Software Composition Analysis: Tools in der Marktübersicht
Die SCA soll Risiken aufdecken, die Entwickler beim Einsatz von Open-Source-Komponenten eingehen, und die Softwarelieferkette absichern. Eine Übersicht.
- Ulrich Wolf
Sicherheit rückt nach links. Nicht politisch, sondern im Sinne des Left Shift der DevOps-Bewegung. Es bedeutet, dass immer mehr Kompetenzen am Anfang, also links im gesamten Prozess angesiedelt sind: bei den Entwicklern. Mit DevSecOps wird aus der Verantwortung für den Betrieb (DevOps) nun Verantwortung für den sicheren Betrieb. Das macht aber Entwickler nicht auf magische Weise zu Securityspezialisten. Deshalb ist jede Unterstützung in Form von Werkzeugen oder Frameworks gefragt, die helfen, möglichst viele Risiken so früh es geht zu entdecken und Sicherheitslücken zu stopfen.
Da nahezu jedes größere Softwareprojekt Open-Source-Komponenten enthält, betrifft dies nicht nur die vom eigenen Entwicklerteam zu verantwortenden Schwachstellen, sondern auch die in den eingebundenen Abhängigkeiten. Die Aufgabe der Software Composition Analysis besteht darin, herauszufinden, welche Komponenten in welchen Versionen in der eigenen Software stecken, und dann zu ermitteln, welche schon bekannten Schwachstellen diese haben.
Über diese absolute Mindestanforderung an eine SCA-Software gehen aber alle am Markt vorhandenen Systeme hinaus und bieten Einbindung in CI/CD-Pipelines oder Entwicklertools, automatische Lösungsvorschläge für gefundene Schwachstellen (Remediation), diverse Dashboards, Frameworks zum Festlegen von Richtlinien und so weiter.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Karrierewechsel: Warum sich ein Informatikstudium auch für Quereinsteiger lohnt
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Prepaid, Debit, Credit: Wie Sie die passende Kreditkarte finden
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Karrierewechsel: Warum sich ein Informatikstudium auch für Quereinsteiger lohnt
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Prepaid, Debit, Credit: Wie Sie die passende Kreditkarte finden
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet