Please enable JavaScript.

Coggle requires JavaScript to display documents.

Domain 4: Cloud Application Security (Grundlegendes (Subkomponenten von…

- - - - Nutzt SOAP-Envelope und dann HTTP, FTP oder SMTP
      - Unterstützt nur XML
      - Langsamere Performance, komplexe Skalierung, kein Caching
      - Dort genutzt, wo kein REST möglich ist, bietet WS-* features
    - - Nutzt einfaches HTTP
      - Unterstützt viele Formate wie JSON, XML, YAML
      - Gute Performance und Skalierbarkeit, nutzt Caching
      - weit verbreitet
- - - - Wartung (Rückmeldung)
      - Veröffentlichung
      - Testen
      - Konstruktion
      - Analyse (Anforderungen und Design)
- - - - Business und Security Anforderungen werden bestimmt. Hauptfokus für Projektmanager und Stakeholder. Planung der Qualitätssicherungsanforderungen und Identifikation der Risiken
    - - Klare Definition und Dokumentation der Produktanforderungen. Vorlage beim Kunden, holen der Zustimmung.
    - - Systemdesign und Architektur, Speifizierung von Hardware und Softwareanforderungen. Threat modeling und sichere Designaspekte
    - - Auf Basis der Dokumente aus dem Vorschritt, Aufteilung in Module und Start des Coden. Längste Phase.
    - - Nach Fertigstellung des Code Testen gegen die Anforderungen. Sichergehen dass das Produkt den Bedarf erfüllt
  - - - Konfigurationsmanagement
      - Versionierung
      - Phasen
        
        Dynamische Analyse
        
        Vulnerability Assessment und Pentesting
        
        Aktivitätsmonitoring
        
        Lyer-7-Firewalls (z.B. Webapp. Firewalls)
- - - - Drei Teile
        
        Framework-Profil: Unterstützung des Unternehmens bei der Abstimmung von Aktivitäten mit Business Requirements, Risikobereitschaft und Ressourcen
        
        Framework Implementation Tiers: Organisationen beim Kategorisieren helfen, wo sie sich mit ihrem Ansatz befinden
        
        Framework Core: Cybersecurity Aktivitäten und Ergebnisse in fünf Funktionen unterteilt:
        
        protect
        
        detect
        
        respond
        
        recover
        
        identify
      - Framework bietet Klassifizierung und und Mechanismen für
        
        Aktuelle Cybersecurity Lage zu beschreiben
        
        Zielstatus der Cybersecurity beschreiben
        
        Möglichkeiten, Verbesserung im Kontext eines fortlaufenden und wiederholbaren Prozesses zu identifizieren und priorisieren
        
        Fortschritt richtung Ziel beurteilen
        
        Cybersecurityrisiken intern und extern kommunizieren
- - - - Programmatische Steuerung und Zugriff
      - Automatisierung
      - Integration mit Drittanbieter-Tools
    - - SOAP: Message-level Verschlüsselung
      - REST: TLS/SSL
      - Logging
- - - - Meistakzeptierter Standard
      - XML-basiertes Framework zur Kommunikation von Userauthentifizierung, -berechtigung und -attributinformation
    - - berechtigter Zugriff auf Ressourcen, die in einem Realm verwaltet werden für Security Principals, deren Identitäten in anderen Realms verwaltet werden
    - - Basiert auf OAuth 2.0
      - Entwickler können ihre Benutzer über Websites und Apps authentifizieren, ohne Passwortdateien besitzen und verwalten zu müssen
    - - Häufig verwendet für Autorisierungsdienste im Web und mobilen Applikationen
      - ermöglicht einer Drittanbieteranwendung, eingeschränkten Zugriff auf einen HTTP-Dienst zu erhalten, entweder im Namen eines Resource owners, indem eine Genehmigungsinteraktion zwischen dem resource owner und dem HTTP-Dienst orchestriert wird, oder indem der Drittanbieteranwendung der Zugriff für sich selbst ermöglicht wird
- - - - In jeder Phase der SW-Entwicklung durchzuführen
      - Entwicklung und Implementierung von Methoden und Prozessen zur Sicherstellung dass Software wie vorgesehen funktioniert, gleichzeitig Verringerung von Risiken von Schwachstellen, bösartigem Code / Defekten, die Endbenutzer schaden könnten
    - - In jeder Phase der SW-Entwicklung durchzuführen
      - Darauf achten, dass das ursprüngliche Konzept und das ausgelieferte Produkt vollständig sind
      - Verifizieren, dass Anforderungen spezifiziert und messbar sind und dass Testpläne und Dokumentation umfassend und konsistent und auf alle Module und Subsysteme angewendet und in das Endprodukt integriert sind
- - - - Zusammen mit Risk Rating und möglichen Exposures
      - Ist wie ein White-Box-Test
    - - Ist wie ein Black-Box-Test
      - Kann auf allen Cloud Models (IaaS,...) angewendet werden, jedoch erlauben SaaS-Anbieter eher keine Client-Tests, da es sich i.d.R. um eine Applikation handelt, die von allen Nutzern genutzt wird. I.d.R. Pentesting nur durch CSP selbst
  - - - Ein oder mehrere Individuen, die Code nach Schwachstellen durchsuchen
    - - Nutzung von trainierten Teams von Reviewern, die während dem Review-Prozess bestimmte Rollen einnehmen. Auch Nutzung von Trackingsystemen, die Schwachstellen reporten
      - Integration in Development Lifecycle kann Qualität und Sicherheit verbessern