Report von Veracode Software-Sicherheitsscans haben deutlich zugenommen

Der bereits zum zwölften Mal erschienene „State of Software Security Report“ von Veracode zeigt, dass seit dem Jahr 2010 ein 20-facher Anstieg von Software-Sicherheitsscans zu verzeichnen ist. DevSecOps sind damit im Mainstream angekommen.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

FIS Informationssysteme und Consulting GmbH

Insider Research

Veracode Limited

Wie die Veracode-Studie zeigt, werden die meisten Anwendungen heute etwa dreimal pro Woche gescannt. Vor zehn Jahren war dies nur zwei- oder dreimal im Jahr der Fall. Die durchschnittliche Scanfrequenz hat sich laut Veracode zwischen 2010 und 2021 um den Faktor 20 gesteigert. Ähnlich sieht es bei der Scanhäufigkeit aus: Demnach testen Entwickler heute mehr als 17 neue Anwendungen pro Quartal – das sind etwa dreimal so viele Applikationen wie im gleichen Zeitraum vor zehn Jahren.

Zu diesen Ergebnissen kommt der „State of Software Security Report“. Veracode hat für die Studie mehr als eine halbe Million Anwendungen der eigenen Dienste und Kunden analysiert. Dabei wurden Daten von mittelständischen und großen Unternehmen, kommerziellen Softwareanbietern und Open-Source-Projekten berücksichtigt. Veracode-CTO Chris Wysopal erklärt: „Es reicht nicht mehr aus, Software in der letzten Phase ihres Entwicklungszyklus als Vorstufe der Fertigstellung zu scannen.“ So wie Software heute kontinuierlich bereitgestellt werde, müsse auch das Scannen mit einer Vielzahl von Testwerkzeugen kontinuierlich als voll integrierter Teil des Prozesses erfolgen.

Weitere Ergebnisse im Überblick

Kontinuierliche Sicherheitstests mithilfe mehrerer Scanarten werden immer mehr zur Norm. Die kombinierte Nutzung von statischen und dynamischen Scans sowie Software Composition Analysis (SCA) nahm zwischen 2018 und 2021 um 31 Prozent zu. Bereits in der letztjährigen Ausgabe der Studie zeigte, dass Unternehmen mit dieser Vorgehensweise für die Behebung von Schwachstellen 24 Tage weniger Zeit benötigen.

Durch den zusätzlichen Einsatz von SCA konnten sie weitere sechs Tage einsparen. Zudem sieht der Report eine Verlagerung hin zu kleineren Anwendungen, was sich mit der wachsenden Beliebtheit von Microservices deckt. Neben Verbesserungen bei Scan-Frequenz und Kapazitäten zur Fehlerbehebung zeigt die Studie auch positive Auswirkungen interaktiver Sicherheitsschulungen auf. Unternehmen, deren Entwickler mindestens eine Lektion der Veracode Security Labs absolviert hatten, konnten Schwachstellen um 35 Prozent schneller als Kollegen ohne dieses Training beheben.

Chris Eng, Chief Research Officer von Veracode, unterstreicht die Relevanz solcher Trainings: „Da nur wenige Informatikstudiengänge an den Universitäten Software Security lehren, darf die Bedeutung von Schulungen mit echten, anfälligen Anwendungen in sicheren, geführten Umgebungen nicht unterschätzt werden.“ Den Daten zufolge hätten Teilnehmer von Trainingskursen einen Vorsprung, wenn sie die Ursachen von Schwachstellen verstehen und diese schnell beheben sollen.

(ID:47985157)