Das einzige, worüber mehr diskutiert wird als über die Bedeutung von Application Security Posture Management (ASPM) ist, ob die Investition in eine ASPM Werkzeug lohnt sich. Seit der Einführung dieser Kategorie haben Anbieter aller Art behauptet, sie würden es tun, aber es wurde wenig darüber gesprochen, ob dies die Zukunft ist. Letztendlich lässt sich die Zukunft der Anwendungssicherheit am besten bewältigen, indem man versteht, was ihre größten Probleme sind. In diesem Artikel sprechen wir darüber, welche Probleme die Kategorie der ASPM und beurteilen Sie, ob es die Lösungen bietet, nach denen der Markt sucht.
Probleme bei der Anwendungssicherheit
Zu viele Scanner
Da ich ursprünglich argumentierte für ASPM einschließlich 8 Arten von Scannernsind mindestens zwei weitere aufgetaucht. Sicherheitsteams können Scanner vertragen, aber nur, wenn sie sinnvoll anders sind. Das Scannen von Servern zur Laufzeit bedeutet nicht unbedingt technische am selben Ort zu sein wie die Repositories, die gescannt werden. Das Problem ist, dass Repositories zu einer zuverlässigeren Quelle für Informationen darüber geworden sind, wo Schwachstellen zu finden und zu beheben sind.
Ein Repository kann an einem Ort Dutzende verschiedener Dateien mit unterschiedlichen Aufgaben enthalten. Bisher mussten Sicherheitsteams mehrere verschiedene Docker-Images oder Binärdateien einrichten, um diese Dateien bei Änderungen und Bereitstellungen zu scannen. Die Wartung der Scanner konnte leicht mehrere Vollzeitjobs umfassen, da alle Scanner spezielle Konfigurationen für die Bearbeitung verschiedener Codeteile benötigten.
Sicherheitsteams brauchen die Sichtbarkeit aller dieser verschiedenen Scanner, profitieren aber enorm von der Einfachheit entweder von „agentenlosen“ pipeline Netzhooks die ohne jegliche Konfiguration scannen oder zumindest einem einzelnen Tool den Scanvorgang anweisen. ASPM Tools leisten hervorragende Arbeit bei der Bereitstellung einfacher Sichtbarkeit.
Zu viele Fehlalarme
Der Gegenpunkt zur Bündelung aller Scanner an einem einzigen Ort ist, dass die Leute argumentieren, dass die Scanqualität dadurch schlechter wird. Ich bin mir dieser Bedenken bewusst, habe aber zwei Gegenargumente. Erstens bündeln viele Tools sowieso nur das gleiche Open-Source-Material, die All-in-One-Scanner gehen einfach ehrlicher damit um. Zweitens basieren diese Argumente immer auf der Idee, dass es einfach unmöglich ist, dass jemandes Scanner so gut ist wie der eigene.
Letztendlich besteht das Problem lediglich darin, das Problem der vielen Fehlalarme zu lösen. Erreichbarkeit ist die Idee, herauszufinden, ob eine Schwachstelle tatsächlich ausgenutzt werden kann oder nicht. Viele ASPM Die Tools verfügen über integrierte Versionen der Erreichbarkeit, die „ausreichend gut“ sind. Daher wird es von Tag zu Tag schwieriger zu argumentieren, dass dies nicht möglich ist.
Das Schlimmste ist, dass man nach CVEs allein kann kritische blinde Flecken hinterlassen, weshalb ich Anbieter wie Xygeni aus zwei Gründen schätze: Erstens, dass sie Upstream nach Malware scannen und nicht nur nach Schwachstellen. Zweitens, ihre commitnach anderen ausnutzbaren Konfigurationen zu suchen, wie pipeline Fehlkonfigurationen sowie die Erkennung, ob diese Angriffe stattgefunden haben.
Dinge zu reparieren ist wirklich schwer
Sicherheitsteams sehen nur eine sehr geringe Geschwindigkeit bei der Behebung ihrer Schwachstellen. Ich habe zahlreiche Horrorgeschichten gehört, in denen selbst die schwerwiegendsten Zero-Day-Probleme Monate dauerten, um sie in ganz enterprise Ökosysteme. Viele Tools behaupten zwar, das Problem liege in der „Priorisierung“, doch man kann den ganzen Tag priorisieren, aber wenn die Ingenieure etwas nicht einfach beheben können, ist alles umsonst.
