Vertrauen aufbauen: Der Weg zu echter Sicherheitssynergie zwischen AppSec und Entwicklern

Veröffentlicht Mar 10, 2021
von Matias Madou, Ph.D.
FALLSTUDIE

Vertrauen aufbauen: Der Weg zu echter Sicherheitssynergie zwischen AppSec und Entwicklern

Veröffentlicht Mar 10, 2021
von Matias Madou, Ph.D.
Ressource anzeigen
Ressource anzeigen

Eine Version dieses Artikels erschien im Cyber Defense Magazin. Er wurde aktualisiert und hier syndiziert.

Eine Beziehung, die auf einem wackeligen Fundament des Misstrauens aufgebaut ist, geht man am besten mit niedrigen Erwartungen an. Traurigerweise kann dies der Zustand der Arbeitsbeziehung zwischen Entwicklern und dem AppSec-Team innerhalb einer Organisation sein. In der Regel frostig und von der Tendenz geprägt, sich gegenseitig in die Quere zu kommen, ist die Situation nicht ideal und führt zu schlechten Ergebnissen in einer Welt hochriskanter Abhängigkeiten von Technologie.

Entwickler blühen auf, wenn sie Probleme lösen, Funktionen erstellen und bei ihrer Arbeit Kreativität zeigen. AppSec hingegen hat die wenig beneidenswerte Aufgabe, Sicherheitslücken in ihrem Code zu finden, diese zu beheben und Audits und Berichte zu erstellen, die den Glanz der Lieblingsprojekte der Entwickler verderben. Es ist nicht fair, die Schuld allein den Entwicklern zuzuschieben - Sicherheit ist nicht ihre Priorität oder Teil ihrer KPIs - noch kann das überlastete AppSec-Team dafür bestraft werden, dass es einfach nur seinen Job macht. Um jedoch Best Practices für die Cybersicherheit und bessere Sicherheitsergebnisse auf Unternehmensebene zu erreichen, müssen sie wirklich anfangen, nett zu spielen.

Und alles beginnt mit Vertrauen.

Das "Bösewicht"-Image von AppSec steht der DevSecOps-Harmonie im Weg.

Wenn Sie nur dann mit jemandem interagieren, wenn er Sie darauf hinweist, wo Sie etwas falsch gemacht haben, stehen die Chancen gut, dass sein Beitrag nicht wohlwollend betrachtet wird.

Selten gesehen, außer wenn es ein Problem gibt, neigen die negativen Konnotationen der Präsenz des Sicherheitsteams dazu, einige Reibungen zu verursachen. Die Beziehung ist schon seit geraumer Zeit zerrüttet, da die Entwickler das AppSec-Team als Blockierer ihrer Kreativität, ihrer Prozesse und der pünktlichen Auslieferung von Funktionen sehen, während AppSec sehr müde wird, ständig auf häufige Sicherheitsfehler hinzuweisen, die schon seit Jahrzehnten existieren (ebenso wie ihre Abhilfe).

Mit zunehmend unmöglichen Terminen, unterfinanzierten Teams und dem starken Wunsch, Nacharbeiten zu vermeiden, warteten Entwickler oft bis zum letztmöglichen Moment, um ihren Code auszuliefern, wodurch das Zeitfenster für die Überprüfung und das Eingreifen von AppSec so klein wie möglich wurde. Ein dysfunktionaler Prozess, der inakzeptable Auswirkungen hat und das Cybersicherheitsrisiko für das Unternehmen erhöht.

Für Sicherheitsspezialisten gilt: "Don't shoot the messenger" - schließlich ist es ihr Job, Bugs zu finden und zu melden, damit sie behoben werden können - nichts Persönliches. Der Knackpunkt ist, dass sie oft Empfehlungen aussprechen, die nicht zum Technologie-Stack des Unternehmens passen und daher im Gesamtbild der internen Softwareentwicklung als wenig hilfreich angesehen werden können.

