OpenText-Startseite.
Technische Themen

Was ist Anwendungssicherheit?

Illustration von IT-Elementen mit Schwerpunkt auf einem Fragezeichen

Übersicht

Anwendungssicherheit ist die Disziplin der Prozesse, Tools und Praktiken, die darauf abzielen, Anwendungen während des gesamten Lebenszyklus vor Bedrohungen zu schützen. Cyber-Kriminelle sind organisiert, spezialisiert und motiviert, Schwachstellen in Unternehmensanwendungen zu finden und auszunutzen, um Daten, geistiges Eigentum und sensible Informationen zu stehlen. Anwendungssicherheit kann Unternehmen dabei helfen, alle Arten von Anwendungen (z. B. Legacy-, Desktop-, Web-, Mobil- und Mikrodienste) zu schützen, die von internen und externen Beteiligten wie Kunden, Geschäftspartnern und Mitarbeitern genutzt werden.

Anwendungssicherheit

Warum Anwendungssicherheit?

Wie mehrere Studien belegen, zielen die meisten erfolgreichen Einbrüche auf ausnutzbare Schwachstellen in der Anwendungsschicht ab, was zeigt, dass die IT-Abteilungen von Unternehmen der Anwendungssicherheit besondere Aufmerksamkeit widmen müssen. Erschwerend kommt hinzu, dass die Zahl und Komplexität der Anwendungen zunimmt. Vor zehn Jahren ging es bei der Softwaresicherheit um den Schutz von Desktop-Anwendungen und statischen Websites, die relativ harmlos und einfach zu erfassen und zu schützen waren. Heute ist die Software-Lieferkette viel komplizierter, wenn man die ausgelagerte Entwicklung, die Anzahl der Altanwendungen und die interne Entwicklung bedenkt, die die Vorteile von Drittanbieter-, Open-Source- und kommerziellen Softwarekomponenten von der Stange nutzt.

Unternehmen benötigen Lösungen für die Anwendungssicherheit, die alle ihre Anwendungen abdecken, von den intern genutzten Anwendungen bis hin zu beliebten externen Anwendungen, die auf den Mobiltelefonen der Kunden genutzt werden. Diese Lösungen müssen die gesamte Entwicklungsphase abdecken und nach der Inbetriebnahme einer Anwendung Tests anbieten, um mögliche Probleme zu erkennen. Lösungen für die Anwendungssicherheit müssen in der Lage sein, Webanwendungen auf potenzielle und ausnutzbare Schwachstellen zu testen, den Code zu analysieren und die Sicherheits- und Entwicklungsmanagementprozesse zu unterstützen, indem sie die Bemühungen koordinieren und die Zusammenarbeit zwischen den verschiedenen Beteiligten ermöglichen. Außerdem müssen die Lösungen für die Prüfung der Anwendungssicherheit einfach zu handhaben und einzusetzen sein.

Was sind SAST, DAST und SCA?

Was ist SAST?

Static Application Security Testing (SAST ) scannt die Quelldateien der Anwendung, identifiziert präzise die Grundursache und hilft bei der Behebung der zugrunde liegenden Sicherheitsmängel.

Vorteile von statischen Sicherheitstests für Anwendungen

  • Identifizierung und Beseitigung von Schwachstellen in Quell-, Binär- oder Bytecode.
  • Überprüfen Sie die Ergebnisse statischer Analysen in Echtzeit mit Zugriff auf Empfehlungen, Line-of-Code-Navigation zum schnelleren Auffinden von Schwachstellen und gemeinsames Auditing.
  • Vollständig integriert in die integrierte Entwicklungsumgebung (IDE).

Was ist DAST?

Dynamic Application Security Testing (DAST) simuliert kontrollierte Angriffe auf eine laufende Webanwendung oder einen Dienst, um ausnutzbare Schwachstellen in einer laufenden Umgebung zu identifizieren.

Vorteile von dynamischen Sicherheitstests für Anwendungen:

  • Bietet einen umfassenden Überblick über die Anwendungssicherheit, indem es sich auf die ausnutzbaren Aspekte konzentriert und alle Komponenten abdeckt (Server, benutzerdefinierter Code, Open Source, Dienste).
  • Kann in die Entwicklung, Qualitätssicherung und Produktion integriert werden, um einen kontinuierlichen, ganzheitlichen Überblick zu bieten.
  • Die dynamische Analyse ermöglicht einen breiteren Ansatz zur Verwaltung des Portfoliorisikos (1000 Anwendungen) und kann im Rahmen des Risikomanagements auch ältere Anwendungen überprüfen.
  • Er testet die funktionale Anwendung, ist also im Gegensatz zu SAST nicht auf eine bestimmte Sprache beschränkt und kann laufzeit- und umgebungsbezogene Probleme aufdecken.

Was ist SCA?

Die Software Composition Analysis (SCA) ist ein automatisiertes Verfahren zur Identifizierung und Verfolgung der in Anwendungen verwendeten Open-Source-Komponenten. Robustere SCA-Tools können alle Open-Source-Komponenten auf Sicherheitsrisiken, Lizenzkonformität und Codequalität analysieren.

Vorteile der Analyse der Softwarezusammensetzung:

    • Verschaffen Sie sich einen Überblick über die Open-Source-Komponenten in Ihrem Unternehmen (erstellen Sie eine Software-Stückliste).
    • Automatisierung von Richtlinien zur Vermeidung von Sicherheits- und Lizenzproblemen.
    • Vorschläge zur Behebung von Schwachstellen und Hinweise zum Lizenzrisiko.
    • Analyse des Zustands von Open-Source-Projekten, um Risiken zu beseitigen, die durch schlechte oder verfallende Gemeinschaften verursacht werden.

