Eine Sprache für Security schaffen – mit Adam Jacob von Chef

Zum Jahresende 2019 blicken wir auf einige großartige Folgen unseres Podcasts The Secure Developer zurück. Den ersten Beitrag finden Sie hier und den zweiten hier.

Der Podcast The Secure Developer ist Teil unserer herstellerunabhängigen, auf Security-Schulungen ausgerichteten Community MyDevSecOps. Die Community, früher auch als The Secure Developer bekannt, trifft sich virtuell in unserer Slack-Gruppe und bei Online-Events sowie persönlich bei DevSecCon-Veranstaltungen rund um die Welt.

Über unseren Gast

Adam Jacob ist Mitgründer und CTO von Chef, ehemals Opscode. Dort schrieb er das Open-Source-Projekt für automatisierte Anwendungen Habitat. Zuvor gründete Adam HJK Solutions, eine Beratung für automatisierte Infrastruktur. Vor Kurzem war er bei uns im Podcast The Secure Developer zu Gast, um über folgende Themen zu sprechen:

• Die Welt von DevOps

• Eine Sprache rund um Security gestalten

• Die Vorteile eines kontinuierlichen Systems zur Überwachung auf Schwachstellen

Tauchen wir in das Gespräch ein.

DevOps: Geht es um Tools oder um Menschen?

In der Branche herrscht allgemein die Ansicht, dass es bei DevOps vor allem um Menschen geht. Adam weist jedoch überzeugend darauf hin, dass es zwangsläufig um beides geht. Jeder kann sagen, dass eine gute DevOps-Kultur wichtig ist. Doch letztlich bleiben das nur Worte. Adam zufolge ist es meist die Technologie, die dieses kulturelle Verhalten fördert.

Dieser Gedanke lässt sich auch auf Security übertragen. Jeder kann sagen, dass er sicherer arbeiten möchte. Doch ohne die richtige Kombination aus Systemen, Teams und Technologie erreichen Sie Ihre Ziele nicht.

Sie benötigen sowohl die Tools als auch die nötige Schulung für Ihre Mitarbeiter. Wenn Sie zwar Tools haben, Ihre Mitarbeiter aber nicht wissen, wie sie diese einsetzen sollen, oder nicht verstehen, wofür sie gedacht sind, werden Sie Ihre Security-Ziele nie erreichen.

Eine gemeinsame Sprache für Security schaffen

Wenn es um Security geht, ist der Kontext entscheidend. Adam und sein Team gingen bei Chef mit der Entwicklung von InSpec darauf ein. Dabei handelt es sich im Wesentlichen um eine Sprache, mit der Teammitglieder den Sicherheitsstatus und Code beschreiben können. Eine weitere Herausforderung bei Security: Viele Aspekte sind „unsichtbar“. Wenn Sie keine Möglichkeit haben, darüber zu sprechen oder sie nachzuverfolgen, werden Sie keinen Erfolg haben.

Security sollte von Anfang an in den Prozess integriert sein. Mit Tools wie InSpec können Sie fortlaufend über Schwachstellen berichten. Das bringt langfristige Vorteile und ermöglicht schnelle, messbare Veränderungen.

Eine Möglichkeit zu schaffen, mit der Entwickler über Security in der Sprache des Codes sprechen können, ist von unschätzbarem Wert. So können mehr Menschen am Security-Prozess teilnehmen. Außerdem können Security-Fachleute den Code statt der Dokumentation prüfen und alles als lebendigen Bestandteil des Deployment-Modells integrieren. Adam ist überzeugt, dass dieser Prozess – auch als SecDevOps bezeichnet – letztlich für ein höheres Sicherheitsniveau sorgt.

Continuous Deployment oder Continuous Delivery?

Ein über die gesamte Infrastruktur hinweg implementiertes Continuous Deployment ermöglicht Vorhersagbarkeit. Doch „kontinuierlich“ bedeutet, dass die Auslieferung fortgesetzt werden muss. Anders gesagt: Sie können eine Pause einlegen, aber nie ganz aufhören. Continuous Delivery hingegen lässt laut Adam Pausen zu.

Bei Continuous Delivery geht es darum, dann auszuliefern, wenn es sinnvoll ist und wenn das Unternehmen eine Auslieferung erfordert. Das unterscheidet sich von Continuous Deployment, bei dem nach jedem Commit ausgeliefert wird. Adam ist daher überzeugt, dass Continuous Delivery genügend Spielraum bietet, um zu sagen: „Für die Auslieferung dieses Projekts ist eine Security-Prüfung erforderlich.“ Und dieser Prozess kann trotzdem kontinuierlich sein. Das ist eine Nuance, die vielen Teams dabei helfen kann, die Beziehung zwischen Entwicklung und Security positiv neu zu gestalten.

Adam weist außerdem darauf hin, dass sowohl Continuous Delivery als auch Continuous Deployment den Teams ermöglichen, Fehler zu erkennen, solange sie noch klein sind. Gerade im Bereich Security ist dieser Vorteil überzeugend. Wenn Sie nach einer Sicherheitslücke suchen, ist es sehr wertvoll, dafür nur einen Bereich mit beispielsweise 100 zu ändernden Codezeilen prüfen zu müssen – statt 100.000 oder 100 Millionen vorhandene Codezeilen.

MyDevSecOps setzt sich dafür ein, hervorragende Sprecher wie Jeff McAffer zu unseren virtuellen Veranstaltungen und unserem Podcast The Secure Developer einzuladen. Wenn Sie mehr über die verschiedenen Aspekte von Security erfahren möchten, treten Sie der Community bei.