Die Vorstellung von AppSec als Bösewicht ist für die meisten Entwicklungsmethodiken kontraintuitiv, aber für DevSecOps ist es eine Katastrophe. Der Goldstandard hat sich weit über Wasserfall, Agile und sogar DevOps hinaus entwickelt, hin zu einem Prozess, der Sicherheit als eine gemeinsame Verantwortung von Beginn des SDLC als entscheidend ansieht.

Damit DevSecOps funktioniert, müssen Softwareingenieure einen Grund haben, sich für Sicherheit zu interessieren, und zwar indem sie verstehen, warum es für sie so wichtig ist, ihren Teil zur Sicherung der Software in der Welt beizutragen. Sicherheitsspezialisten, die sich die Mühe machen, den Olivenzweig auszustrecken, mit Entwicklungsmanagern zusammenzuarbeiten, um die Bedürfnisse des Teams zu erfüllen, und mehr eine Mentorenrolle bei der Förderung des Sicherheitsbewusstseins zu übernehmen, sehen in der Regel langfristige Vorteile aus ihren Bemühungen ... und sie verbringen etwas weniger Zeit damit, sich über einen weiteren XSS-Fehler die Haare auszureißen.

Entwickler müssen in die Lage versetzt werden, bessere sichere Kodierungsergebnisse zu erzielen.

Wenn es darum geht, während des Studiums sicheres Programmieren zu lernen, ist es für viele Ingenieure nicht existent. Und das liegt nicht daran, dass sie alle damit beschäftigt waren, Bierpong und WoW zu spielen - es ist einfach nicht Teil der meisten Informatik- und IT-Abschlüsse.

Aus diesem Grund ist das Training am Arbeitsplatz oft der erste Kontakt, den ein Entwickler mit der Kunst der Softwaresicherheit hat, und es setzt selten seine Welt in Brand. Stundenlange, langweilige Videos sind eine gängige Schulungsmethode, ebenso wie "Tick-the-Box"-Compliance-Übungen, die viel zu selten stattfinden, um einen wirklichen Einfluss darauf zu haben, Entwicklern beizubringen, wie man sicher programmiert, oder um Fortschritte bei der Verringerung häufiger Schwachstellen in der Software eines Unternehmens zu erzielen.

Sowohl das AppSec-Team als auch die Entwickler sind wahnsinnig beschäftigt, daher sollte jede Schulung sinnvoll, ansprechend und praxisorientiert sein. Da wir aus der Entwicklung kommen, lieben wir es, Probleme zu lösen und uns mit den Tools zu beschäftigen. Daher gehen die meisten statischen Schulungen einfach an uns vorbei, während wir uns auf etwas Dringenderes (oder, seien wir ehrlich, Interessanteres) konzentrieren.

AppSec-Spezialisten befinden sich in einer einflussreichen Position und können eine langfristige Win-Win-Situation schaffen, indem sie sich für die Interessen der Entwickler einsetzen. Die Suche nach praktikablen Schulungen, die arbeitsrelevant sind und in ihren bevorzugten Sprachen und Frameworks angeboten werden, ist ein großer Schritt in Richtung einer positiven Sicherheitskultur innerhalb einer Organisation. Wir haben jahrzehntelang das Gleiche versucht, und es ist klar, dass der Schulungsansatz "eine Größe passt für alle" nicht funktioniert. Indem wir Entwicklern die richtigen Tools und das richtige Wissen zur Verfügung stellen, können sie sich erfolgreich in sicherer Programmierung weiterbilden, mit einem erhöhten Sicherheitsbewusstsein handeln und einen höheren Standard an Code produzieren.

Die Bemühungen, sich auf die gleiche Seite zu begeben, müssen von beiden Seiten kommen.

Es ist leicht, dass Menschen mit unterschiedlichen Zielen einander missverstehen oder schlimmstenfalls misstrauisch werden. AppSec hat das Ziel, mit dem Ansturm von Code Schritt zu halten, der produziert wird, und Sicherheitsprobleme zu finden, die zu Datenkompromittierung, unbefugtem Zugriff und bösartigen Angriffen führen können, die das Potenzial haben, die positive Kundenstimmung auf Jahre hinaus zu zerstören.

Entwickler bauen unter anderem Funktionen nach Zeitplan. Sie haben die Aufgabe, Software funktional und schön zu gestalten und einzigartige digitale Erlebnisse zu schaffen, die die Kunden an sich binden. Sie haben bereits viel zu tun, und wenn man ihnen dann noch die Verantwortung für die Sicherheit aufbürdet, ist das eine entmutigende Aussicht. Es wird als das Problem von AppSec angesehen, den Code abzusichern, und während das in den 90er Jahren einigermaßen machbar war (Sie wissen schon, bevor unsere Autos gehackt werden konnten und unser gesamtes Leben in einem Taschen-Supercomputer namens Smartphone mit sich herumgetragen wurde), gibt es heute einfach zu viel Code und nicht genug Leute, die ihn durch den Sicherheitsspießrutenlauf führen.

Mit einer gesunden Portion Einfühlungsvermögen und der Befähigung, Sicherheit von Beginn des Softwareerstellungsprozesses an zu einer Priorität zu machen, können AppSec und Entwickler Wege sehen, ihre Ziele aufeinander abzustimmen. Schließlich hängt eine positive Sicherheitskultur davon ab, und sicherheitsbewusste Entwickler sind die geheime Zutat, um gängige Schwachstellen zu stoppen, selbst bei einem immer größer werdenden Mangel an Cybersecurity-Fachkräften.

Gegenseitiger Respekt vor der Zeit hat immense Vorteile.

Wie ich schon sagte, ist jeder superbeschäftigt, wenn es darum geht, Magie (a.k.a. erstaunliche Software) zu erschaffen. Entwickler brauchen eine zugewiesene Arbeitszeit, um praktikable, praxisnahe Schulungen zu absolvieren, die ihre sicheren Programmierfähigkeiten ausbauen, und jedes Schulungsprogramm sollte von vornherein hyperrelevant sein.

AppSec vergeudet seine Zeit damit, immer wieder die gleichen OWASP Top 10 Schwachstellen zu beheben, und Entwickler lassen ihre Zeit mit Übungen verplempern, die wenig motivierend sind und die Vorstellung in ihren Köpfen verstärken, dass Sicherheit eine lästige Pflicht ist.

Kuratierte Lernerfahrungen sind von entscheidender Bedeutung und helfen dabei, durch kontextbezogene, mundgerechte Bereitstellung relevanter Schulungen, genau in dem Moment, in dem sie benötigt werden, auf den Punkt zu kommen.

Durch die Erstellung eines benutzerdefinierten Kurses zur sicheren Programmierung, der auf die gewünschten Ergebnisse und internen Lernpfade zugeschnitten ist, werden die Zeit und der Arbeitsablauf des Entwicklers respektiert, während gleichzeitig auf eine messbare Reduzierung von Schwachstellen und Cybersicherheitsrisiken für das Unternehmen hingearbeitet wird. Es ist ein schneller Sieg in dem Bestreben, weiche Rivalitäten zu beenden und in den wilden Westen der Cybersicherheit als eine vereinte Front vorzustoßen.

Die neueste kontextbezogene Lernfunktion vonSecure Code Warrior, Coursesist jetzt verfügbar.

Ressource anzeigen
Ressource anzeigen

Autor

Matias Madou, Ph.D.

Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.

Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.

Sie wollen mehr?

Tauchen Sie ein in unsere neuesten Erkenntnisse über sichere Kodierung im Blog.

Unsere umfangreiche Ressourcenbibliothek zielt darauf ab, die menschliche Herangehensweise an eine sichere Weiterbildung im Bereich der Programmierung zu stärken.

Blog ansehen
Sie wollen mehr?

