Compliance und Sicherheit im OSS-Ökosystem Open-Source-Trends 2020

Gleichzeitig brachten die Pakete jedoch auch neue Open-Source-Inhalte in die Codebasis ein – oft unbeabsichtigt und unwissentlich. Ein Risiko nicht nur für die Sicherheit, sondern auch für die Compliance.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Confluent Germany GmbH

Windhoff Group

Flexera Software GmbH

Mit dem Aufkommen von Paketverwaltungssystemen ist die Verwendung von Open Source Software (OSS) in den vergangenen Jahren geradezu explodiert. Entwickler können nun transitive Abhängigkeiten eines bestimmten Pakets berechnen und so besser Konflikte vermeiden.

Open Source macht mittlerweile den Großteil von Software aus. Audits zeigen, dass Open-Source-Komponenten zwischen 50 bis 80 Prozent der Applikationen ausmachen. Eine genaue Dokumentation darüber, woher diese Komponenten stammen, geschweige denn, dass sie überhaupt in den Programmen enthalten sind, findet sich jedoch nur bei fünf Prozent der Unternehmen.

Der Exploit einer Apache-Struts-Schwachstelle bei dem US-Finanzdienstleister Equifax gilt hier immer noch als mahnendes Beispiel. Der Vorfall machte sehr deutlich, dass es schwierig ist, Code zu verwalten und zu schützen, wenn nicht bekannt ist, wie sich dieser zusammensetzt. Equifax hat also zumindest das Bewusstsein für Compliance- und Sicherheitsrisiken von OSS geschärft.

PCI, FDA und DSGVO

Die Nachfrage nach Open-Source-Monitoring und -Mediation ist zudem gestiegen. Dazu trägt sicherlich auch das verschärfte regulatorische Umfeld bei. Überall dort, wo personenbezogene Daten im Spiel sind (z. B. Kunden-Account im Online-Shop, Bankkonto) oder Geräte direkt für die Sicherheit von Personen verantwortlich sind (z. B. Healthcare), stoßen Entwickler auf strengere Vorschriften.

Im vergangenen Jahr 3hat das PCI Security Standards Council eine Norm eingeführt, um den elektronischen Zahlungsverkehr sicherer zu machen. Damit wurden Softwareunternehmen verpflichtet, Schwachstellen in Softwareanwendungen über die gesamten Software-Lieferkette hinweg kontinuierlich zu identifizieren und zu bewerten. Bereits vor dieser Regelung gehörte die Überwachung des OSS-Einsatzes zu den ausdrücklichen Empfehlungen. Neu ist der Schwerpunkt auf das kontinuierliche Scannen und Management.

Auch die US-amerikanische Lebensmittel- und Arzneimittelbehörde FDA legte 2019 neue Bestimmungen vor. Demnach müssen Hersteller als Teil des Zulassungsverfahren eine detaillierte Software-Stückliste (Cybersecurity Bill of Materials, CBOM) ihrer Medizinprodukte einreichen, ehe sie die Produkte am wichtigen US-Markt vertreiben können. Die Liste soll darüber hinaus Kunden wie Endanwendern beim Management und Monitoring sowie dem Schutz von Software-Assets unterstützen.

Und dann ist da auch noch DSGVO. Die Grundverordnung verpflichtet datenverarbeitende Unternehmen seit knapp zwei Jahren dazu, Maßnahmen zu ergreifen, um ein angemessene Sicherheitsniveau bei der Verarbeitung personenbezogener Daten zu gewährleisten. Das betrifft auch Open-Source-Designer und Programmierer und die von ihnen entwickelte Software.

Funktionen für die Abfrage von Einwilligungen, Datenverschlüsselungsprogramme sowie die Funktionalität der Website an sich müssen unter Berücksichtigung von Sicherheit, Transparenz, PbD (Privacy by Design) und konformen Datenschutzpraktiken entwickelt werden. Für Unternehmer, die Open-Source-Software verwenden, heißt das, eine vollständige Überprüfung ihrer Codes, Programme und Plattformen für das Online-Geschäft durchzuführen.

Spitze des Eisbergs – Umfang und Tiefe der Analyse

Angesichts der steigenden Zahl von Cyberangriffen und Sicherheitsverletzungen ist mit einem Nachlassen der regulatorischen Maßnahmen kaum zu rechnen. Damit steigt der Arbeitsaufwand für IT-Abteilungen und Entwickler-Teams weiter an. Bereits jetzt verbringen Verantwortliche einen großen Teil ihrer Zeit mit der Überprüfung und Behebung von Schwachstellen, während sie gleichzeitig operative Aufgaben zu erledigen haben, Innovationen entwickeln und die Digitalisierung auf den Weg bringen sollen.

Angesichts dessen evrwundert es nicht, dass die Nachfrage nach Lösungen für die automatisierte Erkennung von Schwachstellen und Compliance-Problemen steigt. Gefragt sind eine proaktive Offenlegung, risikobasierte Zielanalyse und datengestützte Priorisierung. Zwar verwenden die meisten Unternehmen bereits entsprechende Tools, doch sind diese sehr unterschiedlich und erlauben keine einheitliche Sicht auf die Daten und darüber, ob Richtlinien ganzheitlich über alle Systeme hinweg eingehalten werden.

