Softwareabhängigkeiten mit OWASP-Tool überwachen
Das OWASP-Dependency-Check-Plug-in sorgt für die permanente Überwachung der Softwarelieferkette auf Sicherheitslücken ist Bestandteil jeder DevSecOps-Strategie.
- Dr. André Janus
Die seit Dezember 2021 nicht nur in den Fachmedien vielfach besprochene Sicherheitslücke im Java-Logging-Framework Log4j und ihre Folgen zeigen, wie anfällig Software durch Schwachstellen in Bibliotheken ist; besonders, wenn sie wie beliebte Open-Source-Bibliotheken sehr viele Nutzer haben. Zum einen werden Lücken dort eher gefunden, da viele dort suchen: Softwaresicherheitsforscher, die Entwickler selbst, etwa im Rahmen von Reviews, aber natürlich auch Angreifer. Zum anderen ergeben sich durch die weite Verbreitung viele Ziele, also Anwendungen, die kompromittiert werden könnten.
Entwickler und Betreiber der Anwendungen müssen daher schnell auf diese Bedrohungen reagieren. Das DevSecOps-Konzept, bei dem Entwicklung (Dev), Sicherheit (Sec) und Betrieb (Ops) eng miteinander verbunden sind, bietet dafür gute Voraussetzungen.
Der hier vorgeschlagene Ansatz nutzt die CI-Engine Jenkins und ein Plug-in des Open Web Application Security Project (OWASP). Doch vor dem praktischen Einstieg ist es sinnvoll zu verstehen, wie Sicherheitslücken und Softwarekomponenten identifizierbar und referenzierbar werden und woher das Plug-in seine Informationen bezieht. Als Beispiel dienen die Abhängigkeiten des Java-Frameworks POI, das zum Lesen und Schreiben von MS-Office-Dateien dient.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
OpenCore Legacy Patcher: Wie Sie alte Macs mit jungem macOS aufbrezeln
Fujifilm X100VI im Test: Neuauflage der beliebten Edelkompaktkamera
Elektroauto MG4 Trophy im Test: Bestseller mit Batterie-Upgrade
App-gesteuertes Teleskop: Unistellar Odyssey Pro im Test
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Prepaid, Debit, Credit: Wie Sie die passende Kreditkarte finden
Immer mehr Wissen. Das digitale Abo für IT und Technik.
OpenCore Legacy Patcher: Wie Sie alte Macs mit jungem macOS aufbrezeln
Fujifilm X100VI im Test: Neuauflage der beliebten Edelkompaktkamera
Elektroauto MG4 Trophy im Test: Bestseller mit Batterie-Upgrade
App-gesteuertes Teleskop: Unistellar Odyssey Pro im Test
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet