Sonatype Nexus Intelligence erkennt verdächtiges Verhalten

Malware-Erkennung in Open-Source-Beiträgen

| Redakteur: Stephan Augsten

Böswillige Open-Source-Beiträge unterscheiden sich kaum von gut gemeinten Kontributionen, Nexus Intelligence soll beim Identifizieren helfen.
Böswillige Open-Source-Beiträge unterscheiden sich kaum von gut gemeinten Kontributionen, Nexus Intelligence soll beim Identifizieren helfen. (Bild gemeinfrei: realworkhard / Pixabay)

Mit Nexus Intelligence liefert Sonatype in Echtzeit wichtige Informationen Sicherheitslücken in Open-Source-Komponenten. Eine neue Frühwarnfunktion in der Software-Komponenten-Verwaltung soll gefälschte, bösartige Codefragmente nun noch schneller identifizieren und blockieren.

Die zum Patent angemeldete Technologie wird in die kommende Generation der Sonatype Nexus Intelligence integriert. Das Frühwarnsystem überwacht Millionen Open-Source-Projekte in Echtzeit, um unnormales Entwicklungsverhalten und verdächtige Muster zu identifizieren, wenn neue Komponentenversionen veröffentlicht werden.

Damit reagiert Sonatype auf den Trend, dass vermehrt bösartige Komponenten in öffentlichen Open-Source- und Container-Repositorys veröffentlicht werden. Die Angriffe reichten von Cryptomining über den Diebstahl privater SSH-Schlüssel bis hin zu Backdoor-Platzierungen. Selbst vor dem Versuch, proprietären Code mit gefälschten Patches zu ändern, machten die Angreifer nicht Halt.

Manipulierter Open-Source-Code ist laut Sonatype schwer zu erkennen, da er sich von den Beiträgen gutwilliger Kontributoren nicht großartig unterscheidet. Mit den erweiterten Nexus-Intelligence-Funktionen sei man nicht nur dazu in der Lage, bösartige Aktivitäten basierend auf dem Commit-Verhalten zu erfassen, sondern verfüge auch über Echtzeit-Metadaten über die Qualität neuer Komponentenversionen.

Entwickler könnten so die Integrität jeder neuen Komponentenversion sicherstellen und gleichzeitig das Abhängigkeitsmanagement automatisieren und skalieren. Das manuelle Verwalten von Abhängigkeiten wird Development-Teams also abgenommen.

Die erste Iteration der neuen Nexus-Intelligence-Funktionen zielt auf ein besseres Verständnis des Commit-Verhaltens und der Muster von npm-Komponenten und -Erstellern ab. Im Laufe der Zeit will Sonatype die Fähigkeiten auf weitere Sprachen ausdehnen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46162248 / Application Security)