Holen Sie sich die neuesten Forschungsergebnisse zur entwicklergesteuerten Sicherheit

Unsere umfangreiche Ressourcenbibliothek ist voll von hilfreichen Ressourcen, von Whitepapers bis hin zu Webinaren, die Ihnen den Einstieg in die entwicklungsorientierte sichere Programmierung erleichtern. Erforschen Sie sie jetzt.

Ressourcendrehscheibe

Vertrauen aufbauen: Der Weg zu echter Sicherheitssynergie zwischen AppSec und Entwicklern

Veröffentlicht Mar 10, 2021
Von Matias Madou, Ph.D.

Eine Version dieses Artikels erschien im Cyber Defense Magazin. Er wurde aktualisiert und hier syndiziert.

Eine Beziehung, die auf einem wackeligen Fundament des Misstrauens aufgebaut ist, geht man am besten mit niedrigen Erwartungen an. Traurigerweise kann dies der Zustand der Arbeitsbeziehung zwischen Entwicklern und dem AppSec-Team innerhalb einer Organisation sein. In der Regel frostig und von der Tendenz geprägt, sich gegenseitig in die Quere zu kommen, ist die Situation nicht ideal und führt zu schlechten Ergebnissen in einer Welt hochriskanter Abhängigkeiten von Technologie.

Entwickler blühen auf, wenn sie Probleme lösen, Funktionen erstellen und bei ihrer Arbeit Kreativität zeigen. AppSec hingegen hat die wenig beneidenswerte Aufgabe, Sicherheitslücken in ihrem Code zu finden, diese zu beheben und Audits und Berichte zu erstellen, die den Glanz der Lieblingsprojekte der Entwickler verderben. Es ist nicht fair, die Schuld allein den Entwicklern zuzuschieben - Sicherheit ist nicht ihre Priorität oder Teil ihrer KPIs - noch kann das überlastete AppSec-Team dafür bestraft werden, dass es einfach nur seinen Job macht. Um jedoch Best Practices für die Cybersicherheit und bessere Sicherheitsergebnisse auf Unternehmensebene zu erreichen, müssen sie wirklich anfangen, nett zu spielen.

Und alles beginnt mit Vertrauen.

Das "Bösewicht"-Image von AppSec steht der DevSecOps-Harmonie im Weg.

Wenn Sie nur dann mit jemandem interagieren, wenn er Sie darauf hinweist, wo Sie etwas falsch gemacht haben, stehen die Chancen gut, dass sein Beitrag nicht wohlwollend betrachtet wird.

Selten gesehen, außer wenn es ein Problem gibt, neigen die negativen Konnotationen der Präsenz des Sicherheitsteams dazu, einige Reibungen zu verursachen. Die Beziehung ist schon seit geraumer Zeit zerrüttet, da die Entwickler das AppSec-Team als Blockierer ihrer Kreativität, ihrer Prozesse und der pünktlichen Auslieferung von Funktionen sehen, während AppSec sehr müde wird, ständig auf häufige Sicherheitsfehler hinzuweisen, die schon seit Jahrzehnten existieren (ebenso wie ihre Abhilfe).

Mit zunehmend unmöglichen Terminen, unterfinanzierten Teams und dem starken Wunsch, Nacharbeiten zu vermeiden, warteten Entwickler oft bis zum letztmöglichen Moment, um ihren Code auszuliefern, wodurch das Zeitfenster für die Überprüfung und das Eingreifen von AppSec so klein wie möglich wurde. Ein dysfunktionaler Prozess, der inakzeptable Auswirkungen hat und das Cybersicherheitsrisiko für das Unternehmen erhöht.

Für Sicherheitsspezialisten gilt: "Don't shoot the messenger" - schließlich ist es ihr Job, Bugs zu finden und zu melden, damit sie behoben werden können - nichts Persönliches. Der Knackpunkt ist, dass sie oft Empfehlungen aussprechen, die nicht zum Technologie-Stack des Unternehmens passen und daher im Gesamtbild der internen Softwareentwicklung als wenig hilfreich angesehen werden können.

