Software Supply Chain als Graph darstellen: GUAC kurz erklärt

Inhaltsverzeichnis

Projekte, Programme und Initiativen rund um die Software Supply Chain Security haben Hochkonjunktur. Mit GUAC wirft Google einen weiteren Hut in den Ring, nachdem der Konzern schon im Jahr 2021 ein Framework für die Integrität der Lieferkette namens SLSA vorgestellt hat. SLSA steht für Supply Chain Levels for Software Artifacts und spricht sich nach dem Willen seiner Erfinder wie "Salsa" aus. GUAC ist dazu passend nach der in den USA üblichen Kurzform für den Guacamole-Dip benannt, ausgeschrieben bedeutet es Graph for Understanding Artifact Composition.

Die Aufgabe von GUAC ist es, Metadaten zu Softwareartefakten aus vielen verschiedenen Quellen zusammenzutragen und daraus Reports über die Abhängigkeiten eines Projekts und mögliche Sicherheitsrisiken zu liefern. Dazu generiert es Abhängigkeitsgraphen und packt sie in die Graphdatenbank neo4j.

Mehr zu Unternehmens-IT und Security

• Der kleingeredete GAU der Microsoft-Cloud
• Überblick: Datacenter-Switches mit Terabit Ethernet für den Unternehmenseinsatz
• Die Neufassung der ISO/IEC 27001 im Detail
• Border Gateway Protocol: Fallstricke und Gegenmaßnahmen
• Erwartete Angriffswelle auf 2FA-Authentifizierung und wie man sich schützt
• Sicherheits- und Incident-Management mit Wazuh​
• BSI: Warnungen zur IT-Sicherheit ernstnehmen
• Auswirkungen des Ukrainekriegs auf die IT-Sicherheit in Deutschland
• Überblick zu IT-Versicherungsschutz für kleine Unternehmen und Freelancer
• Ransomware-Angriffsmuster und die wichtigsten Schritte zum Schutz dagegen
• Wie Ransomware-Angriffe heute ablaufen

Im Moment verdaut GUAC SBOM-Dokumente (Software Bills of Material) nach den Spezifikationen SPDX und Cyclone DX, OSSF Scorecards und SLSA-Dokumente, weitere sollen folgen. Ziel ist es, das komplette Softwareinventar von Unternehmen abzubilden und dabei öffentliche und interne Quellen zu verknüpfen. GUAC-Instanzen mit Graphen zu bestimmten Open-Source-Ökosystemen wie der Python-Welt oder Debian-Paketen sollen also öffentlich verfügbar sein.

Das war die Leseprobe unseres heise-Plus-Artikels "Software Supply Chain als Graph darstellen: GUAC kurz erklärt". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.