Shift-Left-Sicherheit implementieren

Last reviewed 2026-10-28 UTC

Dieses Prinzip in der Sicherheitssäule des Google Cloud Well-Architected Framework hilft Ihnen, praktische Kontrollen zu identifizieren, die Sie früh im Lebenszyklus der Softwareentwicklung implementieren können, um Ihren Sicherheitsstatus zu verbessern. Sie erhalten Empfehlungen, die Ihnen bei der Implementierung präventiver Sicherheitsleitlinien und Sicherheitskontrollen nach der Bereitstellung helfen.

Übersicht über die Prinzipien

Shift-Left-Sicherheit bedeutet, dass Sicherheitspraktiken früh im Softwareentwicklungszyklus eingeführt werden. Dieses Prinzip hat die folgenden Ziele:

  • Sicherheitsmängel vermeiden, bevor Systemänderungen vorgenommen werden. Implementieren Sie präventive Sicherheitsvorkehrungen und übernehmen Sie Praktiken wie Infrastructure as Code (IaC), Policy as Code und Sicherheitsprüfungen in der CI/CD-Pipeline. Sie können auch andere plattformspezifische Funktionen wie den Organisationsrichtliniendienst und gehärtete GKE-Cluster in Google Cloudverwenden.
  • Sicherheitsfehler nach Systemänderungen frühzeitig, schnell und zuverlässig erkennen und beheben. Wenden Sie Best Practices wie Code Reviews, Scans auf Sicherheitslücken nach der Bereitstellung und Sicherheitstests an.

Die Prinzipien Implement security by design und „Shift-Left“ sind miteinander verwandt, unterscheiden sich aber im Umfang. Das Prinzip „Security by Design“ hilft Ihnen, grundlegende Designfehler zu vermeiden, die eine Neugestaltung des gesamten Systems erfordern würden. Eine Bedrohungsmodellierung zeigt beispielsweise, dass das aktuelle Design keine Autorisierungsrichtlinie enthält und alle Nutzer ohne diese Richtlinie dieselbe Zugriffsebene hätten. Mit Shift-Left-Sicherheit können Sie Implementierungsfehler (Fehler und Fehlkonfigurationen) vermeiden, bevor Änderungen angewendet werden, und nach der Bereitstellung schnelle, zuverlässige Korrekturen vornehmen.

Empfehlungen

Wenn Sie das Shift-Left-Sicherheitsprinzip für Ihre Cloud-Arbeitslasten implementieren möchten, beachten Sie die Empfehlungen in den folgenden Abschnitten:

Präventive Sicherheitskontrollen einführen

Diese Empfehlung ist für die folgenden Schwerpunkte relevant:

  • Identitäts- und Zugriffsverwaltung
  • Cloud-Governance, -Risiko und -Compliance

Präventive Sicherheitskontrollen sind entscheidend für einen starken Sicherheitsstatus in der Cloud. Mit diesen Einstellungen können Sie Risiken proaktiv minimieren. Sie können Fehlkonfigurationen und unbefugten Zugriff auf Ressourcen verhindern, Entwicklern die Möglichkeit geben, effizient zu arbeiten, und die Einhaltung von Branchenstandards und internen Richtlinien unterstützen.

Präventive Sicherheitskontrollen sind effektiver, wenn sie mithilfe von Infrastructure as Code (IaC) implementiert werden. Mit IaC können präventive Sicherheitskontrollen mehr benutzerdefinierte Prüfungen des Infrastrukturcodes umfassen, bevor Änderungen bereitgestellt werden. In Kombination mit der Automatisierung können präventive Sicherheitskontrollen als Teil der automatischen Prüfungen Ihrer CI/CD-Pipeline ausgeführt werden.

Die folgenden Produkte und Google Cloud Funktionen können Ihnen bei der Implementierung präventiver Kontrollen in Ihrer Umgebung helfen:

Mit IAM können Sie Nutzer autorisieren, auf der Grundlage ihrer Berechtigungen auf bestimmte Ressourcen zuzugreifen. Weitere Informationen finden Sie unter Zugriffssteuerung für Organisationsressourcen mit IAM.

Mit Organisationsrichtlinien können Sie Einschränkungen für Ressourcen festlegen, um anzugeben, wie diese konfiguriert werden können. Mit einer Organisationsrichtlinie können Sie beispielsweise Folgendes tun:

Zusätzlich zur Verwendung von Organisationsrichtlinien können Sie den Zugriff auf Ressourcen mit den folgenden Methoden einschränken:

  • Tags mit IAM: Weisen Sie einer Gruppe von Ressourcen ein Tag zu und legen Sie dann die Zugriffsdefinition für das Tag selbst fest, anstatt die Zugriffsberechtigungen für jede Ressource zu definieren.
  • IAM-Bedingungen: Definieren Sie eine bedingte, attributbasierte Zugriffssteuerung für Ressourcen.
  • Defense in Depth: Verwenden Sie VPC Service Controls, um den Zugriff auf Ressourcen weiter einzuschränken.

Weitere Informationen zur Ressourcenverwaltung finden Sie unter Ressourcenhierarchie für Ihre Google Cloud -Landing-Zone festlegen.

Bereitstellung und Verwaltung von Cloud-Ressourcen automatisieren

Diese Empfehlung ist für die folgenden Schwerpunkte relevant:

  • Anwendungssicherheit
  • Cloud-Governance, -Risiko und -Compliance

Die Automatisierung der Bereitstellung und Verwaltung von Cloud-Ressourcen und Arbeitslasten ist effektiver, wenn Sie auch deklaratives IaC anstelle von imperativem Scripting verwenden. IaC ist kein eigenständiges Sicherheitstool oder -verfahren, hilft Ihnen aber, die Sicherheit Ihrer Plattform zu verbessern. Mit IaC können Sie eine wiederholbare Infrastruktur erstellen und Ihrem Betriebsteam einen bekannten guten Zustand bieten. IaC verbessert auch die Effizienz von Rollbacks, Audit-Änderungen und Fehlerbehebung.

In Kombination mit CI/CD-Pipelines und Automatisierung bietet IaC auch die Möglichkeit, Praktiken wie Policy as Code mit Tools wie OPA zu übernehmen. Sie können Infrastrukturänderungen im Laufe der Zeit prüfen und automatische Prüfungen des Infrastrukturcodes ausführen, bevor Änderungen bereitgestellt werden.

Zur Automatisierung der Infrastrukturbereitstellung können Sie Tools wie Config Controller, Terraform, Jenkins und Cloud Build verwenden. Damit Sie eine sichere Anwendungsumgebung mit IaC und Automatisierung erstellen können, bietetGoogle Cloud den Blueprint zu Unternehmensgrundlagen. Dieser Blueprint ist ein von Google entwickeltes Design, das alle unsere empfohlenen Verfahren und Konfigurationen berücksichtigt. Der Blueprint enthält eine detaillierte Anleitung zum Konfigurieren und Bereitstellen Ihrer Google Cloud -Topologie mit Terraform und Cloud Build.

Sie können die Scripts des Blueprints zu Unternehmensgrundlagen ändern, um eine Umgebung zu konfigurieren, die den Empfehlungen von Google entspricht und Ihre eigenen Sicherheitsanforderungen erfüllt. Sie können den Blueprint mit zusätzlichen Blueprints erweitern oder Ihre eigene Automatisierung entwerfen. DasGoogle Cloud Architecture Center bietet weitere Blueprints, die zusätzlich zum Blueprint für Unternehmensgrundlagen implementiert werden können. Hier einige Beispiele für diese Blueprints:

Sichere Anwendungsreleases automatisieren

Diese Empfehlung ist für den folgenden Schwerpunkt relevant: Anwendungssicherheit.

Ohne automatisierte Tools kann es schwierig sein, komplexe Anwendungsumgebungen bereitzustellen, zu aktualisieren und zu patchen, um konsistente Sicherheitsanforderungen zu erfüllen. Wir empfehlen, automatisierte CI/CD-Pipelines für Ihren Softwareentwicklungs-Lebenszyklus (Software Development Life Cycle, SDLC) zu erstellen. Automatisierte CI/CD-Pipelines helfen Ihnen, manuelle Fehler zu vermeiden, bieten standardisierte Entwicklungs-Feedbackschleifen und ermöglichen effiziente Produktiterationen. Continuous Delivery ist eine der Best Practices, die im DORA-Framework empfohlen werden.

Durch die Automatisierung von Anwendungsreleases mithilfe von CI/CD-Pipelines können Sie Sicherheitsfehler frühzeitig, schnell und zuverlässig erkennen und beheben. Sie können beispielsweise automatisch nach Sicherheitslücken suchen, wenn Artefakte erstellt werden, den Umfang von Sicherheitsüberprüfungen eingrenzen und ein Rollback auf eine bekannte und sichere Version durchführen. Sie können auch Richtlinien für verschiedene Umgebungen (z. B. Entwicklungs-, Test- oder Produktionsumgebungen) definieren, sodass nur verifizierte Artefakte bereitgestellt werden.

Damit Sie Anwendungsreleases automatisieren und Sicherheitsprüfungen in Ihre CI/CD-Pipeline einbetten können, bietet Google Cloud mehrere Tools, darunter Cloud Build, Cloud Deploy, Web Security Scanner und Binärautorisierung.

Wenn Sie einen Prozess einrichten möchten, mit dem mehrere Sicherheitsanforderungen in Ihrem Softwareentwicklungs-Lebenszyklus überprüft werden, verwenden Sie das von Google definierte Framework Supply-chain Levels for Software Artifacts (SLSA). SLSA erfordert Sicherheitsprüfungen für Quellcode, Build-Prozess und Codeherkunft. Viele dieser Anforderungen können in eine automatisierte CI/CD-Pipeline aufgenommen werden. Informationen dazu, wie Google diese Best Practices intern anwendet, finden Sie unter Herangehensweise vonGoogle Cloudan Veränderungen.