Die Vorstellung von AppSec als Bösewicht ist für die meisten Entwicklungsmethodiken kontraintuitiv, aber für DevSecOps ist es eine Katastrophe. Der Goldstandard hat sich weit über Wasserfall, Agile und sogar DevOps hinaus entwickelt, hin zu einem Prozess, der Sicherheit als eine gemeinsame Verantwortung von Beginn des SDLC als entscheidend ansieht.

Damit DevSecOps funktioniert, müssen Softwareingenieure einen Grund haben, sich für Sicherheit zu interessieren, und zwar indem sie verstehen, warum es für sie so wichtig ist, ihren Teil zur Sicherung der Software in der Welt beizutragen. Sicherheitsspezialisten, die sich die Mühe machen, den Olivenzweig auszustrecken, mit Entwicklungsmanagern zusammenzuarbeiten, um die Bedürfnisse des Teams zu erfüllen, und mehr eine Mentorenrolle bei der Förderung des Sicherheitsbewusstseins zu übernehmen, sehen in der Regel langfristige Vorteile aus ihren Bemühungen ... und sie verbringen etwas weniger Zeit damit, sich über einen weiteren XSS-Fehler die Haare auszureißen.

Entwickler müssen in die Lage versetzt werden, bessere sichere Kodierungsergebnisse zu erzielen.

Wenn es darum geht, während des Studiums sicheres Programmieren zu lernen, ist es für viele Ingenieure nicht existent. Und das liegt nicht daran, dass sie alle damit beschäftigt waren, Bierpong und WoW zu spielen - es ist einfach nicht Teil der meisten Informatik- und IT-Abschlüsse.

Aus diesem Grund ist das Training am Arbeitsplatz oft der erste Kontakt, den ein Entwickler mit der Kunst der Softwaresicherheit hat, und es setzt selten seine Welt in Brand. Stundenlange, langweilige Videos sind eine gängige Schulungsmethode, ebenso wie "Tick-the-Box"-Compliance-Übungen, die viel zu selten stattfinden, um einen wirklichen Einfluss darauf zu haben, Entwicklern beizubringen, wie man sicher programmiert, oder um Fortschritte bei der Verringerung häufiger Schwachstellen in der Software eines Unternehmens zu erzielen.

Sowohl das AppSec-Team als auch die Entwickler sind wahnsinnig beschäftigt, daher sollte jede Schulung sinnvoll, ansprechend und praxisorientiert sein. Da wir aus der Entwicklung kommen, lieben wir es, Probleme zu lösen und uns mit den Tools zu beschäftigen. Daher gehen die meisten statischen Schulungen einfach an uns vorbei, während wir uns auf etwas Dringenderes (oder, seien wir ehrlich, Interessanteres) konzentrieren.

AppSec-Spezialisten befinden sich in einer einflussreichen Position und können eine langfristige Win-Win-Situation schaffen, indem sie sich für die Interessen der Entwickler einsetzen. Die Suche nach praktikablen Schulungen, die arbeitsrelevant sind und in ihren bevorzugten Sprachen und Frameworks angeboten werden, ist ein großer Schritt in Richtung einer positiven Sicherheitskultur innerhalb einer Organisation. Wir haben jahrzehntelang das Gleiche versucht, und es ist klar, dass der Schulungsansatz "eine Größe passt für alle" nicht funktioniert. Indem wir Entwicklern die richtigen Tools und das richtige Wissen zur Verfügung stellen, können sie sich erfolgreich in sicherer Programmierung weiterbilden, mit einem erhöhten Sicherheitsbewusstsein handeln und einen höheren Standard an Code produzieren.

Die Bemühungen, sich auf die gleiche Seite zu begeben, müssen von beiden Seiten kommen.

