DevSecOps: Sicherheit, die mit dem Code ausgeliefert wird
Wir helfen Ihren Teams, Sicherheit in Entwurf, Programmierung, Review und Release einzubauen, damit weniger Probleme einen Penetrationstest erreichen und noch weniger die Produktion.
Überblick
Wohin Sicherheit in der Entwicklung gehört
Ein Penetrationstest vor dem Release findet Probleme dort, wo ihre Behebung am teuersten ist. Viele davon hätten früher auffallen können: in einer Entwurfsbesprechung, in einem Code-Review oder durch eine Prüfung, die bei jedem Commit läuft. Das ist der Gedanke hinter DevSecOps und einem sicheren Entwicklungsprozess.
Black Fox arbeitet mit Ihren Entwicklungsteams an jeder Stufe. Wir führen Bedrohungsmodellierungen für neue Funktionen und Architekturen durch, prüfen Code dort, wo es am meisten zählt, bauen Sicherheitsprüfungen in Ihre CI/CD-Pipelines ein, einschließlich Abhängigkeits- und Secret-Scans, und schulen Entwickler zu den Fehlern, die wir in Tests tatsächlich finden.
Das Ziel ist ein Prozess, den Ihre Entwickler weiter nutzen, keine Schranke, um die sie herumarbeiten lernen. Prüfungen werden so abgestimmt, dass ihre Ergebnisse lesenswert sind, und jede Feststellung kommt mit einem Weg zur Behebung.
Für wen es gedacht ist
Softwareunternehmen und interne Entwicklungsteams, die häufig ausliefern, Produktteams vor Sicherheitsprüfungen durch Kunden oder Penetrationstests und Hersteller von Produkten mit digitalen Elementen, die sich auf die Erwartungen des EU Cyber Resilience Act an eine sichere Entwicklung vorbereiten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Sicherer Entwicklungsprozess
Sicherheitsaktivitäten in Ihrem bestehenden Lebenszyklus verankert: Anforderungen, Entwurf, Umsetzung, Test und Release, mit klaren Verantwortlichen und ohne eigene Bürokratie.
Bedrohungsmodellierung
Strukturierte Sitzungen mit Ihrem Team zu einer Funktion oder einem System, mit Ansätzen wie STRIDE, um Schwächen im Entwurf zu finden, bevor sie gebaut werden.
Code-Review
Manuelle Sicherheitsprüfung des Codes, der am meisten zählt, etwa Authentifizierung, Autorisierung, Zahlungen und Eingabeverarbeitung, mit erklärten Korrekturen.
Sicherheit in CI/CD
Statische Analyse, Abhängigkeitsprüfungen, Container- und Infrastructure-as-Code-Scans, unter anderem, in Ihre Pipelines eingebaut und so abgestimmt, dass das Rauschen sinkt.
Abhängigkeits- und Secret-Scans
Bekannt verwundbare Bibliotheken und offengelegte Zugangsdaten in Code und Historie gefunden, mit einem Prozess zum Aktualisieren, Austauschen und Vorbeugen.
Entwicklerschulung
Praktische Schulungen auf Basis realer Schwachstellenklassen, etwa aus den OWASP Top 10, in den Sprachen und Frameworks, die Ihre Teams verwenden.
So läuft der Auftrag ab
Auftakt
Wir treffen Ihre Entwicklungsleitung, vereinbaren Produkte, Repositories und Pipelines im Umfang und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Bestandsaufnahme
Wir sehen uns an, wie Sie heute entwerfen, bauen, prüfen und ausliefern, und wo Sicherheit bereits stattfindet oder stattfinden sollte.
Plan
Eine priorisierte Reihe von Änderungen an Prozess und Werkzeugen, abgestimmt mit Ihren Teams und so bemessen, dass sie sie aufnehmen können.
Umsetzung
Wir arbeiten neben Ihren Entwicklern: Bedrohungsmodelle, Pipeline-Prüfungen, Review-Praxis und Schulungen, stufenweise eingeführt.
Übergabe und Rückschau
Dokumentation, abgestimmte Konfigurationen und eine Rückschau, nachdem die Änderungen eine Weile gelaufen sind, damit der Prozess auch ohne uns trägt.
Was Sie erhalten
- Bewertung des Entwicklungsprozesses aus Sicherheitssicht
- Bedrohungsmodelle für vereinbarte Funktionen oder Systeme
- Feststellungen aus dem Code-Review mit Hinweisen zur Behebung
- Sicherheitsprüfungen, eingerichtet in Ihren CI/CD-Pipelines
- Ergebnisse und Prozess für Abhängigkeits- und Secret-Scans
- Entwicklerschulungen und Unterlagen
Fragen
Ersetzt DevSecOps Penetrationstests?
Nein. Es verringert, was ein Penetrationstest findet, und macht die Behebung günstiger. Ein unabhängiger Test vor größeren Releases lohnt sich weiterhin, und seine Ergebnisse fließen in den Prozess zurück.
Welche Werkzeuge setzen Sie ein?
Das hängt von Ihren Sprachen, Plattformen und Pipelines ab. Wir arbeiten mit vorhandenen Werkzeugen, empfehlen Open-Source- oder kommerzielle Optionen und stimmen das ab, wofür Sie sich entscheiden. Wir verkaufen keine Werkzeuge weiter.
Bremst das unsere Releases?
Schlecht eingerichtete Prüfungen tun das. Wir führen sie stufenweise ein, beginnen mit denen, die echte Probleme finden, und entscheiden mit Ihren Teams, welche Feststellungen einen Build stoppen und welche nur berichten.
Brauchen Sie Zugriff auf unseren Quellcode?
Für Code-Review und Pipeline-Arbeit ja, über Zugänge, die Sie steuern, und unter Vertraulichkeitsvereinbarung. Bedrohungsmodellierung und Schulungen gehen auch ohne.
Verwandte Leistungen
- Beratung und ReaktionSecurity-Awareness-SchulungenSchulungen von Black Fox Security: Security-Awareness, Social Engineering, Incident Response und DevSecOps für Mitarbeitende, Entwickler und Führung.
- Compliance und ZertifizierungCyberresilienz-VerordnungCyber Resilience Act mit Black Fox Security: Gap-Analyse gegen die grundlegenden Anforderungen, Produkttests, Umgang mit Schwachstellen und Dokumentation.
Holen Sie die Sicherheit nach vorn in die Pipeline
Erzählen Sie uns, wie Ihre Teams heute bauen und ausliefern. Wir zeigen Ihnen, wo Sicherheit hineinpasst, ohne im Weg zu stehen.