Im ersten Jahr ihres Bestehens weist ein Drittel der Apps (32 %) Sicherheitslücken auf, und im Alter von fünf Jahren steigt diese Zahl auf mehr als zwei Drittel (70 %), wie neue Untersuchungen ergeben haben.
Ein neuer Bericht von Veracode ergab, dass Unternehmen frühzeitig, häufig und auf verschiedene Weise nach Fehlern suchen müssen, um die Wahrscheinlichkeit schwerwiegender Probleme im Laufe der Zeit zu minimieren.
Das Unternehmen analysierte mehr als eine Dreiviertelmillion Anwendungen von kommerziellen Softwareanbietern, Software-Outsourcern und Open-Source-Projekten und stellte fest, dass die Apps nach der anfänglichen Einführung von Fehlern normalerweise in eine „Flitterwochenzeit“ der Stabilität eintreten – fast 80 % Führen Sie in den ersten anderthalb Jahren keine neuen Fehler ein.
Kostspielige Fehler
Danach werden einige Entwickler wieder schlampig, wobei die Anzahl der neuen Fehler, die in den Code eingeführt werden, nach fünf Jahren auf etwa 35 % ansteigt.
Das Ignorieren der frühzeitigen Behebung von Sicherheitslücken könnte später zu enormen Kosten führen, sagt Veracode und zitiert aktuelle Berichte, denen zufolge eine durchschnittliche Datenschutzverletzung jetzt 4,35 Millionen US-Dollar kostet.
Stattdessen sollten Entwickler eine Reihe von Maßnahmen ergreifen, um die Wahrscheinlichkeit des Auftretens von Fehlern zu verringern, darunter Entwicklerschulungen und die Verwendung mehrerer Scan-Typen – einschließlich Scannen über API.
Die Häufigkeit der Scans sei ebenfalls ein wichtiger Faktor, fügte das Unternehmen hinzu. Darüber hinaus sollten sie technische und sicherheitsbezogene Schulden so früh und so schnell wie möglich angehen, Automatisierung und Sicherheitsschulungen für Entwickler priorisieren und ein Anwendungslebenszyklus-Managementprotokoll erstellen, das Änderungsmanagement, Ressourcenzuweisung und organisatorische Kontrollen umfasst.
„Die Verwendung einer Software-Kompositionsanalyse-Lösung (SCA), die mehrere Fehlerquellen über die National Vulnerability Database hinaus nutzt, wird Teams vorab warnen, sobald eine Schwachstelle offengelegt wird, und es ihnen ermöglichen, Schutzmaßnahmen schneller zu implementieren, hoffentlich bevor die Ausnutzung beginnt“, sagte er Chris Eng, Chief Research Officer bei Veracode.
„Es wird auch empfohlen, organisatorische Richtlinien zur Erkennung und Verwaltung von Schwachstellen festzulegen und Möglichkeiten zur Reduzierung der Abhängigkeiten von Drittanbietern in Betracht zu ziehen.“