HP aktualisiert seine Software für das Sicherheits-Testing von Web-Anwendungen und führt ein neues Software-as-a-Service-Modell ein.
Damit können Unternehmen das Risiko von Hackerangriffen minimieren, sich gegen den Diebstahl von Kundeninformationen schützen und Anforderungen von gesetzlichen und branchenrelevanten Richtlinien erfüllen. Mit der neuen Version von HP Application Security Center (ehemals SPI Dynamics) lassen sich Sicherheitslücken in Web-Anwendungen über den kompletten Applikations-Lebenszyklus identifizieren, beseitigen und verhindern. Das Update ist ab sofort verfügbar. Das SaaS-Modell wird voraussichtlich im August 2008 zur Verfügung stehen.
HP Application Security Center erleichtert die Zusammenarbeit zwischen Entwicklung, Qualitätssicherung, IT-Betrieb und Sicherheitsexperten. Diese Zusammenarbeit ist notwendig, weil viele Sicherheitslücken in der Entwicklungs- und Qualitätssicherungsphase effektiver vermieden werden können als später im laufenden Betrieb. Allerdings sind Entwickler und Tester typischerweise keine Sicherheitsexperten, was zur Folge hat, dass Web-Applikationen mit Sicherheitsmängeln in Produktion gehen. In einer aktuellen weltweite Umfrage unter 1.000 IT-Managern gaben 80% der Befragten an, dass die Verantwortung für die Anwendungs-Sicherheit bei den Teams für IT-Sicherheit oder IT-Betrieb liege. Nur 23% gaben an, dass die Entwicklungs- oder Qualitätssicherungs-Teams beteiligt seien. (1)
Updates unterstützen Anwendungs-Sicherheit über den gesamten Lebenszyklus
Die Grundlage von HP Application Security Center bildet die HP Assessment Management Platform zur Steuerung von Sicherheitstests. Die Plattform umfasst die folgenden Software-Lösungen: HP DevInspect (für Entwickler), HP QAInspect (für das Qualitätssicherungs-Team) und HP WebInspect (für die Sicherheits-Experten und den IT-Betrieb). Die folgenden Neuerungen erhöhen die Effizienz dieser Teams und helfen dabei, Sicherheits-Vorkehrungen in ihren vorhandenen Applikations-Lebenszyklus-Prozess zu integrieren:
- HP DevInspect bietet eine verbesserte Verbindung von statischer Analyse (ohne Ausführung des Quellcodes der Applikation) und dynamischer Analyse (mit Ausführung des Quellcodes) zum Auffinden von Sicherheitslücken. Mit dieser Hybridanalyse lassen sich die wirklich gefährlichen Schwachstellen aufdecken und vorrangig beheben. Die Entwickler können nach klaren Vorgaben sicheren Code in den integrierten Entwicklungs-Umgebungen programmieren. Die Software unterstützt Microsoft Visual Studio 2008, Visual Studio 2005 und Eclipse.
- HP QAInspect (für das Qualitätssicherungs-Team) integriert das Management von Sicherheitstests in die HP Quality Center Software, mit der auch die Prozesse zur funktionalen Qualitätssicherung gesteuert werden. Neu: Schwachstellen lassen sich in einem Datenbereich sammeln, prüfen und in einer konsolidierten Liste darstellen. Damit können Applikations-Teams Sicherheitsmängel herausfiltern und nach dem Risikograd priorisieren. Informationen über Sicherheitsmängel stehen über den kompletten Applikations-Lebenszyklus allen Teams zur Verfügung – in Entwicklung, Qualitätssicherung, IT-Betrieb und IT-Sicherheit. Sicherheitsprobleme können so schneller erkannt und behoben werden.
- HP WebInspect bietet schnellere und präzisere Scans zum Auffinden der häufigsten Sicherheitslücken, die von Hackern genutzt werden. Häufige Methoden zum Eindringen in ein Unternehmensnetzwerk sind Cross-Site-Scripting und Eindringen in SQL-Datenbanken (SQL-Injection).
Neues SaaS-Angebot und neue Sicherheitstests für Rich-Internet-Anwendungen
Die HP Assessment Management Platform als Basis für HP Application Security Center wird erstmals als Software-as-a-Service (SaaS) zur Verfügung stehen. Kunden können ihre gesamte Sicherheits-Software für Web-Anwendungen schnell und kostengünstig in einer Komplettlösung zentralisieren, die von HP als SaaS bereitgestellt und verwaltet wird. Außerdem bietet HP umfassende Services zur Bewertung der Sicherheit von Web-Applikationen sowie für Penetrationstests. Diese Services nutzen das SaaS-Angebot, um Schwachstellen in Applikationen schneller aufzuspüren.
Zudem hat die HP Web Security Research Group (ehemals SPI Labs) die Sicherheitstests im HP Application Security Center ergänzt und aktualisiert – speziell für sogenannte Rich-Internet-Anwendungen, wie zum Beispiel Zusatzsoftware für Apache und MySpace. Bestandskunden erhalten innerhalb von 24 Stunden ein automatisches Update mit den neuen Sicherheitstests. Die HP Web Security Research Group ist für die laufende Analyse von neuen Angriffstechniken und Sicherheitslücken verantwortlich. So haben die Experten beispielsweise neue Sicherheitsmängel bei Web 2.0-Technologien aufgedeckt, etwa in Asynchronous JavaScript and XML (Ajax), Adobe Flash und Microsoft Silverlight.
Seit der Übernahme von SPI Dynamics im Jahr 2007 investiert HP verstärkt in Forschung, Produktentwicklung und neue Dienstleistungen für Lösungen zur Applikationssicherheit. Heute nutzen weltweit führende Unternehmen HP Application Security Center zum Schutz ihrer Web-Anwendungen. Dazu gehören fünf der sechs größten Banken, drei der vier größten Lebensmittelkonzerne, vier der sechs größten Versicherungen und fünf der sechs größten Aktiengesellschaften (laut Ranking von Forbes Global 2000). (2)
HP Application Security Center ist Teil des HP Secure Advantage Portfolios, mit dem Unternehmen ihre Daten und Ressourcen besser schützen können und Compliance mit regulatorischen Richtlinien im gesamten Unternehmen erreichen.
Ein Whitepaper zum Thema „Schutz vor Webangriffen” steht unter www.hp.com/go/stophackers zum Download bereit.
(1) Vanson Bourne, Umfrage im Mai 2008.
(2) Forbes, „The Global 2000“, April 2008.
Über HP
HP vereinfacht den Umgang seiner Kunden mit Technologien – von Privatkunden bis hin zu den größten Unternehmen. Mit einem Angebot, das die Bereiche Drucken, Personal Computing, Software, Services und IT-Infrastruktur umfasst, gehört HP zu den weltweit größten IT-Unternehmen und erzielte in den letzten vier Quartalen (01.05.2007 – 30.04.2008) einen Umsatz von 110,4 Milliarden US-Dollar.
Bild: HP
