Buchbesprechung: Security Chaos Engineering​

Inhaltsverzeichnis

Kelly Shortridge, Aaron Rinehart
Security Chaos Engineering – Sustaining Resilience in Software and Systems
O’Reilly Media, 1. Auflage, 2023
406 Seiten, ab 40,59 Euro (Ebook, Print)
ISBN: 978-1-0981-1382-7

Cybersecurity ist angesichts zunehmender und immer raffinierterer Angriffe eine der größten Herausforderungen, denen sich Unternehmen kontinuierlich stellen müssen. Die Bedrohungslage hat ein Ausmaß erreicht, das eine hundertprozentige Abwehr aller Angriffe kaum mehr möglich macht. Wie aber lässt sich dennoch der ordnungsgemäße Betrieb von Softwaresystemen und deren Widerstandsfähigkeit sicherstellen? In ihrem bei O’Reilly erschienenen Buch Security Chaos Engineering zeigen Kelly Shortridge und Aaron Rinehart neue Wege auf.

Security Chaos Engineering (SCE) beschreibt eine neue Denkweise, die das Ziel verfolgt, Softwaresysteme so zu designen, dass sie responsiv auf Probleme reagieren können. Der Ansatz klingt zunächst herausfordernd, erweist sich in der Praxis aber als durchaus umsetzbar. Das Problem dabei ist nicht, dass SCE nicht funktionieren würde – kritisch ist vielmehr, dass die Umsetzung oft tiefe Eingriffe in die Unternehmensstruktur voraussetzt.

Einstieg in die Grundlagen der Chaostheorie

Shortridge und Rinehart gehen die komplexe Thematik Schritt für Schritt an und beleuchten sie ganzheitlich. Konsequenterweise starten sie mit den Grundlagen der Chaostheorie und wie sich diese auf verschiedene Systeme anwenden lässt. Kernbotschaft ist dabei, dass ein flexibles und responsives System, das sich nach einem Sicherheitsvorfall (Security Incident) im Idealfall selbst wieder aufzurichten vermag, den effizientesten Weg zur Mitigation verursachter Schäden darstellt.

Neben einer Erklärung verschiedener in diesem Zusammenhang häufig verwendeter Akronyme geht das Werk auf erprobte Vorgehensweisen ein. Bereits an dieser Stelle wird die umfassende praktische Erfahrung von Kelly Shortridge deutlich. Sie erspart Leserinnen und Lesern, in die eine oder andere Anfängerfalle zu tappen.

Eingriffe in Entwicklungs- und Deploymentmethoden erforderlich

Die Umsetzung von SCE auf Unternehmensebene tangiert alle Teile des Entwicklungsprozesses. Shortridge beginnt ihre Überlegungen damit, wie sich der Software-Engineering- beziehungsweise der Softwarearchitektur-Prozess verändern muss. Diese etablierten Ansätze zielen in der Regel auf eine Analyse dessen ab, wie eine Softwarearchitektur scheitert und wo die möglichen Ursachen dafür liegen. Lassen sich derartige Probleme vermeiden oder zumindest geeignete Maßnahmen zu deren Behandlung vorsehen, öffnet sich der Weg hin zu robusteren Softwaresystemen nahezu automatisch.

Lobenswert ist, dass die Theorie der Koppelung von Komponenten in der Softwareentwicklung – wie sie Ted Faison in seinem Klassiker zur eventorientierten Programmierung formuliert hat – in diesem Zusammenhang ebenfalls zur Sprache kommt.

Darüber hinaus ist ebenso wichtig, dass die Softwareentwicklung als Ganzes die Ansprüche von SCE berücksichtigt. Neben Hinweisen zur Wichtigkeit iterativer Prozesse geht die Autorin auf die Frage ein, wer am Ende für das Umsetzen der sicherheitsrelevanten Maßnahmen verantwortlich zeichnet. So viel sei hier schon angemerkt: Es ist explizit nicht nur die Aufgabe des Security-Teams.

Obwohl sich in diesem Teil des Buchs keine Codeschnipsel finden, erhalten Leserinnen und Leser eine Menge relevantes Know-how für die Praxis – insbesondere für das Umsetzen in größeren Unternehmen. Denn allein schon die alternative Aufteilung von Workloads führt zu sicherer Software mit weniger Fehlern und geringerem Ausfallrisiko. Darüber hinaus sind Monitoring und die Reaktion auf erkannte Angriffsversuche wichtige Bestandteile des SCE-Prozesses.

Auf die technischen Überlegungen lassen die Autoren noch einen Ausflug auf die Meta-Design-Ebene und die Verantwortlichkeiten der unterschiedlichen Stakeholder folgen. Security müsse als Produkt angesehen und umgesetzt werden. Im Sinne einer innovativeren Vorgehensweise sollten sich dabei die gemeinsamen Ziele der zu definierenden Securityprozesse durchaus auch aus der Analyse kritischer Situationen ableiten.

SCE im praktischen Einsatz

Die nachfolgenden Kapitel acht und neun des insgesamt nicht allzu theorielastigen Werks demonstrieren die praktischen Einsatzmöglichkeiten des Security Chaos Engineering. Die Autoren starten dabei mit dem Konzept des Experiments: eine geplante Angriffssession, die durch (geplantes oder zufälliges) Manipulieren des Systems danach strebt, einen nachteiligen Zustand herbeizuführen. Lobenswert ist, dass Shortridge und Rinehart hier eine Liste mit Dutzenden potenziellen Angriffsvektoren liefern, die auch einige exotische Beispiele nicht ausklammert.

Zu guter Letzt folgt eine Analyse konkreter Praxisbeispiele aus sechs Unternehmen, die ihre Erfahrungen mit Security Chaos Engineering teilen. Diese Berichte aus der Praxis helfen, im Haupttext nicht oder nur unzureichend besprochene Aspekte im Detail kennenzulernen und zu verstehen.

Eine neue Denkweise für die Computersicherheit

Wer in einem sicherheitskritischen Bereich arbeitet und sich dabei auch mit Problemen wie der "Abwanderung" von Daten oder Availability auseinandersetzen muss, bereut den Kauf des Buches sicher nicht. Die neuartigen Konzepte helfen dabei, im Unternehmen eine resiliente Kultur zu schaffen, die die Belange der Computersicherheit berücksichtigt. Die Lektüre des Werks ist daher unbedingt empfohlen.

Annette Bosbach
betreut die Legacysysteme der Tamoggemon Holding k.s. und befasst sich darüber hinaus seit Jahren mit dem Einfluss, den Technik und Menschen aufeinander nehmen.

(map)