Vorsätze für mehr Entwicklersicherheit im Jahr 2022

Der Beginn des Jahres 2022 ist ein guter Zeitpunkt, um sich Vorsätze für das kommende Jahr zu setzen. Keine Sorge: Wir erwarten nicht, dass Sie zum CrossFit-Guru werden oder auf Ihrem Peloton Weltrekorde brechen. Wie wäre es stattdessen mit Zielen, die Ihre Fähigkeiten als sicherheitsbewusste Entwicklerinnen und Entwickler verbessern?

Allzu oft entscheiden wir uns für Vorsätze, bei denen ein Scheitern vorprogrammiert ist. Besser ist es, sich realistische Ziele zu setzen. Deshalb möchten wir Ihnen Vorsätze für mehr Entwicklersicherheit vorschlagen, die Sie alle bequem von Ihrem Bürostuhl aus umsetzen können.

Lesen Sie weiter und erfahren Sie mehr über fünf unserer Vorsätze für mehr Entwicklersicherheit im Jahr 2022.

1. Ich werde meine Container-Images signieren!

Bei der Container-Sicherheit sind viele Container-Images durch Man-in-the-Middle-Angriffe (MITM) gefährdet. Dabei wird ein Image, das aus einer Registry abgerufen wird, manipuliert, bevor es den Docker-Client erreicht. Deshalb gehört das Signieren und Überprüfen jedes Docker-Images zu unseren 10 Best Practices für Docker-Sicherheit.

Eine hervorragende Option zum Signieren von Images ist cosign, ein einfaches Tool von Sigstore. Es ist „sicher genug, um es neben Ihrem Code in einem GitHub-Repository abzulegen. So können Sie im Rahmen Ihres CI-Systems mit einem Passwort signieren und entschlüsseln, das in einem Secret-Manager gespeichert ist.“ Wenn ein Image-Herausgeber sein Container-Image alternativ mit Docker Notary signiert, können Nutzerinnen und Nutzer darauf vertrauen, dass das Image bei der Übertragung aus einer öffentlichen oder privaten Registry unverändert bleibt. Entwicklungsteams können dann Docker Content Trust aktivieren, damit jedes Image vor der Verwendung in ihren Projekten signiert und überprüft wird. So werden MITM-Angriffe auf containerisierte Anwendungen verhindert.

Nicht vergessen: Snyk Container unterstützt Sie dabei, Container direkt in Ihrem bestehenden Entwicklungs-Workflow auf Sicherheitslücken zu scannen und so die Container-Sicherheit zu verbessern. Mit Container-Scans können Sie diesen Vorsatz mit Bravour umsetzen!

2. Ich werde alle Container mit einem schreibgeschützten Root-Dateisystem ausführen!

Container sicher auf Kubernetes auszuführen, kann für viele Teams eine Herausforderung sein. Kubernetes bietet mit dem securityContext ein leistungsstarkes Werkzeug: Sicherheitskonfigurationen, die in jedem Pod- und Container-Manifest verwendet werden können. Der securityContext muss jedoch richtig konfiguriert sein, um ausreichende Sicherheit zu gewährleisten.

Eine Fehlkonfiguration mit verheerenden Folgen ist das Ausführen von Containern mit beschreibbaren Root-Dateisystemen. Dadurch könnten Angreifer ihre Berechtigungen erweitern und Ihre Anwendung manipulieren. Wenn Sie das Root-Dateisystem in der Konfiguration des securityContext auf schreibgeschützt setzen, schützen Sie Ihre Container vor Angriffen.

Sie brauchen Hilfe, um diesen Vorsatz umzusetzen? Snyk Infrastructure as Code scannt Ihre Kubernetes-Konfigurationen und stellt sicher, dass sie keine Fehlkonfigurationen oder andere Sicherheitsrisiken enthalten.

