Satu-satunya hal yang lebih diperdebatkan daripada arti dari Application Security Posture Management (ASPM) adalah apakah investasi dalam suatu ASPM alat Hal ini sepadan. Sejak kategori ini diperkenalkan, berbagai vendor berlomba-lomba mengklaim bahwa mereka melakukannya, tetapi tidak banyak yang membahas apakah ini adalah masa depan. Pada akhirnya, masa depan keamanan aplikasi paling baik ditangani dengan memahami apa masalah terbesarnya. Dalam artikel ini, kita akan membahas masalah apa yang menciptakan kategori ini. ASPM dan menilai apakah produk tersebut menawarkan solusi yang dibutuhkan pasar.
Masalah dalam Keamanan Aplikasi
Terlalu banyak pemindai
Karena awalnya saya berpendapat untuk ASPM termasuk 8 jenis pemindaiSetidaknya dua lagi telah muncul. Tim keamanan dapat mentolerir pemindai, tetapi hanya jika perbedaannya masuk akal. Memindai server saat runtime tidak selalu perlu agar berada di tempat yang sama dengan apa yang sedang memindai repositori. Masalahnya adalah repositori telah menjadi sumber informasi yang lebih andal untuk menemukan dan memperbaiki kerentanan.
Meskipun berada di satu tempat, sebuah repositori dapat menyimpan puluhan file berbeda yang melakukan banyak hal berbeda. Secara tradisional, tim keamanan perlu menyiapkan beberapa image Docker atau binary yang berbeda untuk memindai file-file ini saat diubah dan diimplementasikan. Memelihara scanner dapat dengan mudah menjadi beberapa pekerjaan penuh waktu, karena semuanya juga membutuhkan konfigurasi khusus untuk bekerja pada bagian kode yang berbeda.
Tim keamanan membutuhkan visibilitas dari semua pemindai yang berbeda ini, tetapi mendapat manfaat luar biasa dari kesederhanaan "tanpa agen" pipeline jaringanhooks pemindaian tanpa konfigurasi apa pun, atau setidaknya hanya dengan memerintahkan satu alat untuk melakukan pemindaian. ASPM Alat-alat tersebut sangat bagus dalam memberikan visibilitas yang sederhana.
Terlalu banyak hasil positif palsu
Argumen yang menentang penggabungan semua pemindai ke dalam satu tempat adalah akan terjadi penurunan kualitas pemindaian. Saya memahami kekhawatiran ini, tetapi memiliki dua poin balasan. Pertama, banyak alat hanya menggabungkan perangkat lunak sumber terbuka yang sama, pemindai all-in-one hanya lebih jujur tentang hal itu. Kedua, argumen-argumen ini selalu bergantung pada gagasan bahwa mustahil pemindai seseorang sebaik pemindai mereka sendiri.
Pada akhirnya, masalahnya hanyalah menyelesaikan masalah terlalu banyak false positive. Keterjangkauan adalah gagasan untuk menemukan apakah suatu kerentanan benar-benar dapat dieksploitasi atau tidak. Banyak ASPM Alat-alat tersebut memiliki versi jangkauan yang "cukup baik" yang sudah terintegrasi, sehingga semakin sulit setiap harinya untuk membantah bahwa hal itu tidak dapat dilakukan.
Yang terburuk dari semuanya, memindai untuk CVE sendirian dapat meninggalkan titik buta yang kritis, itulah sebabnya saya menghargai penyedia seperti Xygeni karena dua alasan: pertama, pemindaian hulu mereka untuk malware alih-alih hanya kerentanan. Kedua, commitbermaksud mencari konfigurasi lain yang dapat dieksploitasi seperti pipeline kesalahan konfigurasi, serta mendeteksi apakah serangan-serangan ini telah terjadi.
Memperbaiki sesuatu itu sangat sulit.
Tim keamanan melihat kecepatan yang sangat lambat dalam memperbaiki kerentanan mereka. Saya telah mendengar banyak kisah mengerikan tentang kerentanan zero-day yang paling parah sekalipun yang membutuhkan waktu berbulan-bulan untuk diperbaiki di seluruh sistem. enterprise ekosistem. Meskipun banyak alat mengatakan masalahnya adalah "prioritas", Anda bisa memprioritaskan sepanjang hari, tetapi jika para insinyur tidak dapat memperbaiki sesuatu dengan mudah, semuanya akan sia-sia.
Ini telah menjadi tren yang lebih condong ke sisi "manajemen kerentanan" ASPMNamun, membantu pengembang memperbaiki kerentanan seharusnya menjadi tujuan sebenarnya. ASPM.
