Lösungspaket für die Software Composition Analysis (SCA) Synopsys nimmt Risiken in der Software-Lieferkette ins Visier

Anbieter zum Thema

SYNOPSYS GmbH

Windhoff Group

Synopsys bringt ein Produkt für die Sicherheit der Software-Lieferkette auf den Markt. Mit der Black Duck Supply Chain Edition sei es möglich, Open-Source- und kommerzielle Abhängigkeiten zu identifizieren und Risiken in Bezug auf Sicherheit, Qualität und Lizenzeinhaltung zu beseitigen.

Mit der Black Duck Supply Chain Edition möchte Synopsys Unternehmen in die Lage versetzen, das Risiko innerhalb ihrer Software-Lieferketten zu minimieren. Das Lösungspaket für die Software Composition Analysis (SCA) kombiniere mehrere Open-Source-Erkennungstechnologien, automatisierte Software-Bill-of-Materials-Analysen (SBOM) von Drittanbietern sowie Malware-Erkennung und biete so einen Überblick über Risiken, die von Open-Source-, Drittanbieter- und KI-generiertem Code ausgehen. Entwicklungs- und Sicherheitsteams könnten jetzt Abhängigkeiten über den gesamten Lebenszyklus einer Anwendung hinweg nachverfolgen und Sicherheitsschwachstellen, bösartige Pakete sowie Lizenzverletzungen und -konflikte erkennen und beheben.

Zu den wichtigsten Funktionen der Black Duck Supply Chain Edition gehören:

• Technologien zur Open-Source-Erkennung: Genaue Identifizierung von Open-Source-Komponenten in jeder Programmiersprache mit einer Kombination von Technologien zur Softwareanalyse, einschließlich von Paketabhängigkeiten, CodePrint, Snippet-, Binär- und Containeranalyse.

• Import und Analyse von Third-Party SBOMs: Import von Drittanbieter-SBOMs und automatische Katalogisierung der darin enthaltenen Komponenten, unabhängig davon, ob es sich um Open Source, kommerzielle oder kundenspezifische Komponenten handelt.

• Malware-Erkennung: Post-Build-Analysen auf Basis der Technologie von ReversingLabs, um verdächtige Dateien, potenziell unerwünschte Anwendungen, Protestware und verdächtige Dateistrukturen zu erkennen.

• Risiken identifizieren und senken: Kontinuierliche Überwachung von selbst erstellten und importierten SBOMs im Hinblick auf Open-Source-Schwachstellen, offengelegte Secrets, Malware und bösartige Pakete.

• Verwalten von IP-Risiken und Lizenzkonformität: Automatische Identifikation von Softwarelizenzen, die mit bestehenden Abhängigkeiten verbunden sind, mithilfe von Leitlinien bezüglich etwaiger Verpflichtungen oder Konflikte und hinsichtlich der Art und Weise, wie die Anwendung lizenziert, bereitgestellt und verteilt wird. Analysen von KI-generiertem Code, um versteckte Open-Source-Snippets zu identifizieren, die möglicherweise Urheberrechts- oder Lizenzverpflichtungen unterliegen.

• SBOMs gemäß Industriestandards: Export von SBOMs, die sämtliche Open-Source-basierten, benutzerdefinierten und kommerziellen Abhängigkeiten enthalten, im SPDX- oder CycloneDX-Format, um sie an kunden- oder branchenspezifische Anforderungen sowie gesetzliche Vorgaben anzupassen – inklusive Standardvorlagen für die von Kunden gewünschte Detailtiefe.

Jason Schmitt, General Manager der Synopsys Software Integrity Group: „Eine wachsende Zahl von Angriffen zielt auf verwundbare oder böswillig veränderte Open-Source- und Drittanbieter-Komponenten innerhalb der Software-Lieferkette ab. Deshalb ist es für Unternehmen entscheidend, die Zusammensetzung ihres Software-Portfolios zu verstehen und gründlich zu überprüfen. Dies erfordert eine ständige Überwachung des „Flickenteppichs“ von Softwareabhängigkeiten. Letztere speisen sich aus einer Vielzahl von Quellen, darunter Open-Source-Komponenten, die aus öffentlichen Repositorien heruntergeladen werden, kommerzielle, von Anbietern erworbene Softwarepakete, Code, der von KI-Codier-Assistenten generiert wird, sowie Container und die IT-Infrastruktur, über welche die Anwendungen bereitgestellt werden. Dazu kommt eine Vielzahl weiterer Risikofaktoren wie bekannte Schwachstellen, offengelegte Secrets und schädlicher Code. Es gilt zum einen, diese Risiken als solche zu erkennen, und zum anderen, aus der Analyse verwertbare Erkenntnisse zu gewinnen. Die Black Duck Supply Chain Edition kombiniert eine Reihe von Best-in-Class-Funktionen, um diese Anforderungen optimal umzusetzen und die Resultate in standardisierten oder kundenspezifischen SBOM-Formaten zur Verfügung zu stellen.“

(ID:49995411)