DevSecOps: Schneller sichere Software
Illustration: Absmeier Geralt
Immer wieder sorgen Datenverluste und Datenschutzverletzungen aufgrund fehlerhafter Software für Schlagzeilen. Auf der einen Seite werden Cyberkriminelle immer findiger, wenn es darum geht, Sicherheitslücken auszunutzen. Andererseits verschärfen Regierungen und Regulierungsbehörden zurecht die Bestimmungen zum Datenschutz. Das hat in vielen Unternehmen zu der Situation geführt, dass die IT-Sicherheitsspezialisten der beschleunigten Entwicklung von Software durch den Einsatz von DevOps kritisch gegenüberstehen. DevOps-Teams hingegen betrachten ihre Kollegen im Cybersecurity-Team häufig als Bremsen.
Einige Organisationen haben darum einen »Shift Security Left«-Ansatz gewählt, der die Sicherheit früher in den Entwicklungsprozess integriert und haben dem Ganzen den Namen »DevSecOps« gegeben. So konnten sie zwar die Qualität der freigegebenen Software verbessern, aber die Sicherheitsrisiken blieben im Prozess selbst und schränkten die Fähigkeit des Unternehmens ein, Probleme im Entwicklungsprozess zu erkennen und zu beheben. DevSecOps, das diesen Namen verdient, muss über den »Shift Security Left«-Ansatz hinausgehen und die Sicherheit überall berücksichtigen anstatt sie »nach links« zu verlagern, ein »Shift Security Everywhere« sozusagen. Durch das Einbinden von Sicherheitsprozessen und -technologien in die automatisierten Abläufe des Software Delivery Management (SDM) können Unternehmen mehr Probleme vor der Freigabe entdecken, Drifts erkennen und auf elegante Weise auf Probleme nach der Veröffentlichung reagieren. DevSecOps in dieser Form gewährleistet, dass die Software während der Entwicklung, der Auslieferung und im Produktivbetrieb sicher ist.
Gute Ausgangsbasis
DevOps beziehungsweise SDM bietet die ideale Basis für die Entwicklung sicherer Software. Standardbestandteile von DevOps wie Automatisierung, Test-Orchestrierung, kurze Feedback-Schleifen, verbesserte Transparenz und Zusammenarbeit sowie konsistente Release-Praktiken sorgen dafür, dass Sicherheit ein zentraler Aspekt aller Stufen der Pipeline werden kann, von der Code-Entwicklung und dem Testen über die Infrastrukturkonfiguration bis hin zur Bereitstellung und Nutzung im Produktivumfeld. Die folgenden neun Punkte lassen sich mit DevOps und Automatisierung realisieren und sollten von Unternehmen entsprechend umgesetzt werden.
- Sicherheit von Beginn an
Sicherheit muss bereits in den ersten Phasen des DevOps-Prozesses eine wesentliche Rolle spielen, und darf nicht erst am Ende der Entwicklung betrachtet und getestet werden. Genauso wie andere Qualitätsaspekte muss die Sicherheit Gegenstand der Tests werden, die regelmäßig im Entwicklungsprozess stattfinden. Genauso wie Continuous Integration durch kürzere Test- und Feedback-Schleifen »Shifting Everywhere« ermöglicht und so dafür sorgt, dass Fehler früher im Entwicklungsprozess erkannt werden, sorgt »Shift Security Everywhere« durch automatisierte Security- und Compliance-Test sowie den Einsatz bereits zugelassener Komponenten für sichere Software.
- Automatische Sicherheit
Je mehr Tests und Prozesse automatisiert werden, desto stärker sinkt das Risiko, dass Sicherheitslücken durch menschliche Fehler entstehen. Automatisierte Tests sind effizienter und können mehr Aspekte abdecken. Die Abläufe sind konsistenter und vorhersehbarer. Wenn also doch etwas schiefläuft oder eine unsichere Komponente in die Pipeline eingeschleust wird, ist es mit Automatisierung einfacher, die Ursache des Problems zu finden und zu beheben und sicherzustellen, dass gefährdeter Code nie in die Produktivumgebung gelangt.
- Durchgängige Sicherheit
Wenn verschiedene Funktionen und Teams im Unternehmen Tools gemeinsam nutzen und für die Verwaltung der Software-Entwicklung eine einzige, sichere Pipeline-Orchestrierungsplattform einsetzen, erhalten Unternehmen Transparenz und Kontrolle über den gesamten Lebenszyklus. Die automatisierte Pipeline wird zu einem Closed-Loop-Prozess, um Sicherheitsprobleme sofort zu testen, zu berichten und zu beheben.
