Softwareentwicklung Die Software-Supply-Chain wird sicherer

Anbieter zum Thema

Schneider Electric GmbH

Parasoft® Deutschland GmbH

TXOne Networks

Aqua Security

Als Antwort auf den ersten CIS-Leitfaden für Sicherheit in der Software-Supply-Chain stellt Aqua Security ein Open-Source-Tool vor: Chain-Bench soll die Einhaltung der definierten Richtlinien gewährleisten.

In Kooperation mit dem Center for Internet Security veröffentlichte Aqua Security im Juli 2022 die ersten formalen Richtlinien für die Sicherheit der Software-Supply-Chain. Dieser Security Guide enthält mehr als 100 grundlegende Empfehlungen, die User auf häufig verwendete Technologien und Plattformen anwenden können. Im gleichen Zug stellte Aqua Security auch Chain-Bench vor, ein Tool, das die Software-Supply-Chain überprüft und für die Einhaltung dieser neuen Richtlinien sorgt.

Standard-Software vs. Individual-Software

Warum kompliziert, wenn es einen Standard gibt?

Die Sicherheit in Entwicklungsumgebungen für die Software-Supply-Chain ist verbesserungswürdig. Durch die neuen Richtlinien unterstützen neue Standards wie Supply-Chain-Levels for Software Artifacts und The Update Framework. Zudem beinhalten sie Empfehlungen für die Festlegung und Prüfung von Konfigurationen auf den von den Benchmarks unterstützten Plattformen.

Fünf Kategorien der Software-Supply-Chain lassen sich aus dem Leitfaden herausfiltern:

• 1. Quellcode

• 2. BuildPipelines

• 3. Abhängigkeiten

• 4. Artefakte

• 5. Bereitstellung

Das CIS will den Leitfaden nach und nach erweitern und einheitliche Sicherheitsempfehlungen für alle Plattformen verfügbar machen, die dann weltweit veröffentlicht und geprüft werden. Ziel ist auch, dass Anleitungen in Zukunft immer präziser und relevanter formuliert werden können.

Cyber-Sicherheit

Immer mehr gemeldete Schwachstellen bei IoT-Geräten

Chain-Bench sorgt für die Sicherheit der Software-Supply-Chain

Das Open-Source-Tool Chain-Bench unterstützt die Umsetzung der CIS-Richtlinien. Es scannt den DevOps-Stack und vereinfacht die Einhaltung von Sicherheitsvorschriften. So kann man die Umsetzung von Sicherheitskontrollen und Best Practices sicherstellen.

„Die Entwicklung von Software in großem Maßstab erfordert eine starke Governance der Software-Supply-Chain, und eine starke Governance erfordert wiederum effektive Tools. Hier sahen wir eine Möglichkeit, Mehrwert zu schaffen“, sagt Eylam Milner, Director Argon Technology, Aqua Security. „Wir wollten unser Fachwissen im Bereich der Sicherheit der Software-Supply-Chain nutzen, um einen wichtigen Leitfaden für eine der dringlichsten Herausforderungen der Industrie zu erstellen und ein kostenloses, zugängliches Tool zu entwickeln, das anderen Unternehmen bei der Einhaltung der Richtlinien hilft. Doch die Arbeit hört hier nicht auf. Wir werden weiterhin mit CIS zusammenarbeiten, um diesen Leitfaden zu verfeinern, damit Unternehmen weltweit von stärkeren Sicherheitspraktiken profitieren können.“

Phil White, Benchmarks Development Team Manager bei CIS, hofft durch die Veröffentlichung des Leitfadens zur Sicherheit der Software-Supply-Chain eine Gemeinschaft aufzubauen, die an der Entwicklung zukünftiger Benchmark-Standards interessiert ist. Er ruft Fachexperten, die in der Software-Supply-Chain arbeiten, auf, sich an weiteren Ausarbeitungen zu beteiligen. „Ihr Fachwissen wird wertvoll sein, um wichtige Best Practices zu etablieren, die die Sicherheit der Software-Lieferkette für alle verbessern“.

(ID:48560077)