Aber was ist mit der Anwendungssicherheit?

Die Anwendungsentwicklung hat sich gewandelt und läuft jetzt weitgehend automatisiert ab, doch die Sicherheit erfordert nach wie vor einen hohen manuellen Aufwand. Die Anzahl der Entwickler und DevOps-Experten ist hundertmal höher als die der Sicherheitsexperten. Der Zeitdruck bei der Markteinführung hat zu Reibungspunkten zwischen Anwendungs- und Sicherheitsteams geführt und den Eindruck erweckt, dass die Sicherheit einen Kapazitätsengpass darstellt. Dabei handelt es sich um ein ernsthaftes Dilemma, das oft zu unzureichenden Prüfungen, Prozessabkürzungen und ineffektiver Überwachung führt.

Gleichzeitig hat die Verbreitung von Architekturen, Clouds und Drittanbieter-Integrationen die Angriffsfläche vieler Unternehmen dramatisch vergrößert. Anwendungsschwachstellen wie Cross-Site Scripting (XSS) und Einschleusungen sind seit den Anfängen der Anwendungssicherheit vor mehr als 20 Jahren weit verbreitet und immer noch entdecken und nutzen sie Angreifer weiterhin in alarmierendem Tempo. Angreifer nutzen Schwachstellen als Waffe, indem sie mithilfe von Automatisierungs-Frameworks das Internet durchsuchen, Schwachstellen ausfindig machen und daraus Profit schlagen. Vor allem Open-Source-Software birgt viele Sicherheitslücken, die unbekannte und erhebliche Risiken mit sich bringen.

F5 Labs berichtet, dass alle 9 Stunden eine kritische Sicherheitslücke bekannt wird, die eine Code-Ausführung aus der Ferne ermöglicht – einer der schwerwiegendsten Angriffe überhaupt.

Um die wachsende Komplexität bei der Sicherung von Anwendungen über verschiedene Architekturen, Clouds und Entwickler-Frameworks hinweg effektiv zu bewältigen, müssen Unternehmen ihre Strategie ändern und die Perspektive wechseln.

Die Notwendigkeit einer Verschiebung nach links und eines Perspektivenwechsels

Risiken verändern sich durch die Art und Weise, wie Anwendungen entwickelt und bereitgestellt werden. Um Sicherheitsrisiken in Anwendungen abzuwenden, müssen sich deshalb auch die Sicherheitslösungen ändern. Transparenz und Konsistenz sind so wichtig wie eh und je, aber Unternehmen brauchen einen Paradigmenwechsel in der Art und Weise, wie Anwendungssicherheit implementiert wird. Statt erst nach dem Start einer Anwendung eine Sicherheitsrichtlinie zu erstellen, Fehlalarme zu untersuchen, um die Richtlinie zu stabilisieren und zu optimieren, und danach zu überwachen, welche neu veröffentlichten Schwachstellen die Anwendung gefährden könnten, muss die Anwendungssicherheit unabhängig von der Architektur, der Cloud oder dem Framework in den Anwendungsentwicklungsprozess integriert werden.

Die Anwendungssicherheit ist am effektivsten, wenn sie automatisiert, integriert und anpassungsfähig ist. Durch die Automatisierung können die Betriebsausgaben (OpEx) gesenkt und die Belastung kritischer Sicherheitsressourcen während der Veröffentlichung, Bereitstellung und Wartung von Anwendungen verringert werden. Eine automatisierte Richtlinienbereitstellung kann die Effektivität verbessern, indem die Sicherheitskontrollen bereits an früherer Stelle in den Softwareentwicklungszyklus (SDLC) integriert und stabilisiert werden. Dies führt zu einer höheren Wirksamkeit bei gleichzeitiger Verringerung der manuellen Eingriffe und befreit die InfoSec-Mitarbeiter von einer Flut von Warnmeldungen und potenziellen Fehlalarmen, wodurch sie sich verstärkt auf strategische Risikomanagement-Maßnahmen konzentrieren können. Durch die native Integration in Anwendungsentwicklungs-Frameworks und CI/CD-Pipelines (Continuous Integration / Continuous Delivery) werden Reibungspunkte zwischen Entwicklungs- und Sicherheitsteams reduziert, was zu einer besseren geschäftlichen Agilität und organisatorischen Abstimmung führt.

Die Integration in Entwicklungstools durch API-gesteuerte Bereitstellung und Wartung vereinfacht die Richtlinienverwaltung und Änderungskontrolle über mehrere Architekturen und Clouds hinweg, indem die Komplexität der Infrastruktur abstrahiert, der betriebliche Aufwand reduziert und Fehlkonfigurationen verhindert werden.

Darüber hinaus sollten die Sicherheitsvorkehrungen präzise und widerstandsfähig sein, damit die Kunden nicht verärgert werden und Angreifer keine Chance erhalten, ihre Feldzüge auszubauen, um unentdeckt zu bleiben. Verbraucher wünschen sich personalisierte, kuratierte Erlebnisse und raffinierte Angreifer lassen sich nicht so leicht abschrecken.

Wirksame Sicherheitslösungen, die die Benutzerfreundlichkeit nicht beeinträchtigen, können in einer wettbewerbsintensiven digitalen Wirtschaft ein wichtiges Unterscheidungsmerkmal sein, um Kunden zu gewinnen und zu halten.