Salesforce ist in den vergangenen Jahren massiv gewachsen und belegt inzwischen Platz 137 im Fortune 500. Kurz gesagt: Es ist schwer, die Auswirkungen zu ignorieren, die Salesforce auf den Markt für Unternehmensanwendungen. Dennoch scheinen nur wenige zu erkennen, dass auf der Salesforce-Plattform umfangreiche Entwicklungen durch Drittanbieter und individuell angepasster Code zu finden sind und dieser Code potenzielle Cybersicherheitsrisiken mit sich bringt.
Das Unternehmen ist zwar sehr stolz auf das, was es seine „sichere, skalierbare Cloud-Plattform“ nennt, doch beim Begriff „sicher“ kann es im Zusammenhang mit der Möglichkeit, individuellen Code zu erstellen, zu einer Diskrepanz kommen. Erschwert wird die Argumentation in Bezug auf die Sicherheit außerdem durch die Tatsache, dass zahlreiche Tools zur Erstellung individueller Anwendungen existieren, die auf der Salesforce-Plattform laufen, und viele dieser Tools Low-Code-/No-Code-Funktionen bieten.
Das in Seattle ansässige Unternehmen DigitSec bietet für dieses Cybersicherheitsproblem bei der individuellen Entwicklung eine Lösung in Form von DigitSec S4, einer Plattform zum Testen der Anwendungssicherheit, die für Salesforce entwickelt wurde.
Siehe auch: 5 Trends bei der Cloud-Sicherheit im Jahr 2022
S4 für Salesforce im Detail
Die S4-Plattform (kurz für SaaS Security Scanner) bringt zahlreiche Tools für Tests der Anwendungssicherheit in die Welt der Entwicklung sicheren Codes für individuelle Salesforce-Anwendungen.
Die Plattform vereint SAST (statische Quellcodeanalyse), IAST (interaktives Laufzeittesting) und SCA (Software-Composition-Analyse). Dadurch entsteht ein einheitliches Angebot, das einen Großteil der aufwendigen Arbeit automatisiert, die mit der Überprüfung der Sicherheit von Code und installierten Anwendungen verbunden ist.
Darüber hinaus umfasst die Plattform Funktionen wie die Überprüfung der Cloud-Sicherheitskonfiguration, die Integration in CI/CD-Pipelines über zahlreiche DevOps-Tools sowie Plattformen, die das Beheben von Sicherheitsfehlern erleichtern.
Eine Ansicht des S4-Sicherheits-Dashboards.
Praxistest mit DigitSec S4
S4 wurde entwickelt, um die Sicherheitslage einer Salesforce-Implementierung eingehend zu untersuchen. Das mag eine Vereinfachung von S4 sein, fasst die allgemeine Definition des Produkts jedoch treffend zusammen. Es läuft in der Cloud, und erfordert keine dedizierte On-Premises-Infrastruktur oder komplexe Bereitstellung (obwohl Optionen für die Private Cloud und die Installation im Unternehmen verfügbar sind). Das bedeutet, dass Anwender sehr schnell loslegen können.
Die Einführung der S4-Plattform wird zusätzlich dadurch erleichtert, dass sie sich in CI/CD-Plattformen integrieren lässt. Das erweist sich als Katalysator, um DevSecOps in praktisch jedem Unternehmen, das DevOps einsetzt, Realität werden zu lassen. Die Integration in CI/CD-Pipelines unterstützt außerdem agile Prozesse und in manchen Fällen auch Entwicklungsprojekte nach dem Wasserfallmodell.
Siehe auch: Secure Access Service Edge: große Vorteile, große Herausforderungen
Quellcode-Sicherheitsanalyse
S4 verfügt über eine Engine für statische Anwendungssicherheitstests (SAST), die Salesforce-Quellcode (z. B. Apex, Visualforce, Lightning Web Components, Aura) automatisch auf Sicherheitslücken scannt.
Bei der ersten Ausführung für neu eingelesenen Code erstellt S4 eine Grundlage aus Befunden, in der kritische Schwachstellen identifiziert werden. Die Code-Scan-Engine verwendet mehrere Verfahren, um tatsächliche Schwachstellen zu erkennen und dabei typische Fehlalarme zu vermeiden, die bei universell einsetzbaren Code-Scannern häufig vorkommen.
Jeder Befund wird zusätzlich validiert, und die S4-Plattform erstellt einen Entdeckungsbericht mit Beispielen dafür, warum es sich bei der Schwachstelle tatsächlich um einen echten Treffer handelt. Darüber hinaus umfasst die Plattform Methoden, um Injection-Schwachstellen und andere Sicherheitslücken zu erkennen, die selbst für erfahrene DevSecOps-Mitarbeiter nicht immer offensichtlich sind.
