Micro Focus

Was ist Anwendungssicherheit?

Die Anwendungssicherheit ist die Disziplin der Prozesse, Tools und Praktiken, bei der versucht wird, Anwendungen über den gesamten Anwendungslebenszyklus vor Gefahren zu schützen. Cyberkriminelle sind organisiert, spezialisiert und motiviert, Schwachstellen in Unternehmensanwendungen auszunutzen und Daten, geistiges Eigentum und vertrauliche Daten zu stehlen. Mittels Anwendungssicherheit können Organisationen alle Anwendungstypen schützen (z. B. ältere, Desktop-, Web-, mobile oder Microservices), die von internen und externen Beteiligten, darunter Kunden, Geschäftspartner und Mitarbeiter, genutzt werden.

Gründe für die Anwendungssicherheit

Wie mehrere Studien gezeigt haben, zielt der Großteil der erfolgreichen Sicherheitsverletzungen auf ausnutzbare Sicherheitslücken in der Anwendungsschicht ab. Das zeigt, wie wichtig es ist, dass die IT-Abteilungen von Unternehmen ein besonderes Augenmerk auf die Anwendungssicherheit legen. Hinzu kommt, dass die Anzahl und Komplexität der Anwendungen zunimmt. Vor zehn Jahren bestand die Herausforderung in puncto Softwaresicherheit darin, Desktopanwendungen und statische Websites zu schützen, die relativ harmlos, einfach zu überblicken und zu schützen waren. Mittlerweile ist die Software-Lieferkette wesentlich komplizierter angesichts der ausgelagerten Entwicklung, der Anzahl an älteren Anwendungen zusammen mit der internen Entwicklung, bei der Drittanbieter-, Open-Source- und kommerzielle Standardsoftwarekomponenten zum Einsatz kommen.

Organisationen benötigen Anwendungssicherheitslösungen, die alle ihre Anwendungen abdecken. Dazu zählen sowohl intern genutzte Anwendungen als auch externe Anwendungen, die von Kunden auf ihren Mobiltelefonen genutzt werden. Die Lösungen müssen sich auf die Entwicklungsphase erstrecken und Testvorgänge anbieten, nachdem die Anwendung in Betrieb genommen wird, um eventuell auftretende Probleme zu beobachten. Anwendungssicherheitslösungen müssen Webanwendungen auf potenzielle Schwachstellen testen können, die für ausnutzbare Sicherheitslücken genutzt werden können. Sie müssen Programmcode analysieren und Sicherheits- und Entwicklungsprozessen verwalten können, indem sie Arbeiten koordinieren und die Zusammenarbeit zwischen den verschiedenen Beteiligten ermöglichen. Darüber hinaus müssen sie einfach zu bedienende und bereitzustellende Testverfahren für die Anwendungssicherheit gewährleisten.

Was sind SAST und DAST?

Was ist SAST?

Static Application Security Testing (SAST) scannt die Anwendungsquelldateien, identifiziert die Ursache zuverlässig und korrigiert die zugrunde liegenden Sicherheitslücken.

Mit Static Application Security Testing können Entwickler:

  • Sicherheitslücken im Quell-, Binär- oder Bytecode identifizieren und beseitigen
  • Scanergebnisse der statischen Analyse in Echtzeit überprüfen und auf Empfehlungen und auf die Codezeilennavigation zugreifen, um Sicherheitslücken schneller zu finden und um gemeinsames Auditing durchzuführen
  • die vollständig in die integrierte Entwicklerumgebung (Integrated Developer Environment, IDE) integrierte Lösung nutzen

Was ist DAST?

Dynamic Application Security Testing (DAST) simuliert kontrollierte Angriffe auf einer aktiv ausgeführten Webanwendung oder in einem Service, um ausnutzbare Sicherheitslücken in einer aktiven Umgebung zu ermitteln.

Vorteile von Dynamic Application Security Testing:

  • Bietet einen umfassenden Einblick in die Anwendungssicherheit, indem die ausnutzbaren Elemente in den Fokus gerückt und alle Komponenten (Server, benutzerdefinierter Code, Open Source, Services) abgedeckt werden
  • Kann in Entwicklungs-, Qualitätssicherungs- und Produktionslösungen integriert werden, um eine kontinuierliche ganzheitliche Betrachtungsweise bereitzustellen
  • Die dynamische Analyse ermöglicht einen umfassenderen Ansatz bei der Verwaltung der Portfoliorisiken (tausende Anwendungen) und kann im Rahmen des Risikomanagements ältere Apps scannen
  • Testet Funktionsweise der App, ist also im Gegensatz zu SAST nicht durch Sprachen eingeschränkt und es können Probleme in Bezug auf Laufzeit und Umgebung entdeckt werden

On-Premise- vs. SaaS-Lösungen

Anwendungssicherheitslösungen bestehen aus der Internetsicherheitssoftware (den Tools) und den Praktiken, die den Prozess zum Schützen der Anwendungen ausführen.