- Bessere Kommunikation ohne Schuldzuweisungen
Indem Sicherheits-Tools und -Tests integraler Bestandteil der Pipeline werden, die Dev und Ops zur Bereitstellung von Updates verwenden, wird die Informationssicherheit (InfoSec) zu einer wichtigen Komponente der Bereitstellungspipeline und ein Enabler des gesamten Prozesses. Wenn alle Beteiligten auf demselben Wissensstand sind und dieselbe Pipeline nutzen, sprechen Security-, Dev- und Ops-Teams dieselbe Sprache und entwickeln ein gemeinsames Verständnis der jeweiligen Situation. Schuldzuweisung nach einem Vorfall werden durch inkrementelle Korrekturen am Anwendungscode und der Pipeline ersetzt, die Probleme beheben, sobald sie auftreten.
- Schnell handeln
Leider kann es trotzdem gelegentlich zu Sicherheitslücken oder Schwachstellen kommen, die ein schnelles Handeln erfordern. Die mittlere Zeit bis zur Erkennung und die mittlere Zeit bis zur Behebung sind zwei wichtige Kennzahlen, um Resilienz zu beurteilen. Es ist entscheidend, die Zeitspanne zwischen Erkennung und Behebung auf ein Minimum zu reduzieren. Status und Entwicklungsstand aller Komponenten, Anwendungen, Umgebungen und Pipeline-Stufen müssen permanent im Auge behalten werden. So werden Reporting und Fehlerbehebung signifikant vereinfacht und beschleunigt. Die Möglichkeit, eine Schwachstelle sofort und ohne Rollback zu beseitigen, verschafft mehr Zeit für die Entwicklung und Freigabe eines Fixes.
- Entwickler unterstützen und Governance gewährleisten
Entwickler wünschen sich, dass DevOps-Tools und Automatisierung Experimente ermöglichen und nicht einschränken. Operations und InfoSec wollen, dass DevOps-Tools Standardisierung und Compliance-Reporting bieten. Beides lässt sich mit einer geregelten und sicheren Software-Pipeline erreichen, die bestehende Technologien und Prozesse problemlos übernehmen kann und gleichzeitig inkrementelle Verbesserungen und eine kontinuierliche Neuausrichtung anhand von Unternehmensstandards ermöglicht.
- Code und Tools sichern
Genau wie der Code müssen auch die Software-Pipelines überprüfbar sein und sich leicht versionieren und umgestalten lassen, um gut zu verwaltende Systeme zu schaffen, die sowohl geschützt als auch regelkonform sind. Zugriffskontrollen sollten regeln, wer Änderungen am Code sowie an der Pipeline vornehmen darf, und vorschreiben, welche Versionen der Pipeline als Teil aller genehmigten Prozesse zu verwenden sind. So wird sichergestellt, dass niemand »versehentlich« ein kritisches Schwachstellen-Flag ändert, eine Sicherheits-Compliance-Prüfung umgeht oder ungetesteten Code einschleusen kann, ohne dass aufgezeichnet wird, wer das getan hat und warum.
- Compliance-Reports mit einem Klick
Der Hauptvorteil der Automatisierung sind konsistente, wiederholbare Ergebnisse für ähnliche Aktionen, die automatisch protokolliert und dokumentiert werden. Ein weiterer Vorteil ist der unwiderlegbare Beweis, dass das, was getan wurde, auch das ist, was versprochen wurde – die Grundlage für Compliance. Da DevOps die gesamte Pipeline umfasst, bietet es Nachvollziehbarkeit von der Code-Änderung bis zur Freigabe, was das Auditing erheblich erleichtert. Mit der Ausweitung der Automatisierung von Build-, Test- und Integrationszyklen auf Bereitstellungs- und Freigabeprozesse erfasst eine DevOps-Automatisierungsplattform gleichzeitig die Daten für den Audit Trail, das Sicherheitsprotokoll und das Compliance-Reporting. Das Compliance-Reporting wird zu einem Ein-Klick-Prozess, der manuelle Eingriffe oder stundenlanges Zurückverfolgen von manuellen Prozessen und Aktionen überflüssig macht.
- Schneller sichere Releases
Sicherheits- und Compliance-Kontrollen als integraler Bestandteil von DevOps-Workflows sind Grundlage für langfristigen Erfolg. DevSecOps richtig verstanden und umgesetzt sorgt nicht allein für bessere, sichere Software, es beschleunigt auch die Softwarebereitstellung. DevSecOps sorgt dafür, dass Probleme erkannt und behoben werden, bevor die Software in die Produktionsumgebung gelangt. Es ist ein Unterschied zwischen wenigen Minuten, die das erneute Testen eines Codes in der Entwicklungsphase dauert, und den Stunden, Tagen oder sogar Wochen, die benötigt werden, um den gesamten Release-Orchestrierungsprozess nachzuverfolgen, um den Fehler zu finden.
Alles in allem
Sicherheit, Governance und Qualitätssicherung liegen in der Verantwortung eines jeden. Sie sind nichts, das sich nachträglich behandeln lässt. Unternehmen, die die Sicherheit während der gesamten Entwicklung, Auslieferung und Produktion integrieren und mit bewährten, wiederverwendbaren Pipelines, Testschwellenwerten und automatisierter Erkennung und Behebung von Sicherheitslücken arbeiten, bringen ihre Produkte schneller auf den Markt und machen ihre Systeme widerstandsfähiger. DevOps wird so zu einer Sicherheits-Ressource statt zu einer Bedrohung: Sicherheit wird zum Weg des geringsten Widerstands.
