Es gibt mehrere moderne Ansätze für die Architektur und Entwicklung von Anwendungen, die im Grunde dem Prinzip „kleiner und damit effizienter“ folgen.
Sowohl Microservices als auch Function as a Service (FaaS) basieren auf dem Konzept eines stark fokussierten Codes. Zwar zerlegen die meisten Unternehmen ihre Anwendungen nicht in Hunderte von Microservices oder Tausende von Funktionen, doch sie orientieren sich zunehmend an diesem Design. Ein häufiger Grund dafür ist, dass es die agile Entwicklung erleichtert: Ein relativ kleines Team kann einen Service wesentlich schneller konzipieren, entwickeln und anschließend optimieren als eine große, monolithische Anwendung. Schließlich ist es viel einfacher, etwas mit 1.000 Codezeilen zu schreiben und zu testen als eine größere Anwendung mit bis zu 100.000 Codezeilen.
Doch Microservices und FaaS bieten noch einen weiteren interessanten Vorteil, der nicht so stark hervorgehoben wird, wie er sollte: Sicherheit.
Im Internet gibt es viele Diskussionen – und ich habe eine beträchtliche Anzahl davon gelesen –, in denen versucht wird, die „branchenübliche“ Dichte von Fehlern und Sicherheitslücken zu bestimmen. Dabei findet man eine große Bandbreite an Schätzungen: Einige basieren auf tatsächlichen Analysen von Open-Source-Code, andere auf selbst gemeldeten Zahlen. Die NASA beispielsweise hat ihre äußerst geringe Fehlerdichte stolz als einen der Gründe für den Erfolg des Space-Shuttle-Programms angeführt. Es gibt auch Berichte, die auf objektiv erhobenen Daten von Sicherheitsunternehmen wie WhiteHat beruhen, doch deren Zahlen beziehen sich auf Sicherheitslücken pro Anwendung und nicht unbedingt pro Codezeile.
Es gibt keinen wirklichen Konsens über die Fehler- und Schwachstellendichte – außer der Einigkeit darüber, dass es sie tatsächlich gibt.
Es liegt jedoch auf der Hand, dass mit weniger geschriebenen Codezeilen wahrscheinlich auch weniger Fehler und Schwachstellen entstehen. Ebenso wichtig ist: Je weniger Codezeilen Sie durchsuchen müssen, um eine Schwachstelle oder einen Fehler zu finden, desto schneller werden Sie fündig und können das Problem – so ist zumindest anzunehmen – beheben.
Einer der Gründe dafür ist der begrenzte Umfang. Wenn sich mein Microservice oder meine Funktion darauf konzentriert, einen einzelnen Aspekt der Geschäftslogik in Code abzubilden, sind für die Implementierung weniger Logik und weniger Bibliotheken erforderlich. Dieser geringere Umfang bedeutet, dass die Wahrscheinlichkeit sinkt, Logikfehler oder Schwachstellen in den für die Implementierung dieser zusätzlichen Logik benötigten Bibliotheken (von Drittanbietern oder anderen Quellen) einzuführen. Jedes Mal, wenn Sie eine weitere Komponente einbinden oder einen anderen Dienst aufrufen müssen, schaffen Sie eine weitere Möglichkeit für Fehler und Schwachstellen.
Auch weniger Schnittstellen zur Funktion oder zum Microservice tragen zu sichererem Code bei. Jede Schnittstelle (ein Einstiegspunkt wie etwa ein API-Aufruf) birgt das Risiko einer Sicherheitslücke, da dabei Benutzereingaben verarbeitet werden. Und Benutzereingaben sollten bekanntlich stets als verdächtig und potenziell bösartig eingestuft werden.
Und wenn Microservices das Potenzial für Sicherheitslücken und Fehler verringern, sollte eine weitere Eingrenzung des Umfangs auf eine einzelne Funktion diese Wahrscheinlichkeit noch weiter reduzieren.
Das soll nun nicht heißen, dass Microservices und FaaS grundsätzlich sicherer sind als ihre dreischichtigen und monolithischen Pendants. Nachlässiger Code bleibt nachlässiger Code, unabhängig davon, wie viele Zeilen er umfasst. Es stimmt jedoch, dass beide Architekturen Entwicklungs- und Bereitstellungsverfahren begünstigen, die zu sichererem Code führen können.
Wenn Sie bei der Bewertung oder Implementierung von Microservices und/oder FaaS die Sicherheitsvorteile im Blick behalten, können Sie nicht nur verhindern, dass der Code unnötig aufgebläht wird, sondern auch der Entstehung von Sicherheitslücken entgegenwirken.
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...