Security-Erfolge in der Bay Area mit Slack

Application Security entwickelt sich ständig weiter – und nirgendwo lassen sich diese Veränderungen besser beobachten als in der Bay Area. Im Silicon Valley arbeiten Tausende Unternehmen daran, vielfältige Probleme zu lösen. Eines haben sie jedoch alle gemeinsam: die oft überwältigende Aufgabe, Risiken zu minimieren.

Bei einer von Snyk veranstalteten Podiumsdiskussion sprachen David Aghassi und Atul Gaikwad über die Grundlagen eines Application-Security-Programms und darüber, wie Snyk den Prozess vereinfacht hat. Als Staff Software Engineer of Security bei Slack leitete Atul die Einführung von Snyk für die Entwicklungs- und Sicherheitsteams von Slack und berichtete den Teilnehmenden aus erster Hand von seinen Erfahrungen. Davids umfassende Entwicklungserfahrung und Atuls Sicherheits-Know-how sorgten für eine aufschlussreiche Diskussion darüber, was Erfolg im Bereich Application Security wirklich bedeutet.

Die ersten Schritte

Für David und Atul beginnt die Integration von Application Security damit, die aktuellen Probleme anzuerkennen und die Kommunikation zwischen Entwicklungs- und Sicherheitsteams aufzubauen. Entwickler können ein Problem nur lösen, wenn sie davon wissen und Zugang zu den richtigen Tools und Schulungen haben. Der erste Schritt besteht also darin, Entwicklern ein Tool an die Hand zu geben, das ihnen hilft zu verstehen, warum bestimmte Programmierpraktiken die Sicherheitslage einer Anwendung beeinträchtigen. David ergänzte:

„Statt Menschen hinterherzujagen, hat sich die Herangehensweise geändert: Wir ziehen eine klare Grenze, erkennen an, dass diese Probleme bestehen, und verhindern zugleich, dass neue entstehen.“

Sobald Sie sich einen Überblick verschafft haben, sollten Sicherheitsteams prüfen, wie gut das aktuelle Tool funktioniert, und Verbesserungsmöglichkeiten erkennen. Atul und das Slack-Team begannen mit einem selbst entwickelten Sicherheitstool, bevor sie ein anderes kommerzielles Tool einführten, das neben AppSec auch die Lizenzierung abdeckte. Die begrenzte Reichweite dieses Tools und fehlende Integrationen und Plugins, mit denen Entwickler Schwachstellen finden und priorisieren konnten, machten jedoch schnell ein Upgrade erforderlich. Da fiel die Wahl auf Snyk.

Erfolge mit Snyk

Von den vielen Vorteilen von Snyk machten für unsere Gesprächspartner besonders die Schwerpunkte Priorisierung, Automatisierung und Anpassbarkeit den größten Unterschied. Das Priority Scoring von Snyk bewertet den Schweregrad eines Problems auf einer Skala von 0 bis 1000 und liefert hilfreiche Metadaten. So konnte sich das Team bei Slack zuerst auf die wichtigsten Probleme konzentrieren. Mit der Snyk CLI konnten Entwickler ihren Code so oft scannen, wie nötig, ohne Hilfe des Sicherheitsteams. Atul zufolge:

„Mit den Optionen der Snyk CLI können Entwickler Scans in ihrem eigenen Tempo und zu einem für sie passenden Zeitpunkt durchführen. Das verringert die Belastung für uns als Sicherheitsteam.“

Entwicklern die richtigen Tools an die Hand zu geben, ist entscheidend. Doch angesichts ihrer ohnehin hohen Arbeitsbelastung ist Automatisierung oft der Schlüssel zu nachhaltigen Sicherheitspraktiken. Atul leitete sein Team dabei an, ein System zu entwickeln, das Schwachstelleninformationen von Snyk abruft und Jira-Tickets erstellt. Diese liefern Entwicklern Kontext zum Problem und zeigen, wie es sich beheben lässt. Außerdem kann das Sicherheitsteam über die Snyk API die sicherste Version jedes Pakets abrufen und als TLDR-Abschnitt im Ticket bereitstellen. Das steigerte die Effizienz erheblich, da weniger Probleme anfielen und Entwickler seltener im Slack-Supportkanal nachfragten, wie sie ein Problem beheben können. Atul führte weiter aus:

„Wir setzen Snyk auf zwei Arten ein: Einmal täglich scannen wir kritische Repositories, außerdem kommt Snyk in unserer Pipeline zum Einsatz. So können wir kritische Probleme erkennen, bevor sie in die Produktion gelangen.“

Aus Sicht der Entwicklung unterstützt Snyk Entwickler dabei, Schwachstellen intern zu priorisieren und Upgrades vorzunehmen, ohne befürchten zu müssen, etwas Wichtiges zu beschädigen. Wie David sagte: „Je einfacher Entwickler eine Änderung rückgängig machen können und verhindern können, dass sie in die Produktion gelangt, desto unbeschwerter können sie während der Entwicklung Dinge ausprobieren.“

AppSec-Trends

Zum Abschluss unserer Podiumsdiskussion sprachen David und Atul darüber, wohin sich Application Security ihrer Meinung nach entwickelt und welche Trends die Branche voraussichtlich prägen werden. Ein zentraler Punkt war, dass das Modell getrennter, abgeschotteter Entwicklungs- und Sicherheitsteams nicht mehr funktioniert. Da ein umfassendes Verständnis des gesamten Anwendungs-Stacks immer wichtiger wird, muss man wissen, wie Sicherheit in jede Phase und in den Stack als Ganzes eingebunden ist. In der Praxis heißt das: Entwickler müssen darauf vertrauen können, dass ein einzelner Teil ihrer Anwendung sicher ist und zugleich nichts anderes beeinträchtigt. Für Entwickler wie David bedeutet „Snyk in den Entwicklungslebenszyklus einzubinden, dass wir uns um eine Sache weniger kümmern müssen“. Atul ergänzte:

„Die Sicherheit über den gesamten Entwicklungslebenszyklus hinweg zu verbessern, ist wichtiger denn je.“

Produktionssicherheit ist entscheidend, wenn Entwickler täglich Code verwenden und ändern. Sicherheitsteams können jedoch nicht im gleichen Maße wachsen wie Entwicklungsteams. Damit jeder Teil des SDLC abgedeckt ist, müssen Sicherheitsteams ihren Engineers vertrauen und sie mit Prozessen und Tools unterstützen, die zu ihrer Arbeitsweise passen. Atul schloss mit den Worten:

„Wer kennt den Code besser als die Entwickler, die ihn schreiben? Sie kennen ihre Angriffsfläche besser als das Sicherheitsteam.“

Erfolg in AppSec

Für Sicherheits- und Entwicklungsteams ist ein Ansatz, der auf Kommunikation, Empathie und Vertrauen beruht, der beste Weg nach vorn. Veränderungen können schwierig sein, doch neue Tools und Techniken zu nutzen, ist entscheidend, um technologisch an der Spitze zu bleiben. Entwicklerorientierte Plattformen wie Snyk unterstützen Sie dabei auf jedem Schritt.