Erkunden der Observierbarkeit durch Sicherheitsbewertung
Einblicke sind auch für die Sicherheitsüberwachung und -bewertung unerlässlich, da dadurch die Erkennung von Sicherheitsvorfällen und die Reaktion darauf erleichtert werden. Sicherheitseinblicke umfassen die Überwachung auf ungewöhnliche Muster, die auf potenzielle Bedrohungen hinweisen, die Ermittlung von Sicherheitsrisiken in Software und der zugrunde liegenden Infrastruktur sowie die Überwachung von Aktivitäten in der überwachten Umgebung. Die Organisation im Beispielszenario war mehreren Sicherheitsexploits ausgesetzt, die durch die Anwendung der Prinzipien der Sicherheitseinblicke hätten verhindert oder zumindest abgeschwächt werden können. In dieser Lerneinheit erfahren Sie mehr über einige der gängigeren Methoden zur Anwendung dieser Prinzipien.
Wie die Prinzipien der Sicherheitsbeobachtbarkeit anwenden?
Sicherheitstechniken, die Teil der DevSecOps-Strategie sind, können in zwei Hauptkategorien unterteilt werden, je nachdem, ob sie sich auf die Verhinderung von Sicherheitsverletzungen konzentrieren oder Teil des Ansatzes für die Annahme einer Sicherheitsverletzung sind. Die DevOps-Phasen für Planung, Entwicklung und Bereitstellung konzentrieren sich in erster Linie auf die Verhinderung von Sicherheitsverletzungen mithilfe von Techniken wie Bedrohungsmodelle, Lebenszyklus der Sicherheitsentwicklung, Code Reviews, statische Anwendungssicherheitstests (SAST), dynamische Anwendungssicherheitstests (DAST) und Softwarekompositionsanalyse (SCA). In der operativen Phase ist es üblich, Techniken zur Verhinderung von Sicherheitsverletzungen und zur Annahme von Sicherheitsverletzungen zu kombinieren, einschließlich War-Game-Übungen, Penetrationstests für Livewebsites, Sicherheitsüberwachung und Sicherheitsbewertung.
War-Game-Übungen sind Ereignisse, bei denen zwei Teams (rot und blau) mit der Bewertung der Sicherheit einer bestimmten Umgebung beauftragt werden. Das Team red übernimmt die Rolle eines Angreifers. Es wird versucht, reale Angriffe zu emulieren, um Sicherheitslücken zu finden und damit die potenziellen Auswirkungen von Exploits zu demonstrieren. Das blaue Team übernimmt die Rolle der Verteidigung. Ziel ist es, die Angriffe des roten Teams zu erkennen und darauf zu reagieren.
Penetrationstests für Livewebsites werden von autorisierten Sicherheitsexpert*innen durchgeführt, die aktiv versuchen, Sicherheitsrisiken in der Zielumgebung auszunutzen. Das Ziel besteht darin, diese Sicherheitsrisiken zu identifizieren, zu bewerten und zu beheben, bevor sie tatsächlich ausgenutzt werden.
Sicherheitsüberwachung und Sicherheitsbewertung sind integrale Komponenten der DevOps-Sicherheitseinblicke und tragen gemeinsam zur kontinuierlichen und proaktiven Identifizierung und Analyse von Sicherheitsereignissen und Sicherheitsrisiken sowie zur Reaktion darauf bei. Die Sicherheitsüberwachung folgt weitgehend demselben Ansatz wie die Leistungsüberwachung, indem Echtzeit-Telemetriedaten wie Metriken, Protokolle und Ablaufverfolgungen gesammelt werden, um die gesamte Sicherheit Ihrer Workloads nachzuverfolgen. Die Sicherheitsbewertung nutzt diese Telemetriedaten, um die Sicherheit der Informationssysteme, Anwendungen und Infrastruktur der Organisation zu bewerten, Sicherheitsrisiken zu identifizieren, Risiken zu bewerten und Empfehlungen für ihre Behebung bereitzustellen.
Es ist üblich, für diesen Zweck eine dedizierte Lösung zu verwenden, die die SIEM-Funktionalität (Security Information and Event Management) implementiert, z. B. die in der Cloud gehostete Lösung Microsoft Sentinel. Microsoft Sentinel kombiniert Telemetriedaten aus einer Vielzahl von Quellen, korreliert sie automatisch und sucht mithilfe von künstlicher Intelligenz und maschinellem Lernen nach Mustern.
Sie können auch die in Microsoft DevOps-Plattformen (etwa GitHub oder Azure DevOps) integrierten Funktionen nutzen. Insbesondere bietet GitHub viele Tools, die Sicherheitsüberwachung und -bewertung implementieren, z. B. GitHub Advanced Security.
Dependabot überprüft in Repositorys gehostete Software automatisch auf externe Abhängigkeiten und sucht anhand von GitHub Advisory Database nach bekannten Sicherheitsrisiken. Falls solche Sicherheitsrisiken gefunden werden, generiert Dependabot automatisch Pull Requests, um sie auf nicht anfällige Versionen zu aktualisieren.
GitHub Advanced Security kombiniert verschiedene Sicherheitsfeatures und -funktionen, die Softwarebereitstellungsworkflows verbessern, u. a. Codeüberprüfung, Geheimnisüberprüfung und Abhängigkeitsüberprüfungen. Bei der Sicherheitscodeüberprüfung wird beispielsweise in Repositorys gehosteter Code überprüft, um Sicherheitsrisiken und Programmierfehler zu erkennen.
Sie ist in GitHub Actions integriert, um die automatisierte und kontinuierliche Codeanalyse im Rahmen von CI/CD-Workflows zu ermöglichen.