Software-Composition-Analyse
Die S4-Plattform nutzt Software-Composition-Analyse (SCA), um ausnutzbare Softwarebibliotheken zu identifizieren und deren Auswirkungen innerhalb von Salesforce zu analysieren. Anschließend erstellt sie Informationen zu den daraus resultierenden Schwachstellen, die durch die erkannten Common Vulnerabilities and Exposures (CVEs) entstehen.
Es werden Empfehlungen dazu ausgesprochen, welche Bibliotheken aktualisiert oder gepatcht werden sollten, sowie zur Schwere und zu den Auswirkungen der CVE auf die Compliance der Salesforce-Organisation. Die SCA von S4 lässt sich außerdem in CI/CD-Plattformen integrieren, um Workflows rund um Entwicklung und Bereitstellung weiter zu automatisieren.
Entwickler müssen jedoch bedenken, dass SCA kein Prozess nach dem Motto „einmal ausführen und vergessen“ sein sollte. Weltweit werden täglich neue CVEs gemeldet, und eine Bibliothek, die gestern noch sicher war, muss es morgen nicht mehr sein. S4 überprüft regelmäßig 30 verschiedene Quellen auf neue CVEs, um seine interne Datenbank auf dem neuesten Stand zu halten.
S4 überwacht kontinuierlich potenzielle Sicherheitsprobleme.
Interaktives Laufzeittesting
Die S4-Plattform umfasst Laufzeittests beziehungsweise interaktive Anwendungssicherheitstests (IAST). Dabei werden während der Quellcodeanalyse erfasste Daten genutzt, um eine Umgebung zu schaffen, in der der laufende Code tatsächlich getestet werden kann. So lassen sich zusätzliche Injection-Schwachstellen erkennen, die beim alleinigen Testen des Quellcodes häufig übersehen werden.
Darüber hinaus generiert S4 zusätzliche Informationen und erstellt Proof-of-Concept-Beispiele, die tatsächliche Exploits veranschaulichen. S4 nutzt IAST, um Fehlalarme automatisch zu reduzieren und gleichzeitig eine präzise Einschätzung des Risikos zu liefern, das ein Exploit darstellt.
Salesforce-Cloud-Konfiguration
Die meisten Entwicklungsteams überlassen die Konfigurationseinstellungen von Salesforce den Personen, die die Anwendungen und die Salesforce-Umgebung bereitstellen oder verwalten.
Das kann jedoch dazu führen, dass eine getestete und sichere Anwendung für einen Angriff anfällig wird, weil eine kritische Salesforce-Einstellung falsch konfiguriert wurde. S4 automatisiert die Überprüfung der Cloud-Konfiguration und vergleicht die festgelegten Einstellungen mit einer bekannten Liste von Salesforce-Konfigurationsproblemen.
Zu den häufigen Fehlkonfigurationen gehören Zugriffskontrollen, Definitionen der Content Security Policy, Passworteinstellungen und Kontoeinstellungen. Viele gehen vermutlich davon aus, dass die Standardeinstellungen eine ausreichende Cybersicherheit gewährleisten. Allerdings muss auch berücksichtigt werden, welche Auswirkungen Compliance-Vorschriften auf die Sicherheit dieser Einstellungen haben.
Siehe auch: 5 Möglichkeiten, wie soziale Medien die Cybersicherheit beeinflussen
Compliance-Berichte
Die S4-Plattform kann sichtbar machen, wie sich Ihre Sicherheitsfehler auf Compliance-Anforderungen in Salesforce-Instanzen auswirken.
S4 kann darüber berichten, wie sich jeder Befund zu einer Sicherheitslücke auf eine bestimmte Anforderung in dem von Ihnen gewählten Framework auswirken oder gegen sie verstoßen kann. Dadurch ist eine Priorisierung nicht nur nach dem technischen Sicherheitsrisiko (d. h. kritisch, hoch, mittel, niedrig) möglich, sondern auch danach, welche Anforderungen des Frameworks durch den Fehler verletzt werden könnten.
Fazit: DevSecOps neu definiert
DigitSec S4 trägt dazu bei, die effiziente Umsetzung von DevSecOps in CI/CD-Pipelines neu zu definieren, indem es Aufgaben automatisiert, die früher schwierig und manuell waren.
Die S4-Plattform verringert außerdem die Belastung für Entwickler von Salesforce-Anwendungen und gibt ihnen die Gewissheit, sichere Anwendungen bereitzustellen, die den bewährten Verfahren der Cybersicherheit folgen. Auch die für Salesforce-Bereitstellungen Verantwortlichen können von S4 profitieren, da die Plattform Konfigurationsvalidierung und Compliance-Prüfungen umfasst.
Letztlich könnte DigitSec S4 durchaus die Art und Weise verändern, wie DevSecOps in DevOps-Umgebungen umgesetzt wird.
Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr