Wie sich AppSec 2021 weiterentwickelt hat: Die Perspektive von Reddit

Da Unternehmen bei zentralen Geschäftsprozessen weiterhin auf Software setzen, ist Anwendungssicherheit ein immer wichtigeres Thema. Snyk hat kürzlich mit Reddit eine Gesprächsrunde veranstaltet, um über Anwendungssicherheit im Jahr 2021 zu sprechen.

In diesem Beitrag fassen wir das Gespräch zwischen Guy Podjarny, President und Mitgründer von Snyk, und Spencer Koch, Security Wizard bei Reddit, zusammen. Reddit beschäftigt über 600 Entwicklerinnen und Entwickler. Das Sicherheitsteam nutzt Snyk Open Source security, Snyk Container vulnerability management, Snyk Infrastructure as Code security und die Snyk API, um AppSec auf mehr als 1.000 Repositories auszuweiten.

Wie sich die Unternehmensgröße auf AppSec auswirkt

Die Ziele der Anwendungssicherheit sind unabhängig von der Größe eines Unternehmens dieselben:

• Sicherheitsanforderungen umsetzen

• Schwachstellen finden, bevor sie ausgenutzt werden, und verhindern, dass sie in Zukunft auftreten

• Die Developer Experience durch Sicherheitsdaten und Tests verbessern

Koch ist jedoch der Ansicht, dass die Umsetzung von AppSec von der Größe des Unternehmens und des Sicherheitsteams abhängt.

„Ich denke, der Unterschied zwischen großen und kleinen Unternehmen besteht darin, worauf Sie sich konzentrieren, um die Arbeit zu erledigen“, sagt Koch. „Die Aufgabe bleibt dieselbe, egal ob Sie in einem großen Unternehmen oder einem kleinen Startup arbeiten. Sie müssen Ihre Einstellung dazu ändern, wie Sie die verfügbaren Ressourcen einsetzen.“

Kleineren Teams fehlt beispielsweise oft die Zeit und die Ressourcen, um Sicherheitstools einzuführen, die maßgeschneiderte Entwicklungsarbeit erfordern. Sie müssen sich darauf konzentrieren, ein Tool auszuwählen – ob Open Source oder kommerziell –, das sich schnell einführen und zentral verwalten lässt und die meisten Anwendungsfälle abdeckt, und das mit begrenzten Ressourcen.

Ein größeres Unternehmen kann hingegen Sicherheitstools auswählen, die besser zu den geschäftlichen Anforderungen und der Vielzahl seiner Anwendungsfälle passen, auch wenn dafür zunächst und fortlaufend mehr Aufwand erforderlich ist. Größere Unternehmen haben nicht nur größere Budgets, sondern auch oft mehrere Genehmigungs- und Verwaltungsebenen, sodass die Einführung Monate oder länger dauern kann. Häufig möchten sie sicherstellen, dass sie gleich beim ersten Mal alles richtig machen, selbst wenn es länger dauert – und das ist nachvollziehbar. Unterschätzen Sie jedoch nie, wie wertvoll es ist, schnell Änderungen vorzunehmen und etwas Neues auszuprobieren, um zu sehen, ob es funktioniert. Jedes Unternehmen ist anders.

Umgang mit fragmentierten Technologie-Stacks

Eine wichtige Entscheidung, die die meisten Unternehmen treffen müssen, ist, ob Entwicklerinnen und Entwickler frei entscheiden dürfen, welche Technologien sie einsetzen, oder ob neue Programmiersprachen, Frameworks und mehr durch ein strenges Governance-Modell eingeschränkt werden. Mehr Freiheiten für die Entwicklungsteams mögen zwar attraktiv erscheinen, doch jede zusätzliche Technologie kann den Tech-Stack eines Unternehmens fragmentierter machen und die Zahl der Infrastrukturkomponenten sowie den Entwicklungsaufwand für deren Wartung erhöhen.

„Derzeit hört man oft, AppSec sei tot, aber das stimmt nicht“, sagt Koch. „Unternehmenspolitik wird es weiterhin geben, und in Unternehmen wird es mehrere Geschäftsbereiche geben, die ihre eigenen Wege gehen wollen. Das Problem fragmentierter Tech-Stacks und einer wachsenden Zahl konkurrierender Produkte bleibt also bestehen. AppSec-Engineers werden dafür sorgen, dass die eingesetzten Kontrollen wie vorgesehen funktionieren und die übergeordneten InfoSec-Ziele erfüllen.“

Bei einem fragmentierten Tech-Stack entgehen vielen großen Unternehmen Skaleneffekte, da für Entwicklerinnen und Entwickler sowie Security-Engineers immer zusätzlicher Aufwand entsteht. Die Einführung von Sicherheitskontrollen kann beispielsweise zahlreiche Tools und Prozesse für statische Analysen oder Code-Scans erfordern, um die Kompatibilität mit verschiedenen Technologien sicherzustellen. Unternehmen müssen daher entscheiden, wie viel sie für die Wartung nicht standardisierter Tech-Stacks ausgeben möchten – insbesondere, wenn entwicklungsbezogene Funktionen wie Sicherheit zusätzlichen Aufwand verursachen.

