Gorodenkoff | shutterstock.com
Ähnlich wie Cyberbedrohungen sind auch die Anwendungen von Unternehmen mit der Zeit immer komplexer geworden. Das liegt vor allem daran, dass sie in einer Vielzahl von Domänen betrieben werden – etwa der Cloud, Containern oder lokalen Systemen. Traditionelle Security-Tools stellt das vor zahlreiche Herausforderungen.
Deswegen gibt es Application Security Posture Management (ASPM) – ein umfassender Ansatz, um Applikationen über ihren gesamten Lebenszyklus hinweg abzusichern. ASPM ist dabei artverwandt mit anderen Security-Posture-Management-Tools, beispielsweise für Daten, Cloud oder KI. Es gibt auch Anbieter, die mehrere dieser Segmente miteinander kombinieren.
ASPM-Tools und -Plattformen sollten ganz allgemein drei wesentliche Dinge können. Nämlich:
den Softwareentwicklungslebenszyklus und die Supply-Chain-Pipelines absichern,
Softwaretests automatisieren, sowie
mit verschiedenen Anwendungen zur Risikominimierung integriert werden können.
Dabei variiert der Funktionsumfang der einzelnen ASPM-Offerings am Markt relativ stark. Das führt auch zu einer unklaren Abgrenzung zwischen ASPM und anderen Security-Tool-Kategorien, was den Kaufentscheidungsprozess zusätzlich erschwert.
In diesem Ratgeber lesen Sie:
welche ASPM-Ansätze es gibt,
welche Anbieter in diesem Bereich tonangebend sind, und
welche Fragen Sie sich vor einem Investment stellen sollten.
Application-Security-Posture-Management-Ansätze
Weil sich die Anwendungsumgebung weiterentwickelt haben und die Sicherheitsherausforderungen zunehmen, steigt auch die Bedeutung von Application Security Posture Management, wie Katie Norton, Research Manager bei IDC, unterstreicht: “ASPM hat sich in den letzten Jahren deutlich weiterentwickelt und ausgeweitet. Unternehmen benötigen heute deutlich mehr Kontextinformationen zu ihren Anwendungen. Sie sind mit einer Schwachstellenflut konfrontiert, die kein Entwicklerteam im Alleingang beheben kann. Um die wichtigsten Schwachstellen zu priorisieren und zu beheben, benötigen sie ASPM-Tools.”
Die Analysten von Gartner unterteilen die ASPM-Kategorie in vier wesentliche Aufgabenbereiche:
Ereigniskorrelation in Zusammenhang mit Schwachstellen,
Priorisierung und Triage,
Code-Scan-Orchestrierung, sowie
Risikomanagement.
“Mit der richtigen Konfiguration können Sie mit einem ASPM-Tool aussagekräftige Bewertungen erhalten, um Sicherheitslücken, die von anderen Überwachungsressourcen über den Anwendungslebenszyklus identifiziert wurden, effektiv zu triagieren und zu priorisieren“, schreiben die Marktbeobachter. In ihren Augen sollte ASPM also im Zentrum jeder Softwarepipeline Entscheidungen treffen und die gesamte Security Response steuern.
Das mag den Wünschen und Anforderungen von Unternehmen entsprechen oder auch nicht. Positiv ist jedenfalls, dass mit einer ASPM-Lösung zahlreiche unabhängig voneinander arbeitende Sicherheitsprodukte nicht mehr manuell miteinander verknüpft werden müssen, um Alarmmeldungen zu triagieren und zu priorisieren. Andererseits stehen Anwender, die bereits ein Orchestrierungs-Tool als zentrale AppSec-Drehscheibe einsetzen, eventuell vor dem Problem, mit ASPM einige oder alle funktionierenden Integrationen und Automatisierungen überarbeiten zu müssen.
ASPM-Tools und Plattformen sind auch deswegen diffizil zu durchdringen und zu evaluieren, weil die Anbieter ihre Lösungen aus zwei verschiedenen Richtungen umsetzen:
Code-first, oder
Cloud-first.
Ersteres spiegelt eher eine DevOps-Umgebung wider, bei der der Schwerpunkt zunächst auf Softwareentwicklung und Pipeline-Testing liegt. Der zweite Ansatz beginnt mit der Cloud-Umgebung – und allen lokalen Anwendungen – und arbeitet sich dann zu den spezifischen Anwendungen “zurück”. In beiden Fällen werden riesige Datenmengen gesammelt. Unter anderem, um:
potenzielle Sicherheitsverletzungen zu dokumentieren und zu beheben,
Compliance-Richtlinien zu definieren, und
verschiedene digitale Geheimnisse ordnungsgemäß zu managen.
ASPM-Anbieter und -Lösungen
Die folgenden Anbieter und Lösungen im Bereich Application Security Posture Management sind einen Blick wert:
5 Fragen vor dem ASPM-Invest
Folgende Fragen sollten Sie dem Anbieter Ihrer Wahl vor einer Kaufentscheidung in Sachen Application Security Posture Management stellen.
Wie viele und welche Art von Integrationen können Sie bieten?
Was entdeckt ein integrierter Anwendungsscan?
Wie viele Clouds und Container-Repositories sind abgedeckt?
Verfügen Sie über ein dediziertes Team für die Schwachstellen- und Bedrohungsanalyse?
Wie ist das ASPM-Paket konkret geschnürt und wie sieht seine Preisgestaltung aus?
(fm)
Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.
No Responses