Dass eine Anwendung gegen Angriffe von Außen abgesichert werden muss, ist in der heutigen Zeit keine Frage mehr. Die OWASP Top10 sind in aller Munde. Um so verwunderlicher ist es, dass in den meisten Projekten die Suche nach Sicherheitslücken frühestens nach Fertigstellung der Software angegangen wird. Dabei gibt es ein paar Möglichkeiten, bekannte Security-Probleme bereits während der Entwicklung automatisiert zu erkennen und dem Entwickler so durch geeignetes Feedback die Möglichkeit zu geben, diese zeitnah zu beheben. Im Vortrag werden verschiedene Tools vorgestellt und gezeigt, welche Security-Probleme schon während der Entwicklung durch Continous Integration vermieden werden können.

1. Integration von Security-Checks
in die CI-Pipeline
@_openknowledge #WISSENTEILEN

2. ÜBER MICH
• Software-Entwickler
• Speaker
• CI / CD Flüsterer
• Angular(-ität)
• Java EE
Christian Schulz
#WISSENTEILEN

3. ÜBER OPEN KNOWLEDGE
Branchenneutrale Softwareentwicklung und IT-Beratung
#WISSENTEILEN

4. Warum?

5. Bekannte Vorfälle
#WISSENTEILEN

6. Bekannte Vorfälle
• 2017
Equifax 143 Millionen
#WISSENTEILEN

7. Bekannte Vorfälle
• 2017
Equifax 143 Millionen
• 2016
Adult Friend Finder 422 Millionen
#WISSENTEILEN

8. Bekannte Vorfälle
• 2017
Equifax 143 Millionen
• 2016
Adult Friend Finder 422 Millionen
• 2015
Anthem 78 Millionen
#WISSENTEILEN

9. Bekannte Vorfälle
• 2017
Equifax 143 Millionen
• 2016
Adult Friend Finder 422 Millionen
• 2015
Anthem 78 Millionen
• 2014
eBay 145 Millionen
JP Morgan Chase 76 Millionen
#WISSENTEILEN

10. Bekannte Vorfälle
• 2017
Equifax 143 Millionen
• 2016
Adult Friend Finder 422 Millionen
• 2015
Anthem 78 Millionen
• 2014
eBay 145 Millionen
JP Morgan Chase 76 Millionen OOPSIE!
#WISSENTEILEN

11. Softwarelebenszyklus
#WISSENTEILEN

12. Softwarelebenszyklus
Product Design Development Testing Deployment Production
#WISSENTEILEN

13. Softwarelebenszyklus
Product Design Development Testing Deployment Production
#WISSENTEILEN

14. Softwarelebenszyklus
Product Design Development Testing Deployment Production
#WISSENTEILEN

15. Softwarelebenszyklus
Product Design Development Testing Deployment Production
#WISSENTEILEN

16. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Product Design Development
#WISSENTEILEN

17. Software Entwicklung …
#WISSENTEILEN

18. … ist eine unendliche Geschichte
#WISSENTEILEN

19. Security?
#WISSENTEILEN

20. WORKED FINE IN DEV
NOW OPS PROBLEM
#WISSENTEILEN

21. Softwarelebenszyklus
Product Design Development Testing Deployment Production
#WISSENTEILEN

22. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Penetration
Tests
#WISSENTEILEN

23. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Penetration
Tests
Real-Time Application
Security Protection
oder
Web Application Firewall
#WISSENTEILEN

24. Doppelter Boden?
#WISSENTEILEN

25. Doppelter Boden
Web Application Firewall Anwendung
?
#WISSENTEILEN

26. Doppelter Boden
Web Application Firewall Anwendung
?
#WISSENTEILEN

27. Doppelter Boden
Web Application Firewall Anwendung
!
#WISSENTEILEN

28. Warum?
#WISSENTEILEN

29. Warum?
• ca 90% der Anwendungen sind verwundbar
#WISSENTEILEN

30. Warum?
• ca 90% der Anwendungen sind verwundbar
• Netzwerklösungen sind nicht dafür entworfen worden auf
Anwendungslevel zu schützen
#WISSENTEILEN

31. Warum?
• ca 90% der Anwendungen sind verwundbar
• Netzwerklösungen sind nicht dafür entworfen worden auf
Anwendungslevel zu schützen
• Moderne Webanwendungen erhöhen die Sicherheitsrisiken enorm
#WISSENTEILEN

32. Warum?
• ca 90% der Anwendungen sind verwundbar
• Netzwerklösungen sind nicht dafür entworfen worden auf
Anwendungslevel zu schützen
• Moderne Webanwendungen erhöhen die Sicherheitsrisiken enorm
• Angriffe passieren im Geheimen
#WISSENTEILEN

33. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
#WISSENTEILEN

34. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Development
Efforts
#WISSENTEILEN

35. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Development
Efforts
#WISSENTEILEN

36. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Development
Efforts
Development
Efforts
#WISSENTEILEN

37. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Version rollback
Development
Efforts
Development
Efforts
#WISSENTEILEN

38. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Impact Analysis
Version rollback
Development
Efforts
Development
Efforts
#WISSENTEILEN

39. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

40. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

41. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

42. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

43. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Reputation
damage
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

44. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Reputation
damage
Reimbursements
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

45. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Reputation
damage
Reimbursements
monitoring services
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
#WISSENTEILEN

46. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Reputation
damage
Reimbursements
monitoring services
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
Legal Costs
#WISSENTEILEN

47. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Reputation
damage
Reimbursements
monitoring services
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
Legal Costs
#WISSENTEILEN

48. Der richtige Zeitpunkt
Während der Entwicklung Nach dem Release Nach dem Datenverlust
Kosten
Re-Launch
Impact Analysis
Version rollback
Reputation
damage
Reimbursements
monitoring services
Schedule delays
Development
Efforts
Re-Launch
Impact Analysis
Version rollback
Schedule delays
Development
Efforts
Development
Efforts
Legal Costs
#WISSENTEILEN

49. Aber wie?!

50. OWASP & Co

51. OWASP & Co
#WISSENTEILEN

52. OWASP & Co
• Open Web Application Security Project (OWASP)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• OWASP Top10
#WISSENTEILEN

53. OWASP & Co
• Open Web Application Security Project (OWASP)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• OWASP Top10
• Web Application Security Consortium (WASC)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• Best Practices in der Implementierung und Abwehr
#WISSENTEILEN

54. OWASP & Co
• Open Web Application Security Project (OWASP)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• OWASP Top10
• Web Application Security Consortium (WASC)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• Best Practices in der Implementierung und Abwehr
• SysAdmin, Networking and Security (SANS) Institut
• Anbieter für Cybersicherheitsschulungen und –zertifizierungen
• SANS Top20
#WISSENTEILEN

55. OWASP & Co
• Open Web Application Security Project (OWASP)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• OWASP Top10
• Web Application Security Consortium (WASC)
• Non-Profit-Organisation mit dem Ziel WWW Anwendungen sicherer zu machen
• Best Practices in der Implementierung und Abwehr
• SysAdmin, Networking and Security (SANS) Institut
• Anbieter für Cybersicherheitsschulungen und –zertifizierungen
• SANS Top20
• MITRE Corporation
• Non-Profit-Organisation für die Verwaltung von Forschungsinstituten in den USA
• CWE (Common Weakness Enumeration)
• Common Attack Pattern Enumeration and Classification (CAPEC)
#WISSENTEILEN

56. Selbsttraining

57. WebGoat
• Entwickelt von OWASP
• Java Spring
• Unsichere Webanwendung mit
Sicherheitslücken
• Spielwiese zum Lernen
https://github.com/WebGoat/WebGoat
#WISSENTEILEN

58. WebGoat – Beispiel
#WISSENTEILEN

59. Damn Vulnerable Web Application (DVWA)
• Entwickelt von RandomStorm
• PHP
• Unsichere Webanwendung mit
Sicherheitslücken
• Spielwiese zum Lernen
https://github.com/ethicalhack3r/DVWA
#WISSENTEILEN

60. Juice Shop
• Entwickelt von OWASP
• JavaScript
• AngularJS
• NodeJS
• Unsichere Webanwendung mit
Sicherheitslücken
• Spielwiese zum Lernen
https://github.com/bkimminich/juice-shop
#WISSENTEILEN

