Sichere Entwicklung sollte das Immunsystem der AppSec sein

Als Experte für Anwendungssicherheit ist es Ihre Aufgabe, die Cybersicherheit der Anwendungen Ihres Unternehmens zu gewährleisten. Sie sind jedoch nicht dafür verantwortlich, den Code zu schreiben, auf dem die Anwendung läuft. Das sind die Ingenieure im Entwicklungsteam. Wie stellen Sie also sicher, dass diese Systeme mit Blick auf die Sicherheit entwickelt werden?

Höchstwahrscheinlich tun Sie bereits einige oder sogar alle der folgenden Dinge:

• Überprüfung des gesamten Codes auf Sicherheitslücken und Meldung an das Entwicklungsteam zur Behebung.
• Durchsetzung eines strengen Peer-Review-Prozesses während des gesamten sicheren Entwicklungslebenszyklus.
• Regelmäßige Durchführung von Anwendungsbewertungen bzw. Penetrationstests durch interne oder externe Sicherheitsteams.
• Implementierung von Scan-Tools zur Erkennung von Schwachstellen.
  

Das sind hervorragende Best Practices, aber sie sind auch teuer und vergleichbar mit der Einnahme von Antibiotika bei jeder kleinen Krankheit. Das ist nicht nur kostspielig, sondern verliert mit der Zeit an Wirksamkeit und kann das Immunsystem schwächen.

Wie sorgen Sie also dafür, dass der Code, den Entwickler ausliefern, von Anfang an sicher geschrieben wird?

Abgesehen vom sicheren Programmieren: Denken Sie zunächst daran, wie Menschen lernen. Die meisten von uns sind visuelle Lerner und lernen durch Handeln. Dennoch wird Sicherheitsschulung für Entwickler oft als reine Pflichtübung angeboten, die für die tägliche Arbeit kaum relevant ist. Sie dient meist nur dazu, die Einhaltung von Industriestandards nachzuweisen, und nicht dazu, dass Entwickler das Wissen tatsächlich behalten – geschweige denn Freude am Lernprozess haben.

Eine weitere Art, wie Menschen lernen, ist durch Fehler – genau wie unser Immunsystem. T-Zellen „erinnern“ sich an Krankheitserreger, die sie in der Vergangenheit erfolgreich bekämpft haben, um uns in Zukunft vor ihnen zu schützen. Genau diese Rolle sollten Entwickler in Ihrem sicheren SDLC spielen.

Es ist unrealistisch zu erwarten, dass sie keine Fehler machen, aber Sie können sie so vorbereiten, dass sie Codierungsmuster erkennen, die in Zukunft zu Sicherheitslücken führen könnten.

Genau hier wird ein robuster Peer-Review-Prozess so wirkungsvoll. Nur weil ein Entwickler eine Sicherheitslücke übersieht, heißt das nicht, dass ein anderer sie nicht bemerkt. Und je besser das Entwicklungsteam als Ganzes geschult ist, desto wahrscheinlicher ist es, dass Schwachstellen frühzeitig erkannt werden und es nie bis in die Produktion schaffen.

Software-Schwachstellen sind wie Krankheitserreger

Software-Schwachstellen sind wie Krankheitserreger: Man muss sie kennen, um sie bekämpfen zu können. Bei Krankheitserregern muss unser Immunsystem oft mehrfach exponiert werden, bevor es weiß, wie es sie abwehren kann, um schwere Krankheiten oder Schlimmeres zu verhindern.

Ein erfolgreicher Cyberangriff auf anfällige Software kann ein Unternehmen schwer schädigen oder sogar ruinieren. Wenn Entwickler jedoch in einer kontrollierten Umgebung mit Software-Schwachstellen vertraut gemacht werden, können sie eine Immunität gegen diese Bedrohungen aufbauen, indem sie ihr Wissen und ihre Fähigkeiten im Bereich sicherer Programmierung regelmäßig erweitern und anwenden.

Konfrontieren Sie Entwickler in einer kontrollierten Umgebung mit Sicherheitslücken

Wir können uns nie vollständig vor Krankheiten schützen, aber wir können unser Immunsystem stärken, um so gesund wie möglich zu bleiben. Regelmäßige Bewegung, gesunde Ernährung und ausreichend Schlaf sind Lebensstilentscheidungen, die mit einem starken Immunsystem verbunden sind. All das erfordert jedoch etwas Anstrengung und muss kontinuierlich erfolgen. Eine Woche lang täglich joggen oder einen Monat lang auf Alkohol verzichten, wird kaum einen nachhaltigen Effekt auf Ihre Gesundheit haben. Es ist auch nicht ratsam, gleich am ersten Tag einen 10-km-Lauf zu absolvieren. Wir müssen unser Herz und unsere Muskeln erst langsam an die Belastung gewöhnen. Außerdem wissen wir, dass es etwas Experimentieren erfordert, bis wir die richtige Balance für unseren Körper sowie gesunde Lebensmittel und Sportarten gefunden haben, die uns Spaß machen.