3. Ich werde keine npm-Pakete installieren, die beliebige Befehle ausführen!

Open-Source-npm-Pakete helfen Entwicklerinnen und Entwicklern zwar dabei, Apps deutlich schneller zu erstellen, können aber auch Sicherheitslücken mit sich bringen. Ein spezifischer Angriffsvektor, den Snyk aufgedeckt hat, sind npm-Pakete mit Skripten, die vor oder nach der Installation beliebige Befehle ausführen.

Wenn Sie Run-Skripte ignorieren, können Sie verhindern, dass beliebige Skripte bei der Paketinstallation ausgeführt werden, und Ihre Software-Supply-Chain vor Manipulation schützen. So verringern Sie die potenzielle Angriffsfläche, die böswillige Akteure ausnutzen können.

Snyk Open Source unterstützt Sie dabei, Ihre Anwendungen auf anfällige Open-Source-Abhängigkeiten zu scannen. Snyk erkennt auch Probleme in indirekten Abhängigkeiten – über diese waren die meisten Unternehmen von der kürzlich entdeckten Log4j-Sicherheitslücke betroffen. Das Scannen von Abhängigkeiten hilft daher, bösartige Pakete in Projekten in vielen verschiedenen Programmiersprachen aufzuspüren, nicht nur in JavaScript.

4. Ich werde nur PRs mergen, die eine automatisierte Codeprüfung durchlaufen haben!

Software schnell zu entwickeln und bereitzustellen, ist für die meisten Unternehmen unerlässlich. Das bedeutet jedoch nicht, dass sie bei der Anwendungssicherheit Abstriche machen sollten. Wenn Entwicklungsteams den gesamten Code prüfen, bevor er in das zentrale Quellcode-Repository gemergt wird, können sie die Sicherheitslage ihrer Anwendungen deutlich verbessern.

Das Problem: Manuelle Codeprüfungen sind zeitaufwendig, und bei der Prüfung durch Kolleginnen und Kollegen wird möglicherweise nicht jedes Sicherheitsproblem erkannt. Deshalb ist das automatisierte Scannen jeder Codeänderung entscheidend für eine wirksame Anwendungssicherheit.

Mit den Integrationen von Snyk mit Source-Control-Managern wie GitHub und Bitbucket können Sie bei jedem Pull Request (PR) automatisch nach Sicherheitslücken suchen, bevor Ihr Code gemergt wird.

5. Ich werde immer sichere Programmierpraktiken anwenden!

Unternehmen, die Sicherheit nach links verlagern möchten, können mit der Einführung von Standards für sicheres Programmieren beginnen. Mit Best Practices für sicheres Programmieren können Entwicklerinnen und Entwickler Sicherheitslücken erkennen und beseitigen, bevor sie Probleme in den Quellcode einer Anwendung einbringen.

Wie könnten Sie Ihre Kenntnisse im sicheren Programmieren im kommenden Jahr besser ausbauen als mit Snyk Learn? Unsere neue Plattform für Sicherheitsschulungen unterstützt Entwicklerinnen und Entwickler dabei, ihre Kenntnisse im sicheren Programmieren mit ausgewählten Inhalten zu vertiefen, die zu ihren eigenen Programmierprojekten passen.

Sicherheit muss in bestehende Entwicklungs-Workflows eingebettet sein. Deshalb halten wir es für sinnvoll, Sicherheitsschulungen dort anzubieten, wo Entwicklerinnen und Entwickler arbeiten. Mit Snyk Learn können Sie sich weiterbilden und sichere Programmierpraktiken direkt beim Schreiben von Code anwenden.

Auf ein sichereres Jahr 2022!

Anders als die vielen motivierten Joggerinnen und Jogger, denen Ende Januar die Puste ausgeht, hoffen wir, dass Sie Ihren Vorsätzen noch viele Jahre treu bleiben! Damit können Sie die Sicherheitslage Ihrer Anwendungen nachhaltig verbessern.

Frohes neues Jahr und bleiben Sie sicher!

Die Snyk-Teams DevRel & SecRel