Checkliste für den Frühjahrsputz in der AppSec

Das sonnige Frühlingswetter und die blühenden Blumen inspirieren viele von uns dazu, mit dem Putzen anzufangen. Manche nehmen sich vielleicht den Gartenschuppen vor, in dem sich über den Winter Spinnweben angesammelt haben, oder die überquellende Krimskrams-Schublade in der Küchenecke.

Wenn Sie Haus und Garten in Augenschein nehmen und überlegen, wo Sie mit dem Putzen beginnen sollen, ist auch ein guter Zeitpunkt, sich Ihr Anwendungssicherheitsprogramm anzusehen und zu prüfen, ob bestehende Prozesse eine Aufräumaktion gebrauchen könnten. Hier sind einige gute Ansatzpunkte:

3 Wege, Ihr Anwendungssicherheitsprogramm aufzuräumen

Organisieren Sie Ihre Assets

Wir alle kennen das: Man sucht im ganzen Haus nach etwas und findet den vermissten Gegenstand wie durch ein Wunder, sobald man einen Schrank oder eine Schublade aufräumt. Ordnung zu halten, macht es letztlich viel einfacher, Dinge bei Bedarf wiederzufinden. Dasselbe gilt für die Anwendungssicherheit.

Wenn Sie alle Anwendungs-Assets in Ihrem Unternehmen zusammenführen und organisieren – ob proprietärer Code, Open-Source-Komponenten, Infrastructure as Code oder Container –, finden Sie bei Bedarf viel leichter, wonach Sie suchen. Bei Zero-Day-Schwachstellen wie Log4J ist es schließlich viel dringender, alle betroffenen Anwendungen zu finden, als den Lieblingskugelschreiber, der irgendwo in der Krimskrams-Schublade vergraben sein könnte.

Sortieren Sie Ihre Sicherheitswarnungen aus

Wenn wir vor einem vollgestellten Zimmer oder Schrank stehen, kommen uns vielleicht Gedanken wie: „Wie konnte das passieren?“ „Wenn [ein Familienmitglied, Mitbewohner usw.] doch nur nicht so unordentlich wäre.“ „Wo soll ich hier überhaupt anfangen?“

Auch in der Anwendungssicherheit kann sich einiges anhäufen. Doch statt verschiedener Gegenstände, die sich in einem Schrank oder Zimmer stapeln, sind es Sicherheitswarnungen. Wenn ein Sicherheitsteam Sicherheitsprobleme nicht priorisiert und ordnet, bevor es sie an das Entwicklungsteam weitergibt, löst es dort dieselben Gefühle aus wie ein vollgestelltes Zimmer. Entwickler fragen sich dann, wie es dazu kommen konnte (schließlich sind sie keine Sicherheitsexperten und versuchen lediglich, nach bestem Wissen und Gewissen funktionsfähigen Code zu erstellen). Vielleicht geben sie auch der Person die Schuld, die ihrer Meinung nach für das Durcheinander verantwortlich ist – dem Sicherheitsteam. Und selbst wenn sie helfen möchten, kann es schwierig sein, zu wissen, wo sie anfangen sollen.

Die Lösung: Priorisieren Sie Warnmeldungen anhand des Gesamtrisikos für das Unternehmen und geben Sie die so sortierten Probleme anschließend an die Entwickler weiter. Nutzen Sie am besten Automatisierung und entsprechende Tools, um diese Probleme so früh wie möglich zu melden – idealerweise sobald Entwickler ihren Code committen. Schließlich ist es viel einfacher, ein Chaos noch am selben Tag zu beseitigen, als wochenlang zu warten, während sich weiteres Chaos ansammelt, und dann alles auf einmal aufräumen zu müssen. Das klingt überwältigend.

Frischen Sie Ihre AppSec-Richtlinien und -Kontrollen auf

Wenn Sie den Frühjahrsputz in Haus und Garten erledigt haben, möchten Sie vielleicht neu dekorieren und mit ein paar neuen Akzenten alles noch schöner machen. Vielleicht fahren Sie zum Baumarkt und kaufen einen neuen Werkzeugkasten für die verstreuten Werkzeuge im Schuppen. Oder Sie holen sich ein brandneues Bücherregal, in dem all die Bücher Platz finden, von denen Sie gar nicht wussten, dass sie hinten im Schrank versteckt waren.

Wenn Sie Ihr Anwendungssicherheitsprogramm aufgeräumt haben, sollten Sie es mit neuen Organisationsmethoden und Tools weiter verbessern. Nach all der Arbeit, die das Aufräumen Ihres Anwendungssicherheitsprogramms gekostet hat, möchten Sie sicher verhindern, dass es wieder so chaotisch und unübersichtlich wird. So wie ein neues Regal oder eine neue Kiste dabei hilft, Dinge künftig besser zu organisieren, ist es wichtig, Ihr frisch aufgeräumtes AppSec-Programm mit den richtigen Richtlinien und Kontrollen auf Kurs zu halten, etwa mit automatisierter Überwachung und Durchsetzung. Diese Leitplanken verhindern, dass jemand in Ihrem Unternehmen wieder ins Chaos zurückfällt und beispielsweise Code ohne vorherige Sicherheitsprüfung committet.

ASPM: der Hochdruckreiniger für den AppSec-Frühjahrsputz

Beim Aufräumen von Haus und Garten gibt es kein einzelnes Werkzeug, mit dem sich alles reinigen, sortieren und verschönern lässt. Für die Anwendungssicherheit gibt es jedoch eine Lösung, die einen idealen Ausgangspunkt für all diese Aufgaben bietet: Application Security Posture Management (ASPM).

ASPM nutzt einen ganzheitlichen Überblick über Ihre Anwendungsumgebung, um Sicherheitssignale im gesamten SDLC zusammenzuführen, zu korrelieren und zu bewerten. So kann Ihr Team die Sicherheitslage Ihrer Anwendungen vollständig verstehen, Schwachstellen anhand des tatsächlichen Risikos für Ihr Unternehmen verwalten und Sicherheitskontrollen durchsetzen.

Erfahren Sie mehr darüber, wie ASPM Ihrem Team helfen kann, beim AppSec-Frühjahrsputz einen Vorsprung zu gewinnen.