Der Sicherheitsaspekt steht von Anfang an im Mittelpunkt der Softwareentwicklung. Zumindest sollte das der Idealfall sein. Die Realität sieht oft anders aus. Zumeist steht die Sicherheit am Ende des Entwicklungszyklus. Mit einem DevSecOps Audit verschiebt @-yet diesen Fokus.
Die Sicherheit im Mittelpunkt
Sicherheit sollte nicht erst am Ende, sondern von Beginn an integraler Bestandteil der Softwareentwicklung ist. Durch realitätsnahe Testszenarien decken die Security-Expert:innen Schwachstellen in Deployment-Infrastrukturen auf und zeigen auf, wie Angreifer diese ausnutzen könnten. Das Ergebnis ist ein durchgängig geschützter Entwicklungsprozess, der neue Software sicher bereitstellt, Sicherheitslücken früh sichtbar macht und Unternehmen nachhaltig vor Angriffen schützt.
Wie geht die @-yet vor?
- Analyse der Container
- Analyse des Netzwerks der Orchestrierungsumgebung
- Analyse der Softwareverwaltung und CI/CD Pipelines
Wie hilft Ihnen die @-yet?
- Sichere Bereitstellung neuer Software
- Frühzeitige Erkennung von Sicherheitslücken
- Beratung zur Schließung gefundener Sicherheitslücken
- Wissensaufbau bezüglich konfigurativer Fallstricke
- Sicheres Unternehmensnetzwerk
- Wirksamer Schutz firmeninterner Daten
Tests der Deployment-Umgebung
Die @-yet prüft in Form von Penetrationstests auch die Deployment-Infrastrukturen. Dabei simulieren die @-yet Security-Expert:innen einen Angriff mit genau den Angriffsmethoden, die auch ein realer Angreifer nutzen würde. In diesem Zusammenhang ist auch von „Assumed-Breach-Tests“ die Rede. Diese Tests beginnen mit der Annahme, dass sich Unbefugte bereits Zugriff auf das fragliche System verschafft haben. Damit erkennen und beheben die @-yet Teams Schwachstellen, die Angreifern potenziell den unerlaubten Zugang zur internen IT-Infrastruktur ermöglichen.
CI/CD-Pipelines
Ein weiterer Aspekt sind Konfigurationsprüfungen der sogenannten CI/CD-Pipelines. Früher erfolgten Aktualisierungen von Softwareprodukten in gewissen zeitlichen Abständen. Heute wird das überwiegend als kontinuierlicher und automatisierter Prozess realisiert. Dieser Prozess umfasst nicht nur die Entwicklung, sondern auch das Testen, die Integration und die Verteilung der Software. Die @-yet verbessert mit einer tiefgreifenden Prüfung die Sicherheit des gesamten Prozesses.
Schutz der Containerlösungen
Die Security-Expert:innen der @-yet prüfen ebenso vorhandene Container-Lösungen und Orchestrierungsumgebungen. Treten hier Sicherheitslücken auf, besteht immer die Gefahr, dass Angreifer aus der Container-Umgebung ausbrechen. Ein Zugriff auf die darunterliegenden Systeme oder ganze Netzwerke ist dann möglich. Ein bewährtes Mittel dagegen sind regelmäßige Schwachstellenscans und die manuelle Überprüfung auf mögliche Ausbrüche. Schwachstellen werden so frühzeitig entdeckt. Sie können geschlossen werden, bevor ein Angreifer diese ausnutzen und Teile der IT-Infrastruktur kompromittieren kann.