Was ist Anwendungssicherheit?

Unternehmen wissen, dass die Sicherheit im Rechenzentrum insgesamt wichtig ist, aber nur wenige verfügen über klar definierte Anwendungssicherheitsrichtlinien, um mit Cyberkriminellen Schritt zu halten und ihnen sogar einen Schritt voraus zu sein. 

Die Existenz dieser Sicherheitslücken ist schon beunruhigend genug, aber noch beunruhigender ist es, wenn Unternehmen nicht über die Instrumente verfügen, um zu verhindern, dass diese Lücken Sicherheitsverletzungen begünstigen. Damit ein Anwendungssicherheitstool erfolgreich sein kann, muss es sowohl bekannte Schwachstellen identifizieren als auch schnell beheben, bevor sie zu einem Problem werden. 

Doch IT-Manager müssen über diese beiden Hauptaufgaben hinausgehen. In der Tat ist das Erkennen und Behebung von Schwachstellen und Sicherheitslücken das A und O des Anwendungssicherheitsprozesses, aber da Cyberkriminelle immer ausgefeiltere Techniken entwickeln, müssen Unternehmen mit modernen Sicherheitswerkzeugen einen – und idealerweise mehrere – Schritte voraus sein. Extreme Bedrohungen werden immer schwieriger zu erkennen und noch schädlicher für ein Unternehmen, und es gibt einfach keinen Platz für veraltete Sicherheitsstrategien.

Heutzutage haben Unternehmen mehrere Optionen, wenn es um Produkte für die Anwendungssicherheit geht, aber die meisten fallen in eine von zwei Kategorien: Sicherheitstest-Tools, ein gut etablierter Markt, der den Zustand Ihrer Anwendungssicherheit analysieren will, und Sicherheits-„Abschirm“-Tools, die Anwendungen verteidigen und verstärken, um die Ausführung von Sicherheitsverletzungen zu erschweren. 

Unter dem Thema Sicherheitstestprodukte gibt es noch mehr begrenzte Kategorien.

• Erstens haben wir statische Anwendungssicherheitstests, bei denen bestimmte Codebereiche während des Anwendungsentwicklungsprozesses überwacht werden, damit Entwickler sicherstellen können, dass sie während des Entwicklungsprozesses nicht unbeabsichtigt Sicherheitslücken schaffen. 
• Zweitens gibt es dynamische Anwendungssicherheitstests, die Sicherheitslücken im laufenden Code aufdecken. Diese Methode kann einen Angriff auf ein Produktionssystem imitieren und Entwicklern und Ingenieuren helfen, sich gegen ausgefeiltere Angriffsstrategien zu verteidigen. Sowohl statische als auch dynamische Tests sind verlockend, so dass es keine Überraschung ist, dass eine dritte Variante entstanden ist – interaktives Testen, das die Vorteile der beiden kombiniert.
• Drittens entdeckt der Sicherheitstest für mobile Anwendungen, wie der Name schon sagt, Lücken in mobilen Umgebungen. Diese Methode ist insofern einzigartig, als sie die Art und Weise untersuchen kann, wie ein Angreifer ein mobiles Betriebssystem verwendet, um in das System und die darin laufenden Anwendungen einzudringen. 

Kommen wir zur „Abschirmung“ von Anwendungen. Wie bereits erwähnt, sind Tools in dieser Kategorie dazu gedacht, Anwendungen gegen Angriffe „abzuschirmen“. Das klingt zwar ideal, ist aber eine weniger etablierte Praxis, vor allem im Vergleich zu Testinstrumenten. Dennoch werden im Folgenden die wichtigsten Unterkategorien innerhalb dieses Instrumentariums aufgeführt.

• Erstens haben wir die sog. Runtime Application Self-Protection (RASP), die Test- und Abschirmstrategien kombiniert. Diese Tools überwachen das Anwendungsverhalten sowohl in Desktop- als auch in mobilen Umgebungen. RASP-Dienste halten die Entwickler mit häufigen Warnmeldungen über den Stand der Anwendungssicherheit auf dem Laufenden, und sie können sogar eine Anwendung beenden, wenn das gesamte System kompromittiert wird.
• Zweitens und drittens sind Code-/Anwendungs-Verschleierung und Verschlüsselungs-/Antitampering-Software zwei Kategorien, die im Wesentlichen dem gleichen Zweck dienen: Cyber-Kriminelle daran zu hindern, den Code einer Anwendung zu verletzen.
• Drittens sind Tools zur Erkennung von Bedrohungen für die Analyse der Umgebung zuständig, in der Anwendungen ausgeführt werden. Diese Kategorie von Tools kann dann den Zustand dieser Umgebung bewerten, potenzielle Bedrohungen erkennen und sogar überprüfen, ob ein mobiles Gerät durch eindeutige „Fingerabdrücke“ des Geräts kompromittiert wurde. 

Die beste und stabilste Anwendungssicherheit beginnt zweifellos beim Code. Dieser Ansatz, auch bekannt als „Security by Design“, ist entscheidend, um richtig zu handeln. Anwendungsschwachstellen beginnen in vielen Fällen mit einer kompromittierten Architektur, die mit Designfehlern behaftet ist. Das bedeutet, dass die Anwendungssicherheit in den Entwicklungsprozess – d.h. in den Code – eingeflochten werden muss. 

Security-by-Design

Ein Security-by-Design-Ansatz bedeutet, dass Ihre Anwendungen mit einem sauberen, gut geschützten System beginnen. Aber neben dieser Methode gibt es noch einige andere Best Practices für die Anwendungssicherheit, die Unternehmen bei der Feinabstimmung ihrer Strategie beachten sollten.

1. Behandeln Sie Ihre Cloud-Architektur, ob Public Cloud oder vor Ort, als unsicher. Wenn man sich an diese Denkweise hält, wird die Selbstgefälligkeit und der Komfort, die Cloud als sicher genug anzunehmen, zunichte gemacht. 
2. Wenden Sie Sicherheitsmaßnahmen auf jede Komponente Ihrer Anwendung und während jeder Phase des Entwicklungsprozesses an. Achten Sie darauf, dass Sie für jede einzelne Komponente die entsprechenden Maßnahmen ergreifen.
3. Eine entscheidende, aber zeitaufwändige Strategie ist die Automatisierung der Installations- und Konfigurationsprozesse. Selbst wenn Sie diese Prozesse bereits früher abgeschlossen haben, müssen Sie sie für Ihre Anwendungen der nächsten Generation erneut durchführen.
4. Die bloße Festlegung von Sicherheitsmaßnahmen reicht nicht aus. Stellen Sie sicher, dass sie häufig getestet und erneut getestet werden, um sicherzustellen, dass sie ordnungsgemäß funktionieren. Im Falle einer Sicherheitsverletzung werden Sie dankbar sein, dass Sie alle Fehler entdeckt und behoben haben. 
5. Nutzen Sie die Vorteile von SaaS-Angeboten, um zeitraubende Sicherheitsaufgaben auszulagern und sich auf Projekte mit Mehrwert konzentrieren zu können. SaaS ist zum einen relativ erschwinglich, zum anderen erfordert es kein dediziertes IT-Team zur Konfiguration von Produkten.