AppSec Network Engineers: Richten Sie die Sicherheit am Geschäft aus
Es mag viele Menschen überraschen, aber der größte Kompetenzmangel, der heutige Netzwerkingenieure für Anwendungssicherheit behindert, konzentriert sich in erster Linie auf die Soft Skills, zu denen Kommunikation, Schreiben, Präsentation, Teambildung und kritisches Denken gehören. Warum ist das so wichtig? Denn in erster Linie besteht ihr Ziel darin, die Sicherheitslage des Unternehmens durch den Einsatz der besten Anwendungssicherheitstools und -technologien für die spezifischen Sicherheits- und Wachstumsanforderungen des Unternehmens zu verwalten.
Sorgen Sie für Sicherheit, aber stehen Sie der Umsatzgenerierung nicht im Weg
Was ein Netzwerktechniker für Anwendungssicherheit nicht tun sollte, ist, der Entwicklung neuer geschäftskritischer oder umsatzgenerierender Anwendungen im Wege zu stehen. Gleichzeitig müssen sie verstehen, dass sie eine Führungsrolle spielen müssen, um einen sicheren und profitablen Kurs für das Unternehmen zu steuern.
Beginnend mit einem tiefgreifenden Verständnis des gesamten kabelgebundenen Datenverkehrs müssen AppSec-Netzwerkingenieure wissen, welche Anwendungen im Netzwerk ausgeführt werden, wie sie kommunizieren, mit wem sie kommunizieren und wie der Datenverkehr und der damit verbundene Konnektivitätsfluss gesichert werden können.
Das Fachwissen eines AppSec-Netzwerktechnikers sollte weit über die Beherrschung einfacher Anwendungen wie FTP und SSH hinausgehen. Vielmehr sollte die Kontinuität des Geschäftsverkehrs im Mittelpunkt ihrer Verantwortung stehen. Es gibt eine Menge umsatzgenerierenden Datenverkehrs, den sie verstehen und die richtigen Schutzmaßnahmen ergreifen müssen, um ihn zu schützen. Genauso wichtig ist jedoch, dass sie sicherstellen, dass der Datenverkehr nicht durch veraltete oder irrelevante Regeln und Richtlinien behindert wird, um negative finanzielle Auswirkungen auf die Organisation zu vermeiden.
Fachliche Schichten jenseits des OSI-Modells
Ein guter Ausgangspunkt für jeden AppSec-Netzwerktechniker ist der Erwerb fundierter Kenntnisse der sieben Schichten des OSI-Modells, insbesondere der Schicht 6, die die Präsentation abdeckt. In der Praxis bedeutet dies, dass sie über ein umfassendes Verständnis der Netzwerk- und Transportschichten verfügen und wissen sollten, welcher Datenverkehr über das Netzwerk läuft und warum. Es ist außerdem hilfreich, über grundlegende Skriptkenntnisse und ein Verständnis für einfache Skripte wie einen Cron-Job zur Planung von Aufgaben zu verfügen. Es könnte auch nützlich sein, einige Grundkenntnisse in der Programmierung wie Perl und PHP zu haben. Über die Netzwerkkenntnisse hinaus sollten AppSec-Netzwerkingenieure die Geschäftsbranche verstehen, in der sie tätig sind. Sobald sie ein Verständnis für die Geschäfts-DNA und die Anwendungen, die sie ausmachen, gewinnen, können sie einen echten Mehrwert für ihr Unternehmen schaffen.