Enterprise Software Delivery | CloudBees
251 Artikel zu "DevSecOps"
NEWS | IT-SECURITY | STRATEGIEN | TIPPS
Security-Praxistipps: Sechs DevSecOps-Metriken für DevOps- und Sicherheitsteams
30. Dezember 2020
Mitarbeiter im DevOps-Team bekommen leicht das Gefühl, dass das Sicherheitsteam dazu da ist, ihnen die Arbeit schwerer zu machen. Sicherheitsfachkräfte haben vielleicht das Gefühl, dass DevOps ihre Prioritäten nicht teilt und die Sicherheit nie so ernst nehmen wird, wie sie es gerne hätten. Glücklicherweise muss das nicht so sein. Durch das Festlegen und Verfolgen gemeinsamer…
NEWS | IT-SECURITY | AUSGABE 11-12-2020 | SECURITY SPEZIAL 11-12-2020
DevSecOps – Security in DevOps-Geschwindigkeit
13. Dezember 2020
Warum sind Sicherheit und Agilität keine Gegensätze und wie wird DevOps mit den richtigen Werkzeugen zu DevSecOps?
NEWS | IT-SECURITY | TIPPS
In 6 Schritten zu DevSecOps
23. Februar 2020
Während DevOps schon weitverbreitet ist, erkennen nun immer mehr Unternehmen, dass es entscheidend ist, nicht nur Entwicklung und Betrieb enger zu verzahnen, sondern, dass man auch Sicherheit immer von Anfang an mitdenken sollte. Dem trägt der DevSecOps-Ansatz Rechnung. Doch ebenso wie DevOps, ist dieser Ansatz kein Produkt, das man kauft, oder eine Lösung, die man…
NEWS | DIGITALISIERUNG | EFFIZIENZ | FAVORITEN DER REDAKTION | INFRASTRUKTUR | IT-SECURITY | RECHENZENTRUM | SERVICES
Cybersicherheit und Container – So funktioniert die Umstellung auf DevSecOps
5. April 2019
Die schnelle Einführung von Containern im Unternehmen sind eine einzigartige Gelegenheit dar, die generelle Sicherheitsstrategie zu verändern. Container stellen eine gute Möglichkeit dar, die Kluft zwischen Entwicklungs- und Sicherheitsteams zu überbrücken. Ist es möglich, dass Container das Unternehmen einen Schritt näher an DevSecOps heranbringen? Palo Alto Networks nimmt das Thema unter die Lupe. Computing hat…
NEWS | DIGITALISIERUNG | EFFIZIENZ | IT-SECURITY | SERVICES | STRATEGIEN
DevSecOps: Unternehmen müssen umdenken, um in der Softwareentwicklung erfolgreich zu sein
13. Februar 2018
Hindernis für die Integration von Sicherheit in die gesamte Softwareentwicklung sei laut der weltweiten Studie die bestehende Unternehmenskultur. Im Zentrum der weltweiten Studie »Integrating Security into the DNA of Your Software Lifecycle« von CA Technologies stand die Frage, wie sich die Kultur eines Unternehmens auf dessen Fähigkeit auswirkt, Sicherheit in den gesamten Software-Entwicklungsprozess einzubinden.…
NEWS | BUSINESS PROCESS MANAGEMENT | DIGITALISIERUNG | EFFIZIENZ | INFRASTRUKTUR | IT-SECURITY | LÖSUNGEN | SERVICES | TIPPS
DevSecOps: Wie sich Microservices auf die Anwendungssicherheit auswirken
23. Oktober 2017
Die Architektur von Software verändert sich grundlegend – Microservices sind auf dem Vormarsch. Drei zentrale Herausforderungen, die das für die Anwendungssicherheit mit sich bringt. Microservices sind im Software Development schon seit mehreren Jahren auf dem Vormarsch. Viele kleine Services anstatt einzelner monolithischer Applikationen zu entwickeln, bietet in der Tat zahlreiche Vorzüge. Eine kleine Auswahl der…
NEWS | IT-SECURITY | LÖSUNGEN
Digitaler Frühjahrsputz: Effizientes Rollenmodell bringt Rechtestrukturen wieder in geordnete Bahnen
9. April 2021
In Unternehmen sollte gemäß dem Need-to-know-Prinzip stets sichergestellt sein, dass alle Mitarbeiter die richtigen und notwendigen Berechtigungen besitzen, um ihre Tätigkeiten ausüben zu können. Verschiedene betriebliche Anforderungen, beispielsweise ein Abteilungswechsel oder temporäre Projekte, führen jedoch oftmals dazu, dass bestimmte Rechte neu vergeben werden müssen.
Read the full article
