen, bei dem sie mit einem simulierten Exploit interagieren und die Auswirkungen von schlecht gesichertem Code sehen können, trägt wesentlich dazu bei, dass Entwickler und die „lästigen“ AppSec-Leute (die eigentlich gar nicht so schlimm sind) an einem Strang ziehen.

Interaktives Lernen bereitet Entwickler auf den „Bosskampf“ vor

Zum Zeitpunkt der Erstellung dieses Artikels wurden innerhalb von 7 Tagen zwei große Sicherheitsverletzungen gemeldet: Razer gab bekannt, dass über 100.000 sensible Datensätze offengelegt wurden, während die Bürobedarfs-Kette Staples ebenfalls ein ähnliches Datenleck meldete. Allein im Jahr 2020 wurden bereits über eine Milliarde sensible Datensätze offengelegt, und dieser besorgniserregende Trend zeigt keine Anzeichen einer Abschwächung. Einfach ausgedrückt: Die Angreifer haben die Oberhand, und sicherheitsbewusste Entwickler werden dringend als erste Verteidigungslinie benötigt.

Interaktive Herausforderungen, die solche Sicherheitsverletzungen simulieren, führen Entwickler weg vom passiven Auswendiglernen, hin zur praktischen Anwendung von Fähigkeiten, die beim eigentlichen Endgegner zählen: Angreifer effektiv zu stoppen.

‍