IT-Management Oktober 2021

26 | IT INFRASTRUKTUR
DEVSECOPS PIPELINE
EVERYTHING-AS-CODE – ANYTHING SECURE? QUO VADIS?
Die Softwareentwicklung befindet sich im
Umbruch: Beflügelt durch die digitale
Transformation erscheinen agile Konzepte
und DevOps Ansätze unumgänglich,
um mit den Anforderungen eines sich immer
schneller verändernden Marktumfeldes
Schritt halten zu können. Die aktuelle
Corona-Situation hat diesen Trend in den
letzten Monaten sogar noch verschärft.
Der Druck auf Unternehmen, innerhalb
kürzester Zeit flexible digitale Geschäftsmodelle
voranzutreiben, steigt und wird
zum kritischen Erfolgsfaktor im globalen
Wettbewerb.
Gleichzeitig durchdringt Quellcode zunehmend
etablierte Systemlandschaften
und -architekturen. Der Trend scheint klar:
„Everything is code and code is law“.
Aus großer Macht folgt große
Verantwortung
Mit diesem Bedeutungszuwachs einhergehend
wächst jedoch auch die Verantwortung
von Softwareentwicklern in Hinblick
auf nicht-funktionale (Security-)Anforderungen.
Denn auch die Anzahl von
Cyber-Attacken und Sicherheitsvorfällen
steigt seit Jahren kontinuierlich. Es stellt
sich die Frage, wie gut Entwickler von
heute in Bezug auf die Schaffung der zukunftsfähigen
und sicheren Infrastrukturen
von morgen vorbereitet sind.
Ein guter Indikator hierfür ist das Top 10
Projekt der OWASP Foundation, welches
die kritischsten Schwachstellen in Web
Applikationen in regelmäßigen Abständen
dokumentiert.
Der direkte Vergleich des aktuellen Release
mit der vorherigen Version des
Benchmarks stimmt aus Security Sicht leider
nur bedingt optimistisch:
KRITISCHE SCHWACHSTELLEN IN WEB APPLIKATIONEN
OWASP Top 10 – 2013 â OWASP Top 10 – 2017
A1 – Injection Ú A1:2017 – Injection
A2 – Fehler in Authentifizierung und
Session Mgmt
Ú
A3 – Cross Site Scripting (XSS)
A4 – Unsichere direkte Objektreferenzen
[mit A7]
à
A5 – Sicherheitsrelevante
Fehlkonfiguration
à
A6 – Verlust der Vertraulichkeit sensibler
Daten
Þ
A7 – Fehlerhafte Autorisierung auf
Anw.- Ebene [mit A4]
A8 – Cross Site Request Forgery (CSRF)
U
U
A9 – Nutzung von Komponenten mit
bekannten Schwachstellen
Ú
A10 – Ungeprüfte Um- und Weiterleitungen
A2:2017 – Fehler in der Authentifizierung
A3:2017 – Verlust der Vertraulichkeit
sensibler Daten
A4:2017 – XML External Entities (XXE)
[NEU]
A5:2017 – Fehler in der Zugriffskontrolle
[vereint]
A6:2017 – Sicherheitsrelevante Fehlkonfiguration
A7:2017 – Cross-Site Scripting (XSS)
A8:2017 – Unsichere Deserialisierung
[NEU, Community]
A9:2017 – Nutzung von Komponenten mit
bekannten Schwachstellen
A10:2017 – Unzureichendes Logging
Moniting [NEU, Community]
(Quelle: https://owasp.org/www-pdf-archive/OWASP_Top_10-2017_%28en%29.pdf.pdf
DIE WICHTIGSTEN SCHRITTE ZUM AUFBAU EINER
SICHEREN CI-/CD-PIPELINE SIND UND BLEIBEN DER WISSENS-
AUFBAU IM BEREICH SECURITY BEI ALLEN INVOLVIERTEN
SOFTWAREENTWICKLERN SOWIE DIE SENSIBILISIERUNG FÜR
RISIKEN UND SCHWACHSTELLEN.
Jan Sudmeyer, Managing Partner, carmasec GmbH & Co.KG, www.carmasec.com
www.it-daily.net