Shift-Left-Security
Was ist Shift-Left-Security?
Shift-Left-SecurityPraxis, Sicherheitsaktivitäten früher im Software-Lebenszyklus zu verankern, damit Schwachstellen gefunden und behoben werden, bevor Code in Produktion geht.
Shift-Left-Security beruht auf der Beobachtung, dass Fehler – auch sicherheitsrelevante – günstiger zu beheben sind, je näher sie an ihrem Entstehungsort entdeckt werden. Konkret heißt das: Threat Modeling in Design-Reviews, SAST und SCA in der IDE und bei jedem Pull Request, Infrastructure-as-Code-Scans vor dem Apply sowie Validierung von Abhängigkeiten und Container-Images zur Buildzeit. Es ergänzt Runtime-Schutzmechanismen, ersetzt sie aber nicht, und reduziert lediglich Volumen und Schwere der Probleme, die sie erreichen. Erfolgreicher Shift-Left erfordert schnelle, präzise Tools, gute Developer Experience und klare Verantwortlichkeiten.
● Beispiele
- 01
Einen Semgrep-Pre-Commit-Hook einrichten, damit Entwickler Findings vor dem Push sehen.
- 02
Checkov in der CI gegen Terraform laufen lassen, um unsichere Cloud-Konfigurationen zu blockieren.
● Häufige Fragen
Was ist Shift-Left-Security?
Praxis, Sicherheitsaktivitäten früher im Software-Lebenszyklus zu verankern, damit Schwachstellen gefunden und behoben werden, bevor Code in Produktion geht. Es gehört zur Kategorie Anwendungssicherheit der Cybersicherheit.
Was bedeutet Shift-Left-Security?
Praxis, Sicherheitsaktivitäten früher im Software-Lebenszyklus zu verankern, damit Schwachstellen gefunden und behoben werden, bevor Code in Produktion geht.
Wie schützt man sich gegen Shift-Left-Security?
Schutzmaßnahmen gegen Shift-Left-Security kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Shift-Left-Security?
Übliche alternative Bezeichnungen: Shift left, Frühzeitige Sicherheitstests.