Aqua Security und Center for Internet Security kollaborieren Open-Source-Tool stützt CIS Security Guide

Vermehrt zielen Cyber-Kriminelle auf Software-Lieferketten ab, um sich Zugang zu IT-Systemen zu verschaffen. Das Open-Source-Tool „Chain-Bench“ von Aqua-Security soll dem entgegenwirken, es ist in Zusammenarbeit mit dem Center for Internet Security entstanden.

Gemeinsam mit dem CIS (Center for Internet Security) hat Aqua Security formale Richtlinien für die Sicherheit der Software-Supply-Chain erarbeitet. Dieser „CIS Software Supply Chain Security Guide“ enthält mehr als 100 grundlegende Empfehlungen, die sich auf eine Vielzahl häufig verwendeter Technologien und Plattformen anwenden ließen.

Den Leitfaden wolle man künftig weiter verfeinern, damit Unternehmen weltweit von stärkeren Sicherheitspraktiken profitieren, berichtet Eylam Milner, Director Argon Technology bei Aqua Security. Auf Basis dieser Zusammenarbeit ist außerdem das Open-Source-Tool „Chain-Bench“ entstanden, das den DevOps-Stack vom Quellcode bis zur Bereitstellung auf die Erfüllung von Richtlinien und Best Practices hin scannt.

Software-Entwicklung in großem Maßstab erfordere eine starke Governance der Software-Supply-Chain – und diese wiederum effektive Tools, konstatiert Milner: „Wir wollten unser Fachwissen im Bereich der Sicherheit der Software-Supply-Chain nutzen, um einen wichtigen Leitfaden für eine der dringlichsten Herausforderungen der Industrie zu erstellen und ein kostenloses, zugängliches Tool zu entwickeln, das anderen Unternehmen bei der Einhaltung der Richtlinien hilft.“

Die neuen CIS-Richtlinien umfassen allgemeine Praxisempfehlungen, um neue Standards wie Supply-Chain-Levels for Software Artifacts (SLSA) und The Update Framework (TUF) zu unterstützen. Gleichzeitig geben die Richtlinien grundlegende Empfehlungen für das Festlegen und Prüfen von Konfigurationen auf den von den Benchmarks unterstützten Plattformen.

Innerhalb des Leitfadens umfassen die Empfehlungen fünf Kategorien der Software-Supply-Chain. Dazu zählen Quellcode, Build Pipelines, Abhängigkeiten, Artefakte und Bereitstellung. Das CIS beabsichtigt, diesen Leitfaden um spezifischere CIS-Benchmarks zu erweitern und so einheitliche Sicherheitsempfehlungen für alle Plattformen zu schaffen. Wie alle CIS-Anleitungen wird auch dieser Leitfaden weltweit veröffentlicht und geprüft werden. Rückmeldungen werden dann dazu beitragen, dass künftige plattformspezifische Anleitungen präzise und relevant sind.

Das kostenfreie Open-Source-Tool Chain-Bench steht bei GitHub zum Download bereit. Mehr über den CIS Software Supply Chain Security Guide in der Community-getriebenen CIS WorkBench (registrierungspflichtig).

(ID:48481718)