Snyk in einer weit, weit entfernten Galaxis

Zum 4. Mai präsentieren wir die Geschichte eines imperialen Soldaten aus einer weit entfernten Galaxis, der auf den schlimmsten Tag seiner Organisation zurückblickt und darüber nachdenkt, wie alles anders hätte laufen können.

Verstehen Sie mich nicht falsch. Ich bin nach wie vor stolz darauf, für eine der mächtigsten Organisationen der Galaxis zu arbeiten. Aber wie die meisten von Ihnen wahrscheinlich wissen, mussten wir vor Kurzem einen herben Rückschlag hinnehmen.

Unsere Vorgesetzten beschlossen, eine Raumstation zu bauen. Nicht irgendeine Raumstation – eine planetenzerstörende, mondgroße Raumstation, die unser Team zum Sieg führen sollte. Ich fand die Idee so cool wie frisch geschnittenes Nerf-Brot. Tatsächlich hatten wir große Hoffnungen in diese Superwaffe gesetzt. Tja, da lagen wir wohl falsch.

Unter unserer Nase hatte sich schon seit einer Weile eine Rebellion zusammengebraut. Doch wegen unserer brandneuen Raumstationswaffe machten wir uns keine Gedanken darüber. Wir hatten nicht damit gerechnet, dass ein beliebiger Angreifer vom Land eine riesige Schwachstelle im Schiff finden und es damit vollständig zerstören würde. Zum Glück war ich in jener schicksalhaften Nacht nicht für die Raumstation eingeteilt. Trotzdem frage ich mich immer wieder: Was wäre gewesen, wenn wir es anders gemacht hätten?

Schon vor dem offiziellen Start der Raumstation lief so einiges schief. Hätten wir nur eine Möglichkeit gehabt, ihre Schwachstellen vorher zu finden, wäre alles anders gekommen.

Von Anfang an zum Scheitern verurteilt

Die Ursachen für dieses Scheitern reichen weit zurück, bis in die Zeit, bevor das Schiff überhaupt gebaut wurde. Eine Gruppe von Ingenieuren entwarf es. Einer von ihnen war ein Überläufer, der den gesamten Plan sabotierte, indem er absichtlich eine ausnutzbare Schwachstelle einbaute. Meine Kollegen schimpfen über den Kerl und sagen: „Ohne ihn wäre alles gut gegangen.“

Aber ich sehe das so: Hat dieser Überläufer nicht mit anderen Ingenieuren zusammengearbeitet?! Und hätten sie seine Entwürfe nicht noch einmal überprüfen müssen, bevor sie sie in das Endprodukt übernahmen? Die Sicherheitsvorkehrungen in den frühen Entwicklungsphasen waren gelinde gesagt unzureichend.

Und selbst wenn diese Schwachstelle nicht unser Untergang gewesen wäre, wette ich, dass es noch weitere gab, die die Rebellen hätten ausnutzen können. Die Pläne für die Raumstation stammten aus verschiedenen Quellen – sie wurden nicht einfach vom Überläufer erstellt. Die ursprüngliche Idee für die Raumstation geht tatsächlich auf einige alte Entwürfe zurück, die unsere Organisation vor langer Zeit erworben hatte. Außerdem arbeiteten mehrere andere Ingenieure an dem Projekt und hätten versehentlich Schwachstellen in den Entwurf einbauen können. Schließlich waren auch sie nur Menschen (oder Außerirdische).

Wir wissen, dass niemand den Entwurf gründlich genug überprüfte, um die absichtlich eingebaute Schwachstelle des Überläufers zu entdecken. Also hätten auch beliebig viele andere Komponenten anfällig sein können.

Angesichts all dessen frage ich mich, was passiert wäre, wenn jemand die Raumstation von Anfang an auf Schwachstellen überprüft hätte. Was wäre gewesen, wenn wir alle Teile der Baupläne objektiv geprüft hätten – die Arbeit der Ingenieure aus erster Hand (einschließlich der Arbeit des Überläufers), die Entwürfe von Drittanbietern und alles dazwischen? Und was wäre gewesen, wenn unsere Organisation diese Erkenntnisse genutzt hätte, um Schwachstellen zu beheben, sobald der Bau begann? Dann wäre alles anders gekommen.

Wie konnten sie die Schwachstelle aller Schwachstellen übersehen?!

Die meisten kennen den nächsten Teil der Geschichte. Aufgrund mangelhafter Planung wies die fertiggestellte Raumstation eine gewaltige Schwachstelle auf: eine ungeschützte thermische Abluftöffnung. Dieser Bauernjunge feuerte einen Laser in genau diese Schwachstelle, und damit war alles vorbei.

Diese offensichtliche Schwachstelle hätte lange vor dem Angriff behoben werden müssen. Selbst wenn die freiliegende thermische Abluftöffnung die Entwurfsphase der Raumstation überstanden hatte, hätte nach dem Start nicht jemand den Fehler bemerken müssen – jemand, der schlau genug gewesen wäre, den Bereich zusätzlich abzusichern? Diese Fehlkonfiguration der Infrastruktur an der thermischen Abluftöffnung wurde uns zum Verhängnis, und dafür können wir nur uns selbst die Schuld geben.

Vielleicht bauen Sie keine galaktische Raumstation. Doch dieselben Methoden – das Scannen von Code aus erster Hand und Komponenten sowie Container-Images von Drittanbietern und die Suche nach Fehlkonfigurationen in der Cloud und in IaC – können auch Ihre Anwendungen schützen. Die Application-Security-Plattform von Snyk ermöglicht es Entwicklern, Schwachstellen im eigenen Code zu finden und zu beheben. In unseren entwicklerfreundlichen Sicherheitsressourcen erfahren Sie mehr.