61. Game of Hacks
• Checkmarx
• http://www.gameofhacks.com/
#WISSENTEILEN

62. Game of Hacks
• Checkmarx
• http://www.gameofhacks.com/
#WISSENTEILEN

63. Game of Hacks
• Checkmarx
• http://www.gameofhacks.com/
#WISSENTEILEN

64. Game of Hacks
• Checkmarx
• http://www.gameofhacks.com/
#WISSENTEILEN

65. Schwachstellenanalyse
#WISSENTEILEN

66. Softwarelebenszyklus
Product Design Development Testing Deployment Production
#WISSENTEILEN

67. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Sicherheitsanforderungen
#WISSENTEILEN

68. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
Sicherheitsanforderungen
#WISSENTEILEN

69. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
Dynamic Application Security Testing
Sicherheitsanforderungen
#WISSENTEILEN

70. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
Dynamic Application Security Testing
Sicherheitsanforderungen
Penetration
Tests
#WISSENTEILEN

71. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
Dynamic Application Security Testing
Real-Time Application
Security Protection
oder
Web Application FirewallSicherheitsanforderungen
Penetration
Tests
#WISSENTEILEN

72. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
Dynamic Application Security Testing
Real-Time Application
Security Protection
oder
Web Application FirewallSicherheitsanforderungen
Penetration
Tests
#WISSENTEILEN

73. Anforderungen
#WISSENTEILEN

74. Anforderungen
• Integration
• IDE
• BuildTools
• CI Server
#WISSENTEILEN

75. Anforderungen
• Integration
• IDE
• BuildTools
• CI Server
• Automatisiert ausführbar
#WISSENTEILEN

76. Anforderungen
• Integration
• IDE
• BuildTools
• CI Server
• Automatisiert ausführbar
#WISSENTEILEN

77. Static Application Security Testing

78. Static Application Security Testing
Vorteile Nachteile
#WISSENTEILEN

79. Static Application Security Testing
Vorteile
Skalierbarkeit
Nachteile
#WISSENTEILEN

80. Static Application Security Testing
Vorteile
Skalierbarkeit
Präzise Fehlerbeschreibungen
Nachteile
#WISSENTEILEN

81. Static Application Security Testing
Vorteile
Skalierbarkeit
Präzise Fehlerbeschreibungen
Benötigt keine laufende Instanz
Nachteile
#WISSENTEILEN

82. Static Application Security Testing
Vorteile
Skalierbarkeit
Präzise Fehlerbeschreibungen
Benötigt keine laufende Instanz
Entdeckt SQL Injection, Buffer
Overflows, NPE und ähnliches
Nachteile
#WISSENTEILEN

83. Static Application Security Testing
Vorteile
Skalierbarkeit
Präzise Fehlerbeschreibungen
Benötigt keine laufende Instanz
Entdeckt SQL Injection, Buffer
Overflows, NPE und ähnliches
Keine Auswirkungen auf
(Test-)Umgebungen
Nachteile
#WISSENTEILEN

84. Static Application Security Testing
Vorteile
Skalierbarkeit
Präzise Fehlerbeschreibungen
Benötigt keine laufende Instanz
Entdeckt SQL Injection, Buffer
Overflows, NPE und ähnliches
Keine Auswirkungen auf
(Test-)Umgebungen
Nachteile
 False Positives
#WISSENTEILEN

85. Static Application Security Testing
Vorteile
Skalierbarkeit
Präzise Fehlerbeschreibungen
Benötigt keine laufende Instanz
Entdeckt SQL Injection, Buffer
Overflows, NPE und ähnliches
Keine Auswirkungen auf
(Test-)Umgebungen
Nachteile
 False Positives
 Entdeckt nicht alle Fehler z.B. in der
Konfiguration oder bei der
Authentifizierung
#WISSENTEILEN

86. Static Application Security Testing
• Abhängigkeitsanalyse
• OWASP Dependency Check
• Source Code Analyse
• PMD
• Byte Code Analyse
• findbugs
• SpotBugs
• find-sec-bugs
#WISSENTEILEN

87. SAST – Verwundbare Bibliotheken
#WISSENTEILEN

88. SAST – Verwundbare Bibliotheken
CVE-2017-15708
Apache Commons Collection
#WISSENTEILEN

89. SAST – Verwundbare Bibliotheken
CVE-2017-15708
Apache Commons Collection
Remote Code Execution während der Object Deserialisierung
in Version 3.2.2 und 4.1 behoben
#WISSENTEILEN

90. SAST – Verwundbare Bibliotheken
CVE-2017-15708
Apache Commons Collection
Remote Code Execution während der Object Deserialisierung
in Version 3.2.2 und 4.1 behoben
CVE-2018-11771
Apache Commons Compress
#WISSENTEILEN