Vor Ort

Lösungen für Application Security Testing können On-Premise (intern) ausgeführt und von internen Teams betrieben und verwaltet werden. Bei diesem Ansatz müssen Organisationen die Infrastruktur sowie das Personal bereitstellen und Anwendungssicherheitslösungen für deren Nutzung erwerben. Die Nutzung von On-Premise-Lösungen gewährleistet Organisationen, dass ihre Anwendungsdaten weder für Dritte freigegeben werden noch die Räumlichkeiten verlassen.

SaaS

Die Anwendungssicherheit kann auch als ein SaaS (oder Anwendungssicherheit als Service) angeboten werden, wo der Kunde die vom Anwendungssicherheitsanbieter bereitgestellten Services als eine sofort einsatzfähige Lösung nutzt. Dieser Ansatz erfordert keine der Voraussetzungen des On-Premise-Ansatzes, sondern erfordert eine teilweise oder vollständige Abhängigkeit vom SaaS-Anbieter und ermöglicht in den meisten Fällen die gemeinsame Nutzung der Anwendungsdaten mit dem Anbieter. SaaS ermöglicht einen einfachen Einstieg in die Anwendungssicherheit und bietet Skalierbarkeit und Geschwindigkeit. Hybride Implementierungen (gemeinsame Nutzung von On-Premise- und SaaS-Lösungen in unterschiedlichen Projekten und Praktiken) versuchen, das Beste der beiden Ansätze zu kombinieren und so Flexibilität, Skalierbarkeit und Kostenoptimierung bereitzustellen.

Geschwindigkeit im Vergleich mit Genauigkeit

Heutzutage ist jedes Unternehmen ein Softwareunternehmen. Folglich hat die Anzahl der Web- und mobilen Anwendungen enorm zugenommen. Außerdem hat sich die Häufigkeit von Anwendungsveröffentlichungen erhöht. Damit sie mit den Geschäftsanforderungen Schritt halten können, führen viele Organisationen weniger komplexe Sicherheitsscans durch. Dies geht zu Lasten der Genauigkeit, die zum Ermitteln entscheidender Sicherheitslücken erforderlich ist. Die Agilität im Sicherheitsbereich entspricht dem Gleichgewicht bei der Durchführung gründlicher, genauer Scans und den zugehörigen falsch positiven Ergebnissen, welche die Abhilfe behindern können.

Was ist die OWASP Top 10?

OWASP Top 10

Das Open Web Application Security Project (OWASP) ist eine Open-Source-Community zur Anwendungssicherheit, die das Ziel verfolgt, die Softwaresicherheit zu verbessern. Die zugehörigen Branchenstandards der OWASP Top 10-Richtlinien enthalten eine Liste der wichtigsten Anwendungssicherheitsrisiken, anhand derer Entwickler die Anwendungen besser schützen können, die von ihnen konzipiert und bereitgestellt werden. Unter A Developer’s Guide to the OWASP Top 10 finden Sie Übersichten und praktische Tipps zu jedem einzelnen Top 10-Eintrag.

Application Security Lösungen

Die Anwendungssicherheitslösungen von Micro Focus bieten Lösungen für das Testen und Verwalten der Anwendungssicherheit vor Ort und als ein Service, mit denen Unternehmen ihre Softwareanwendungen, auch ältere, mobile Apps, Drittanbieter-Anwendungen und Open-Source-Anwendungen schützen.

Die Micro Focus Fortify-Angebote umfassen statische, dynamische und interaktive Anwendungssicherheitstests, einen Selbstschutz von Anwendungen zur Laufzeit sowie Services zur Unterstützung eines Software Security Assurance-Programms, das aus Prozessen besteht, mit denen sichergestellt werden muss, dass die Anwendungen für Ihr Unternehmen geschützt und sicher sind.

Die Lösungen umfassen:

Fortify Static Code Analyzer - Static Application Security Testing (SAST) identifiziert und erkennt Sicherheitsschwachstellen im Quellcode in einem frühen Stadium des Softwareentwicklungszyklus.

Fortify WebInspect - Dynamic application security testing (DAST) – Simuliert im Echtbetrieb vorkommende Sicherheitsangriffe in einer laufenden Anwendung, um eine umfassende Analyse komplexer Webanwendungen und -services zu ermöglichen.