Vor-Ort vs. SaaS vs. Managed Service

Lösungen für die Anwendungssicherheit bestehen aus der Cybersicherheitssoftware (den Tools) und den Verfahren, die den Prozess zur Sicherung der Anwendungen steuern.

Vor-Ort

Lösungen zum Testen der Anwendungssicherheit können vor Ort (intern) betrieben und von internen Teams gewartet werden. Dieser Ansatz erfordert, dass Unternehmen die Infrastruktur und das Personal bereitstellen und Lösungen für die Anwendungssicherheit erwerben, die sie nutzen können. Die Vor-Ort-Lösung bietet Unternehmen die Sicherheit, dass ihre Anwendungsdaten nicht an Dritte weitergegeben werden und das Unternehmen nicht verlassen.

SaaS

Anwendungssicherheit als SaaS-Angebot bietet Cloud-basierte Lösungen mit einer webbasierten Benutzeroberfläche, über die der Kunde die Anwendungssicherheit konfigurieren, durchführen und verwalten kann. Bei dieser Option müssen die Unternehmen nach wie vor das Personal und die Fachkenntnisse bereitstellen, die für den Betrieb der verschiedenen Tools für die Anwendungssicherheit erforderlich sind, allerdings ohne die Notwendigkeit, Infrastruktur, Wartung, Updates usw. bereitzustellen.

Managed Services

Anwendungssicherheit kann auch ein verwalteter Dienst sein, bei dem der Kunde Dienste in Anspruch nimmt, die vom Anbieter der Anwendungssicherheit als schlüsselfertige Lösung bereitgestellt werden. Dieser Ansatz erfordert keine der Voraussetzungen des On-Premise-Ansatzes, aber es ist erforderlich, sich teilweise oder vollständig auf den SaaS-Anbieter zu verlassen und in den meisten Fällen die gemeinsame Nutzung der Anwendungsdaten mit dem Anbieter zu erlauben. Anwendungssicherheit als gemanagter Service bietet einen einfachen Einstieg und kann Skalierbarkeit und Geschwindigkeit bieten. Hybride Implementierungen (bei denen On-Premise, SaaS und Managed Services in verschiedenen Projekten und Verfahren zusammen verwendet werden) zielen darauf ab, das Beste aus beiden Welten zu bieten, indem sie Flexibilität, Skalierbarkeit und Kostenoptimierung ermöglichen.

Was ist die OWASP Top 10?

OWASP Top 10

Das Open Web Application Security Project(OWASP) ist eine Open-Source-Community für Anwendungssicherheit mit dem Ziel, die Sicherheit von Software zu verbessern. Die branchenüblichen OWASP Top 10-Leitlinien enthalten eine Liste der kritischsten Anwendungssicherheitsrisiken, die Entwicklern helfen sollen, die von ihnen entworfenen und bereitgestellten Anwendungen besser zu schützen.

Lösungen für die Anwendungssicherheit

OpenText Application Security Lösungen bieten Application Security Testing und Management vor Ort, gehostet und als Service, um Unternehmen bei der Absicherung ihrer Software-Anwendungen zu unterstützen - einschließlich Legacy-, Mobile-, Third-Party- und Open-Source-Anwendungen.

Das Angebot von Fortify umfasst statische Code-Analyse, dynamisches Testen der Anwendungssicherheit, Software Composition Analysis (SCA) und interaktive Tools zum Testen der Anwendungssicherheit, um Codesicherheit für Ihre Web-Apps, APIs, mobilen Apps, Infrastructure-as-Code, Container und Software Supply Chain zu gewährleisten.

Die Lösungen umfassen:

OpenText™ Fortify™ Static Code Analyzer - Static Application Security Testing (SAST) - Identifiziert und lokalisiert Sicherheitsschwachstellen im Quellcode in einem frühen Stadium des Softwareentwicklungszyklus.

OpenText™ Fortify™ WebInspect - Dynamic Application Security Testing (DAST) - Simuliert reale Sicherheitsangriffe auf eine laufende Anwendung und ermöglicht so eine umfassende Analyse komplexer Webanwendungen und -dienste.

OpenText™ Fortify™ On Demand - Security as a Service - Eine einfache, leichte und schnelle Möglichkeit, Anwendungen genau zu testen, ohne Software installieren oder verwalten zu müssen oder zusätzliche Ressourcen hinzuzufügen.

Mobile Sicherheit - Mobile Testmethodik, die alle drei Ebenen testet, einschließlich Client, Netzwerk und Server.

OpenText™ Cybersecurity Cloud - ist ein zentralisiertes Management-Repository, das einen Überblick über das gesamte Programm zum Testen der Anwendungssicherheit bietet. Es priorisiert, verwaltet und verfolgt Sicherheitstestaktivitäten und liefert ein genaues Bild des Softwaresicherheitsrisikos in Ihrem Unternehmen.

Anwendungssicherheit

Starten Sie noch heute

Kontaktieren Sie uns

Verwandte Produkte

OpenText™ Fortify™ Static Code Analyzer

Erkennen und beheben Sie Sicherheitsprobleme schon frühzeitig mit den genauesten Ergebnissen der Branche

OpenText™ Fortify™ WebInspect

Identifizieren Sie Schwachstellen in bereitgestellten Webanwendungen und Services

OpenText™ Fortify™ On Demand

Profitieren Sie von Sicherheitstests, Schwachstellenverwaltung, spezifischer Expertise und Support

OpenText™ Cybersecurity Cloud

Verteidigen Sie sich präzise, sichern Sie sich zuverlässig

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten