ASPM-Lösungen erkennen, priorisieren und beseitigen Gefahren frühzeitig „Security by Design“ schützt Anwendungen über den gesamten Lebenszyklus

Anbieter zum Thema

Rittal GmbH & Co. KG

VON ZUR MÜHLEN'SCHE GmbH

STACKIT GmbH & Co. KG

Von Schwachstellen im Code bis zum Secrets Sharing über Kommunikations-Tools: Anwendungen sind über den gesamten Lebenszyklus Gefahren ausgesetzt. Mit vier Kernelementen eines „Security by Design“-Ansatzes gelingt ein umfassender Schutz.

Die Anwendungssicherheit (AppSec) steht in Zeiten einer stetig zunehmenden Bedrohungslage im Cyberspace mehr und mehr im Fokus. Viele Unternehmen, die Anwendungen entwickeln, nutzen daher ein großes Portfolio an AppSec-Tools. Um „Security by Design“ aber wirklich erfolgreich umzusetzen, sind ganzheitliche ASPM-Lösungen (Application Security Posture Management) Voraussetzung. Diese folgen dem Ansatz, einen Überblick über die Sicherheitslandschaft herzustellen, eine zentrale Anlauf- sowie Informationsstelle für IT-Security-Teams einzurichten und mit den passenden Tools auf Bedrohungen zu reagieren. Die folgenden vier Bereiche sind die Kernelemente einer Absicherung des gesamten Software Development Lifecycle (SDLC).

1. Schwachstellen vor einer Eskalation erkennen

Viel zu viele Sicherheitslücken in Anwendungen werden erst nach ihrem Deployment erkannt und dann via Patch, Bugfix-Update oder manchmal auch erst in der nächsten Iteration der Software behoben. Um einen „Security by Design“-Ansatz erfolgreich zu verfolgen, müssen Unternehmen hingegen einen sogenannten „Shift Left“ vollziehen: Gemeint ist, dass sie bereits in den ersten Phasen des Entwicklungszyklus Schwachstellen gezielt suchen, identifizieren und ausbessern. ASPM-Lösungen bieten dafür native SAST- (Static Application Security Testing) und SCA-Tools (Software Composition Analysis).

State of ASPM Report

Deutschland ist Application-Security-Weltmeister​

Während SAST-Tools insbesondere den von Entwicklern des Unternehmens geschriebenen Code nach Schwachstellen durchforsten, sind SCA-Werkzeuge in der Lage, den Ursprung von Open-Source-Komponenten im Code herauszufinden und die Code-Integrität zu prüfen. Ebenfalls beherrschen SCA-Tools eine native Erkennung von Lizenzverletzungen. Diese aufzuspüren, ist gerade bei den vielen Compliance-Anforderungen, die heutzutage erfüllt werden müssen, wichtiger denn je.

Software Composition Analysis ist in diesem Zusammenhang deswegen so wertvoll, weil Anwendungen – selbst rein proprietäre – mittlerweile zu großen Teilen aus Open-Source-Code bestehen. Was gute ASPM-Lösungen von Standard-Tools überdies unterscheidet, sind integrierte KI-Kapazitäten: Sie finden nicht nur Schwachstellen und Konfigurationsfehler, sondern präsentieren direkt relevanten Kontext und Lösungsvorschläge für Entwickler, um den Code zu fixen.

2. Sensible Daten schützen

Datensicherheit ist das A und O, wenn es um die Application Security geht. Dazu gehört nicht nur, den Fremdzugriff auf IT-Systeme über Sicherheitslücken in Anwendungen zu verhindern. Auch im Code selbst sind zum Teil für Hacker und Cyberkriminelle wertvolle Informationen versteckt: sogenannte „Secrets“. Zu diesem „Geheimnissen“ gehören etwa hartkodierte Passwörter, die im Code hinterlegt sind und von Entwicklern zur Prozessvereinfachung benutzt werden können.

Proaktives Patch-Management

Die tickende Zeitbombe der N-Day-Schwachstellen

Aber auch API-Keys zu sensiblen IT-Bereichen sind erstaunlich oft im Anwendungscode verborgen. Gute ASPM-Lösungen haben daher Secrets-Scanner an Bord, die innerhalb des Codes und der gesamten Entwicklungs-Pipeline nach solch brisanten Informationen fahnden und vor potenziellen Risiken warnen – sehr gute Tools suchen sogar in Produktivitäts- und Kommunikations-Tools wie „Teams“, „Slack“ oder Jira“ nach Secrets.

3. Risiken minimieren durch KI-basierte Priorisierung

Eine hundertprozentige Sicherheit gibt es in der IT nicht: Schwachstellen oder Sicherheitslücken kommen definitiv vor – und zwar in einem Maße, dass ein sofortiges Reagieren auf alle Gefahren unmöglich ist. Das ist allerdings auch nicht nötig, denn nicht jede Schwachstelle ist auch wirklich kritisch.

An dieser Stelle ist eine sinnvolle Priorisierung notwendig, die allerdings ohne ASPM-Lösung praktisch nicht möglich ist: Erst mit einer zentralen Anlaufstelle für sämtliche Informationen zu Schwachstellen in den Anwendungen kann eine faktenbasierte Triage der Vulnerabilitäten im High-Fidelity-Kontext stattfinden.

Hinzu kommt, dass nicht jede Sicherheitslücke, die schwerwiegend ist, zugleich auch kritisch ist: Manche Sicherheitslücken haben keine unmittelbaren Auswirkungen auf die Anwendungssicherheit, da sie nicht öffentlich zugänglich sind. Gute ASPM-Lösungen bieten für die Priorisierung KI-Funktionen, die Schwachstellen nicht nur nach ihrem individuellen theoretischen Schadenspotenzial sortieren, sondern nach deren tatsächlicher Kritikalität.

4. Einhalten der Compliance automatisieren

Neben den allgegenwärtigen Sicherheitsrichtlinien wie DORA, dem Cyber Resilience Act und NIS-2 haben viele Unternehmen auch geschäftsinterne Compliance-Regularien für ihre Anwendungen. ASPM-Lösungen helfen Entwicklungs- und IT-Security-Teams dabei, automatisch zu prüfen, ob ihre Anwendungen diesen Richtlinien entsprechen. Das ist ein großer Vorteil und erleichtert viele Maßnahmen.

Cisco „State of Industrial Networking Report“

OT-Sicherheit muss priorisiert werden

Manch eine ASPM-Lösung ist darüber hinaus noch individualisierbar und kann nicht nur Standard-Frameworks für die Application Security und Compliance, sondern den Anwendungscode auch auf unternehmensinterne Vorgaben hin prüfen. KI-Kapazitäten kommen auch an dieser Stelle zum Einsatz, etwa um das ebenfalls wichtige Reporting zu automatisieren.

Ein Security-by-Design-Ansatz kann so Unternehmen Stress und Kosten sparen. Für dessen erfolgreiche Umsetzung sind ASPM-Lösungen die Grundvoraussetzung. Indem sie DevSecOps-Teams über den gesamten Software Development Lifecycle hinweg tiefe Einblicke in potenzielle Risiken in ihrer Anwendungslandschaft bieten, helfen sie Unternehmen den Shift Left zu vollziehen und Sicherheit von Beginn an und durchgängig im Software-Lebenszyklus zu implementieren. So können Probleme gelöst werden, noch bevor sie zu einer ernsthaften Gefahr avancieren.

(ID:50394949)