Dies ist ein Trend, der eher auf der Seite des „Schwachstellenmanagements“ liegt. ASPM, aber Entwicklern bei der Behebung von Schwachstellen zu helfen, sollte das eigentliche Ziel sein ASPM.
Zu viel Code, zu schnell
Wenn wir davon ausgehen, dass die Cloud die Bereitstellung von Code beschleunigt hat, hat generative KI die Geschwindigkeit des Codes nur erhöht. Ein weiterer wenig diskutierter Punkt ist, wie generative KI weiterhin neue Zielgruppen für Code öffnet – sodass jeder, vom Vertriebsteam bis zur Buchhaltung, Python-Skripte erstellen kann, die einfache Dinge tun.
Diese Entwicklungen haben dazu geführt, dass häufiges, häufiges und in unterschiedlichen Umgebungen durchgeführtes Scannen wichtiger denn je ist. Wenn für die Einrichtung neuer Anwendungen mit Scannen ein langwieriger Genehmigungsprozess erforderlich ist, müssen Sie damit rechnen, dass Sie blindlings vorgehen.
Die Umgebungen sind zu vielfältig
Die Anzahl der Scanner kann überwältigend sein, aber wenn man die aktuellen Javascript-Frameworks, Sprachvarianten oder andere Frameworks hinzunimmt, ist es einfach nicht mehr möglich, die besten Einzellösungen zu finden. Ich sehe keine Sicherheitsteams, die nach der besten Scan-Lösung für jede Javascript-Variante suchen. Eine einzige ASPM Mit diesem Tool lässt sich die Scan-Abdeckung wesentlich umfassender gestalten, als wenn man versucht, Sprache für Sprache vorzugehen.
ASPM Werkzeuglösung?
Diese Probleme sind der Grund, warum ich definiert habe ASPM als:
Application Security Posture Management bietet alles, was Sie zum Scannen und Beheben Ihrer Anwendung auf Schwachstellen benötigen. Es bietet Sicherheitsscans für Ihre SDLC pipeline, nimmt Ergebnisse auf und erstellt Abhilfe-Workflows.
In der Praxis führt dies zu einer All-in-One-Quellcode-Integration, die Ihren Code nahtlos auf Schwachstellen scannt, diese priorisiert und dabei hilft, sie den richtigen Personen zuzuweisen. Schauen wir uns an, wie dies alle Probleme löst. Hauptprobleme in AppSec:
Zu viele Scanner
- Das ist selbsterklärend – es gibt einfach keinen Grund mehr, 8 verschiedene Punktlösungen zu haben, wenn eine gut genug sein kann, um den Großteil Ihres Stapels abzudecken
Zu viele False Positives
- Während die Idee „besserer Einzellösungen“ weiterhin besteht, ASPMSie bieten in der Regel einen deutlich umfassenderen Einblick in die Funktionsweise einer Anwendung. Ob es um die Abbildung von Build-Abhängigkeiten oder die Übertragung von Code in die Cloud geht – diese Tools eliminieren Fehlalarme in der Regel besser.
Dinge zu reparieren ist wirklich schwer
- Fairerweise muss man sagen, dass viele Anbieter, die bisher auf das Scannen verzichtet haben, hier bessere Engines für die Problembehebung entwickelt haben. So oder so, hier ASPM übertrifft CSPM – es verfügt tatsächlich über eine Methode, um Ergebnisse an die Personen weiterzuleiten, die sie beheben können.
Zu viel Code, zu schnell
- Die Tatsache, dass die automatische Bereitstellung von Scannern in neuen Repositories eine so seltene Funktion ist, zeigt, wie nur Webhook-basierte ASPM ermöglicht eine Skalierung der Sicherheit so schnell wie die Menge des Codes in einer Umgebung
Die Umgebungen sind zu vielfältig
- Zwar mag es immer Sonderfälle geben, doch wird es immer schwieriger zu beurteilen, wer der Beste seiner Klasse ist. Soll ein Sicherheitsteam etwa 8 Scanner anhand von 5 Proof of Concepts in 10 Sprachen testen?
Ich stehe daneben ASPM (und ASPM Tools) sind die Zukunft der Anwendungssicherheit und lösen die meisten Probleme von Anwendungssicherheitsexperten. Sobald bestehende Verträge auslaufen oder sogar schon vorher, werden Praktiker auf diese neueren Lösungen umsteigen. Das Einzige, was sie davon abhält, ist das Bewusstsein, dass es einen besseren Weg gibt.
