Als langjähriger Sicherheitsexperte interessiert es mich immer, wie Unternehmen wie Datadog mit der sich wandelnden Sicherheitslandschaft Schritt halten. Ich erinnere mich noch gut daran, als die Sicherheitsabteilung allein für die Sicherheit zuständig war und wir uns auf den Schutz des Unternehmensperimeters konzentrierten. Mit dem Aufkommen von Cloud-, Mobil- und Webanwendungen ist dieser Perimeter jedoch verschwunden. Gleichzeitig erkennen Unternehmen, dass… Sicherheit sollte eine gemeinsame Verantwortung sein und in ihre Entwicklungs- und Betriebsteams integriert.

Seien wir ehrlich: Angriffe auf Webanwendungen sind zu einem Problem geworden. Bedrohung und die Zahl der dadurch verursachten Datenschutzverletzungen steigt jedes Jahr rapide an. Schurke Akteure nutzen Schwächen in unserer Infrastruktur, Software und unseren Prozessen aus. Wie können wir … zurückschlagen dagegen? Eintreten eine neue Hoffnung DevSecOps!

Wie Sie vielleicht bemerkt haben, bin ich seit meiner Kindheit ein großer Star-Wars-Fan. Ich freue mich immer riesig, wenn ein neuer Film dieser traditionsreichen Reihe erscheint, und der neueste Film hat mich dazu angeregt, über einige der Lektionen nachzudenken, die mir eine weit, weit entfernte Galaxie im Hinblick auf DevSecOps gelehrt hat.

„Du musst verlernen, was du gelernt hast.“ – Yoda

Ich interpretiere dieses weise Zitat des Jedi-Meisters so, dass manches Wissen, das man für wahr hält, nicht mehr zutrifft – und im Kontext von DevSecOps kann dies die erfolgreiche Transformation behindern. Durch die Verwendung veralteter Tools und Prozesse bremsen Sicherheitsteams die Entwicklung möglicherweise aus. Die Sicherheit muss sich im Zuge dessen anpassen. Veränderung des Sicherheitsbewusstseins Innerhalb einer Organisation lernen wir, wie neuere Tools und Prozesse die Zusammenarbeit verbessern können. Datadog, ein Monitoring-Dienst für Cloud-Anwendungen, erkannte die Notwendigkeit, seine Tools und Prozesse zu aktualisieren. Das Sicherheitsteam lernte von der Entwicklungsabteilung und begann, PagerDuty für Alarmierung und Reaktion einzusetzen. Als Mitglied des PagerDuty Sicherheitsteams kann ich dies ebenfalls bestätigen. Wir essen unser eigenes Hundefutter Und Nutzen Sie unsere Plattform als Teil unserer Sicherheitsmaßnahmen. Aber warum?

„Das ist das Schiff, das den Kessel-Flug in weniger als zwölf Parsecs geschafft hat!“ – Han Solo

Bei PagerDuty verfolgen wir ein reaktives und reaktionsschnelles Modell. Beispielsweise: Wie schnell erkennen wir ein Sicherheitsereignis oder eine nicht konforme Ressource und wie schnell können wir reagieren und das Problem beheben? Ein wichtiger Bestandteil von DevSecOps ist die schnelle und skalierbare automatisierte Entscheidungsfindung im Bereich der Sicherheit. Das mag zwar nicht so schnell sein wie der Sprung des Millennium Falcon auf … Lichtgeschwindigkeit Schnelles Reagieren kann jedoch zu potenziellen Kosteneinsparungen und einer Risikominderung führen. Geschwindigkeit ist ein wichtiger Faktor!

Wir alle würden uns wünschen, sagen zu können, dass jede Veröffentlichung hundertprozentig sicher ist und wir eine hundertprozentige Verfügbarkeit gewährleisten können, aber das entspricht nicht der Realität. Fakt ist, dass Sicherheitslücken auftreten werden und wie schnell man reagieren kann, wirkt sich auf das Geschäftsergebnis aus. Ponemon-Studie zu den Kosten von Datenschutzverletzungen 2017 Studien haben gezeigt, dass ein Incident-Response-Team die Kosten eines Datenlecks um bis zu 19 US-Dollar pro Datensatz senken kann. Daher ist es logisch, dass die schnelle Benachrichtigung und Einbindung der richtigen Personen entscheidend ist.

Bei PagerDuty betreiben wir eine mandantenfähige Software-as-a-Service-Plattform in der Cloud und nutzen verschiedene Tools zur Überwachung und zum Schutz unserer Infrastruktur. Diese Tools erzeugen zahlreiche Signale, die wir analysieren und filtern. Durch die Integration mit der PagerDuty -Plattform können wir relevante Sicherheitsereignisse und -warnungen generieren. So können wir schnell auf Ereignisse reagieren und entsprechende Maßnahmen einleiten. Reaktionsprozess auf Vorfälle um es schnell einzudämmen, zu reagieren und sich zu erholen.

Dies gilt nicht nur für Sicherheitsvorfälle. In einer Umgebung, in der Die Entwickler besitzen ihren Code. Wir können außerdem schnell feststellen, wenn Ressourcen in unserer Cloud-Infrastruktur nicht den Vorschriften entsprechen oder ein Sicherheitsrisiko darstellen. Wir können umgehend reagieren und gemeinsam mit dem Entwickler das Problem beheben und gleichzeitig schnelles Feedback zu Best Practices für die Sicherheit geben, um den Prozess zukünftig zu optimieren.

„Tu es. Oder tu es nicht. Es gibt kein Versuchen.“ – Yoda

Die Implementierung eines DevSecOps-Ansatzes mag zunächst abschreckend wirken – und ist mit vielen Herausforderungen verbunden (wie beispielsweise der Veränderung des Sicherheitsbewusstseins im Unternehmen). Das allein mag an eine Kunstform erinnern. Doch Sie müssen sich dem Prozess verschreiben, aus Ihren Fehlern lernen und von anderen profitieren, die diesen Weg bereits gegangen sind. Wie DevOps sollte auch DevSecOps ein iterativer Lern- und Verbesserungsprozess sein. Bei DevSecOps geht es außerdem darum, die richtigen Tools zur Automatisierung Ihrer Sicherheitsprozesse auszuwählen, um schnelles Feedback zu erhalten. PagerDuty kann Sie bei dieser Transformation unterstützen.

Möchten Sie mehr darüber erfahren, wie Sie DevSecOps erfolgreich in Ihrem Unternehmen implementieren können? Schauen Sie sich Folgendes an: Datadog-Fallstudie Die