Eine Version dieses Artikels erschien in DevOps.de. Er wurde aktualisiert und hier syndiziert.

Das Spielfeld zwischen den Helden und Schurken in der Cybersicherheit ist notorisch unfair. Sensible Daten sind das neue Gold, und Angreifer passen sich schnell an, um Schutzmaßnahmen zu umgehen, indem sie große und kleine Sicherheitslücken ausnutzen, um an Geld zu kommen.

Die Menge des produzierten Codes ist zu groß, als dass Sicherheitsexperten - von denen es immer weniger gibt - damit fertig werden könnten, und die steigenden Kosten für Datenverletzungen sind der Beweis dafür, dass etwas geschehen muss. Glücklicherweise hilft die DevSecOps-Bewegung im Interesse unserer digitalen Sicherheit und der Vernunft von CISOs auf der ganzen Welt dabei, Entwickler von Beginn des Softwareentwicklungsprozesses an auf die Sicherheitsreise mitzunehmen. Sie werden als erste Verteidigungslinie gegen Cyberangreifer anerkannt und haben es in der Hand, gängige Schwachstellen zu beseitigen.

Allerdings sind ihre Verteidigungsfähigkeiten nur so gut wie das Training, das sie erhalten, und das ist ein weiterer Spießrutenlauf, den Sicherheitsteams durchlaufen müssen. Für viele Entwickler, die am Arbeitsplatz in sicherer Programmierung geschult werden, besteht die größte Herausforderung darin, bei betäubenden, praxisfernen Aktivitäten wach zu bleiben, die weder effektiv sind, noch sie dazu inspirieren, die Sicherheit im Auge zu behalten. Seelenlose Videos courses bringen uns nicht weiter, die alljährlichen "Tick-the-Box"-Veranstaltungen sind Zeitverschwendung und niemand gewinnt gegen potenzielle bösartige Bedrohungsakteure, die nur darauf warten, ein kleines Zeitfenster zu nutzen.

In diesem Stadium unserer Branche haben wir herausgefunden, dass kontextbezogener, praktischer Unterricht, der in relevanten Programmiersprachen und Frameworks vermittelt wird, mit Herausforderungen, die diejenigen nachahmen, mit denen ein Entwickler in der realen Welt konfrontiert werden könnte, ein weitaus ansprechenderer Ansatz ist.

Dies ist die erste Phase, in der die AppSec-Gurus den Entwicklern dabei helfen, häufige Schwachstellen zu beseitigen. In der zweiten Phase müssen die Szenarien jedoch realistisch werden, um eine superstarke, sicherheitsbewusste Abwehrkraft zu schaffen.

Gerüstgestütztes Lernen ist in der Erwachsenenbildung entscheidend

Wenn es um außerschulisches courses oder Training am Arbeitsplatz geht, wird oft übersehen, dass Erwachsene ein gewisses Maß an Erfahrung und vorhandenem Wissen mitbringen. Ein gutes Training ergänzt dieses Fundament und ist so strukturiert, dass ein tieferes Verständnis und eine schnellere Selbstständigkeit im Lernprozess möglich sind.

Der gerüstgestützte Unterricht ist eine wirksame, positive Lernmethode, die darauf abzielt, frühere Erfahrungen zu aktivieren und zu verbessern, während weiterhin neue Fähigkeiten aufgebaut werden - in überschaubaren Abschnitten -, die es dem Lernenden ermöglichen, zunehmend schwierigere Aufgaben mit mehr Selbstvertrauen anzugehen. Typischerweise ist es eine Methode, die am besten mit einer gesunden Portion an Demonstration, visuellen Hilfsmitteln und schülergeführter Erkundung funktioniert.

Wenn wir diesen Ansatz auf die Sicherheitsschulung von Entwicklern zurückführen, ist es nicht verwunderlich, dass die dynamische Learning-by-Doing-Methode seit langem der Plackerei des theoriebasierten statischen Lernens vorgezogen wird. Sie sind frei, die Meister ihrer Domäne zu sein, und sollten sehen, dass ihre Zeit gut genutzt wird.

In diesem Sinne ist das Erlernen von sicherem Code in einer hyper-relevanten, kontextbezogenen Umgebung der Schlüssel, aber der "Level up" von diesem Schritt ist es, einen Exploit von verwundbarem Code in Aktion zu sehen. Mit dem Kontext der Frontend- und Backend-Ansichten nebeneinander gibt es eine greifbare Verbindung zwischen den Aktionen, die während des Codierungsprozesses durchgeführt werden, und dem, was ein Angreifer potenziell mit abgeschnittenen Ecken, Fehlkonfigurationen oder Unfällen anrichten kann, die nicht abgefangen und behoben werden.

Wechseln Sie vom Rückruf zur Anwendung für einen wirklich präventiven Sicherheitsansatz

Die Auswirkungen von Sicherheitslücken aus erster Hand zu erfahren, ist ein wichtiger Teil des Ausbildungspuzzles, und es ist eine ziemlich seltene Angelegenheit, selbst bei den modernsten Sicherheitsschulungsoptionen für Entwickler. Die grundlegende Arbeit, die damit verbracht wird, die Fähigkeiten im Aufspüren und Beheben von Schwachstellen zu verfeinern, und diese Erfahrung abzurufen, um die gleichen Fehler im Code zu beseitigen, während er geschrieben wird, ist extrem wichtig, aber es ist nicht das ganze Bild. Zu sehen, wie anfälliger Code von einem böswilligen Akteur ausgenutzt wird, fügt eine wichtige Kontextebene hinzu, die wirklich deutlich macht, wie wichtig es ist, den Code zu sichern und das hart erarbeitete Sicherheitswissen anzuwenden, um jedes Fenster der Gelegenheit zu schließen.

Es ist allgemein bekannt, dass Entwickler die Sicherheit nicht lieben, und sie haben noch weniger Zuneigung für Sicherheitsschulungen. Ihre Erfahrungen mit AppSec-Spezialisten können sehr frostig sein, und die Nacharbeit, die dadurch entsteht, dass das Sicherheitsteam anfälligen Code zur Behebung an die Entwickler zurückschickt, ist der Fluch ihrer Existenz. Für ein Entwicklungsteam, das ohnehin schon überlastet ist, ist Sicherheit das Problem von jemand anderem, nicht ihre Priorität und ein Hindernis für ihre natürliche Kreativität und ihr primäres Ziel, Funktionen zu entwickeln. Es gibt jedoch einfach zu viel Code, zu viele Sicherheitslücken und zu viele Risiken für die Daten der Welt, als dass diese Denkweise fortbestehen könnte.

In einem funktionierenden DevSecOps-Prozess arbeiten die Entwickler bereits zu Beginn des SDLC mit den Sicherheitsteams zusammen. Die Möglichkeit des angewandten Lernens, bei dem sie mit einem simulierten Exploit interagieren und die Auswirkungen von schlecht gesichertem Code sehen können, trägt wesentlich dazu bei, dass die Entwickler mit den lästigen AppSec-Leuten (die doch gar nicht so schlecht sind) auf einer Wellenlänge sind.

Interaktives Lernen bereitet Entwickler auf den Bosskampf vor

Zum Zeitpunkt der Erstellung dieses Artikels wurden innerhalb von 7 Tagen zwei größere Sicherheitsverletzungen gemeldet: Razer gab bekannt, dass über 100.000 sensible Datensätze offengelegt wurden, während die Büroartikelkette Staples ein ähnliches Datenleck meldete. Im Jahr 2020 wurden bisher über eine Milliarde sensibler Datensätze offengelegt, und dieser besorgniserregende Trend zeigt keine Anzeichen einer Verlangsamung. Einfach ausgedrückt: Böswillige Akteure haben die Oberhand, und sicherheitsbewusste Entwickler werden dringend benötigt, um als erste Verteidigungslinie zu dienen.

Interaktive Herausforderungen, die sich auf die Simulation solcher Einbrüche konzentrieren, bringen die Entwickler vom passiven Erinnern zum Anwenden von Fähigkeiten, die einen Einfluss auf den echten Bosskampf haben: Angreifer in ihren Spuren zu stoppen.

‍