Spielend einfache Sicherheit
Threat-Modelling per Kartenspiel
Wer Software produziert, muss konstant und in allen Phasen des Produktzyklus auf Sicherheit achten. Ein wichtiger Aspekt ist „Threat Modelling“, also Sicherheitsprobleme aufzudecken, indem man frühzeitig mögliche Bedrohungen identifiziert. Dieser Artikel erklärt, wie Sie die dafür nötige Kreativität fördern und uninspirierte Brainstormings durch lockere Kartenspielrunden ersetzen.
Eine Software über ihren gesamten Lebenszyklus kompetent zu verwalten, schließt eine Reihe von Aufgaben ein. Dazu gehören eher typische Entwicklungstätigkeiten wie Architektur der Software, kontinuierliche Tests und natürlich die Implementierung an sich. Moderne, agile Entwicklungsmethoden verzahnen diese Aufgaben mit vermeintlich nachgelagerten Arbeiten wie Deployment und Monitoring sowie der Wartung eines Softwareprodukts. Das zugehörige Schlagwort lautet „DevOps“, weil die klassischerweise getrennten Bereiche Softwareentwicklung (Development) und Systemadministration (Operations) miteinander verschmelzen. IT-Security findet dabei allerdings oft nicht den notwendigen Raum. Auch in sehr agil arbeitenden Teams bestehen die Security-Prozesse häufig aus singulären Ereignissen wie Audits oder simulierten Angriffen (Pentests), die an einzelnen Experten hängen und den anderen Prozessen nachgelagert sind.
Das kann zu unsicherer Software führen, denn selbst wenn man die Software perfekt implementiert und testet, kann das Security-Fehler im Design nicht ausgleichen. Solche Fehler gehören seit 2021 auch zur OWASP Top 10 der Sicherheitsrisiken für Web-Apps. Mit der Aufnahme in diese Liste des Open Web Application Security Projects hat „Unsicheres Design“ einen gewichtigen Ritterschlag als ernstzunehmende Bedrohung bekommen. Selbst wenn man solche Probleme später in Audits entdeckt, ist der Aufwand zur Korrektur groß. Besser ist es, Security als gleichberechtigten Partner von Development und Operations in alle Teile des agilen Prozesses zu integrieren, was auch als „DevSecOps“ bezeichnet wird.