Glossar

Alarmmüdigkeit tritt auf, wenn Sicherheits- oder Operationsteams täglich mit Warnmeldungen überflutet werden. Mit der Zeit werden die Menschen müde, gestresst und beginnen, sie zu ignorieren.

API-Sicherheit ist der Prozess des Schutzes von APIs, den Teilen moderner Software, die Anwendungen die Kommunikation ermöglichen, vor unbefugtem Zugriff, Missbrauch oder Angriffen.

API-Sicherheitstests finden und beheben Schwachstellen wie fehlerhafte Authentifizierung oder Datenlecks in APIs, die zum Schutz moderner Apps und sensibler Daten unerlässlich sind.

Anwendungssicherheit ist die Praxis, Software vor Schwachstellen und Angriffen im gesamten SDLC zu schützen. Erfahren Sie mehr über ihre Bedeutung, häufige Bedrohungen und Lebenszykluspraktiken zur Sicherung moderner Anwendungen in Cloud- und Containerumgebungen.

Eine Anwendungssicherheitsbewertung ist der Prozess der Identifizierung und Behebung von Schwachstellen in Software. Erfahren Sie mehr über Ziele, Komponenten, gängige Werkzeuge und Herausforderungen, um Anwendungen vor Cyberbedrohungen zu schützen.

Der Lebenszyklus der Anwendungssicherheit integriert Sicherheit in jede Phase der Softwareentwicklungvon Planung und Design bis hin zu Bereitstellung und Wartung. Erfahren Sie mehr über seine Phasen, bewährte Verfahren und warum er für den Schutz moderner Anwendungen entscheidend ist.

Application Security Posture Management (ASPM) ist eine Plattform, die Organisationen vollständige Sichtbarkeit und Kontrolle über ihre Anwendungssicherheitsrisiken während des gesamten Software-Lebenszyklus bietet.

Application Security Testing (AST) bedeutet, Anwendungen auf Schwachstellen zu überprüfen, die Angreifer ausnutzen könnten. Zu den gängigen AST-Methoden gehören SAST, DAST und IAST, die dazu beitragen, Software in jeder Entwicklungsphase sicher zu halten.

CI-Gating ist ein automatisierter „Stop-the-Line“-Mechanismus in der Entwicklungspipeline. Es bewertet Code anhand von Sicherheits- und Qualitätsrichtlinien und blockiert jeden Commit, der die Anforderungen nicht erfüllt.

Eine CI/CD-Pipeline ist ein automatisierter Prozess, um Code vom Laptop eines Entwicklers sicher zu den Benutzern zu bringen. Sie baut den Code, testet ihn und stellt ihn bereit, ohne sich auf manuelle Schritte zu verlassen.

CI/CD-Sicherheit ist der Prozess der Integration von Sicherheit in die Continuous Integration und Continuous Deployment (CI/CD)-Pipeline, von der Übermittlung bis zur Bereitstellung.

Cloud Security Posture Management (CSPM) ist eine Sicherheitsmethode und ein Werkzeugset, das die Cloud-Umgebung kontinuierlich überwacht, um Fehlkonfigurationen, Compliance-Verstöße und Sicherheitsrisiken auf Cloud-Plattformen wie AWS, Azure oder Google Cloud zu erkennen und zu beheben.

CNAPP (Cloud-Native Application Protection Platform) ist ein einheitliches Sicherheitsmodell. Es kombiniert Cloud Security Posture Management (CSPM), Cloud Workload Protection (CWPP), Cloud Infrastructure Entitlement Management (CIEM) und Application Security Posture Management (ASPM).

CVE steht für Common Vulnerabilities and Exposures. Es ist ein System, das bekannte öffentlich zugängliche Cybersecurity-Schwachstellen verfolgt.

Containersicherheit ist der Prozess des Schutzes containerisierter Anwendungen (die auf Docker oder Kubernetes laufen) über ihren gesamten Lebenszyklus hinweg, von der Erstellung bis zur Laufzeit.