Unternehmen müssen die Wahlfreiheit der Entwicklerinnen und Entwickler bei Technologien gegen den möglichen Mehraufwand für Anwendungssicherheit, technische Schulden und unterstützende Infrastruktur abwägen. Einheitliche und gemeinsame Prozesse können dabei für mehr Konsistenz sorgen. Jedes Unternehmen hat andere Prioritäten. Entscheidend ist daher, die Vor- und Nachteile mit Blick auf die langfristigen Folgen abzuwägen.

Warum entwicklerfreundliche Tools für die Anwendungssicherheit wichtig sind

Für eine erfolgreiche Einführung ist es entscheidend, dass Entwicklerinnen und Entwickler – und andere Teams, die zum Geschäftserfolg beitragen – den Eindruck haben, dass der Einsatz von Sicherheitstools anderer Anbieter ihre Entwicklungsprozesse reibungsloser macht und die Produktqualität verbessert. So entscheiden sie sich nicht deshalb für Sicherheitstools, weil das Unternehmen sie dazu verpflichtet, sondern weil die Tools einfach, unkompliziert und in ihren bestehenden Workflows nützlich sind.

„Snyks Grundgedanke ist, dass wir ein Unternehmen für Entwickler-Tools sind, das sich mit Sicherheit beschäftigt“, sagt Podjarny. „Damit Entwicklerinnen und Entwickler Sicherheit annehmen, müssen Sie sie in den Mittelpunkt stellen. Gleichzeitig muss aber auch ein Gleichgewicht gefunden werden, um die Anforderungen der Anwendungssicherheitsteams zu erfüllen.“

Für viele Sicherheitsteams hängt die erfolgreiche Einführung davon ab, ob Tools als Qualitätsförderer statt als Hindernis wahrgenommen werden. Wenn Unternehmen mit klar definierten Best Practices für Sicherheit beginnen, können sie anschließend entwicklerfreundliche Tools auswählen und Automatisierung einsetzen. So wird die Einführung im gesamten Unternehmen zum Weg des geringsten Widerstands.

Der Umfang von AppSec im Jahr 2021

Die Sicherheitsexpertinnen und -experten der Gesprächsrunde waren sich im Allgemeinen einig, dass Anwendungssicherheit alle Bereiche umfassen sollte, in denen Schwachstellen mit Anwendungen zusammenhängen – von Infrastruktur- und Cloud-Sicherheit bis hin zu Container- und Netzwerkkonfigurationen. Da immer mehr Technologien in Software abstrahiert werden und die Entwicklung dadurch einfacher und schneller wird, wächst und verändert sich auch die Rolle der AppSec-Teams.

„Ich habe meine Teams schon immer so strukturiert, dass sie sich auf Offensive Security als Kompetenz konzentrieren“, erklärt Koch. „Statt einzelne Fachgebiete wie Anwendung, Infrastruktur oder Cloud in den Mittelpunkt zu stellen, ist es aus Sicht der Unternehmensleitung sinnvoll, diese Bereiche zusammenzufassen, da sich die zugrunde liegenden Technologien und ihre Nutzung im Unternehmen ständig weiterentwickeln.“

Große Unternehmen mit einer Vielzahl von Assets oder speziellen Technologien, die geschützt werden müssen, erzielen jedoch möglicherweise bessere Ergebnisse, wenn sie diese Aufgaben auf kleinere Teams verteilen, um die Abdeckung zu vertiefen. Die Daten aus den einzelnen Bereichen sind wertvoll und voneinander abhängig. Daher weisen Schwachstellen oft ähnliche Muster auf, selbst wenn separate Teams zuständig sind. Außerdem bleibt das Ziel in allen diesen Bereichen dasselbe. Letztlich geht es meist um die Organisationsstruktur und die interne Politik.

Da sich AppSec jedes Jahr weiterentwickelt, veranstaltet Snyk regelmäßig Webinare, um unterschiedliche Perspektiven von Sicherheitsexpertinnen und -experten aus der Branche kennenzulernen. Diese Gesprächsrunden bieten Snyk die Möglichkeit, die Bedürfnisse von Anwendungssicherheitsteams und Entwicklerinnen und Entwicklern besser zu verstehen, damit das Unternehmen seine Produkte weiterhin auf die Sicherheitsanforderungen von Unternehmen wie Reddit und vielen anderen abstimmen kann.