91. SAST – Verwundbare Bibliotheken
CVE-2017-15708
Apache Commons Collection
Remote Code Execution während der Object Deserialisierung
in Version 3.2.2 und 4.1 behoben
CVE-2018-11771
Apache Commons Compress
Denial of Service beim Archiv lesen durch einen unendlichen Stream
in Version 1.18 behoben
#WISSENTEILEN

92. OWASP Dependency Check
https://jeremylong.github.io/DependencyCheck/
#WISSENTEILEN

93. OWASP Dependency Check
• Analysiert Abhängigkeiten
https://jeremylong.github.io/DependencyCheck/
#WISSENTEILEN

94. OWASP Dependency Check
• Analysiert Abhängigkeiten
• Sucht nach bekannten CVE (Common
Vulnerabilities and Exposures)
https://jeremylong.github.io/DependencyCheck/
#WISSENTEILEN

95. OWASP Dependency Check
• Analysiert Abhängigkeiten
• Sucht nach bekannten CVE (Common
Vulnerabilities and Exposures)
• Build Tool Integration
• Jenkins Integration
• Auch für Repository Server verfügbar
• Nexus Repository (Nexus Firewall)
• Artifactory (JFrog Xray)
https://jeremylong.github.io/DependencyCheck/
#WISSENTEILEN

96. SAST
@GET
@Path("/images/{image}")
@Produces("images/*")
public Response getImage(@PathParam("image") String image) {
File file = new File("resources/images/", image);
if (!file.exists()) {
return Response.status(Response.Status.NOT_FOUND).build();
}
return Response.ok().entity(
new FileInputStream(file)
).build();
}
#WISSENTEILEN

97. SAST – Potential Path Traversal
@GET
@Path("/images/{image}")
@Produces("images/*")
public Response getImage(@PathParam("image") String image) {
File file = new File("resources/images/", image);
if (!file.exists()) {
return Response.status(Response.Status.NOT_FOUND).build();
}
return Response.ok().entity(
new FileInputStream(file)
).build();
}
#WISSENTEILEN

98. SAST – Potential Path Traversal
@GET
@Path("/images/{image}")
@Produces("images/*")
public Response getImage(@PathParam("image") String image) {
File file = new File("resources/images/",
FilenameUtils.getName(image)
);
if (!file.exists()) {
return Response.status(Response.Status.NOT_FOUND).build();
}
return Response.ok().entity(
new FileInputStream(file)
).build();
}
#WISSENTEILEN

99. PMD
https://pmd.github.io/
#WISSENTEILEN

100. PMD
• Sourcecode Analyse
https://pmd.github.io/
#WISSENTEILEN

101. PMD
• Sourcecode Analyse
• Keine dedizierten Sicherheitsregeln
https://pmd.github.io/
#WISSENTEILEN

102. PMD
• Sourcecode Analyse
• Keine dedizierten Sicherheitsregeln
• CLI
• Build Tool Integration
• IDE Integration
• Jenkins Integration
https://pmd.github.io/
#WISSENTEILEN

103. findbugs
http://findbugs.sourceforge.net/
#WISSENTEILEN

104. findbugs
• Bytecode Analyse
http://findbugs.sourceforge.net/
#WISSENTEILEN

105. findbugs
• Bytecode Analyse
• Bis Java 8
http://findbugs.sourceforge.net/
#WISSENTEILEN

106. findbugs
• Bytecode Analyse
• Bis Java 8
• CLI mit GUI
• Build Tool Integration
• IDE Integration
• Jenkins Integration
http://findbugs.sourceforge.net/
#WISSENTEILEN

107. SpotBugs
https://spotbugs.github.io/
#WISSENTEILEN

108. SpotBugs
• Bytecode Analyse
• findbugs Nachfolger
https://spotbugs.github.io/
#WISSENTEILEN

109. SpotBugs
• Bytecode Analyse
• findbugs Nachfolger
• Plugin System
https://spotbugs.github.io/
#WISSENTEILEN

110. SpotBugs
• Bytecode Analyse
• findbugs Nachfolger
• Plugin System
• CLI mit GUI
• Build Tool Integration
• IDE Integration
• Jenkins Integration
https://spotbugs.github.io/
#WISSENTEILEN