Was ist im Netzwerk vs. was sollte im Netz sein
Sollte von AppSec-Netzwerkingenieuren erwartet werden, dass sie Geschäfte und Anwendungen verstehen? Absolut. Mit diesem Maß an Fähigkeiten und Wissen können sie dazu beitragen, dass das Unternehmen sicher vorankommt, indem sie das, was ist, in Beziehung setzen berührt das Schneidwerkzeug in der Netzwerkumgebung gegenüber was sollte in der Umgebung sein. Sobald sie ein klares Verständnis haben, können sie die Umgebung bereinigen und die Netzwerkleistung mit erhöhter Sicherheit optimieren. Dies wird immer wichtiger, wenn Unternehmen wachsen und sich weiterentwickeln und oft zu viel unnötiger Datenverkehr in die Umgebung gelangt. Typischerweise läuft das Szenario so ab: Anwendungen werden hinzugefügt oder entfernt (außer Betrieb genommen) oder ein neuer Anbieter oder eine neue Lösung wird an Bord geholt und die Firewall wird de facto zu einem Router. Das Endergebnis führt oft zu neuen Schwachstellen und zu vielen unnötigen Bedrohungsvektoren. Genau hier kommen die oben genannten Soft Skills ins Spiel – ein AppSec-Netzwerktechniker sollte in der Lage sein, Praktiken aufzudecken, die nicht mit den Geschäftszielen übereinstimmen. Es obliegt den Unternehmen auch, Soft-Skills-Schulungen anzubieten, damit ihre AppSec-Netzwerktechniker für ihre Teams wertvoller werden.
Benötigen Sie eine Anwendungsansicht, um das Geschäft effektiv zu sichern
Wenn Firewalls de facto zu Routern werden, verlassen sich Unternehmen aus Sicherheitsgründen letztendlich auf andere Bereiche. Allerdings muss die Sicherheit auf die Anwendungen abgestimmt werden, um zu verhindern, dass Cyberangriffe in das Netzwerk gelangen und sich dann lateral über das Netzwerk ausbreiten, falls es ihnen gelingt, die Firewalls zu umgehen. Allzu oft ist die Ost-West-Sicherheit unzureichend und daher müssen AppSec-Netzwerkingenieure die Netzwerksegmentierung und Anwendungssegmentierung als Teil einer ganzheitlichen Netzwerksicherheitsstrategie betrachten. Die gute Nachricht ist, dass es einige großartige neue Technologien gibt, die bei der Segmentierung eines internen Netzwerks helfen können. Die weniger gute Nachricht ist, dass die Gefahr besteht, dass das Problem durch den Einsatz neuer Werkzeuge gelöst werden kann. Oft werden diese Tools nur teilweise bereitgestellt, bevor das Team zur nächsten „neuesten und besten“ Lösung übergeht. Bei der Erforschung neuer Technologien müssen sich AppSec-Netzwerkingenieure Folgendes fragen: Gibt es für jede Lösung einen passenden Anwendungsfall? Führt die Anschaffung eines anderen Werkzeugs zur Schonung der Umwelt oder wird es nur ein weiteres nutzloses „Geschmack des Monats“-Werkzeug sein? Unabhängig davon ist es nach der Anschaffung der neuen Technologielösung unerlässlich, die richtigen Fachkräfte für diese Technologie zu gewinnen, damit das Unternehmen die gesamte Umgebung intelligent absichern kann, bevor es zu einem neuen Tool übergeht. Um diesen Punkt noch weiter zu verdeutlichen, ist es überflüssig, die Einführung einer neuen Firewall zu feiern, wenn diese letztendlich nicht die richtigen Regeln und Richtlinien verwendet. Die Einführung einiger dieser neuen Technologien ohne ordnungsgemäße Bereitstellung hinterlässt nur klaffende Lücken und vermittelt Unternehmen ein falsches Sicherheitsgefühl, wodurch sie ständigen Risiken ausgesetzt werden.
Stellen Sie den cloudnativen Karren nicht vor das Pferd
Die Rolle eines AppSec-Netzwerkingenieurs wird sogar noch wichtiger, wenn Sie zum wechseln Cloud. Es beginnt damit, bohrende Fragen zu stellen: Welche Anwendungen gibt es im Unternehmen und warum verlagern wir sie in die Cloud? Geht es um Skalierbarkeit, Zugriffsgeschwindigkeit oder um die Aktualisierung eines Altsystems? Wird das Unternehmen von der Investition und den möglichen Auswirkungen auf die Leistung profitieren? Es ist auch wichtig, die Architektur in der Cloud zu berücksichtigen: Ist sie containerisiert, eine öffentliche Cloud, eine private Cloud oder eine Hybridlösung? Sobald Sie endgültige Antworten auf diese Fragen erhalten, erstellen Sie Referenzarchitekturen und holen Sie sich die Zustimmung der Führungsebene. Denken Sie abschließend über die Reihenfolge nach, in der das Unternehmen Anwendungen in die Cloud migriert, und beginnen Sie möglicherweise mit einigen unkritischen Anwendungen, die nur eine kleine Anzahl von Standorten oder Personen betreffen, bevor Sie das Risiko eingehen, kritische umsatzgenerierende Anwendungen zu verlagern. Zäumen Sie das Pferd nicht von hinten auf.
DevSecOps: Wir sollten zusammenarbeiten; Sie können sicher sein, dass die Kriminellen …
Die Sicherheit von Netzwerkanwendungen ist kompliziert genug, ohne dass es zu internen Auseinandersetzungen um Ressourcen kommt oder die Sicherheit zugunsten der Geschwindigkeit geopfert wird. Sicherheitsteams und Entwicklungsteams müssen zusammenarbeiten und sich auf das konzentrieren, was für Ihr Unternehmen am besten ist. Auch hier kommen Soft Skills wie Teamarbeit, Kommunikation und Projektmanagement ins Spiel. Das Fazit lautet: Verstehen Sie schlechte Akteure und bereiten Sie sich auf das Schlimmste vor. Die Bösewichte kaut nur darauf herum und wartet darauf, dass Ihr Unternehmen den nächsten Fehler macht. Um sie zu besiegen, müssen DevSecOps-Teams alle ihnen zur Verfügung stehenden Ressourcen nutzen.
Zukunftsversprechen oder falsches Sicherheitsgefühl?
Es gibt einige aufregende neue Technologien, auf die man sich am Horizont freuen kann, um die Anwendungsumgebung zu sichern. Bereiche wie Quantencomputer, maschinelles Lernen, AI und Blockchain sind vielversprechend, wenn es darum geht, Cyberkriminelle in der Gesundheits- und Finanzdienstleistungsbranche auszutricksen. Es wird erwartet, dass der AppSec-Netzwerkingenieur eine entscheidende Rolle bei der Realisierbarkeit dieser neuen Technologien spielen wird. Dennoch muss die richtige Technologie korrekt auf den richtigen Anwendungsfall angewendet und dann vollständig eingesetzt werden, um effektive Ergebnisse zu erzielen.
Das Essen zum Mitnehmen
Bei der Rolle des AppSec-Netzwerktechnikers geht es vor allem darum, einen nüchternen Blick auf die Ziele des Unternehmens zu werfen und einige herausfordernde Fragen zu stellen. Alles beginnt mit der Frage: „Was ist das Richtige für das Unternehmen?“ statt „Was ist die neueste Technologie, die wir in die Hände bekommen können?“ Um ein effektiver AppSec-Netzwerktechniker zu sein, sollten Einzelpersonen nicht nur das Unternehmensnetzwerk in- und auswendig kennen, sondern auch über ein umfassendes Verständnis der Anwendungen und der anwendbaren Geschäftsfälle verfügen, die sie unterstützen. Darüber hinaus wird die Zusammenarbeit mit Entwicklern und Betrieben (DevOps) zu einem Mittel für die schnelle Bereitstellung umsatzgenerierender oder geschäftskritischer Anwendungen. Aber es geht immer noch um die Soft Skills. Um das Unternehmen davor zu schützen, unnötige Sicherheitsrisiken einzugehen und einen Platz am Entscheidungstisch einzufordern, müssen AppSec-Netzwerkingenieure starke Führungs-, Projektmanagement- und Kommunikationsfähigkeiten einsetzen.
