So werden Sie ein erstklassiger DevSecOps-Engineer

Genau wie die Technologie selbst entwickeln sich auch die Werkzeuge, Techniken und optimalen Prozesse für die Softwareentwicklung rasant weiter. Wir Menschen haben ein unstillbares Bedürfnis nach mehr Software, mehr Funktionen und mehr Möglichkeiten... und wir wollen das alles schneller als je zuvor, qualitativ hochwertiger und obendrein: sicher. Noch vor wenigen Jahren war die agile Entwicklung das nächste große Ding, um umfangreiche Arbeitsabläufe in kleinere Einheiten zu unterteilen und schnell auf Kundenfeedback reagieren zu können. Davor war das Wasserfallmodell das Maß aller Dinge.

Während viele Menschen und Unternehmen den Schritt von Waterfall zu Agile vollziehen – und seien wir ehrlich, noch sind nicht alle so weit –, stoßen sie bereits auf ein neues Problem: Entwicklungsteams und ihre Kollegen aus dem Betrieb arbeiten immer noch in Silos. Wie können in diesem Umfeld kleine, agil arbeitende Teams das Versprechen einer schnelleren Bereitstellung und Auslieferung einlösen?

DevOps, ein Begriff, der sich aus Development (Entwicklung) und Operations (Betrieb) zusammensetzt, wurde geschaffen, um die Funktionen von Entwicklern und Betriebsteams bei der Erstellung neuer Software zu vereinen. Im Grunde sollte dies Entwicklern helfen, die Verantwortung für die Bereitstellung in die Produktion zu übernehmen, anstatt die Arbeit einfach über den Zaun an das Betriebsteam zu werfen.

Sie können sicherlich schneller ausliefern – sogar mehrmals täglich –, was gut zum agilen Ansatz zu passen scheint. DevOps schafft jedoch nach wie vor ein großes, gemischtes Team aus Ingenieuren und Betriebspersonal, was in der Realität nicht immer so agil ist, wie es scheint. Letztendlich ist es am besten, DevOps als eine Weiterentwicklung von Agile zu betrachten, da die Methoden in vielerlei Hinsicht ähnlich und in ihrer Unterschiedlichkeit komplementär sind. DevOps fördert eine automatisierte, kontinuierliche Integrations- und Bereitstellungspipeline, die für häufige Releases unerlässlich ist, auf Teamebene jedoch nicht ausreicht – und genau hier setzt Agile an. Agile ermöglicht es Teams, insbesondere kleinen Teams, mit diesen schnellen Releases und sich ändernden Anforderungen Schritt zu halten und dabei fokussiert und kollaborativ zu bleiben. Das klingt zwar ideal – und der Prozess kann Teams dabei helfen, das Endziel nicht aus den Augen zu verlieren –, ist aber nicht frei von eigenen Problemen.

Software, die nach DevOps-Best-Practices erstellt wurde, kann dennoch an der ersten großen Hürde scheitern: dem Sicherheitsteam. Wenn der Code von traditionellen AppSec-Spezialisten (nach dem Wasserfallmodell) mittels Tools oder komplexer manueller Überprüfungen untersucht wird, finden sie oft inakzeptable Risiken und Schwachstellen, die dann nachträglich behoben werden müssen. Das nachträgliche Einbauen von Sicherheits-Fixes in fertige Anwendungen ist weder schnell noch einfach... und für das Unternehmen weitaus kostspieliger.

Wenn sich die Welt also über Waterfall, Agile und nun DevOps hinausbewegt, was ist dann die Lösung? Und welche Rolle spielen Sie als Entwickler dabei, mit diesen veränderten Ansätzen Schritt zu halten?

Entwicklungstechniken befinden sich in einem ständigen Wandel, aber glücklicherweise ist dies keine allzu große Umstellung. Unternehmen müssen lediglich das „Sec“ in „DevOps“ integrieren... und so wurde DevSecOps geboren. Ein Hauptziel von DevSecOps ist es, Barrieren abzubauen und die Zusammenarbeit zwischen Entwicklungs-, Betriebs- und nicht zuletzt Sicherheitsteams zu fördern. DevSecOps ist sowohl zu einer Software-Engineering-Taktik als auch zu einer Kultur geworden, die Sicherheitsautomatisierung und Überwachung während des gesamten Softwareentwicklungslebenszyklus befürwortet.

Dies mag wie ein weiterer prozessorientierter Ansatz auf Unternehmensebene erscheinen, bei dem für einen Entwickler mit einer langen Liste von Funktionen „zu viele Köche den Brei verderben“. Die DevSecOps-Methodik eröffnet sicherheitsbewussten Entwicklern jedoch die Chance, wirklich zu glänzen.

Die glänzende Zukunft von DevSecOps

Warum sollte ein Programmierer also DevSecOps-Ingenieur werden wollen? Vielleicht haben Sie bereits Erfahrung mit DevOps (oder sogar Agile) und möchten den nächsten Schritt machen, um sich in DevSecOps zu qualifizieren. Zunächst einmal ist es gut zu wissen, dass dies ein sehr kluger Schachzug ist – und das nicht nur, um die Welt vor kostspieligen Cyberangriffen zu schützen. Experten sagen, dass die Nachfrage nach talentiertem Cybersicherheitspersonal sprunghaft ansteigt und kein Ende in Sicht ist. Wer DevSecOps beherrscht, kann eine lange und lukrative Karriere erwarten.

Die Arbeitsplatzsicherheit für DevSecOps-Ingenieure ist sogar noch höher, denn im Gegensatz zu traditionellen Cybersicherheitstaktiken wie Schwachstellen-Scans mit einer Reihe von Software-Tools erfordert DevSecOps Leute, die wissen, wie man Sicherheit direkt beim Programmieren implementiert. Wie die Analysten von Booz, Allen and Hamilton in ihrem Blogbeitrag 5 Myths of Adopting DevSecOps anmerkten, wollen und brauchen Unternehmen DevSecOps, können es aber nicht einfach kaufen. DevSecOps ist eine Methodik, die es funktionsübergreifenden Teams ermöglicht, Technologien zu integrieren und während des gesamten Softwareentwicklungslebenszyklus zusammenzuarbeiten – und das erfordert qualifizierte Mitarbeiter, Change Management und ein kontinuierliches Engagement verschiedener Stakeholder.

Laut Booz, Allen and Hamilton können Unternehmen zwar Apps und Tools für bestimmte Aspekte von DevSecOps kaufen, wie etwa Software für das Release-Management, „aber es sind letztlich Ihre Delivery-Teams, die es möglich machen.“ Sie sind es, die die kontinuierliche Verbesserung durch DevSecOps sowie den damit verbundenen kulturellen und paradigmatischen Wandel vorantreiben.

Unternehmen können kein fertiges DevSecOps-Programm „kaufen“; es muss aufgebaut und gepflegt werden – unter Verwendung einer Reihe von Tools, internem Wissen und einer Anleitung, die die Sicherheitskultur stärkt und gleichzeitig wirtschaftlich sinnvoll ist. Es ist nicht einfach, aber bei weitem nicht unmöglich.

Wie Sie in der DevSecOps-Bewegung durchstarten können

Einer der ersten Schritte auf dem Weg zum DevSecOps-Ingenieur ist die Erkenntnis, dass es sich ebenso sehr um eine Kultur wie um eine Reihe von Techniken handelt. Es erfordert den Willen, Sicherheit als festen Bestandteil in jede Zeile Code zu integrieren, die Sie schreiben, und den Wunsch, Ihr Unternehmen proaktiv zu schützen, indem Sie aktiv nach Sicherheitslücken und Schwachstellen suchen, während Sie programmieren, und diese beheben, lange bevor sie in die Produktion gelangen. Die meisten DevSecOps-Ingenieure nehmen ihren Beruf und ihre Fähigkeiten sehr ernst. Die DevSecOps-Fachorganisation hat sogar ein Manifest, in dem ihre Überzeugungen dargelegt sind.

Das Manifest ist etwas schwer verdaulich, da Manifeste selten leichte Lektüre sind. Aber im Kern gibt es ein paar Wahrheiten, die sich alle großartigen DevSecOps-Ingenieure zu eigen machen sollten, wie zum Beispiel:

• Betrachten Sie das App-Security-Team als Ihren Verbündeten. In den meisten Unternehmen stehen AppSec-Spezialisten und Entwickler auf Kriegsfuß, da fertiger Code zur Nachbesserung zurückgeschickt wird. Auch AppSec-Teams sind oft nicht gut auf Entwickler zu sprechen, da diese durch häufige Sicherheitslücken den Release verzögern können. Ein kluger DevSecOps-Engineer erkennt jedoch, dass die Ziele beider Seiten letztlich identisch sind. Sie müssen nicht beste Freunde werden, aber eine ruhige und kooperative Arbeitsbeziehung ist entscheidend für den Erfolg.
• Üben und verfeinern Sie Ihre Techniken für sicheres Programmieren. Wenn Sie Schwachstellen bereits während der Entwicklung finden, können Sie Angreifern den Weg versperren. Dies erfordert natürlich ein Verständnis für Sicherheitslücken und die passenden Tools. Die Secure Code Warrior-Blogseiten bieten Einblicke in die häufigsten und gefährlichsten Schwachstellen sowie praktische Ratschläge und Herausforderungen, um Ihr Wissen zu testen. Das Wichtigste ist, Sicherheit stets im Blick zu behalten und sich Zeit für kompakte Trainingseinheiten zu nehmen, die auf vorhandenem Wissen aufbauen. Interaktionen mit dem Security-Team werden oft als negativ empfunden, doch Weiterbildung in diesem Bereich ist ein hervorragender Karriereschritt, der nicht mühsam sein muss.
• Denken Sie daran: DevSecOps-Superstars tragen zu einer positiven Sicherheitskultur in ihrem Unternehmen bei. Anstatt sich nur auf alte Ziele wie schnelle Bereitstellung trotz Mängeln zu konzentrieren, sollte das Finden und Beheben von Schwachstellen im Code oberste Priorität haben. Sicherheit ist eine Gemeinschaftsaufgabe, und der Erfolg bei der Bereitstellung sicherer Anwendungen sollte gemeinsam gefeiert werden.

Sie können eine großartige Sicherheitskultur in Ihrem Unternehmen fördern, indem Sie sich für sicheres Programmieren und Best Practices einsetzen, Schulungslösungen empfehlen und sicherstellen, dass in der schnelllebigen Welt von DevSecOps niemand zurückgelassen wird. Nur sicherer Code ist guter Code, und kompetente, sicherheitsbewusste Entwickler sind ein entscheidender Teil des Puzzles. Die persönlichen und beruflichen Vorteile sind die Mühe wert, und angesichts von jährlich Milliarden kompromittierter Datensätze brauchen wir Sie. Übernehmen Sie Verantwortung an vorderster Front und helfen Sie dabei, unsere digitale Welt zu schützen.

Dr. Matias Madou ist CTO und Mitgründer von Secure Code Warrior. Er ist Sicherheitsexperte, langjähriger Entwickler und Fortnite-Fan.