Darüber hinaus handelt es sich bei vielen Lösungen um Quick Scans oder Easy Scans, die nur eine oberflächliche Analyse ermöglichen. Um in die Tiefen einer Codebasis einzutauchen, reichen diese Tools nicht aus. Pakete und Abhängigkeiten stellen nämlich nur die Spitze des Eisbergs dar. Unter der Wasseroberfläche verstecken sich viele Komponenten, von denen Entwickler nichts wissen oder in die sie nur ungenügend Einblick haben.

Dazu gehören Subkomponenten, Binärdateien ohne Manifestdateien, Multimedia-Dateien, Bilder/Icons, Codecs und Copy/Paste-Codes. In den meisten Fällen sind all diese Bestandteile an die eine oder andere Lizenz geknüpft. Copy/Paste-Code kann darüber hinaus unbekannte Schwachstellen enthalten. Für Softwareanbieter ist es daher unerlässlich, automatisierte Deep Scans und Software Composition Analysis über den gesamten IoT-Stack hinweg durchzuführen, um nicht zu kentern.

Die Zukunft von Open Source

Der Fahrplan für Open-Source-Software scheint damit klar. In den nächsten Jahren wird die Offenlegung von Code, die Software-BOM sowie Schadensersatz-Ansprüche zu einem festen Bestandteil der Software-Supply-Chain werden. Ziel wird es sein, dass ein Unternehmen beim Kauf von Code über einen Anbieter automatisch eine vollständige Offenlegung der darin enthaltenen Open-Source-Inhalte sowie entsprechenden Sicherheits-Zertifikaten erhält.

Der Trend zur „Open Chain“ wird breitere Akzeptanz finden und ein Framework für die Einhaltung von Compliance-Prozessen bereitstellen. Das Interesse an vorab geprüften „goldenen“ OSS-Komponenten aus Artefakt-Repositories ist bereits heute groß. Diese Repositories legen strenge Richtlinien hinsichtlich der weiteren Verwendung fest und stellen sichere Artefakte bereit, die bei bekannt gewordenen Schwachstellen unmittelbar unter Quarantäne gestellt werden. Grundsätzlich wird es bei den Repositories zu einer Konsolidierung kommen, die es Entwicklern erleichtert, den richtigen Code zu erhalten.

Langfristig wird sich die Priorisierung und das gezielte Management von einzelnen Sicherheits- und Compliance-Risiken zum Standard entwickeln. Anstatt also viel Zeit aufzuwenden, um große Datenmengen zu überprüfen, werden Systeme automatisch relevante Vorfälle ermitteln und den Sicherheitsbeauftragten melden.

Künstliche Intelligenz und Machine Learning werden diese Entwicklung weiter vorantreiben. Voraussetzung für diese smarten, selbstheilenden Lösungen sind das Verstehen menschlichen Verhaltens sowie das Heranziehen vergangener Praktiken und Maßnahmen als Ausgangspunkt für Handlungsempfehlungen und Best Practices.

Eine Frage des Trainings

Während Unternehmen sich bei der Einhaltung von OSS-Lizenzen und dem Management von Sicherheitsrisiken auf ein neues Level zu bewegen, bleibt die Frage nach einheitlichen Trainingsstandards offen. In vielen Unternehmen fehlt es Entwicklern an spezifischem Wissen, was die Open-Source-Lizenzierung und sichere Coding-Verfahren angeht.

Diese Lücke zeigt sich bereits in den Lehrprogrammen höherer Bildungseinrichtungen. Nach einem Bericht von Forrester Research bietet keine der 40 für ihren Informatikstudiengang bekannten US-Universitäten OSS-Lizenzierung oder sicheres Codieren als eigenständigen Kurs an. In den Top 5 der internationalen Universitäten fehlen die Themen ebenfalls auf dem Studienplan. Hier herrscht dringend Nachholbedarf.

In der Zwischenzeit ist es an den Unternehmen, Mitarbeiter umfassend zu schulen. Wie sehen die Best Practices im Unternehmen im Umgang mit Intellectual Property aus? Welche Schritte empfehlen sich, um Sicherheits- oder Compliance-Probleme frühzeitig zu erkennen? Wie schreibt man lizenzkonformen und sicheren Code? Die Antworten auf diese Fragen sollten fester Bestandteil des Onboarding-Prozesses eines jeden neuen Mitarbeiters sein.

Eine kurzfristige Lösung kann auch die Entwicklung interner Richtlinien über ein funktionsübergreifendes Team-Buy-In darstellen. Darüber hinaus bieten sich Open Source Review Boards (OSRBs) als guter Ausgangspunkt an, um Rechts-, Entwicklungs-, Sicherheits-, IT- und Führungsteams an einen Tisch zu bringen und Richtlinien festzulegen sowie Leitfäden zu erstellen. So lässt sich unternehmensweit Compliance, IP-Schutz und Sicherheit bei der Nutzung von Open Source praktisch umsetzen.

Nicole Segerer

Für die IT-Branche gibt es also noch viel zu tun. Die Open Source Community lebt seit jeher vom Austausch und der Zusammenarbeit von Entwicklern. Softwareanbieter und Technologie-Unternehmen wiederum sind auf Open Source angewiesen, um kosteneffizient und im schnellen Tempo Innovationen auf den Markt bringen zu können. Das gemeinsame Ziel muss es daher sein, ein gesundes Open-Source-Ökosystem aufzubauen, in dem sowohl Compliance als auch Sicherheit im Mittelpunkt stehen.

* Nicole Segerer ist Head of IoT Deutschland, Österreich und Schweiz bei Flexera.

(ID:46292281)