Vergrößert eine zu große Anzahl an Apps Ihre Angriffsfläche?
“Kann man zu viele Apps haben? Wie viele sind zu viele? Wissen Sie überhaupt, wie viele Sie haben oder – schlimmer noch – wer darauf zugreifen kann? Eine aktuelle IDG-Studie ergab, dass ein durchschnittliches Unternehmen 1.742 Apps nutzt, wobei etwa 60 % der App-Entwicklung intern erfolgt. Da die Zahl der Apps kontinuierlich steigt, setzen Unternehmen verstärkt auf Self-Service, Automatisierung und eine zentrale Verwaltung.”
Eine wachsende Angriffsfläche
Natürlich sind Anwendungen für den Betrieb Ihres Unternehmens unverzichtbar. Richtig eingesetzt können sie nahezu jede Aufgabe und jeden Prozess schneller und einfacher machen. Aber kann es auch zu viel des Guten geben? Offenbar ja. IT-Betriebsexperten haben Schwierigkeiten, mit den sich ständig wandelnden Anwendungsarchitekturen, Plattformen und modernen Technologiestandards Schritt zu halten. Dadurch rücken die Sicherheit, Transparenz und Compliance von Anwendungen zunehmend in den Fokus.
Ein großes Versandunternehmen machte genau diese Erfahrung. Schon zu einer Zeit, als die unkontrollierte Zunahme von Anwendungen noch nicht als Problem erkannt wurde, analysierte dieser Versand- und Büroservicekonzern sein Anwendungsportfolio und stellte fest, dass es mehr als 2.600 Anwendungen umfasste – eine Folge sowohl einer massiven Übernahmewelle als auch schnellen Wachstums. Ebenso besorgniserregend war, dass das Unternehmen mehr als 14.000 individuelle Schnittstellen zu diesen Anwendungen identifizierte. Die Angriffsfläche einer derart großen Zahl von Anwendungen stellt für jedes Unternehmen ein enormes Risiko dar, das es allein nur schwer bewältigen kann. Und das ist nur eines von vielen erheblichen Risiken, die mit einer solchen unkontrollierten Zunahme von Anwendungen einhergehen.
“Eine aktuelle IDG-Studie ergab, dass ein durchschnittliches Unternehmen 1.742 Apps einsetzt, wobei etwa 60 % der App-Entwicklung intern erfolgt.”
Risiken und Lösungen
Dank eines äußerst produktiven Umfelds für die App-Entwicklung können Anwendungen heute innerhalb weniger Wochen von der ersten Idee bis zum Proof of Concept gelangen. Eine Folge dieses hohen Tempos ist, dass die Verantwortung für Entscheidungen zur App-Entwicklung und -Bereitstellung – einschließlich solcher, die sich auf Sicherheit und Compliance auswirken – zunehmend zu den Entwicklern und weg von Netzwerk- und Sicherheitsexperten verlagert wird. Dies ist zwar der Geschwindigkeit zuträglich, da ungenutzte Innovationspotenziale erschlossen und die Wettbewerbsfähigkeit von Unternehmen verbessert werden, doch erhebliche Sicherheitsbedrohungen, Compliance-Anforderungen und betriebliche Bedenken bleiben bestehen.
Die neuen Stakeholder bevorzugen Cloud-native- und kostengünstige Open-Source-Optionen gegenüber robusteren Lösungen, die von Fachleuten verwaltet werden. Dahinter steht die berechtigte Sorge, dass die Abhängigkeit von anderen Teams zu Reibungsverlusten im Prozess führen und das Innovationstempo verlangsamen könnte. Häufige Probleme bei diesem Ansatz sind jedoch eine unübersichtliche Vielzahl an Sicherheits- und Verwaltungstools, mangelnde Transparenz hinsichtlich der Anwendungsleistung sowie erhebliche Schwierigkeiten bei der Erfüllung regulatorischer Compliance-Anforderungen.
Wildwuchs bei Sicherheits- und Verwaltungstools
Da laut unserem Bericht zum Stand der Anwendungsdienste 2019 rund 87 % der Unternehmen Multi-Cloud-Bereitstellungen nutzen, besteht die Tendenz, auf die jeweils verfügbaren Tools des Cloud-Anbieters zurückzugreifen. Das bedeutet, dass mehrere native Benutzeroberflächen verwendet werden, um im Wesentlichen dasselbe Problem zu lösen. Dadurch entstehen Schwierigkeiten aufgrund unterschiedlicher Funktionen, Richtlinien und Verwaltungsoberflächen, was das Risiko für das Unternehmen erhöht.
Hinzu kommen nicht nur die schiere Anzahl der von Unternehmen verwalteten Anwendungen, sondern auch deren Komplexität. Das Ergebnis ist eine größere Angriffsfläche – also ein größerer Bereich potenzieller Sicherheitslücken –, mit der Unternehmen wie Ihres konfrontiert sind. Heute müssen Sie unter anderem mit verschiedenen Web-Frameworks wie node.js und HTML5 sowie mit Anwendungs- und Webservern umgehen. Verschiedene Browser greifen auf unterschiedliche Anwendungen zu. Mit jeder zusätzlichen Komplexitätsebene nehmen die Schwachstellen und die zu bewältigenden Risiken zu.
Wie gehen Sie also mit diesem Risiko um? Indem Sie Ihren Fokus verlagern.
Die Sicherheit des Netzwerks war uns schon immer ein wichtiges Anliegen. Doch nun ist es an der Zeit, auch die Anwendungssicherheit in den Fokus zu rücken. Insbesondere Web Application Firewalls sind eine gängige Methode, um die Sicherheit von Anwendungen zu gewährleisten. Denn Angreifer haben nicht nur das Netzwerk im Visier. Schließlich genügt selbst bei einem sicheren Netzwerk eine einzige Schwachstelle in einer Anwendung, damit sie eindringen können.
Nehmen wir noch einmal dieses Versandunternehmen als Beispiel. Jeder Mensch auf der Welt kann die Website für seine Versandanforderungen nutzen. Das sind Milliarden von Menschen. Selbst wenn das Netzwerk vollständig abgeschottet ist, könnte die Anwendung das Einfallstor sein, da jeder zu ihrer Nutzung berechtigt ist. Das größte Risiko geht daher von dieser Anwendung aus und nicht von dem sorgfältig geschützten Netzwerk. Für viele Unternehmen ist die Anwendung derzeit das schwächste Glied. Und die Hacker wissen das.
Sie müssen standardisierte Anwendungsdienste entwickeln, die sich weltweit föderieren lassen, ohne die Innovationskraft dezentraler Entwicklerteams zu beeinträchtigen. Setzen Sie auf Automatisierung und schaffen Sie die Voraussetzungen dafür, dass Sicherheit von Anfang an integriert ist. Sicherheitsrichtlinien sollten dabei von Fachleuten definiert und verwaltet sowie als Artefakte in Quellcode-Repositorys gespeichert werden, damit sie in automatisierten CI/CD-Pipelines eingesetzt werden können, anstatt nachträglich fest im Code verankert oder manuell konfiguriert zu werden. Um die Markteinführung von Anwendungen zusätzlich und auf sichere Weise zu beschleunigen, ist es entscheidend, nur das zu programmieren, was tatsächlich benötigt wird, und wiederverwendbare Infrastrukturdienste wie Authentifizierung und Web Application Firewalls zu nutzen.
“Möchten Sie ein schockierendes Geheimnis erfahren? Die meisten Unternehmen können zu keinem Zeitpunkt sagen, was mit ihren Anwendungen geschieht. Sie wissen weder, wie viele Anwendungen sie haben, noch, wo diese betrieben werden oder wer Zugriff darauf hat.”
Mangelnde Anwendungstransparenz
Im März 2019 standen Android-Nutzern mehr als 2,1 Millionen Apps zur Verfügung. Apples App Store
bietet mehr als 1,8 Millionen Apps. Dabei sind die Millionen von Unternehmensanwendungen, die entwickelt und bereitgestellt wurden, noch gar nicht mitgerechnet. Insgesamt sprechen wir heute wahrscheinlich von mehr als einer Milliarde Anwendungen, die weltweit im Einsatz sind.
Möchten Sie ein schockierendes Geheimnis erfahren? Die meisten Unternehmen können Ihnen zu keinem Zeitpunkt sagen, was mit ihren Apps los ist. Sie wissen weder, wie viele Apps sie haben, noch, wo diese Apps gehostet werden oder wer Zugriff darauf hat. Selbst bei den wichtigsten Anwendungen verfügen Unternehmen nur selten über einen einheitlichen Einblick in deren Leistung (z. B. Verfügbarkeit, Latenz für Endnutzer) oder wissen, wo sie nach der Ursache suchen sollen, wenn etwas schiefläuft.
Unabhängig von Ihrer Strategie sollte das Ziel darin bestehen, Anwendungen in all Ihren unterschiedlichen Infrastruktursilos einheitlich bereitzustellen und zu verwalten. Dies lässt sich am besten erreichen – und zugleich können Sie so die Pfade all Ihrer Anwendungen transparent nachvollziehen –, indem Sie ein einheitliches Portfolio an Multi-Cloud-Anwendungsdiensten nutzen. Gemeinsame Tools helfen Ihnen, Risiken zu senken, die Wiederholbarkeit zu erhöhen und Fehler zu reduzieren, indem Sie nach Möglichkeit einheitliche Dienste wiederverwenden, insbesondere in Multi-Cloud-Architekturen. Werden diese einheitlichen Dienste in Ihrer gesamten Anwendungslandschaft eingesetzt, sollten sie eine vollständige Überprüfung des gesamten Datenverkehrs entlang des Datenpfads ermöglichen. So lassen sich auftretende Probleme leichter beheben sowie schädlicher Datenverkehr abfangen und blockieren.
Diese Konsistenz und die durch diesen Ansatz ermöglichte Transparenz tragen außerdem dazu bei, Reibungsverluste zwischen den verschiedenen Betriebsteams zu reduzieren, die zusammenarbeiten müssen, um die Leistungsfähigkeit und Sicherheit von Anwendungen zu gewährleisten.
Compliance-Herausforderungen
Viele Unternehmen stehen heute vor erheblichen Herausforderungen bei der Erfüllung regulatorischer Compliance-Vorgaben. Dies gilt insbesondere für Unternehmen, die Anwendungen über mehrere Clouds hinweg betreiben, wie es die überwiegende Mehrheit bereits tut oder plant.
Wie in vielen modernen Städten ist auch der digitale Bedarf der Stadt Bellevue drastisch gestiegen. Vor zehn Jahren nutzten nur wenige technische Mitarbeiter das VPN der Stadt, um aus der Ferne auf Systeme zuzugreifen. Heute können alle 1.600 Beschäftigten mobil arbeiten. Damit die Polizei der Stadt auf sensible Daten zu Vorstrafen zugreifen kann, müssen die Systeme strenge bundesrechtliche Vorgaben erfüllen. Dazu gehören die Sicherheitsrichtlinie der Criminal Justice Information Services (CJIS) und der zugehörige Federal Information Processing Standard (FIPS). Die Einhaltung von CJIS und FIPS wird durch eine jährliche Prüfung auf Bundesebene kontrolliert. Werden diese Standards nicht erfüllt, kann die Polizei im Außendienst nur eingeschränkt auf Informationen zugreifen. Letztlich benötigte die Stadt eine Möglichkeit, einen sicheren und regelkonformen Zugang zu allen städtischen Diensten bereitzustellen.
Die Lösung? Auch wenn es sich wie eine Wiederholung anhört: Es geht wieder einmal um Konsistenz. Einheitliche, überprüfbare Sicherheitsrichtlinien, die in die CI/CD-Pipeline integriert sind, vereinfachen die Einhaltung von Vorschriften und beseitigen damit ein wesentliches Hindernis, das die Einführung von DevOps-Praktiken und -Tools verlangsamt.
Wenn Anwendungen erstellt und bereitgestellt werden, stellt der CI/CD-Workflow sicher, dass sie jedes Mal geschützt und regelkonform ausgerollt werden.
“Unabhängig von Ihrer Strategie sollte das Ziel darin bestehen, Anwendungen in all Ihren unterschiedlichen Infrastruktursilos einheitlich bereitzustellen und zu verwalten.”
Ausblick
Es besteht kein Zweifel daran, dass sich Apps immer weiter verbreiten. Manche IT-Fachleute verwenden möglicherweise Begriffe wie „Schatten-IT“ oder „unkontrollierte IT“, da viele dieser Anwendungen nicht von der IT-Abteilung, sondern von Fachanwendern in das Unternehmen eingebracht werden. Doch abwertende Begriffe lösen nicht die Probleme, die entstehen, wenn Fachanwender die Beschaffung (oder Entwicklung) von Anwendungen selbst in die Hand nehmen. Stattdessen sollte man dies als fachbereichsgeführte IT verstehen – als Partnerschaft zwischen Fachanwendern und der IT-Abteilung mit dem Ziel, den Unternehmensauftrag bestmöglich zu erfüllen.
Die zunehmende Zahl von Anwendungen erfordert eine einheitliche, automatisierbare und zentralisierte Steuerung. Heutzutage sind die Anwendungsressourcen von Unternehmen häufig über verschiedene Plattformen verteilt: in der Cloud, in privaten Rechenzentren, vor Ort und in unterschiedlichen SaaS-Umgebungen. Unternehmen beginnen, sich über eine zentrale Oberfläche einen Gesamtüberblick über ihr gesamtes Anwendungsportfolio zu verschaffen. Mit dieser Art der Kontrolle lassen sich Risiken wesentlich einfacher handhaben.
Das breite und umfassende Portfolio an Anwendungsdiensten von F5 und die allgegenwärtige Plattform ermöglichen es Unternehmen, auditierbare Sicherheits- und Infrastrukturdienste auf Enterprise-Niveau über verschiedene Umgebungen hinweg zentral zu steuern und zu verwalten. Dadurch sinken die Kosten für Änderungen, und Entwickler können sich auf Innovationen konzentrieren.
Ähnliche Inhalte
E-BOOK
Das Multi-Cloud-Labyrinth: 5 Erfolgsprinzipien
So wie die Virtualisierung die IT-Infrastruktur revolutioniert hat, hat der Aufstieg der Cloud die Rahmenbedingungen erneut verändert.
BLOG
Es ist 22 Uhr. Wissen Sie, wo sich Ihre Anwendungen befinden?
Apps sind das Medium, über das Unternehmen Waren und Dienstleistungen bereitstellen. Willkommen im Zeitalter des Anwendungskapitals.
WEBINAR
Enterprise-Multi-Cloud-App-Management mit F5 meistern
Haben Sie mit einer unübersichtlichen App-Landschaft zu kämpfen? Erfahren Sie, wie Sie die einheitliche Bereitstellung von Sicherheit auf Unternehmensniveau für all Ihre Apps vereinfachen können.
ARTIKEL
Vereinfachen Sie die Verwaltung von Multi-Cloud-Anwendungen
Es ist an der Zeit, eine Richtlinienverwaltungsstrategie zu implementieren, die zu Ihrem Unternehmen und Ihren Anwendungen passt. F5 kann Sie dabei unterstützen.