Erkennen und Blocken bösartiger Open-Source-Pakete und Schwachstellen Shift-Left-Sicherheit für Software-Lieferketten von JFrog

„JFrog Curation“ soll DevOps-Teams dabei helfen, bösartige Open-Source- oder Drittanbieter-Softwarepakete und ihre jeweiligen Abhängigkeiten zu erkennen und gegebenenfalls zu blockieren. Um dies automatisiert erledigen zu können, bietet das Tool eine zentralisierte Verwaltung.

JFrog Curation wird nativ in das „JFrog Artifactory Binary Repository integriert. Laut Hersteller ist das Produkt einzigartig in seiner Verwendung von binären Metadaten zur Identifizierung von bösartigen Paketen mit höherem Schweregrad von CVEs, Betriebs- oder Lizenzkonformitätsproblemen. Zum Beispiel entfalle die Notwendigkeit, jedes Paket vor der Verwendung zum Scannen herunterzuladen. Das wiederum erlaubt Geschwindigkeit und einen Komfort für Entwickler.

Asaf Karas, CTO of Security bei JFrog, erläutert: „Software-Entwickler nutzen Millionen von Open-Source-Komponenten, um die Projektabwicklung zu beschleunigen und sich einen Wettbewerbsvorteil zu verschaffen. Aber diese Praxis kann missbraucht werden, um bösartige Pakete und Schwachstellen in den Code einzuschleusen.“ Damit steige das Risiko von Angriffen auf die Software-Lieferkette.

Karas fordert: „Anwendungssicherheit muss ernst genommen und ganzheitlich betrachtet werden, von der Erstellung bis zur Laufzeit auf Edge-Geräten.“ Er setzt hinzu: „JFrog Curation hebt das ‚Shift Left‘-Konzept auf die nächste Stufe, indem es die Verwendung riskanter Open-Source-Softwarepakete automatisch blockiert, bevor sie in ein Unternehmen gelangen, und so die gesamte Angriffsfläche eines Unternehmens drastisch reduziert, ohne die Geschwindigkeit oder die Erfahrung der Entwickler zu beeinträchtigen.“

Die Relevanz

Das Verwenden von Open-Source-Software für die Entwicklung kommerzieller Anwendungen ist mittlerweile Mainstream. 87 Prozent der Befragten einer IDC-Umfrage geben an, dass Open-Source-Software ihre erste Wahl gegenüber anderen kommerziellen Optionen wäre. Im Jahr 2022 waren jedoch mehr als 10 Millionen Menschen von Angriffen auf die Software-Lieferkette betroffen, die rund 1.700 Unternehmen weltweit betrafen - fast alle davon enthielten ein Element von fehlerhaftem oder bösartigem Open-Source-Code.

Jim Mercer, IDC Research Vice President of DevOps and DevSecOps, stellt heraus: „Sicherheitsvorfälle wie ‚Log4Shell‘ und ‚Spring4Shell‘ haben uns gelehrt, dass das, was heute sicher ist, morgen möglicherweise nicht mehr sicher ist, wenn man öffentliche Open-Source-Bibliotheken verwendet.“ Es folgert: Tools, die die Entwicklererfahrung vereinfachen und gleichzeitig sicherstellen, dass die Pakete mit etablierten, regelmäßig aktualisierten Sicherheitsrichtlinien übereinstimmen und gegen relevante Schwachstellendatenbanken validiert werden, seien für die Sicherung von DevOps-Workflows unerlässlich.

Das Validieren der Softwarepakete

JFrog Curation validiert eingehende Softwarepakete anhand der „JFrog Security Research Bibliothek“ mit aufgezeichneten, so geannten Critical Vulnerabilities Exposures (CVE) und öffentlich zugänglichen Informationen, um ein vertrauenswürdiges Repository von vorab genehmigten Softwarekomponenten von Drittanbietern für die Verwendung in der Entwicklung zu schaffen. Durch die Verknüpfung von öffentlichen Paket-Repositories, Entwicklern, Produktion und Sicherheitsverantwortlichen kann JFrog Curation helden, die Effizienz zu verbessern und zeitaufwändige und kostspielige Nachbesserungen zu vermeiden.

Die Vorteile von JFrog Curation in der Übersicht, benennt der Hersteller wie folgt

• Das Tool kann Open-Source-Softwarekomponenten prüfen und blockieren, ohne die Erfahrung der Entwickler oder die Geschwindigkeit zu beeinträchtigen.

• Die Software bietet zentrale Sichtbarkeit und Governance jedes Open-Source-Pakets, das von einem Entwickler oder Build-Tool angefordert wird, mit genauen, auf Metadaten basierenden Einblicken in alle infizierten Pakete und mit umsetzbaren Ratschlägen zur Behebung.

• Es hilft, einen umfassenden und transparenten Prüfpfad zu erstellen, um Unternehmen bei der Einhaltung aktueller und neuer gesetzlicher Vorschriften zu unterstützen.

• Nutzer können die Erfahrung von Entwicklern durch reibungslosen, validierten Abruf von Softwarekomponenten verbessern.

• Die Integration in die JFrog Software Supply Chain Platform vermeidet eine unkontrollierte Ausbreitung verschiedener Tool-Suiten.

(ID:49676455)