Versionsverwaltung: GitHub arbeitet am automatisierten Schutz der Supply Chain

GitHub hat als neues Security-Feature die Action Dependency Review angekündigt, um Sicherheitslücken in der Supply Chain auf automatisierte Weise zu verhindern. Sie reiht sich in bereits bestehende Sicherheitsfunktionen wie den Dependabot ein, der Sicherheitslücken in bestehenden Dependencies anzeigt. Demgegenüber soll sich die neue Funktion auf neu hinzuzufügende Dependencies beziehen, um dort vorhandene Sicherheitslücken von vornherein aus dem eigenen Code fernzuhalten.

Automatisierter Schutz der Supply Chain

Für eine erhöhte Supply-Chain-Sicherheit steht die neue GitHub Action namens Dependency Review bereit. Sie scannt Pull Requests auf Änderungen von Dependencies und gibt eine Fehlermeldung aus, wenn neue Dependencies bestehende Sicherheitslücken aufweisen. Dazu greift sie auf Daten aus der GitHub Advisory Database zurück.

Thementag Supply Chain Security

Am 26. April findet der Thementag der heise devSec zu Supply Chain Security statt. Die halbtägige Online-Veranstaltung soll dabei helfen, potenzielle Schwachstellen im Vorfeld zu erkennen und Software von Drittanbietern sicher einzubinden. Das Programm bietet folgende Vorträge:

• Software-Supply-Chain-Sicherheit: Mehr als log4j und Solarwinds
• Supply-Chain-Angriffe auf Open-Source-Ökosysteme – Überblick und Gegenmaßnahmen
• Docker: Security-Desaster (und was wir daraus lernen können)
• Richtig vorbereiten, um gut reagieren zu können, wenn es brennt

Im abschließenden Panel diskutieren die Speaker und weitere Security-Profis über die Gefahren für die Software-Supply-Chain, die jüngsten Entwicklungen und die daraus gezogenen Lehren.

Unterstützt wird Dependency Review von der neuen Dependency-Review-API, die als öffentliche Beta vorliegt. Diese zeigt den Unterschied (diff) bezüglich der Dependencies zwischen zwei Commits eines Repository an. Dazu zählen auch Vulnerabilitätsdaten.

Eine Fehlermeldung der neuen GitHub Action aufgrund der automatischen Erkennung angreifbarer Packages ist im zugehörigen GitHub-Repository zu sehen:

Einsatz und Verfügbarkeit

Die GitHub Action Dependency Review steht sowohl im GitHub Marketplace als auch in einem eigenen GitHub Repository unter Security im Tab Actions im öffentlichen Beta-Status bereit. Sie ist für alle öffentlichen Repositorys verfügbar, ebenso wie für private Repositorys mit lizenzierter GitHub Advanced Security.

Alle weiteren Informationen zu Dependency Review bietet ein Blogeintrag zur Ankündigung.

(mai)