Sorgen Sie dafür, dass beim Bereitstellen von Anwendungen genehmigte Prozesse eingehalten werden.

Diese Empfehlung ist für den folgenden Schwerpunkt relevant: Anwendungssicherheit.

Wenn ein Angreifer Ihre CI/CD-Pipeline manipuliert, kann sich dies auf Ihren gesamten Anwendungs-Stack auswirken. Zum Sichern der Pipeline sollten Sie einen festgelegten Genehmigungsprozess erzwingen, bevor Sie den Code in der Produktion bereitstellen.

Wenn Sie Google Kubernetes Engine (GKE) oder Cloud Run verwenden, können Sie mit der Binärautorisierung einen Genehmigungsprozess einrichten. Die Binärautorisierung hängt konfigurierbare Signaturen an Container-Images an. Diese Signaturen (auch Attestierungen genannt) helfen, das Image zu validieren. Zum Zeitpunkt der Bereitstellung verwendet die Binärautorisierung diese Attestierungen, um zu ermitteln, ob ein Prozess abgeschlossen wurde. Sie können die Binärautorisierung beispielsweise für Folgendes verwenden:

  • Prüfen, ob ein bestimmtes Build-System oder eine CI-Pipeline ein Container-Image erstellt hat.
  • Prüfen Sie, ob ein Container-Image mit einer Signaturrichtlinie für Sicherheitslücken kompatibel ist.
  • Prüfen, ob ein Container-Image die Kriterien für das Hochstufen zur nächsten Bereitstellungsumgebung erfüllt, z. B. von der Entwicklung zur QA.

Mit der Binärautorisierung können Sie erzwingen, dass nur vertrauenswürdiger Code auf Ihren Zielplattformen ausgeführt wird.

Vor der Bereitstellung der Anwendung auf bekannte Sicherheitslücken scannen

Diese Empfehlung ist für den folgenden Schwerpunkt relevant: Anwendungssicherheit.

Es wird empfohlen, automatisierte Tools zu nutzen, die kontinuierlich Scans auf Sicherheitslücken für Anwendungsartefakte durchführen können, bevor sie für die Produktion bereitgestellt werden.

Verwenden Sie für Containeranwendungen Artifact Analysis, um automatisch Scans auf Sicherheitslücken für Container-Images auszuführen. Artefaktanalyse scannt neue Images, sobald sie in Artifact Registry hochgeladen werden. Bei diesem Scan werden Informationen zu den Systempaketen im Container extrahiert. Nach dem ersten Scan überwacht Artefaktanalyse kontinuierlich die Metadaten gescannter Images in Artifact Registry auf neue Sicherheitslücken. Wenn Artefaktanalyse neue und aktualisierte Informationen zu Sicherheitslücken aus den entsprechenden Quellen erhält, führt es folgende Schritte aus:

  • Aktualisiert die Metadaten der gescannten Bilder, um sie auf dem neuesten Stand zu halten.
  • Erstellt neue Vorkommen von Sicherheitslücken für neue Hinweise.
  • Löscht Vorkommen von Sicherheitslücken, die nicht mehr gültig sind.

Überwachen Sie den Anwendungscode hinsichtlich bekannter Sicherheitslücken.

Diese Empfehlung ist für den folgenden Schwerpunkt relevant: Anwendungssicherheit.

Verwenden Sie automatisierte Tools, um Ihren Anwendungscode ständig auf bekannte Sicherheitslücken wie die OWASP Top 10 zu überwachen. Weitere Informationen zu Produkten und Funktionen von Google Cloud , die OWASP-Top-10-Abhilfemaßnahmen unterstützen, finden Sie unter OWASP-Top-10:2025-Risiken in Google Cloudmindern.

Mit dem Web Security Scanner können Sie Sicherheitslücken in Ihren App Engine-, Compute Engine- und GKE-Webanwendungen identifizieren. Der Scanner durchsucht Ihre Anwendung, folgt dabei allen Links im Bereich der Start-URLs und versucht, so viele Nutzereingaben und Event-Handler wie möglich anzuwenden. Er kann automatisch nach gängigen Sicherheitslücken suchen und diese erkennen, darunter Cross-Site-Scripting, Code Injection, gemischte Inhalte und veraltete oder unsichere Bibliotheken. Web Security Scanner ermöglicht eine frühzeitige Identifizierung dieser Arten von Sicherheitslücken, ohne Sie mit falsch positiven Ergebnissen abzulenken.

Wenn Sie GKE zum Verwalten von Flotten von Kubernetes-Clustern verwenden, zeigt das Sicherheitsstatus-Dashboard außerdem fundierte, umsetzbare Empfehlungen zur Verbesserung des Sicherheitsstatus Ihrer Flotte an.

Zurück
Zero Trust implementieren
Weiter
Präventive Cyberabwehr implementieren