AGIL, ABER SICHER? SECURE SOFTWARE ENGINEERING , ANDREAS FALK, UNI TÜBINGEN SOFTWARE ENGINEERING

Größe: px

Ab Seite anzeigen:

Download "AGIL, ABER SICHER? SECURE SOFTWARE ENGINEERING 11.5.2016, ANDREAS FALK, UNI TÜBINGEN SOFTWARE ENGINEERING"

Benjamin Grosse
vor 7 Jahren
Abrufe

1 AGIL, ABER SICHER? SECURE SOFTWARE ENGINEERING , ANDREAS FALK, UNI TÜBINGEN SOFTWARE ENGINEERING

2 Über Mich Andreas Falk NovaTec Consulting GmbH 2

3 Wichtige Literatur 3

4 Inhalte dieser Session Wichtigkeit von Security bewusst machen! Agilität und Security Wie geht das zusammen? Security-Grundlagen: Keine Hacker -Session! + Security? 4

5 Wirklich sicher? Hacks können Leben verändern! 5

6 Wirklich sicher? 6

7 Wirklich sicher? Verschlüsselung a la stackoverflow.com Verschiebechiffre: 7

8 Wirklich sicher? Nutzerverhalten! 8

9 Wir haben doch eine Security -Firewall!? Böse Requests Gute Requests? App A App B App C App D The Great Firewall Potentiell unsichere Systeme 9

10 Wir setzen doch sichere Frameworks und Plattformen ein!? und viele andere 10

11 Dokumentation, Tests und Security fallen zuerst weg! Dokumentation Security / Tests Features! Features 11

12 Entwickler vs. Security! 12

13 Qualität als Maslow sche Pyramide Selbstverwirklichung Anerkennung Soziales Sicherheit Grundbedürfnisse Maslow sche Pyramide 13

14 OWASP Top 10 (2013) 14

15 Neue Herausforderungen für Security NoSQL Big Data Storage Map/Reduce Computing Cloud Computing & Big Data Microservice Microservice Microservices Internet of Things (IoT) 15

16 Neue Herausforderungen für Security Updateverteilung Eigene Backend APIs IoT 3rd Party Backend APIs Geräte-Interface (Hardware) Gerätespeicher Geräte-Interface (Web) Firmware Sensoren Netzwerk-Kommunikation Cloud 3rd Party Backend APIs Datenschutz 16

17 Gibt es nicht schon sichere Entwicklungsprozesse? Microsoft SDLC Adobe 17

18 Next Stop: Sichere Agile Entwicklung Scrum Waterfalls 18

19 Sichere Agile Entwicklung Scrum Framework Elemente 19

20 Ausgangslage: Sicherheit == Agil? Sprint 1 Sprint 2 Sprint n Story A Story B Story C Story D Story E Story F Story G Story H Security Features Go Live Penetrationstest 20

21 Angreifer vs. DevOps Angriffe (24x7) Zeit Sprint Sprint Sprint Sprint Sprint Sprint Sprint Deployments Penetrations-Test 21

22 Auslieferbare Inkremente in Scrum Das Entwicklungsteam besteht aus Profis, die am Ende eines jeden Sprints ein fertiges Inkrement übergeben, welches potentiell auslieferbar ist. Potentiell unsicher ausliefern? 22

23 DevOps SecDevOps Continuous Delivery Auslieferbares Inkrement Vision Product Backlog Sprint Betrieb / Support + Security 23

24 DevOps SecDevOps Web- Anwendungs- Firewall Netzwerk- Firewall Netzwerk SSL Anwendungscode 3rd Party Bibliotheken Applikationsserver Java VM / Datenbank Betriebssystem Security Security 24

25 Sichere Agile Entwicklung mit Scrum Daily Scrum Sprint Product Backlog Sprint Planning Sprint Backlog Potentiell auslieferbares Inkrement + Security Sprint Review & Retro 25

26 Sichere Agile Entwicklung mit Scrum Entwickler Product Owner Scrum Master Security- Officer Test & QA 26

27 Secure DevOps = SecDevOps Product Owner Entwickler Scrum Master Test & QA Security- Officer Betrieb & Support 27

28 Rollenspezifische Security Trainings Security- Officer Product Owner Development Team Betrieb & Support 28

29 Sichere Agile Entwicklung mit Scrum Story A Threat Modeling Product Backlog Story B AbUser Story Security Features 29

30 Threat Modeling ist auch Agil Produktiv Code erstellen 6 1 Festlegung Software- Architektur 2 Threat Model Test Driven Development (TDD) 5 Security Testfälle und AbUser Stories 4 3 Identifikation und Vermeidung von Bedrohungen 30

31 AbUser Stories Business User Story AbUser Story 1 AbUser Story N Als Kunde möchte ich Produkte auswählen und zum Warenkorb hinzufügen um diese zu kaufen. Als Angreifer möchte ich Anfragen so manipulieren um Preise der Produkte im Warenkorb zu ändern. 31