Es ist leicht, dass Menschen mit unterschiedlichen Zielen einander missverstehen oder schlimmstenfalls misstrauisch werden. AppSec hat das Ziel, mit dem Ansturm von Code Schritt zu halten, der produziert wird, und Sicherheitsprobleme zu finden, die zu Datenkompromittierung, unbefugtem Zugriff und bösartigen Angriffen führen können, die das Potenzial haben, die positive Kundenstimmung auf Jahre hinaus zu zerstören.

Entwickler bauen unter anderem Funktionen nach Zeitplan. Sie haben die Aufgabe, Software funktional und schön zu gestalten und einzigartige digitale Erlebnisse zu schaffen, die die Kunden an sich binden. Sie haben bereits viel zu tun, und wenn man ihnen dann noch die Verantwortung für die Sicherheit aufbürdet, ist das eine entmutigende Aussicht. Es wird als das Problem von AppSec angesehen, den Code abzusichern, und während das in den 90er Jahren einigermaßen machbar war (Sie wissen schon, bevor unsere Autos gehackt werden konnten und unser gesamtes Leben in einem Taschen-Supercomputer namens Smartphone mit sich herumgetragen wurde), gibt es heute einfach zu viel Code und nicht genug Leute, die ihn durch den Sicherheitsspießrutenlauf führen.

Mit einer gesunden Portion Einfühlungsvermögen und der Befähigung, Sicherheit von Beginn des Softwareerstellungsprozesses an zu einer Priorität zu machen, können AppSec und Entwickler Wege sehen, ihre Ziele aufeinander abzustimmen. Schließlich hängt eine positive Sicherheitskultur davon ab, und sicherheitsbewusste Entwickler sind die geheime Zutat, um gängige Schwachstellen zu stoppen, selbst bei einem immer größer werdenden Mangel an Cybersecurity-Fachkräften.

Gegenseitiger Respekt vor der Zeit hat immense Vorteile.

Wie ich schon sagte, ist jeder superbeschäftigt, wenn es darum geht, Magie (a.k.a. erstaunliche Software) zu erschaffen. Entwickler brauchen eine zugewiesene Arbeitszeit, um praktikable, praxisnahe Schulungen zu absolvieren, die ihre sicheren Programmierfähigkeiten ausbauen, und jedes Schulungsprogramm sollte von vornherein hyperrelevant sein.

AppSec vergeudet seine Zeit damit, immer wieder die gleichen OWASP Top 10 Schwachstellen zu beheben, und Entwickler lassen ihre Zeit mit Übungen verplempern, die wenig motivierend sind und die Vorstellung in ihren Köpfen verstärken, dass Sicherheit eine lästige Pflicht ist.

Kuratierte Lernerfahrungen sind von entscheidender Bedeutung und helfen dabei, durch kontextbezogene, mundgerechte Bereitstellung relevanter Schulungen, genau in dem Moment, in dem sie benötigt werden, auf den Punkt zu kommen.

Durch die Erstellung eines benutzerdefinierten Kurses zur sicheren Programmierung, der auf die gewünschten Ergebnisse und internen Lernpfade zugeschnitten ist, werden die Zeit und der Arbeitsablauf des Entwicklers respektiert, während gleichzeitig auf eine messbare Reduzierung von Schwachstellen und Cybersicherheitsrisiken für das Unternehmen hingearbeitet wird. Es ist ein schneller Sieg in dem Bestreben, weiche Rivalitäten zu beenden und in den wilden Westen der Cybersicherheit als eine vereinte Front vorzustoßen.

Die neueste kontextbezogene Lernfunktion vonSecure Code Warrior, Coursesist jetzt verfügbar.

Wir bitten Sie um Ihre Erlaubnis, Ihnen Informationen über unsere Produkte und/oder verwandte Themen der sicheren Codierung zuzusenden. Wir werden Ihre persönlichen Daten immer mit äußerster Sorgfalt behandeln und sie niemals zu Marketingzwecken an andere Unternehmen verkaufen.

Um das Formular abzuschicken, aktivieren Sie bitte "Analytics"-Cookies. Sie können die Cookies wieder deaktivieren, sobald Sie fertig sind.