111. SpotBugs Beispiel
public boolean authenticate() {
boolean authenticated = true;
try {
authenticated = ldapService.isUserAuthenticated(...);
} catch (SomeException e) {
}
return authenticated;
}
#WISSENTEILEN

112. SpotBugs Beispiel
public boolean authenticate() {
boolean authenticated = true;
try {
authenticated = ldapService.isUserAuthenticated(...);
} catch (SomeException e) {
}
return authenticated;
}
#WISSENTEILEN

113. SpotBugs Beispiel – Fixed
public boolean authenticate() {
boolean authenticated = true;
try {
authenticated = ldapService.isUserAuthenticated(...);
} catch (SomeException e) {
logger.warn("User authentication failed", e);
authenticated = false;
}
return authenticated;
}
#WISSENTEILEN

114. find-sec-bugs
https://find-sec-bugs.github.io/
#WISSENTEILEN

115. find-sec-bugs
• Erweiterung für SpotBugs
https://find-sec-bugs.github.io/
#WISSENTEILEN

116. find-sec-bugs
• Erweiterung für SpotBugs
• Fokus auf Sicherheit
https://find-sec-bugs.github.io/
#WISSENTEILEN

117. find-sec-bugs Beispiel
public boolean authenticate(...) {
String user = request.getParameter("user");
String pass = request.getParameter("pass");
String query = "SELECT * FROM users WHERE user = '" +
user + "' AND pass = '" + pass + "'";
java.sql.Statement statement = connection.createStatement();
java.sql.ResultSet resultSet =
statement.executeQuery(query);
return resultSet.next();
}
#WISSENTEILEN

118. find-sec-bugs Beispiel
public boolean authenticate(...) {
String user = request.getParameter("user");
String pass = request.getParameter("pass");
String query = "SELECT * FROM users WHERE user = '" +
user + "' AND pass = '" + pass + "'";
java.sql.Statement statement = connection.createStatement();
java.sql.ResultSet resultSet =
statement.executeQuery(query);
return resultSet.next();
}
#WISSENTEILEN

119. find-sec-bugs Beispiel – Fixed
public boolean authenticate(...) {
String user = request.getParameter("user");
String pass = request.getParameter("pass");
String query =
"SELECT * FROM users WHERE user = ? AND pass = ?";
java.sql.Statement statement = connection.createStatement();
statement.setString(1, user);
statement.setString(2, pass);
java.sql.ResultSet resultSet =
statement.executeQuery(query);
return resultSet.next();
}
#WISSENTEILEN

120. find-sec-bugs Beispiel
#WISSENTEILEN

121. find-sec-bugs Beispiel
• Unsichere Hash Algorithmen z.B. MD5, SHA1
#WISSENTEILEN

122. find-sec-bugs Beispiel
• Unsichere Hash Algorithmen z.B. MD5, SHA1
• Hard kodierte Werte z.B. Passwörter, Secret Keys
#WISSENTEILEN

123. find-sec-bugs Beispiel
• Unsichere Hash Algorithmen z.B. MD5, SHA1
• Hard kodierte Werte z.B. Passwörter, Secret Keys
• Unsichere Cipher Benutzung, z.B. No Padding bei RSA
#WISSENTEILEN

124. SonarQube
https://www.sonarqube.org/
#WISSENTEILEN

125. SonarQube
• Tool Aggregator
https://www.sonarqube.org/
#WISSENTEILEN

126. SonarQube
• Tool Aggregator
• Eigene Regeln
https://www.sonarqube.org/
#WISSENTEILEN

127. SonarQube
• Tool Aggregator
• Eigene Regeln
• IDE Integration (sonarlint)
• Build Tool Integration (Sonar Scanner)
• Jenkins Integration
https://www.sonarqube.org/
#WISSENTEILEN

128. #WISSENTEILEN

129. sonarlint
https://www.sonarlint.org/
#WISSENTEILEN

130. sonarlint
• IDE / Editor Integration für SonarQube
• Eclipse
• Jetbrains Produkte
• Visual Studio
• VS Code
• Atom
https://www.sonarlint.org/
#WISSENTEILEN

131. sonarlint
• IDE / Editor Integration für SonarQube
• Eclipse
• Jetbrains Produkte
• Visual Studio
• VS Code
• Atom
• Kein Ersatz für PMD, findbugs und Co
https://www.sonarlint.org/
#WISSENTEILEN

132. sonarlint
• IDE / Editor Integration für SonarQube
• Eclipse
• Jetbrains Produkte
• Visual Studio
• VS Code
• Atom
• Kein Ersatz für PMD, findbugs und Co
• Regeln vergleichen!
https://www.sonarlint.org/
#WISSENTEILEN

133. Integration

134. Integration
IDE Build Tools SonarQube SQ + sonarlint
Sichtbarkeit
Entwickler
++ o + (Web) ++
CI Unterstützung -- + ++ -/-
Konfigurationspflege -- -- ++ ++
#WISSENTEILEN

135. Integration – IDE
#WISSENTEILEN

136. Integration – IDE
Sehr hohe Sichtbarkeit für den Entwickler
#WISSENTEILEN

137. Integration – IDE
Sehr hohe Sichtbarkeit für den Entwickler
 wird nur lokal beim Entwickler ausgeführt
#WISSENTEILEN

138. Integration – IDE
Sehr hohe Sichtbarkeit für den Entwickler
 wird nur lokal beim Entwickler ausgeführt
 Keine Garantie der Ausführung
#WISSENTEILEN

139. Integration – IDE
Sehr hohe Sichtbarkeit für den Entwickler
 wird nur lokal beim Entwickler ausgeführt
 Keine Garantie der Ausführung
 CI muss extra konfiguriert werden
#WISSENTEILEN

140. Integration – IDE
Sehr hohe Sichtbarkeit für den Entwickler
 wird nur lokal beim Entwickler ausgeführt
 Keine Garantie der Ausführung
 CI muss extra konfiguriert werden
 Konfigurationsaufwand / -pflege
#WISSENTEILEN

141. Integration – Build Tools
#WISSENTEILEN

142. Integration – Build Tools
Kann immer ausgeführt werden
#WISSENTEILEN

143. Integration – Build Tools
Kann immer ausgeführt werden
„native“ CI Unterstützung
#WISSENTEILEN

144. Integration – Build Tools
Kann immer ausgeführt werden
„native“ CI Unterstützung
 Eingeschränkte Sichtbarkeit für den Entwickler
#WISSENTEILEN

145. Integration – Build Tools
Kann immer ausgeführt werden
„native“ CI Unterstützung
 Eingeschränkte Sichtbarkeit für den Entwickler
 Visualisierung in CI muss extra konfiguriert werden
#WISSENTEILEN

146. Integration – Build Tools
Kann immer ausgeführt werden
„native“ CI Unterstützung
 Eingeschränkte Sichtbarkeit für den Entwickler
 Visualisierung in CI muss extra konfiguriert werden
 Konfigurationsaufwand / -pflege
#WISSENTEILEN

147. Integration – SonarQube
#WISSENTEILEN

148. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
#WISSENTEILEN

149. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
Zentrale Konfigurationspflege
#WISSENTEILEN

150. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
Zentrale Konfigurationspflege
Zentrale Fehlerpflege
#WISSENTEILEN

151. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
Zentrale Konfigurationspflege
Zentrale Fehlerpflege
o Analyse erfolgt verzögert oder Build muss warten
#WISSENTEILEN

152. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
Zentrale Konfigurationspflege
Zentrale Fehlerpflege
o Analyse erfolgt verzögert oder Build muss warten
o IDE Integration durch eigenes Plugin
#WISSENTEILEN

153. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
Zentrale Konfigurationspflege
Zentrale Fehlerpflege
o Analyse erfolgt verzögert oder Build muss warten
o IDE Integration durch eigenes Plugin
 Einmaliger Installationsaufwand
#WISSENTEILEN

154. Integration – SonarQube
Hohe Sichtbarkeit für alle Entwickler
Zentrale Konfigurationspflege
Zentrale Fehlerpflege
o Analyse erfolgt verzögert oder Build muss warten
o IDE Integration durch eigenes Plugin
 Einmaliger Installationsaufwand
 Eigener Build Schritt in der CI / Build Tools
#WISSENTEILEN

155. Integration – SonarQube + sonarlint
#WISSENTEILEN

156. Integration – SonarQube + sonarlint
Sehr hohe Sichtbarkeit für den Entwickler
#WISSENTEILEN

157. Integration – SonarQube + sonarlint
Sehr hohe Sichtbarkeit für den Entwickler
Zentrale Konfigurationspflege
#WISSENTEILEN

158. Integration – SonarQube + sonarlint
Sehr hohe Sichtbarkeit für den Entwickler
Zentrale Konfigurationspflege
Offline fähig
#WISSENTEILEN

159. Integration – SonarQube + sonarlint
Sehr hohe Sichtbarkeit für den Entwickler
Zentrale Konfigurationspflege
Offline fähig
o Einmaliger minimaler Konfigurationsaufwand
#WISSENTEILEN

160. sonarlint im Einsatz
#WISSENTEILEN

161. sonarlint im Einsatz
#WISSENTEILEN

162. sonarlint im Einsatz
#WISSENTEILEN

163. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
#WISSENTEILEN

164. War da nicht noch was?
Authentifizierung?

165. Dynamic Application Security Testing

166. Dynamic Application Security Testing
Vorteile Nachteile
#WISSENTEILEN

167. Dynamic Application Security Testing
Vorteile
Entdeckt Fehler die nur zur Laufzeit
passieren können z.B.
Fehlkonfigurationen
Nachteile
#WISSENTEILEN

168. Dynamic Application Security Testing
Vorteile
Entdeckt Fehler die nur zur Laufzeit
passieren können z.B.
Fehlkonfigurationen
Analyse auf Client- und Serverseite
Nachteile
#WISSENTEILEN

169. Dynamic Application Security Testing
Vorteile
Entdeckt Fehler die nur zur Laufzeit
passieren können z.B.
Fehlkonfigurationen
Analyse auf Client- und Serverseite
Nachteile
 Benötigt laufende Instanz
#WISSENTEILEN

170. Dynamic Application Security Testing
Vorteile
Entdeckt Fehler die nur zur Laufzeit
passieren können z.B.
Fehlkonfigurationen
Analyse auf Client- und Serverseite
Nachteile
 Benötigt laufende Instanz
 Kann Teile der Anwendungen
verpassen
#WISSENTEILEN

171. Dynamic Application Security Testing
Vorteile
Entdeckt Fehler die nur zur Laufzeit
passieren können z.B.
Fehlkonfigurationen
Analyse auf Client- und Serverseite
Nachteile
 Benötigt laufende Instanz
 Kann Teile der Anwendungen
verpassen
 Manuelles „Zeigen“
#WISSENTEILEN

172. Dynamic Application Security Testing
Vorteile
Entdeckt Fehler die nur zur Laufzeit
passieren können z.B.
Fehlkonfigurationen
Analyse auf Client- und Serverseite
Nachteile
 Benötigt laufende Instanz
 Kann Teile der Anwendungen
verpassen
 Manuelles „Zeigen“
 Keine präzise Fehlerbeschreibungen
#WISSENTEILEN

173. OWASP Zed Attack Proxy (ZAP)
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
#WISSENTEILEN

174. OWASP Zed Attack Proxy (ZAP)
• Security Scanner
• DAST und Penetration Tests
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
#WISSENTEILEN

175. OWASP Zed Attack Proxy (ZAP)
• Security Scanner
• DAST und Penetration Tests
• Kann automatisiert eingesetzt werden
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
#WISSENTEILEN

176. OWASP Zed Attack Proxy (ZAP)
• Security Scanner
• DAST und Penetration Tests
• Kann automatisiert eingesetzt werden
• Viele Addons
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
#WISSENTEILEN

177. OWASP Zed Attack Proxy (ZAP)
• Security Scanner
• DAST und Penetration Tests
• Kann automatisiert eingesetzt werden
• Viele Addons
• Jenkins Plugin
• SonarQube Plugin
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
#WISSENTEILEN

