Mobile-Menu

„Codyze“ Fraunhofer-Tool überprüft Code auf Security-Anforderungen

Quelle: Pressemitteilung 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
SEPPmail - Deutschland GmbH
Onapsis Europe GmbH

Unternehmen müssen ihre Software sicher machen und dies auch nachweisen können. Das Fraunhofer-Tool „Codyze“ automatisiert diese Prüfung und macht Sicherheitslücken im Code frühzeitig sichtbar.

Codyze wandelt Quellcode in Code Property Graphs um und prüft ihn automatisiert anhand übertragbarer Regeln zum Beispiel gegen CRA-Vorgaben, wobei eine Auditor-View jeden Befund bis zur konkreten Codezeile nachvollziehbar macht.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Codyze wandelt Quellcode in Code Property Graphs um und prüft ihn automatisiert anhand übertragbarer Regeln zum Beispiel gegen CRA-Vorgaben, wobei eine Auditor-View jeden Befund bis zur konkreten Codezeile nachvollziehbar macht.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Das Fraunhofer Institute for Applied and Integrated Security, kurz AISEC, hat ein neues Analyse-Framework vorgestellt, das Quellcode hinsichtlich Cybersicherheitsanforderungen prüft. „Codyze“ soll vor allem Unternehmen unterstützen, die den Vorgaben des Cyber Resilience Acts (CRA) gerecht werden müssen. Dafür liefert das Open-Source-Tool eine sprachunabhängige Analyseplattform, die Quellcode in Code-Property-Graphs überführt, regulatorische Anforderungen in einer domänenspezifischen Sprache als übertragbare Regeln abbildet und diese automatisiert prüft, inklusive Nachvollziehbarkeit über eine Auditor-View, vordefinierten CRA‑ und Krypto-Regelsätzen, Tagging für Bibliotheken sowie Exportfunktionen zur Integration in bestehende DevOps- und Prüfprozesse.

Wie funktioniert Codyze?

Im Blogbeitrag des Fraunhofer AISEC erläutert Alexander Küchler, Leiter der Gruppe Application Security Testing, die konkreten Vorteile des Frameworks. Zum Beispiel, beschreibt er, dass Codyze produktzentrierte regulatorische Anforderungen, wie CRA und BSI-TR02102, in prüfbare Regeln übersetzt und automatisiert bewertet, ob der Quellcode diese erfüllt. Dafür bringt das Tool bereits vorgefertigte Regelsätze mit.

Technisch wandelt Codyze Quellcode in einen Code Property Graph (CPG) um, eine Zusammenführung von Abstract Syntax Tree, Control Flow Graph und Data Flow Graph, und nutzt eine in Kotlin implementierte Domain‑Specific Language, die Anforderungen in Graph‑Queries und Analysen übersetzt. Um Regeln nur einmal zu definieren und technologisch sowie sprachübergreifend wiederzuverwenden, setzt Codyze auf sogenannte „Transferable Rules“, also die Formulierung von Regeln in Begriffen und Operationen statt konkreter Bibliotheksaufrufe.

Codyze ist zudem auf Full‑System‑Analysen ausgelegt: es modelliert Schnittstellen und Verbindungen zwischen Komponenten mit eigenen Konzepten und verknüpft diese automatisch, sodass Sicherheitsanforderungen über Microservices, Schnittstellen und verschiedene Frameworks hinweg geprüft werden können. Schließlich liefert Codyze nachvollziehbare, prüfbare Nachweise, indem eine Auditor‑View jede Schlussfolgerung als Baumstruktur darstellt, sodass ein Auditor einen Befund bis zur konkreten Codezeile zurückverfolgen kann. Außerdem werden die vom Tool getroffenen Annahmen explizit aufgeführt.

(ID:50901953)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte