Angriffe auf die Software-Supply-Chain auch kostenlos verhindern 7 Tools für die Absicherung der Softwarelieferkette

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Cyberangriffe auf die Software-Supply-Chain können für Unternehmen weitreichende Konsequenzen nach sich ziehen. Aus diesem Grund sollten die Verantwortlichen dafür sorgen, dass die Lieferkette so sicher wie möglich ist. Dabei helfen Zusatztools, mit denen die Sicherheit deutlich erhöht werden kann.

In vielen Fällen bestehen Anwendungen und Lösungen in Unternehmen nicht mehr aus Code-Bestandteilen, die komplett selbst geschrieben oder auf Basis einer gemeinsamen Codeplattform entwickelt wurden. Oft enthalten Anwendungen zusätzliche Komponenten, meistens auf Basis von Open Source. Dabei besteht aber die Gefahr, dass Sicherheitslücken dieser Komponenten auch auf den Rest der Anwendung Auswirkung haben. Dieser externe Code ist leider nicht immer gut dokumentiert.

Bildergalerie

Bildergalerie mit 8 Bildern

Um diesen Vorteil zu nutzen, ist es sinnvoll wichtige Informationen der eingesetzten Open Source-Komponenten zu dokumentieren, um damit die Software-Lieferkette auf stabile Beine zu stellen. Bei einer Software-Stückliste (Software Bill of Materials, SBOM) gibt es für jede Anwendung eine umfassende Liste von externen Komponenten und auch deren Version. So lässt sich jederzeit exakt nachverfolgen, wo Nacharbeiten, Aktualisierungen oder Verbesserungen notwendig sind. Wir stellen in diesem Beitrag einige Lösungen aus diesem Bereich vor. Viele bieten einen kostenlosen Einstieg, mit dem Entwickler schnell erste Schritte in der Praxis durchführen und ihren Code schnell absichern können.

App-Scanner und Software-Kataloge helfen bei der Absicherung von Software

Wenn dann noch kein Softwarekatalog vorhanden ist, aus dem hervorgeht aus welchen Bestandteilen eine Software besteht, gehen Unternehmen nahezu unkalkulierbare Risiken ein, weil sie nicht wissen, ob Anwendungen Lücken enthalten, weil bereits die Komponenten Lücken aufweisen, die wiederum von Angreifern ausgenutzt werden. Ein Beispiel dafür ist die Log4j-Schwachstelle. Die Java-Bibliothek ist in vielen Anwendungen enthalten, ohne dass Unternehmen das wissen.

Das Verzichten auf Open Source-Komponenten ist kein sinnvoller Weg, da die Funktionen der Open Source-Komponenten oft notwendig sind, um auch die Funktionalität der Anwendungen bereitzustellen. Stücklisten sind ein wichtiger Ansatz, da dadurch eine Liste vorhanden ist, welche Komponenten in einer Anwendung vorhanden sind. Dadurch lässt sich auch schnell feststellen, ob eine Anwendung auf Grund der Open Source-Komponenten Sicherheitslücken vorhanden sind.

Laut einer Umfrage des Softwareunternehmens Synopsys verwenden inzwischen fast drei Viertel der befragten Unternehmen AppSec-Tools für mehr als die Hälfte ihrer Softwareprojekte. Gartner hat diese Vorgehensweise bereits 2019 als „Application Security Orchestration and Correlation“ bezeichnet. AppSec-Tools in Softwareprojekten und Application Security Testing-Tools stellen zusammen mit entsprechenden Entwicklungs-Pipelines in DevOps-Umgebungen sicher, dass die gelieferten Anwendungen, inklusive aller Komponenten, maximal sicher sind und es in Zukunft auch bleiben. Eine Integration in CI/CD-Pipelines ist in dieser Hinsicht ein weiterer Bestandteil. Die verwendeten AppSec-Scanner laufen in der Pipeline ständig mit und untersuchen integrierte Komponenten.

Crowd Security kann auch gegen Angreifer auf Software-Lieferketten zum Einsatz kommen

Crowd Security kann vor allem dann zum Einsatz kommen, wenn eine Community gemeinsam gegen Cyberkriminelle vorgeht. Tools wie CrowdSec können auf Rechnern der Mitglieder einer Community auch gegen Angriffe auf Log4j vorgehen. Die Mitglieder der Community erhalten Informationen der ausgewerteten Daten und können dadurch ihr eigenes Intrusion Detection System (IDS) aufbauen.

Alle Teilnehmer im System sammeln Daten ein und stellen die Daten den anderen Teilnehmern zur Verfügung. Dadurch haben alle Mitglieder der Community Zugriff auf die Daten der anderen Mitglieder und sind vor Angriffen besser gewappnet. Crowd Security-Systeme arbeiten parallel noch mit Honeypots, um Angreifer anzulocken. Lösungen wie CrowdSec konnten schon Erfolge gegen die Lücken in der Java-Bibliothek Log4j verzeichnen.

Entwickler und Security-Team in perfekter Kooperation: CodeSec

Entwickler können mit Tools aus dem Bereich Interactive Application Security Testing (IAST) dafür sorgen, dass der Code von Beginn an sicher programmiert ist, und daher Sicherheitslücken, so weit es nur möglich ist, vermieden werden. Contrast Security bietet mit CodeSec Tools, mit denen sich SBOMs erstellen und Programmcode auf Sicherheitslücken überprüfen lässt. Der Einstieg in die Software ist kostenlos möglich. Das Tool kann Code testen, eine SBOM erstellen und auch exakt dokumentieren wo es Schwachstellen gibt.

AppSec-Plattform von ShiftLeft kann auch kostenlos genutzt werden

ShiftLeft ist eine Code-Sicherheitsplattform für Entwickler, die SAST, Secrets Detection, Insights, intelligente Software Composition Analysis (SCA) und Sicherheitstraining kombiniert. Die Lösung basiert auf dem Code Property Graph (CPG). Damit ist es möglich den Kontrollfluss, die Programmabhängigkeiten und die Syntaxbäume von Anwendungen in einer einzigen Datenstruktur abbildet. ShiftLeft unterstützt aktuell C#, Go, Java, JavaScript/TypeScript, Kotlin, Python und Scala. Der Free-Plan ist zwar gegenüber den kostenpflichtigen Plänen etwas eingeschränkt, ist für den Einstieg aber mehr als ausreichend.

Snyk scannt eingebettete Open Source und eigenen Code sowie Container

Auch die Lösung von Snyk steht für den Einstieg kostenlos zur Verfügung und kann Programmcode zum Beispiel direkt aus GitHub heraus scannen. Dabei kann das Tool Open Source scannen oder auch den selbst geschriebenen Code.

Sonatype Free Vulnerability Scanner und Co.

Weitere Tools in diesem Bereich sind Sonatype, Synopsis Black Duck, Veracode und Mend. Sonatype bietet in diesem Zusammenhang auch den Nexus Vulnerability Scanner zur kostenlosen Nutzung an. Damit kann Open Source auf Sicherheitslücken überprüft werden.

(ID:48828520)