Umstieg auf Microservices
Neue Herausforderungen für die Application Security
Wie sich Microservices auf die Anwendungssicherheit auswirken
Die Architektur von Software verändert sich grundlegend – Microservices sind auf dem Vormarsch. Veracode nennt drei zentrale Herausforderungen, die das für die Anwendungssicherheit mit sich bringt. Microservices sind im Software Development schon seit mehreren Jahren auf dem Vormarsch. Viele kleine Services anstatt einzelner monolithischer Applikationen zu entwickeln, bieten in der Tat zahlreiche Vorzüge. Eine kleine Auswahl der positiven Effekte einer Microservices-Architektur:
>> Services in verschiedenen Apps mehrfach nutzen. Die Grenzen zwischen Anwendungen verschwinden. Das verändert auch, was eine Applikation eigentlich ausmacht. Ein Beispiel: An die Stelle von vier Apps mit jeweils einer Komponente zur Zahlungsabwicklung tritt ein Microservice für Zahlungen, den mehrere Anwendungen nutzen können.
>> Von größerer technologischer Vielfalt profitieren. Der Entwickler ist für die Dauer eines Projekts nicht länger auf eine einzige Plattform festgelegt. Vielmehr wählt er passgenau die Technologie, die die Anforderungen eines bestimmten Services am besten erfüllt.
>> Vereinfachte Wartung. Wenn ein Teil der Lösung veraltet ist oder Funktionsstörungen auftreten, muss nur ein kleiner Service aktualisiert oder ersetzt werden. Ein enormer Vorteil, denn bei großen Monolithen können schon kleinste Veränderungen gewaltige Wellen schlagen und einen Testing-Albtraum nach sich ziehen.
>> Höheres Entwicklungstempo. Anders als bei großen Plattformen lassen sich kleine Änderungen in einer Microservices-Architektur zügig planen, testen und implementieren. Dies beschleunigt Innovationen – und Unternehmen können neue Funktionen deutlich schneller auf den Markt bringen.
Neue Herausforderungen für die Application Security
Doch wie beeinflussen Microservices ein Programm zur Anwendungssicherheit – speziell im Hinblick auf das beschleunigte Entwicklungstempo, das sie mit sich bringen? Wo ergeben sich neue Herausforderungen für die Application Security? Die häufigsten Diskussionen drehen sich um folgende drei Aspekte:
>> Streben nach Hochgeschwindigkeit. Der Umstieg auf Microservices ist häufig ein Kernelement bei der Einführung von DevOps. Denn mit dem Application-Security-1.0-Ansatz – der Code wird zur Analyse an ein Sicherheitsteam geschickt und dieses liefert anschließend einen Report – bleibt entweder die Geschwindigkeit oder die Sicherheit auf der Strecke. Beides ist für eine DevOps-Kultur unakzeptabel, verspricht diese doch, qualitativ hochwertige – und umfassend gesicherte – Software schnell auf den Markt zu bringen. Das ist jedoch nur möglich, wenn die Anwendungssicherheit Softwaretests automatisiert und mit schnellen Feedbackschleifen ins DevOps-Konzept integriert.
>> Zentralisierte Sicht. Der Umstieg auf Microservices bedeutet für ein Application-Security-Team, dass es mehr – wenn auch kleinere – Anwendungen verwalten muss. Was vordem eine einzige Anwendung war, besteht nun aus Dutzenden von Microservices. Das stellt auch kleine und mittelständische Unternehmen vor eine Herausforderung, die große Firmen schon seit Jahren beschäftigt: Wie lässt sich ein effektives Anwendungssicherheitsprogramm nach Maß betreiben? Hier wird deutlich, wie wichtig eine leicht skalierbare Lösung ist, die eine zentrale Sicht ermöglicht und damit Compliance, die Pflege des Inventars sowie eine kennzahlengestützte Überwachung sicherstellt.
>> Technologisch Schritt halten. Einer der größten Vorteile von Microservices ist, dass genau die Technologie zum Einsatz kommt, die eine bestimmte Anforderung erfüllt. Entwicklungsteams sind immer seltener auf einzelne Programmiersprachen spezialisiert. Neben Java nutzen sie auch Scala oder Node.js und beginnen, sich darüber hinaus beispielsweise GO anzueignen. Solch ein agiles Entwicklungsteam braucht ein agiles Sicherheitsprogramm, das seinen Support laufend auf zusätzliche Frameworks, Programmiersprachen und Integrationspunkte ausweitet.
Agile Anwendungssicherheit
Mit dem Umstieg auf Microservices oder noch einen Schritt weiter auf DevSecOps sollte es jedem Unternehmen möglich sein, Software schneller und in höherer Qualität zu entwickeln. Die Application Security muss diesen Wandel jedoch mitmachen und sich entsprechend anpassen. Andernfalls kommt es zum Konflikt zwischen Bereitstellungsgeschwindigkeit und Sicherheit der Software. (Veracode: ra)
eingetragen: 30.09.17
Home & Newsletterlauf: 03.11.17
Veracode: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
Ihr PMK-Verlags-Newsletter hier >>>>>>