CyberGlossary

Anwendungssicherheit

Shift-Left-Security

Auch bekannt als: Shift left, Frühzeitige Sicherheitstests

Definition

Praxis, Sicherheitsaktivitäten früher im Software-Lebenszyklus zu verankern, damit Schwachstellen gefunden und behoben werden, bevor Code in Produktion geht.

Shift-Left-Security beruht auf der Beobachtung, dass Fehler – auch sicherheitsrelevante – günstiger zu beheben sind, je näher sie an ihrem Entstehungsort entdeckt werden. Konkret heißt das: Threat Modeling in Design-Reviews, SAST und SCA in der IDE und bei jedem Pull Request, Infrastructure-as-Code-Scans vor dem Apply sowie Validierung von Abhängigkeiten und Container-Images zur Buildzeit. Es ergänzt Runtime-Schutzmechanismen, ersetzt sie aber nicht, und reduziert lediglich Volumen und Schwere der Probleme, die sie erreichen. Erfolgreicher Shift-Left erfordert schnelle, präzise Tools, gute Developer Experience und klare Verantwortlichkeiten.

Beispiele

  • Einen Semgrep-Pre-Commit-Hook einrichten, damit Entwickler Findings vor dem Push sehen.
  • Checkov in der CI gegen Terraform laufen lassen, um unsichere Cloud-Konfigurationen zu blockieren.

Verwandte Begriffe