Terlalu banyak kode, terlalu cepat.
Jika kita berpikir bahwa komputasi awan mempercepat penyebaran kode, AI generatif hanya meningkatkan kecepatan kode tersebut. Poin lain yang kurang dibahas adalah bagaimana AI generatif terus membuka audiens baru untuk pemrograman – memungkinkan semua orang, mulai dari tim penjualan hingga akuntansi, untuk membuat skrip Python yang melakukan hal-hal sederhana.
Perkembangan ini membuat pemindaian secara sering, berulang, dan di berbagai lingkungan menjadi lebih penting dari sebelumnya. Jika proses persetujuan yang panjang diperlukan untuk menyiapkan aplikasi baru dengan pemindaian, Anda hanya perlu bersiap untuk bekerja tanpa arah.
Lingkungannya terlalu beragam.
Meskipun jumlah pemindai bisa sangat banyak, jika ditambah dengan berbagai framework Javascript, varian bahasa, atau framework lain yang sedang tren setiap bulannya, menemukan "solusi terbaik di kelasnya" sudah tidak mungkin lagi. Saya tidak melihat tim keamanan mencari solusi pemindaian terbaik di kelasnya untuk setiap varian Javascript. Satu solusi tunggal sudah cukup. ASPM Alat ini dapat membuat cakupan pemindaian jauh lebih luas daripada mencoba melakukannya berdasarkan bahasa per bahasa.
ASPM Solusi Alat?
Masalah-masalah inilah yang menjadi alasan saya mendefinisikannya. ASPM sebagai:
Application Security Posture Management menyediakan semua yang dibutuhkan untuk memindai dan memperbaiki aplikasi Anda dari kerentanan. Ini menyediakan pemindaian keamanan di seluruh aplikasi Anda. SDLC pipeline, menerima hasil, dan membangun alur kerja perbaikan.
Dalam praktiknya, hal ini terwujud sebagai integrasi kode sumber serba guna yang secara mulus memindai kode Anda untuk mencari kerentanan, memprioritaskannya, dan membantu menugaskannya kepada orang yang tepat. Mari kita lihat bagaimana ini menyelesaikan semua masalah tersebut. masalah utama di AppSec:
Terlalu banyak pemindai
- Ini sudah jelas – tidak ada alasan lagi untuk memiliki 8 solusi titik yang berbeda ketika satu solusi saja sudah cukup untuk mencakup sebagian besar tumpukan Anda.
Terlalu banyak hasil positif palsu.
- Selama gagasan tentang “solusi titik yang lebih baik” tetap ada, ASPMAlat-alat ini biasanya memiliki visibilitas yang jauh lebih holistik tentang cara kerja suatu aplikasi. Baik itu pemetaan dependensi build, atau gambaran "kode ke cloud" – alat-alat ini biasanya melakukan pekerjaan yang lebih baik dalam menghilangkan false positive.
Memperbaiki sesuatu itu sangat sulit.
- Sejujurnya, di sinilah (secara umum) banyak penyedia yang menghindari pemindaian telah membangun mesin yang lebih baik untuk memperbaiki masalah. Bagaimanapun, di sinilah tempatnya. ASPM unggul CSPM — sebenarnya ada metode untuk menyampaikan temuan kepada orang-orang yang dapat memperbaikinya.
Terlalu banyak kode, terlalu cepat.
- Fakta bahwa penyebaran pemindai secara otomatis ke repositori baru merupakan fitur yang sangat langka menunjukkan betapa hanya berbasis webhook yang mampu melakukannya. ASPM Memungkinkan peningkatan keamanan secepat bertambahnya jumlah kode dalam suatu lingkungan.
Lingkungannya terlalu beragam.
- Meskipun mungkin selalu ada kasus-kasus khusus, "terbaik di kelasnya" semakin sulit untuk dievaluasi – apakah tim keamanan harus menguji 8 pemindai terhadap 5 bahasa dengan 10 bukti konsep?
Saya tetap teguh ASPM (Dan ASPM Dengan adanya berbagai alat (seperti Android Tools) yang dianggap sebagai masa depan keamanan aplikasi, alat ini memecahkan sebagian besar masalah yang dihadapi oleh para profesional keamanan aplikasi. Segera setelah kontrak yang ada berakhir, atau bahkan sebelum itu, para praktisi akan beralih ke solusi yang lebih baru ini. Satu-satunya hal yang menghentikan mereka adalah kesadaran bahwa ada cara yang lebih baik.
