IT-Sicherheitsbewusstsein schaffen: Threat-Modelling per Kartenspiel

Inhaltsverzeichnis

Eine Software über ihren gesamten Lebenszyklus kompetent zu verwalten, schließt eine Reihe von Aufgaben ein. Dazu gehören eher typische Entwicklungstätigkeiten wie Architektur der Software, kontinuierliche Tests und natürlich die Implementierung an sich. Moderne, agile Entwicklungsmethoden verzahnen diese Aufgaben mit vermeintlich nachgelagerten Arbeiten wie Deployment und Monitoring sowie der Wartung eines Softwareprodukts. Das zugehörige Schlagwort lautet "DevOps", weil die klassischerweise getrennten Bereiche Softwareentwicklung (Development) und Systemadministration (Operations) miteinander verschmelzen.

IT-Security findet dabei allerdings oft nicht den notwendigen Raum. Auch in sehr agil arbeitenden Teams bestehen die Security-Prozesse häufig aus singulären Ereignissen wie Audits oder simulierten Angriffen (Pentests), die an einzelnen Experten hängen und den anderen Prozessen nachgelagert sind.

Mehr zu: Sicherheit in Webanwendungen

• Softwareentwicklung und Security: Threat-Modelling per Kartenspiel
• Security: APIs mit Keycloak absichern
• Security: Drei freie Web-Application-Firewalls im Test
• OWASP Top 10: Sicherheitsrisiken in Web-Anwendungen
• Monitoring-Software: Webdienste mit Uptime Kuma überwachen
• Webanwendungen schützen mit Authelia

Das kann zu unsicherer Software führen, denn selbst wenn man die Software perfekt implementiert und testet, kann das Security-Fehler im Design nicht ausgleichen. Solche Fehler gehören seit 2021 auch zur OWASP Top 10 der Sicherheitsrisiken für Web-Apps. Mit der Aufnahme in diese Liste des Open Web Application Security Projects hat "Unsicheres Design" einen gewichtigen Ritterschlag als ernstzunehmende Bedrohung bekommen. Selbst wenn man solche Probleme später in Audits entdeckt, ist der Aufwand zur Korrektur groß. Besser ist es, Security als gleichberechtigten Partner von Development und Operations in alle Teile des agilen Prozesses zu integrieren, was auch als "DevSecOps" bezeichnet wird.

Das war die Leseprobe unseres heise-Plus-Artikels "IT-Sicherheitsbewusstsein schaffen: Threat-Modelling per Kartenspiel". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.