Was ist DevSecOps?
What is DevSecOps?
DevSecOps is an augmentation of DevOps with security integrated into the DevOps approach. It has been growing in recent years as producing secure software is becoming a top priority for companies.
DevSecOps ist eine Erweiterung von DevOps, bei der Sicherheit in den DevOps-Ansatz integriert wird. Sie hat in den letzten Jahren an Bedeutung gewonnen, da die Erstellung sicherer Software für Unternehmen immer wichtiger wird.
summarization
DevSecOps ist eine Erweiterung von DevOps, die es ermöglicht, Sicherheitspraktiken in den DevOps-Ansatz zu integrieren. Im Gegensatz zu einem traditionellen Modell mit zentralisierten Sicherheitsteams ist jedes Entwicklungsteam in der Lage, die richtigen Sicherheitskontrollen in die Softwareentwicklung einzubeziehen. Sicherheitspraktiken und -tests werden zu einem früheren Zeitpunkt im Entwicklungszyklus durchgeführt, daher auch der Begriff "shift left". Die Sicherheit wird in drei Hauptbereichen getestet: statisch, Softwarekomposition und dynamisch.

Die statische Prüfung des Codes durch statische Anwendungssicherheitstests (SAST) ist ein White-Box-Test mit besonderem Schwerpunkt auf der Sicherheit. Je nach Programmiersprache werden für eine solche statische Codeanalyse unterschiedliche Tools benötigt. Die Softwarezusammensetzung wird analysiert, insbesondere Bibliotheken und ihre Versionen werden mit den von CERT und anderen Expertengruppen veröffentlichten Schwachstellenlisten abgeglichen. Bei der Weitergabe von Software an Kunden stehen die Lizenzen und deren Übereinstimmung mit der verteilten Software im Mittelpunkt, insbesondere Copyleft-Lizenzen. Dynamische Tests werden auch als Blackbox-Tests bezeichnet. Die Software wird getestet, ohne ihre inneren Funktionen zu kennen. In DevSecOps wird es zum einen dynamisch (DAST) genannt, oder Penetrationstest. Das Ziel ist es, unter anderem Fehler wie Cross-Site-Scripting oder SQL-Injection frühzeitig zu erkennen. Bedrohungstypen werden z.B. vom Open Web Application Security Project veröffentlicht, z.B. dessen TOP10. Andererseits ist gerade bei Microservices interaktives Anwendungstesten (IAST) hilfreich, um zu prüfen, welcher Code bei automatisierten Funktionstests ausgeführt wird, wobei der Fokus darauf liegt, Schwachstellen innerhalb der Anwendungen zu erkennen. Im Gegensatz zu SAST und DAST arbeitet IAST innerhalb der Anwendung.

DevSecOps wird auch als kultureller Wandel beschrieben, der einen ganzheitlichen Ansatz für die Erstellung sicherer Software durch die Integration von Sicherheitsschulung, Secure by Design und Sicherheitsautomatisierung beinhaltet.
de