178. ZAP Demo
#WISSENTEILEN

179. ZAP Demo
#WISSENTEILEN

180. ZAP Demo
#WISSENTEILEN

181. ZAP Demo
#WISSENTEILEN

182. ZAP Demo
#WISSENTEILEN

183. ZAP Demo
#WISSENTEILEN

184. ZAP Demo
#WISSENTEILEN

185. ZAP Demo
#WISSENTEILEN

186. ZAP Demo
#WISSENTEILEN

187. ZAP Demo
#WISSENTEILEN

188. ZAP Demo
#WISSENTEILEN

189. ZAP Demo
#WISSENTEILEN

190. ZAP Demo
#WISSENTEILEN

191. ZAP Demo
#WISSENTEILEN

192. ZAP Demo
#WISSENTEILEN

193. ZAP Demo
#WISSENTEILEN

194. ZAP in CI?
#WISSENTEILEN

195. ZAP in CI?
• Manuell die URL eingeben?
#WISSENTEILEN

196. ZAP in CI?
• Manuell die URL eingeben?
• Spider soll die ganze Anwendung crawlen?
#WISSENTEILEN

197. ZAP in CI?
• Manuell die URL eingeben?
• Spider soll die ganze Anwendung crawlen?
• Attacke starten?
#WISSENTEILEN

198. ZAP in CI?
• Manuell die URL eingeben?
• Spider soll die ganze Anwendung crawlen?
• Attacke starten?
#WISSENTEILEN

199. UI Tests
Product Design Development Testing Deployment Production
#WISSENTEILEN

200. UI Tests
Product Design Development Testing Deployment Production
Warum nicht wieder verwenden?
#WISSENTEILEN

201. ZAP in CI
#WISSENTEILEN

202. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
#WISSENTEILEN

203. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
#WISSENTEILEN

204. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
#WISSENTEILEN

205. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
Session
#WISSENTEILEN

206. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
ZAP
(Attack Mode)
Deployed
Application
Session
#WISSENTEILEN

207. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
ZAP
(Attack Mode)
Deployed
Application
Session
#WISSENTEILEN

208. ZAP in CI
UI Test
Framework
ZAP
(Proxy Mode)
Deployed
Application
ZAP
(Attack Mode)
Deployed
Application
Session
#WISSENTEILEN

209. Softwarelebenszyklus
Product Design Development Testing Deployment Production
Static Application Security Testing
Dynamic Application Security Testing
#WISSENTEILEN

210. Fazit
#WISSENTEILEN

211. Fazit
• Entwickler sind (meistens) keine Sicherheitsexperten
#WISSENTEILEN

212. Fazit
• Entwickler sind (meistens) keine Sicherheitsexperten
• Jeder muss sich mit dem Thema Sicherheit beschäftigen
#WISSENTEILEN

213. Fazit
• Entwickler sind (meistens) keine Sicherheitsexperten
• Jeder muss sich mit dem Thema Sicherheit beschäftigen
• Es muss Teil des Entwicklungsprozess sein
#WISSENTEILEN

214. Fazit
• Entwickler sind (meistens) keine Sicherheitsexperten
• Jeder muss sich mit dem Thema Sicherheit beschäftigen
• Es muss Teil des Entwicklungsprozess sein
• Entwicklerbewusstsein
#WISSENTEILEN

215. Fazit
• Entwickler sind (meistens) keine Sicherheitsexperten
• Jeder muss sich mit dem Thema Sicherheit beschäftigen
• Es muss Teil des Entwicklungsprozess sein
• Entwicklerbewusstsein
• CI Prozess
#WISSENTEILEN

216. Fazit
• Entwickler sind (meistens) keine Sicherheitsexperten
• Jeder muss sich mit dem Thema Sicherheit beschäftigen
• Es muss Teil des Entwicklungsprozess sein
• Entwicklerbewusstsein
• CI Prozess
• Niemand mag (Security-) Bugs
#WISSENTEILEN

217. FRAGEN
#WISSENTEILEN

218. KONTAKT
Christian Schulz,
Enterprise Developer
christian.schulz@openknowledge.de
+49 (0)441 4082 – 146
OFFENKUNDIGGUT
#WISSENTEILEN

219. BILDNACHWEISE
• Folie 7, http://candycrush.wikia.com/wiki/Level_1350?file=Level_1350_Reality.png
• Folie 32: https://wiki.jenkins.io/display/JENKINS/OWASP+Dependency-Check+Plugin
• Folie 36: https://www.javatips.net/blog/pmd-in-eclipse-tutorial
• Folie 37: http://findbugs.sourceforge.net/manual/example-details.png
• Folie 42: https://find-sec-bugs.github.io/images/screens/eclipse.png
• Folie 47: https://www.sonarqube.org/index/detect-bugs-2@2x.png
• Folie 49: https://www.sonarlint.org/static/screenshot-feature-1-07de0778bcba0a0fce549fedb082e187-
9918a.png
• Icons in this presentation designed by “Freepik”, “Nice and Serious” and “Elegant Themes” from
www.flaticon.com
#WISSENTEILEN