Interactive Application Security Testing (IAST) – Durch die Integration unserer dynamischen Tests und Laufzeitanalysen werden weitere Schwachstellen durch Ausdehnung auf einen größeren Wirkungsbereich des Angriffs und bessere Erkennung der Exploits als reine dynamische Tests ermittelt.

Fortify Application Defender – Runtime Application Self-Protection (RASP) – damit werden Anwendungen in der Produktion, die bekannte und unbekannte Schwachstellen aufweisen, aktiv überwacht und geschützt.

Fortify on Demand – Security as a Service – Eine einfache, leichte und schnelle Möglichkeit für einen präzisen Test von Anwendungen ohne erforderliche Installationen oder Verwaltung von Software bzw. Hinzufügen zusätzlicher Ressourcen.

Mobile Sicherheit – Methodik für das Testen von mobilen Anwendungen, bei der alle drei Schichten, einschließlich Client, Netzwerk und Server, getestet werden.

Software Security Assurance – Zentralisiertes Management-Repository, das durch mehr Transparenz eine Behebung von Sicherheitsschwachstellen ermöglicht.

Fortify Software Security Center - Zentralisiertes Management-Repository, das eine gute Sicht auf das gesamte Testprogramm für die Anwendungssicherheit bietet. Es priorisiert, verwaltet und verfolgt Sicherheitstestaktivitäten und bietet ein präzises Bild des Sicherheitsrisikos der Software in Ihrem gesamten Unternehmen.

Kontakt

Anwendungssicherheit – Ressourcen

Whitepaper: The 2019 TechBeacon Buyer's Guide to Application Security

Whitepaper: Seamless Application Security: Security at the Speed of DevOps

Video: Getting Started with Application Security in One Day

Webinar: Shift Left: 3 Steps to Get Your Developers Involved in Security

Whitepaper: Application Security Risk Report

Webinar: Fitting Security Into Your Software Lifecycle: Automation and Integration

Whitepaper: The State of Application Security in the Enterprise

OWASP Top 10 der kritischsten Sicherheitsrisiken für Webanwendungen

Micro Focus Fortify-Ressourcen

Fortify Marketplace

YouTube-Kanal zu Fortify Unplugged

Kostenlose Fortify on Demand-Testversion

Fortify Community

Fortify Software Security Assurance Self-Assessment

Fortify Integration Ecosystem

Unsere Lösungen

SAST: Fortify Static Code Analyzer

Automatisierte Analysen von statischem Code, damit Entwickler Sicherheitslücken vermeiden und sichere Software entwickeln können.

Weitere Informationen
DAST: Fortify WebInspect

Automatisiertes Tool für dynamische Sicherheitstests zum Ermitteln und Priorisieren von Sicherheitslücken im Internet, die ausgenutzt werden könnten.

Weitere Informationen
Fortify on Demand

Vertrauen Sie der Sicherheit Ihrer Software mit unserem Fachwissen, starten Sie einfach und passen Sie sich Ihrem Wachstum an.

Weitere Informationen
Fortify Software Security Center

Vermeiden Sie Softwarerisiken im gesamten sicheren SDLC – von der Entwicklung über die Qualitätssicherung bis hin zur Produktion.

Weitere Informationen
RASP: Fortify Application Defender

Schutz der Produktionsanwendungen von innen her mithilfe von Runtime Application Self-Protection

Weitere Informationen

Zusätzliche Ressourcen

Blog: Integration – Einbetten der Anwendungssicherheit in den Softwarebetrieb
Blog: Wo die Sicherheit von mobilen Anwendungen mit der Benutzererfahrung harmoniert
SANS Informationsicherheit – Ressourcen
Computer Weekly IT-Sicherheitsressourcen
Dark Reading – Sicherheitsressourcen
Was ist DAST?

Zugehörige Produkte, Lösungen und Services

Application Security Testing: Fortify
SAST: Fortify Static Code Analyzer (SCA)
DAST: Fortify WebInspect
Anwendungssicherheit als Service: Fortify on Demand (FoD)
Zentrales Dashboard: Fortify Software Security Center (SSC)
RASP: Fortify Application Defender

Community

AppSec-Sicherheits-Blog
Security Research-Blog
Micro Focus Sicherheit auf Twitter
Micro Focus Sicherheit auf LinkedIn
Fortify-Community
Produktsupport und Dokumentation
Fortify Marketplace
Fortify Unplugged
release-rel-2020-10-1-5313 | Wed Oct 14 18:06:08 PDT 2020
5313
release/rel-2020-10-1-5313
Wed Oct 14 18:06:08 PDT 2020