Wie stellen Sie sicher, dass Ihre automatisierten Sicherheitstests mit Ihren Sicherheitsrichtlinien und -standards übereinstimmen?

1 Definieren Sie Ihre Sicherheitsanforderungen

Bevor Sie einen Sicherheitstest schreiben, müssen Sie Ihre Sicherheitsanforderungen klar und explizit definieren. Dies sind die Kriterien, die Ihr Code und Ihre Infrastruktur erfüllen müssen, um Ihren Sicherheitsrichtlinien und -standards zu entsprechen. Sie können Tools wie Bedrohungsmodellierung, Risikoanalyse und Sicherheitschecklisten verwenden, um Ihre Sicherheitsanforderungen zu identifizieren und zu priorisieren. Sie sollten sie auch dokumentieren und Ihren Entwicklungs- und Betriebsteams mitteilen, damit sie sie verstehen und implementieren können.

2 Wählen Sie Ihre Tools für Sicherheitstests

Abhängig von Ihren Sicherheitsanforderungen benötigen Sie möglicherweise verschiedene Arten von Sicherheitstesttools, um Ihre Sicherheitsüberprüfungen zu automatisieren. Sie können z. B. statische Analysetools verwenden, um Ihren Code auf häufige Schwachstellen zu überprüfen, dynamische Analysetools, um Ihre ausgeführten Anwendungen auf Webangriffe zu testen, oder Infrastruktur-Scantools, um Ihre Konfiguration und Abhängigkeiten auf Sicherheitsprobleme zu überprüfen. Sie sollten die Tools auswählen, die Ihren Anforderungen, Ihrem Budget und Ihren Fähigkeiten am besten entsprechen, und sie in Ihre Continuous Delivery-Pipeline integrieren.

3 Implementieren von Sicherheitstests als Code

Einer der Vorteile automatisierter Sicherheitstests besteht darin, dass Sie Ihre Sicherheitstests wie jeden anderen Test als Code schreiben und ausführen können. Dies bedeutet, dass Sie dieselben Tools für die Versionskontrolle, Codeüberprüfung und Zusammenarbeit verwenden können, die Sie für Ihren Entwicklungs- und Betriebscode verwenden. Dies bedeutet auch, dass Sie die gleichen Qualitätsstandards, wie z. B. Lesbarkeit, Wartbarkeit und Abdeckung, auf Ihre Sicherheitstests anwenden können. Das Schreiben von Sicherheitstests als Code erleichtert auch die Wiederverwendung, Änderung und Skalierung.

4 Kontinuierliche Durchführung von Sicherheitstests

Um sicherzustellen, dass Ihre automatisierten Sicherheitstests mit Ihren Sicherheitsrichtlinien und -standards übereinstimmen, müssen Sie sie kontinuierlich und häufig ausführen. Das bedeutet, dass Sie sie in jeder Phase Ihrer Continuous Delivery-Pipeline ausführen sollten, von der Entwicklung bis zur Bereitstellung. Auf diese Weise können Sie Sicherheitsprobleme frühzeitig erkennen und beheben, bevor sie kostspielig und riskant werden. Sie sollten sie auch regelmäßig ausführen, z. B. täglich oder wöchentlich, um Ihren Sicherheitsstatus zu überwachen und zu aktualisieren.

5 Überwachen und Berichten von Sicherheitstestergebnissen

Es reicht nicht aus, kontinuierlich Sicherheitstests durchzuführen. Sie müssen auch die Ergebnisse Ihrer Sicherheitstests überwachen und melden, damit Sie Ihre Sicherheitsleistung nachverfolgen und verbessern können. Sie sollten Tools verwenden, mit denen Sie Ihre Sicherheitstestdaten sammeln, analysieren und visualisieren können, z. B. Dashboards, Metriken und Warnungen. Sie sollten die Ergebnisse auch mit Ihren Stakeholdern wie Entwicklern, Betriebsleitern, Managern und Auditoren teilen und diskutieren, damit sie darauf reagieren können.

6 Überprüfen und aktualisieren Sie Ihre Sicherheitstests

Um sicherzustellen, dass Ihre automatisierten Sicherheitstests mit Ihren Sicherheitsrichtlinien und -standards übereinstimmen, müssen Sie sie regelmäßig überprüfen und aktualisieren. Sicherheit ist keine einmalige Aktivität, sondern ein kontinuierlicher Prozess, der sich mit Ihrem Code, Ihrer Infrastruktur und Ihren Bedrohungen weiterentwickelt. Sie sollten Ihre Sicherheitstests auf Genauigkeit, Relevanz und Vollständigkeit überprüfen und aktualisieren, um Änderungen an Ihren Sicherheitsanforderungen, Tools oder Ihrer Umgebung widerzuspiegeln.

7 Hier ist, was Sie sonst noch beachten sollten

Dies ist ein Ort, an dem Sie Beispiele, Geschichten oder Erkenntnisse teilen können, die in keinen der vorherigen Abschnitte passen. Was möchten Sie noch hinzufügen?