Modellbasiertes Sicherheits-Testen für Cloud-basierte Prozesse

1) Motivation:
Die Entwicklung von Cloud-basierten Systemen und ihre entsprechende Zertifizierung auf Einhaltung von regulatorischen Anforderungen und insbesondere Sicherheitsanforderungen ist eine große Herausforderung, deren Bewältigung bislang mit großem Aufwand verbunden ist.

2) Basis:
Der Vortrag stellt einen Ansatz für modellbasiertes Testen vor, der bei der Bewältigung der Herausforderungen hinsichtlich der Einhaltung von Sicherheits- und Compliance-Anforderungen im Kontext des Einsatzes von Cloud-Infrastrukturen unterstützt. Der Vortrag präsentiert einen Ansatz für
automatisiertes Sicherheitstesten von Cloud-basierten Systemen. Er basiert auf den Artefakten, die im Rahmen der Softwareentwicklung zur Verfügung stehen (insbesondere der Programm-Quellcode, Log-Daten und ggf. eine UML-Modellierung). Der Vortrag konzentriert sich dabei auf praktische Erfahrung aus einer Reihe von Entwicklungsprojekten.

3) Lösung
Die werkzeuggestützte Umsetzung des Ansatzes im Rahmen einer open-source Werkzeuglandschaft besteht aus den folgenden Schritten: Als Input können Modelle der Prozesse in marktgängigen Werkzeugen dienen. Alternativ (zum Beispiel falls solche Modelle nicht vorhanden sind) können Log-
Files von ausgeführten Geschäftsprozessen verarbeitet werden. Der Ansatz unterstützt die Dokumentation und Bewertung gemäß einschlägiger Standards, wie z. B., ISO 27002 und BSI Grundschutzhandbuch, durch seine Flexibilität aber auch zukünftige in diesem Bereich zu erwartende
Standards. Das Werkzeug führt eine automatische Analyse gegenüber Sicherheitsanforderungen mittels automatisiertem Sicherheitstesten durch.

4) Ergebnis:
Der Ansatz beinhaltet ein Werkzeug zur Sicherheitsevaluierung insbesondere von cloud-basierten Systemen. Er unterstützt ein herstellerneutrales Verfahren zur Planung, Dokumentation und Prüfung der Sicherheitsanforderungen und Sicherheitsmaßnahmen. Dieses Werkzeug ist auf Basis von
bestehenden Werkzeugen, wie z.B. UML-Editoren, realisiert. Durch die Verwendung eines geeigneten Lizenzmodells können somit problemlos Konzepte und durch andere Werkzeugentwickler übernommen werden, um diese für ähnliche Werkzeuge wiederzuverwenden. Durch die Verwendung eines automatisierten Werkzeuges zur Sicherheitsanalyse wird eine Zertifizierung hinreichend kostengünstig, sodass sie auch für KMUs attraktiv wird. Für den Zertifizierer werden Berichte erzeugt, die die Anforderungen und Maßnahmen beschreiben. Auch werden die Beziehungen der Anforderungen untereinander und auch der notwendigen Maßnahmen in nachvollziehbarer Weise ausgegeben. Der Zertifizierer kann somit die Validierungen der Anbieter mit geringem Aufwand überprüfen. Die Hauptaufgabe des Zertifizierers ist es, im Rahmen eines Zertifizierungsaudits zu prüfen, ob die dokumentierten Maßnahmen korrekt realisiert wurden. Der Vortrag stellt Resultate und Erfahrungen der Anwendung des vorgestellten Ansatzes in einer Reihe von Softwareprojekten vor.

Addressierte Fragen:
- Welche Zertifizierungspraktiken werden eingesetzt zur Bewertung einer Cloud?
- Welche Anforderungen an die Sicherheit von Software ergeben sich aufgrund von Einbindung und Integration von externen Komponenten (Apps, Cloud, Internet)?
- Wie unterstützt systematisches Testdatenmanagement Anforderungen aus Legal und Compliance?
- Welche Anforderungen gibt es auf dem Weg des modell-basierten Testens von der Einzelfunktion bis zum Geschäftsprozess?

5) Ausblick:
Im Ausblick werden künftige Weiterentwicklungen aufgezeigt.

6) Vortragsessenz:
Der Vortrag erläutert, wie automatisiertes Sicherheitstesten von Cloud-basierten Systemen effizient, effektiv und kostensparend betrieben werden kann. Der Ansatz und die Ergebnisse werden anhand des Testen von Sicherheitsanforderungen präsentiert, die besondere Herausforderungen mit
sich bringen.

zurück zum Programm