Als langjähriger Sicherheitsexperte bin ich immer daran interessiert zu hören, wie Unternehmen wie Datadog mit der sich ändernden Sicherheitslandschaft Schritt halten. Ich kann mich noch daran erinnern, als die Sicherheitsorganisation allein für die Sicherheit verantwortlich war und wir uns darauf konzentrierten, den Perimeter unseres Unternehmens zu schützen. Mit dem Aufkommen der Cloud, mobiler und Webanwendungen ist dieser Perimeter jedoch verschwunden. Darüber hinaus erkennen Unternehmen Sicherheit sollte eine gemeinsame Verantwortung sein und in ihre Entwicklungs- und Betriebsteams integriert.

Seien wir ehrlich: Angriffe auf Webanwendungen sind zu einer Bedrohung , und die Zahl der durch sie verursachten Datenschutzverletzungen steigt jedes Jahr rapide an. Schurke Akteure nutzen Schwächen in unserer Infrastruktur, Software und unseren Prozessen aus. Wie können wir zurückschlagen dagegen? Geben Sie ein eine neue Hoffnung : DevSecOps!

Wie Sie sehen, bin ich seit meiner Kindheit ein Star Wars-Fan. Ich freue mich immer, wenn ein neuer Film dieses geschichtsträchtigen Franchises herauskommt, und der neueste Film hat mich dazu gebracht, über einige der Lektionen nachzudenken, die ich in einer weit, weit entfernten Galaxie in Bezug auf DevSecOps gelernt habe.

„Du musst verlernen, was du gelernt hast.“ – Yoda

Ich interpretiere dieses weise Sprichwort des Jedi-Meisters so, dass manches von dem Wissen, von dem Sie wissen, dass es wahr ist, vielleicht nicht mehr stimmt – und wenn es um DevSecOps geht, könnte es Ihre Fähigkeit zu einer erfolgreichen Transformation blockieren. Durch die Verwendung veralteter Tools und Prozesse können Sicherheitsteams die Dinge verlangsamen. Die Sicherheit muss sich anpassen als Teil von Veränderung des Sicherheitsdenkens innerhalb einer Organisation und erfahren Sie, wie neuere Tools und Prozesse ihnen helfen können, bessere Partner zu sein. Datadog, ein Überwachungsdienst für Cloud-Anwendungen, ist ein Unternehmen, das erkannt hat, dass es seine Tools und Prozesse aktualisieren muss. Sein Sicherheitsteam lernte von der Entwicklungsorganisation und begann, PagerDuty für seine Warn- und Reaktionsfunktionen zu verwenden. Als Mitglied des PagerDuty Sicherheitsteams kann ich auch bestätigen, dass wir wir essen unser eigenes Hundefutter Und Nutzen Sie unsere Plattform als Teil unserer Sicherheitsmaßnahmen. Aber warum?

„Es ist das Schiff, das den Kessel Run in weniger als zwölf Parsecs geschafft hat!“ – Han Solo

Bei PagerDuty folgen wir einem Modell, das auf Reaktion und Reaktion basiert. Wie schnell können wir beispielsweise feststellen, dass ein Sicherheitsereignis eintritt oder eine Ressource nicht konform ist, und wie schnell können wir reagieren und das Problem beheben? Ein Teil von DevSecOps besteht darin, dass automatisierte Sicherheitsentscheidungen schnell und in großem Maßstab getroffen werden. Es ist vielleicht nicht so schnell wie der Sprung des Millennium Falcon in Lichtgeschwindigkeit , aber eine schnelle Reaktion kann zu potenziellen Kosteneinsparungen und einer Risikominderung führen. Geschwindigkeit ist ein Faktor!

Wir alle würden gerne sagen können, dass jede Version 100 Prozent sicher ist und wir alle eine 100-prozentige Verfügbarkeit haben, aber das ist nicht die Realität. Die Realität ist, dass es zu Sicherheitsverletzungen kommt und wie schnell Sie reagieren können, kann sich auf das Endergebnis auswirken. Ponemon-Studie zu den Kosten von Datenschutzverletzungen 2017 zeigte, dass ein Incident Response Team die Kosten eines Datenlecks um bis zu 19 US-Dollar pro Datensatz senken kann. Daher ist es sinnvoll, die richtigen Personen schnell zu alarmieren und einzubeziehen.

Bei PagerDuty betreiben wir eine Multi-Tenant-Software-as-a-Service-Plattform in der Cloud und verwenden viele verschiedene Tools zur Überwachung und zum Schutz unserer Infrastruktur. Diese Tools erzeugen viele Signale, die wir auswerten und filtern können, und durch Integrationen mit der PagerDuty Plattform sind wir in der Lage, relevante Sicherheitsereignisse und Warnungen zu erstellen. Dies stellt sicher, dass wir schnell auf ein Ereignis reagieren und unsere Vorfallreaktionsprozess um es schnell einzudämmen, zu reagieren und sich zu erholen.

Dies gilt nicht nur für Sicherheitsvorfälle. In einer Umgebung, in der Entwickler besitzen ihren Code können wir auch schnell feststellen, wenn Ressourcen in unserer Cloud-Infrastruktur nicht konform sind oder ein Sicherheitsrisiko darstellen. Wir können schnell reagieren und mit dem Entwickler zusammenarbeiten, um das Problem zu beheben und gleichzeitig schnelles Feedback zu den besten Sicherheitspraktiken geben, um den Prozess in Zukunft zu verbessern.

„Tu es. Oder tu es nicht. Versuchen gibt es nicht.“ – Yoda

Die Implementierung eines DevSecOps-Ansatzes kann wie eine gewaltige Aufgabe erscheinen – und eine, die mit vielen Herausforderungen verbunden ist, um erfolgreich zu sein (wie z. B. die Änderung der Sicherheitsmentalität in Ihrem Unternehmen). Das allein mag wie ein Jedi-Geistestrick erscheinen, um es durchzuziehen. Aber Sie müssen sich auf den Prozess einlassen, dann aus Ihren Fehlern lernen und von anderen lernen, die es getan haben. Wie DevOps sollte DevSecOps ein iterativer Lern- und Verbesserungsprozess sein. Bei DevSecOps geht es auch darum, die richtigen Tools zur Automatisierung Ihrer Sicherheitsprozesse auszuwählen, um schnelles Feedback zu liefern, und die Verwendung von PagerDuty kann bei dieser Transformation helfen.

Möchten Sie mehr darüber erfahren, wie Sie DevSecOps erfolgreich in Ihrem Unternehmen implementieren können? Schauen Sie sich die Datadog-Fallstudie .