Quelloffene Software-Bibliotheken

5 Regeln zum Schutz vor Open-Source-Schwachstellen

| Redakteur: Stephan Augsten

Die massive Verwendung von Open-Source-Bibliotheken kann Angreifern die Tür ins eigene Netzwerk öffnen.
Bildergalerie: 1 Bild
Die massive Verwendung von Open-Source-Bibliotheken kann Angreifern die Tür ins eigene Netzwerk öffnen. (Bild gemeinfrei: ninocare - Pixabay.com / Pixabay)

Bei der Softwareentwicklung kommen oft Open-Source-Bibliotheken zum Einsatz, um Zeit und Kosten zu sparen. Schwachstellen sollten dabei im Idealfall außen vor bleiben, betonen die Security-Experten bei Veracode, und haben deshalb fünf Verhaltensregeln formuliert.

Über Open-Source-Komponenten können Entwickler mitunter Schwachstellen in die eigene Software integrieren. Der „State of Software-Security Vol. 9“-Report von Veracode zeigte, dass die meisten Anwendungen immer noch etliche fehlerhafte Komponenten enthalten, wobei 77 Prozent der Java-Anwendungen mindestens eine Schwachstelle in einer Komponente enthielten.

Auf den Einsatz von Open-Source-Komponenten komplett zu verzichten ist allerdings auch keine Lösung. Veracode nennt deshalb fünf Maßnahmen, die sich bei der Absicherung von Open-Source-Software bewährt haben:

1. Klare Policies definieren

Fest umschriebene Regeln sind ein integraler Bestandteil einer Sicherheitsstrategie von Open-Source-Lösungen. Dadurch wird verhindert, dass Entwickler einfach auf beliebige Open-Source-Bausteine zugreifen. Denn ein solches, unkontrolliertes Vorgehen setzt Unternehmen einem großen Risiko aus. Stattdessen müssen Richtlinien ausgearbeitet werden, die klar festsetzen, welche Tools und Komponenten aus der Open-Source-Welt eingesetzt werden dürfen.

2. Zentrales Patch-Management einführen

Nicht nur bei Open-Source-Lösungen, sondern auch bei allen anderen Software-Paketen ist es zu empfehlen, regelmäßig Patches zu installieren. Hierbei ist Geschwindigkeit entscheidend. Es gilt, die Schwachstellen zu schließen, ehe Cyber-Kriminelle sie ausnutzen können. Sobald Schwachstellen öffentlich werden, versuchen Hacker das auszunutzen, um in Unternehmensnetzwerke einzudringen.

Unternehmen müssen dem zuvorkommen. Ein zentrales Patch-Management hilft bei der Umsetzung. Eine besonders perfide Methode ist aber, dass Kriminelle nicht mehr ganze Anwendungen angreifen, sondern ihre Aktivitäten gezielt auf Open-Source-Komponenten fokussieren, die eine Schwachstelle beinhalten.

3. Software-Repositories kontrollieren

Entwickler brauchen für ihre Arbeit zwingend Zugang zu Open-Source-Bibliotheken in nativen Umgebungen. Aus Gründen der Sicherheit ist es allerdings manchmal geboten, den Zugriff auf Repositories zu begrenzen. Das kann etwa in Form eines Cache-Speichers erfolgen, der alle bekannten, geprüften und freigegebenen Software-Komponenten enthält. Eine andere Methode wäre, mittels einer Firewall den Zugriff auf bestimmte unerwünschte Software zu verhindern.

4. Software-Lieferketten überprüfen

Unternehmen haben heute meist neben diverser Standardsoftware auch Programmpakete von Drittanbietern im Gebrauch. Dies führt dazu, dass neben bekannten Sicherheitslücken auch Schwachstellen Einzug ins Firmennetzwerk erhalten, die selbst den Security-Spezialisten nicht bekannt sind. Dem kann man nur mit regelmäßigen Sicherheitstests entgegenhalten.

Anwendungen sollten über ihren gesamten Lebenszyklus hinweg aktiv gemanagt und überwacht werden. Hier empfehlen sich Tools für statische Code-Analysen und Werkzeuge für Software Composition Analysis (SCA). Durch Tests zur Anwendungssicherheit erhalten Entwickler- und Sicherheitsteams einen detaillierten Überblick über bestehende Risiken und entsprechende Fehlerbehebung.

5. Sicherheit proaktiv angehen

Vor allem wenn es um die Sicherheit geht, heißt heute Stillstand Rückschritt. Daher sollten sich Unternehmen niemals mit dem Status Quo zufriedengeben und regelmäßig Risikobewertungen von Open-Source-Software und anderen Programmen durchführen. Ebenso muss es einen gemeinsamen Plan von Entwicklern und IT-Sicherheitsspezialisten geben, wie sich entdeckte Schwachstellen beseitigen lassen.

Sicherheitsabteilungen müssen außerdem die Tools der Entwickler kennen und die beiden Teams müssen eng zusammenarbeiten und sich ständig austauschen. Dieses an Beliebtheit gewinnende Modell wird oft als DevSecOps bezeichnet, da es die Zusammenarbeit von Sicherheits- und Entwicklerteams effizienter gestaltet und Schwachstellen dadurch schneller finden und beheben kann.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45947841 / Sicherheitslücken)