IT-Security done right – DevSecOps als neue Digitalstrategie

Wichtige Fragen, die uns als Entwickler- bzw. Operation-Team stets präsent im Hinterkopf halten sollten. Dies dachten sich auch die Besucher der DevOpsCon 2019, bestehend aus einem guten Mischungsverhältnis von Fachkräften, überwiegend aus der Entwicklung und der Administration.

Qualitätsmerkmal: Sicherheit

Auf der Konferenz hat Nic Jackson in seinem Vortrag eine sehr interessante und gleichzeitig provokante Frage an das Publikum gestellt:

Jackson bezog sich darauf, dass in vielen Unternehmen die Sicherheit unter Lieferungsdruck von schnellen und guten Lösungen leidet. Dann stellte er uns noch einmal die gleiche Frage, nur dieses Mal leicht abgewandelt:

Die einstimmige Antwort im Raum war:

Warum also sollten Softwareentwickler ihren Anspruch an Sicherheit dann senken? Viel effizienter ist es, diese Sicherheitsmerkmale im gesamten Entwicklungsprozess zu berücksichtigen.

DevSecOps als neue Strategie

Ein möglicher Ansatz, der sich aus der vorigen Erkenntnis ergibt, ist die Einführung von DevSecOps als neue Strategie. Der Begriff DevSecOps setzt sich zusammen aus Development, Security und Operations und stellt die einzelnen Aufgabenbereiche dar.

Um eine Anwendung von der Entwicklung bis zur Auslieferung schnell, automatisiert, sicher und qualitativ hochwertig ausliefern zu können, werden sogenannte CI/CD-Pipelines verwendet. CI steht hierbei für Continuous Integration und bezeichnet das fortlaufende Zusammenfügen von Komponenten zu einer Anwendung. Ziel ist es, die Softwarequalität damit zu steigern. CD steht für Continuous Delivery und stellt den Softwareauslieferungsprozess dar.

Sicherheitsmechanismen in der CI/CD-Pipeline

Victoria Almazova, Cloud Security Architektin bei Microsoft, thematisierte CI/CD-Pipelines, in denen Sicherheitsmechanismen durchgehend in der CI/CD-Pipeline integriert sein sollten. Die Songzeile Every step you take … i’ll be watching you von The Police unterstrich ihre Aussage.

Es ist darauf zu achten, dass bereits in der Konzeptphase die Anwendungs- und Infrastruktursicherheit berücksichtigt wird. Erste Sicherheitsmaßnahmen können umgesetzt werden, indem man bereits beim Programmieren Security Plugins in der Entwicklungsumgebung und Pre-Commit Hooks verwendet. Durch die Verwendung von Pre-Commit Hooks wird sichergestellt, dass potenzielle Sicherheitsprobleme im Vorfeld erkannt und behoben werden, bevor sie in die Versionierung gelangen (z.B. Zugangsdaten). Das Schreiben von Security Unittests sichert den Code der Anwendung zusätzlich ab.

Weiterhin ist ein sehr wichtiger Sicherheitsaspekt das Dependency Management. Verwendete Frameworks und Bibliotheken sind Fremdcode und können ebenfalls Sicherheitslücken oder unsichere Inhalte von Dritten beinhalten. Fehlende Updates der externen Frameworks und Bibliotheken können so zusätzliche Sicherheitslücken im eigenen Programmcode erzeugen.

Weitere Maßnahmen zum Absichern einer CI/CD-Pipeline ist die Verwendung von Infrastructure as Code, das regelmäßige Überprüfen der Cloud-Konfiguration, sowie die Durchführung von Security Scans und Security Akzeptanztests. Da sich Test- und Produktivumgebungen unterscheiden können, ist es in der Produktionsphase notwendig erneut die Konfigurationen zu überprüfen.

Tests und Reports für mehr IT-Sicherheit

Um ein realistisches Ergebnis zum Stand der IT-Sicherheit zu erhalten, sollten zusätzlich Penetrations- und Smoketests durchgeführt und die Testergebnisse für spätere Auswertungen festgehalten werden.

Bei Penetrationtests wird versucht, die Sicherheitsmaßnamen eines Systems aus Sicht eines Angreifers zu überwinden. Mögliches Ziel eines Penetrationtests kann der Zugriff auf die Daten der Applikationsdatenbank sein. Wurden Stellen identifiziert, so müssen diese zeitnah behoben und als Patch dem Kunden bereitgestellt werden. Gleiches gilt, wenn durch das kontinuierliche Monitoring der Produktivanwendung weitere Sicherheitslücken auffallen.

Hingegen Smoketests dienen dazu, eine Anwendung auf Biegen und Brechen auf Funktionalität zu testen bis diese salopp gesagt „abrauchen“. Läuft dabei ein Test fehl, dann brauchen die nachfolgenden Funktionalitäten nicht mehr überprüft zu werden.

Kontinuierliche Verbesserung der CI/CD-Pipeline

Das Ende einer CI/CD-Pipeline entspricht immer auch dem Anfang: Es ist wichtig, aus den vergangenen Sicherheitsproblemen zu lernen, ohne dabei einem Mitwirkenden die Schuld daran zu geben. Das Sicherheitsbewusstsein im Team wächst und kann durch internes Training weiter gestärkt werden. Zusätzlich sollte man sich vor neuen Bedrohungen schützen, indem man sich stets Informationen zur aktuellen Bedrohungslage der IT-Sicherheit einholt.