CVSS ist eine standardisierte Methode, um die Schwere eines Sicherheitsfehlers zu bewerten. Es gibt jeder Schwachstelle eine Punktzahl von 0 bis 10, damit Teams wissen, was zuerst behoben werden muss.

DevSecOps ist eine Arbeitsweise, die Sicherheit in jeden Schritt des DevOps-Prozesses integriert, beginnend mit Codierung und Testen und fortgesetzt durch Bereitstellung und Wartung.

Eine einfache Erklärung von Docker-Containern, wie sie funktionieren und warum Entwickler sie verwenden, um Anwendungen konsistent über verschiedene Umgebungen hinweg auszuführen.

Dynamisches Anwendungssicherheitstesten, oder DAST, ist eine Methode, um die Sicherheit einer Anwendung während ihres Betriebs zu überprüfen. Im Gegensatz zu SAST, das den Quellcode untersucht, testet DAST die Sicherheit, indem es reale Angriffe wie SQL-Injection und Cross-Site-Scripting (XSS) in einer Live-Umgebung simuliert.

Das Exploit Prediction Scoring System (EPSS) ist ein datengestützter Standard, der die Wahrscheinlichkeit schätzt, dass eine spezifische Software-Schwachstelle in freier Wildbahn ausgenutzt wird.

Ein Fehlalarm ist, wenn ein Sicherheitswerkzeug ein Problem meldet, das tatsächlich nicht existiert.

Die Sicherheit von Infrastruktur als Code (IaC) ist der Prozess der Sicherung Ihrer Cloud-Infrastruktur durch das Scannen der Konfigurationsdateien oder Skripte, die in bestimmten Sprachen wie Terraform, CloudFormation, Kubernetes YAML usw. geschrieben sind, vor der Bereitstellung.

Interactive Application Security Testing (IAST) ist eine Methode, die SAST (Static Application Security Testing) und DAST (Dynamic Application Security Testing) kombiniert, um Anwendungsanfälligkeiten effektiver zu finden.

Malware-Erkennung bedeutet, schädliche Software wie Viren, Ransomware, Spyware und Trojaner auf Systemen, Netzwerken und Anwendungen zu finden und zu blockieren.

MTTR ist ein wichtiger Cybersecurity-Metrik, der zeigt, wie schnell Sie auf eine bekannte Bedrohung reagieren

Multi-Faktor-Authentifizierung ist eine Sicherheitsmethode, die zwei oder mehr Arten der Verifizierung erfordert, um auf eine Anwendung oder ein System zuzugreifen. MFA fügt eine zusätzliche Schutzschicht hinzu, sodass Sie sich nicht nur auf ein Passwort verlassen.

Die NVD ist das weltweit wichtigste Repository für Schwachstellendaten, das von NIST gepflegt wird. Es bereichert CVE-Identifikatoren mit CVSS-Schweregradbewertungen, CWE-Klassifikationen und detaillierten technischen Beschreibungen.

Open-Source-Audit ist eine umfassende Überprüfung aller Open-Source-Komponenten, die in einer Softwareanwendung verwendet werden.

Die OWASP Top 10 listet die schwerwiegendsten Schwachstellen von Webanwendungen auf. OWASP bietet auch hilfreiche Ressourcen, damit Entwickler und Sicherheitsteams lernen können, wie sie diese Probleme in heutigen Anwendungen finden, beheben und verhindern können.

Phishing ist eine Art von Social-Engineering-Angriff, bei dem Angreifer sich als vertrauenswürdige Entitäten wie Banken, Cloud-Dienste, Arbeitskollegen usw. ausgeben, um das Opfer dazu zu bringen, seine sensiblen Informationen wie Passwort, Kreditkartennummer oder andere Zugangsdaten preiszugeben.

RBAC ist eine Methode zur Verwaltung der Systemsicherheit, indem Benutzer bestimmten Rollen innerhalb einer Organisation zugewiesen werden. Jede Rolle verfügt über einen eigenen Satz von Berechtigungen, die festlegen, welche Aktionen Benutzer in dieser Rolle ausführen dürfen.

Ein Reverse Shell ist eine Remote-Shell, bei der der Computer des Opfers die Verbindung zum Computer des Angreifers initiiert.

SBOM ist ein detailliertes Inventar der Komponenten, aus denen eine Software besteht, einschließlich Drittanbieter- und Open-Source-Bibliotheken sowie Framework-Versionen.

Geheimniserkennung ist der Prozess des Scannens von Codebasen, CI/CD-Pipelines und der Cloud, um offengelegte Geheimnisse wie API-Schlüssel, Anmeldeinformationen, Verschlüsselungsschlüssel oder Tokens zu identifizieren. Dies ist entscheidend, da Angreifer, wie z. B. Credential-Stuffing-Bots oder Cloud-Ressourcen-Entführer, diese offengelegten Geheimnisse ausnutzen können, um unbefugten Zugriff zu erlangen.

Remediation bedeutet, Schwachstellen in den Systemen einer Organisation zu beheben oder zu entfernen, um sie sicher zu machen und das Risiko zu reduzieren.

Software Composition Analysis (SCA) ist ein Sicherheitsprozess, der Risiken in Drittanbieter-Bibliotheken identifiziert und verwaltet, die innerhalb einer Anwendung verwendet werden.

Der Software Development Life Cycle, oder SDLC, ist ein Prozess, der Entwicklungsteams hilft, Anwendungen auf organisierte Weise zu planen, zu entwerfen, zu bauen, zu testen und zu starten.

Die Sicherheit der Software-Lieferkette bezieht sich darauf, jeden Teil, Prozess und jedes Werkzeug während der Softwareentwicklung sicher zu halten, von der ersten Codezeile bis zur endgültigen Bereitstellung.

SQL Injection (SQLi) ist eine Art von Angriff, bei dem Angreifer bösartige SQL-Anweisungen in Eingabefelder eingeben, um die Datenbank zu manipulieren.

SSDLC (Secure Software Development Life Cycle) ist eine Erweiterung des traditionellen SDLC, die Sicherheitspraktiken in jede Phase der Softwareentwicklung integriert—Entwurf, Codierung, Testen, Bereitstellung und Wartung. Ziel ist es, Schwachstellen frühzeitig zu erkennen und zu beheben, um kostspielige Korrekturen zu reduzieren und sicherere Anwendungen zu gewährleisten.

SAST ist eine Art der Anwendungssicherheitstests, die den Quellcode einer Anwendung (der ursprüngliche von Entwicklern geschriebene Code), Abhängigkeiten (externe Bibliotheken oder Pakete, auf die der Code angewiesen ist) oder Binärdateien (kompilierter Code, der bereit zum Ausführen ist) überprüft, bevor er ausgeführt wird.

Cross-Site Scripting, oder XSS, ist eine Sicherheitslücke in Websites, die es Angreifern ermöglicht, schädliche Skripte zu Webseiten hinzuzufügen. Meistens werden diese Skripte in JavaScript geschrieben.

Zero Trust ist ein Cybersicherheitskonzept, das davon ausgeht, dass keinem Gerät, Benutzer oder Anwendung vertraut werden sollte, selbst wenn sie sich innerhalb des Netzwerkperimeters befinden. Der Zugriff wird nur nach Überprüfung der Gerätegesundheit, Identität und des Kontexts gewährt.

Eine Zero-Day-Schwachstelle ist ein Software-Sicherheitsfehler, den der Anbieter oder Entwickler gerade erst entdeckt hat, sodass sie keine Zeit hatten, einen Patch zu erstellen oder zu veröffentlichen. Da es noch keine Lösung gibt, können Cyberkriminelle diese Schwachstellen ausnutzen, um Angriffe zu starten, die schwer zu erkennen und zu stoppen sind.

Die Zwei-Faktor-Authentifizierung (2FA) ist eine Sicherheitsmethode, die von Benutzern verlangt, zwei Arten von Authentifizierungsfaktoren bereitzustellen, um ihre Identität zu bestätigen. Sie wird als Teilmenge der MFA betrachtet, da MFA (Multi-Faktor-Authentifizierung) zwei oder mehr Verifizierungsfaktoren umfassen kann, während 2FA speziell genau zwei bedeutet.