Die Rolle von Sicherheitstools in CI/CD-Pipelines

"Es gibt ja mittlerweile viele Werkzeuge am Markt, die frei verfügbar sind, die man in die Pipelines einbauen kann, um einfach Security von Anfang an mit in den Prozess reinzubringen.” - Christian Biehler

In der aktuellen Folge beschäftigen wir uns mit der Bedeutung von Sicherheitstests in der Softwareentwicklung. Sicherheitstests sind nicht nur am Ende, sondern während des gesamten Entwicklungsprozesses notwendig. Verschiedene Tools, wie OWASP-Zap und andere dynamische Scan-Werkzeuge, werden vorgestellt, die dabei helfen, Sicherheitslücken frühzeitig zu erkennen. Zudem werden typische Schwachstellen wie SQL-Injection und Cross-Site-Scripting thematisiert und wie moderne Frameworks diese Probleme angehen. Besonders interessant ist die Beobachtung, dass viele Unternehmen noch zögern, Sicherheitstests zu integrieren, da sie dies als zu kompliziert oder zeitaufwendig empfinden.

Christian Biehler ist ein erfahrener und qualifizierter Experte für IT-Sicherheit.
Nach seinem erfolgreich abgeschlossenen Studium als Master of Science in IT- Sicherheit sammelte er mittlerweile seit über 10 Jahren Erfahrung als Hacker, Penetrationstester, Berater und Trainer. Christian hat für unterschiedliche Unternehmen in verschiedenen Branchen gearbeitet und somit eine vielfältige praktische Kompetenz aus mehr als 300 Projekten in den Bereichen Web-, Mobile-, OS- & Service-Pentesting auf Windows und Linux-Umgebungen. Seit einigen Jahren bildet neben der DevSecOps-Welt insbesondere die Microsoft-Welt rund um die lokalen Windows-Welten mit Clients, Servern und Active Directory sowie die Microsoft-Cloud mit Entra ID, Azure und M365 einen großen Schwerpunkt seiner Arbeit.
Er ist seit 2019 der Geschäftsführer der bi-sec GmbH, einem Unternehmen, das sich auf Beratung, Penetrationstests und Schulungen im Bereich der IT- und Informationssicherheit Sicherheit spezialisiert hat.

Highlights:

• Es ist wichtig, Sicherheitstests im gesamten Softwareentwicklungszyklus zu berücksichtigen, nicht nur am Ende.


• Früher waren SQL-Injections ein großes Thema, heute sind es eher Logik- und Zugriffskontrollen.


• Tools wie OWASP-Zap können in Pipelines integriert werden, um Sicherheitslücken frühzeitig zu erkennen.


• Viele Unternehmen zögern, Sicherheitstests in den Entwicklungsprozess zu integrieren, wegen organisatorischer und politischer Hindernisse.


• Es gibt viele frei verfügbare Werkzeuge, die bei der Implementierung von Sicherheitstests helfen können.

Links:

• https://twitter.com/cssec


• https://www.linkedin.com/company/73489234/


• https://www.bi-sec.de/blog/


• https://www.software-testing.fm

Danke an die Community-Partner des Podcasts:

• Alliance for Qualification: https://swt.fm/a4q


• ASQF: https://swt.fm/asqf


• Austrian Testing Board: https://swt.fm/atb


• dpunkt.verlag: https://swt.fm/dpv


• German Testing Board: https://swt.fm/gtb


• German Testing Day: https://swt.fm/gtd


• GI Fachgruppe TAV: https://swt.fm/tav


• Heise: https://swt.fm/hei


• HANSER Verlag: https://swt.fm/chv


• ISTQB: https://swt.fm/ist


• iSQI GmbH: https://swt.fm/isqi


• oop: https://swt.fm/oop


• QS-TAG: https://swt.fm/qst


• SIGS-DATACOM: https://swt.fm/sigs


• skillsclub: https://swt.fm/sc


• Software Quality Days: https://swt.fm/swqd


• Swiss Testing Board: https://swt.fm/stb

Credits:

• Sound: https://swt.fm/krz


• Grafik: https://swt.fm/kdb