Bei der sicheren Softwareentwicklung ist das nicht anders. Lernen braucht Zeit und Übung, und Entwickler benötigen das gleiche kontinuierliche Training, um ihre Fähigkeiten im sicheren Programmieren regelmäßig zu verbessern. Zudem entwickelt sich Software ständig weiter, was bedeutet, dass sich auch die Schwachstellen verändern. Deshalb reicht ein einmaliger Schulungskurs nicht aus. Entwickler brauchen regelmäßige Weiterbildungen, um mit potenziellen Bedrohungen vertraut zu bleiben und sich effektiv dagegen verteidigen zu können.

Streben Sie eine Herdenimmunität innerhalb des Entwicklungsteams an

Eine einzelne Person kann nicht alle Sicherheitsprobleme verhindern. Es ist großartig, Security Champions im Team zu haben, aber für den besten Schutz gilt: Je mehr Leute über Sicherheitslücken und deren Vermeidung Bescheid wissen, desto besser stehen die Chancen für Ihr Unternehmen. Auch das ist vergleichbar mit dem Immunsystem, das verschiedene Arten von T-Zellen für unterschiedliche Aufgaben besitzt. Jeder einzelne Entwickler ist Teil eines Teams, das für Sicherheit sorgt. Wenn sie dazu befähigt werden, Verantwortung zu übernehmen, diese gut umzusetzen und sogar Freude daran zu haben, können Sie als Ergebnis eine Herdenimmunität gegen Cyberbedrohungen innerhalb Ihres Entwicklungsteams schaffen.

Sicherheit durch regelmäßige Wiederholung festigen

Unser Gehirn lernt ähnlich wie unser Immunsystem. Der deutsche Psychologe Hermann Ebbinghaus war ein Pionier auf dem Gebiet des Lernens und Gedächtnisses. Er erkannte, dass Lernen ein Prozess ist, der Zeit braucht und durch mehrere Lerneinheiten gefestigt werden muss. In der Schule wird von uns nie erwartet, dass wir neues Wissen nach der ersten Einführung sofort beherrschen. Zuerst wird uns der Stoff vermittelt, dann üben wir ihn unter Anleitung und schließlich selbstständig. Und selbst wenn wir den Stoff gut genug beherrschen, um eine Prüfung zu bestehen, gerät er oft schnell wieder in Vergessenheit, wenn wir das Gelernte nicht regelmäßig anwenden. Wer von uns kann schon behaupten, sich noch an sein Schulfranzösisch zu erinnern?

Wie können wir also ernsthaft glauben, dass ein einziger Tag, an dem man sich Folien ansieht und einem Vortrag über Sicherheit zuhört, dazu führt, dass die anwesenden Entwickler in Zukunft sicherer programmieren?

Die immer gleichen Schwachstellen zeigen uns, dass das einfach nicht funktioniert.

Wie erreicht man also eine Immunität bei der sicheren Softwareentwicklung?

Die Antwort liegt in unserer Natur. Körper und Geist funktionieren nach denselben Prinzipien und bieten wunderbare Lösungen für Probleme – vorausgesetzt, wir arbeiten mit ihnen und nicht gegen sie.

Um die Sicherheit Ihrer Anwendungen zu gewährleisten, müssen Sie damit beginnen, Ihre Entwickler darin zu schulen, sicheren Code zu schreiben. Andernfalls wird das AppSec-Team weiterhin seine gesamte Zeit damit verbringen, den gesamten Code auf Sicherheitslücken zu prüfen und dieselben wiederkehrenden Schwachstellen an die Entwicklung zu melden, nur damit diese schnell behoben werden, ohne dass ein Lerneffekt eintritt. Und beim nächsten Release beginnt das Ganze wieder von vorn.

Fassen wir also zusammen.

Wenn Sie mit Ihren Entwicklungsleitern zusammenarbeiten, implementieren Sie nicht nur einen sicheren SDLC und erfüllen die Compliance-Anforderungen für Sicherheitsschulungen, sondern nehmen auch echten Einfluss auf den Entwicklungsprozess. Das Beste daran: Das AppSec-Team muss keine wiederkehrenden Schwachstellen mehr an die Entwicklungsteams melden, und die Entwickler verbringen weniger Zeit mit deren Behebung. So bleibt ihnen mehr Zeit für die Entwicklung und Verbesserung der großartigen Software, die unsere Welt besser macht.

Bereit, Ihr Entwicklungsteam weiterzubilden? Buchen Sie eine Demo mit uns.