32 Beispiel: AbUser und Security User Stories 32

33 Sichere Agile Entwicklung mit Scrum Sprint Planning 33

34 Sichere Agile Entwicklung mit Scrum Daily Scrum 34

35 Sichere Agile Entwicklung mit Scrum Sprint Security 35

36 Secure Architektur/Design Standard Architektur / Patterns Layering Microservices CQRS MVC 36

37 Secure Architektur/Design Standard Frameworks 37

Application Security Spring Security (Core) Convention over

38 Web Cloud Spring Security Sichere Cloud Native Anwendungen Single Sign On (SSO) Spring OAuth2 & Spring SAML Web Application Security Spring Security (Core) Convention over Configuration Spring Boot Enterprise Application Development Spring IO 38

39 Sichere Agile Entwicklung mit Scrum Sprint Security 39

40 Secure Design / Coding Security Patterns 40

41 Secure Design / Coding Cross-Site Scripting Input Validierung JPA mit Whitelist = 1, max = ( regexp = "^[A-Za-z0-9 ]*$", message = "Only alphanumeric and space characters are allowed" ) private String subject; 41

42 Secure Design / Coding Cross-Site Scripting <script>alert('xss')</script> Output Escaping <script>alert('xss')</script> 42

43 Secure Design / Coding CSRF Cross-Site Request Forgery (CSRF) Online Banking Anwendung GET HTTP/1.1 (HTML-Content) <img src = " width = "0" height = "0" border = "0"> 43

44 Secure Design / Coding Security Response Header 44

45 Secure Design / Coding Sichere Fehlermeldungen 45

46 Secure Design / Coding Security Patterns

47 DEMO EINE SICHERE WEBANWENDUNG IN 5 MINUTEN

48 Sichere Agile Entwicklung mit Scrum Sprint Security 48

49 Agile Security Testing 49

50 Agile Security Testing Statische Code Analyse + 50

51 Agile Security Testing Code Review Code-Reviews (Github, Gitlab, Gerrit, ) 51

52 Crispin, Lisa; Gregory, Janet (2008). Agile Testing: Agile Security Testing Business Manual, Exploratory Testing Complexity / Cost Automated UI-Tests Security Service Layer Tests (API-Layer) Integrationstests Technology Unit & Component Tests Unit Tests Quantity Detail 52

53 Agile Security Testing public void verifyadminpathauthorizeok() throws Exception { this.mvc.perform( get( "/admin" ).with(user("admin").password("admin").roles("admin") ) ).andexpect ( status ().isok () ); public void verifyadminpathauthorizenok() throws Exception { this.mvc.perform ( get( "/admin") }.with(user("user").password("secure").roles("user") ) ).andexpect ( status ().isforbidden () ); 53

Check 2 Trigger Build 5 Report Build Result 7 Push to Stable 1

54 Stage 1: Statisches Security Testing Continuous Integration (CI) 3 Check-Out 4 Build & Tests & Static Code Analysis & Dependency Check 2 Trigger Build 5 Report Build Result 7 Push to Stable 1 Pull-Request Developer 2 6 (Security) Code- Review Developer 1 54

Dynamisches Security-Testing OWASP Zed Attack Proxy (ZAP) Open Source https://github.

55 Dynamisches Security-Testing OWASP Zed Attack Proxy (ZAP) Open Source Burp Suite Professional Kommerziell 55

56 Stage 2: Dynamisches Security-Testing Acceptance Testing 3 Active Scanning 4 Reporting 1 Deploy 2 UI-Testing Proxy 56

57 Sichere Agile Entwicklung mit Scrum Sprint Review & Retro 57

58 Idealzustand: Security == Agile! Sprint 1 Sprint 2 Sprint n Story A Story B Abuse Story Security Features Story C Story D Story E Abuse Story Story F Story G Story H Pen- Test Go Live 58

59 SecDevOps Security + DevOps Kommunikation Zusammenarbeit Werkzeuge Continuous Delivery 59

SecDevOps Testing Infrastructure As Code http://serverspec.org /usr/bin/ruby -S rspec spec/www.example.jp/sample_spec.

60 SecDevOps Testing Infrastructure As Code /usr/bin/ruby -S rspec spec/ Package "httpd" should be installed Service "httpd" should be enabled should be running Port "8443" should be listening Finished in seconds (files took 6.37 seconds to load) 4 examples, 0 failures 60

61 SecDevOps Kostenlose SSL-Zertifikate HTTPS für alle Websites!! 61

62 SecDevOps Sichere TLS (SSL) Konfiguration 62

63 SecDevOps Sicherheit von HTTP Response-Headern 63

64 SecDevOps Kenne eingesetzte 3rd Party Bibliotheken 64

65 Open Web Application Security Project Community für sichere Software Non-Profit! > 250 lokale Chapters Frei und Offen > 130 Projekte > 2500 Mitglieder 65

66 Open Web Application Security Project 66

67 Fazit Ausbildung für Security Security transparent machen Security-Aktivitäten im gesamten Entwicklungsprozess 67

68 Ausblick / Weitere Schritte Security-Aktivitäten im Projekt Besuch einer (Security-) Konferenz 68

69 Damit das nicht mehr passiert! 69

70 FRAGEN? , ANDREAS FALK aqe.novatec-gmbh.de

Ähnliche Dokumente

Agil, aber sicher? Security im agilen Entwicklungsprozess. 15.3.2016 OWASP Stammtisch München

Agil, aber sicher? Security im agilen Entwicklungsprozess 15.3.2016 OWASP Stammtisch München Über mich Andreas Falk NovaTec Consulting GmbH andreas.falk@novatec-gmbh.de Mitglied der @andifalk @agile_security