Software Bills of Materials Wie Stücklisten die Sicherheit der Software-Supply-Chain erhöhen

Anbieter zum Thema

Aqua Security

Windhoff Group

Angesichts der zunehmenden Zahl und Raffinesse von Attacken auf die Software-Supply-Chain müssen Unternehmen eine solide Sicherheitsstrategie dafür entwickeln. In diesem Zusammenhang empfiehlt sich die Einführung von SBOMs, um die Risiken in den Lieferketten zu minimieren.

Hacker haben es immer öfter auf Software-Entwicklung, Open-Source-Artefakte und DevOps-Pipelines abgesehen. Welche Folgen ein erfolgreicher Angriff auf die Software-Supply-Chain haben kann, wurde vor nicht allzu langer Zeit durch die Entdeckung der Apache-Log4j-Schwachstelle deutlich. Zusätzliche Brisanz erhält der Schutz der Lieferketten durch eine aktuelle EU-Gesetzesinitiative

Stücklisten, auch Bills of Materials oder kurz BOMs genannt, stammen ursprünglich aus der Fertigung. Dort kommen sie seit Langem zum Einsatz, um einen klaren Überblick über die Komponenten zu erstellen, aus denen ein Produkt besteht.

Was sie sind und was dahintersteckt

Analog ist eine Software Bill of Materials (kurz: SBOM) eine vollständige, formal strukturierte Liste der Komponenten, Bibliotheken und Module, die für die Erstellung einer bestimmten Software erforderlich sind, sowie ihrer Beziehungen innerhalb der Lieferkette.

Diese Komponenten können Open Source oder proprietär, kostenlos oder kostenpflichtig, weithin verfügbar oder nur eingeschränkt zugänglich sein. So lässt sich ein Einblick in die Komponenten, Abhängigkeiten und Schwachstellen eines Produkts gewinnen.

Warum sie immer wichtiger werden

Ende 2022 verabschiedete das EU-Parlament als Teil der Initiative zur Reform der bestehenden Regeln zur Netz- und Informationssicherheit (kurz: NIS) eine neue Richtlinie für ein „hohes gemeinsames Cyber-Sicherheitsniveau“. Die Gesetzgebung sieht strengere Verpflichtungen für Risikomanagement, Meldepflichten und Informationsaustausch vor.

Die Anforderungen betreffen – neben Aspekten wie der Reaktion auf Sicherheitsvorfälle, Verschlüsselung und der Offenlegung von Sicherheitslücken auch explizit die Sicherheit der Lieferketten. Dass die Mitgliedstaaten zustimmen werden, gilt als reine Formsache. Anschließend folgt, ähnlich wie bei der 2018 endgültig in Kraft getretenen Datenschutz-Grundverordnung (kurz: DS-GVO), eine Übergangsfrist, um die Regeln in nationales Recht umzuwandeln.

Wie sie für mehr Transparenz sorgen

Einer der wichtigsten Vorteile einer SBOM besteht darin, dass sie leicht weitergegeben werden kann. Dies verbessert die allgemeine Transparenz und die Sichtbarkeit von Sicherheitsproblemen in der gesamten Branche und hilft, Schwachstellen frühzeitig und effizient zu erkennen.

Unabhängig davon, ob Unternehmen eine Software erstellen oder betreiben, ist jedes Produkt auf eine Vielzahl von Software-Libraries und Komponenten von Drittanbietern angewiesen. Eine Software-Stückliste liefert eine von Maschinen lesbare Liste der Versionen, die in einer Software laufen – und der damit verbundenen Schwachstellen.

Was für ihre Nutzung spricht

• 1. Sicherheit: Eine SBOM kann helfen, bekannte Sicherheitslücken in einer Software zu identifizieren. Durch Verfolgung und Aktualisierung der in der Software verwendeten Komponenten kann sie dazu beitragen, die Verwendung anfälliger Teile zu verhindern und das Risiko von Sicherheitsverletzungen zu verringern.

• 2. Einhaltung von Vorschriften: Ein solcher Leitfaden kann sicherstellen, dass eine Software gesetzlichen und branchenüblichen Standards entspricht. Dies ist besonders wichtig für Branchen mit strengen Vorschriften – wie Behörden, Gesundheits- und Finanzwesen.

• 3. Integrität: Mit einer Software-Stückliste ist es möglich, Ursprung und Herkunft von in einer Software verwendeten Komponenten zu verfolgen – das ist für die Aufrechterhaltung der Integrität der Software-Lieferkette wichtig.

• 4. Zusammenarbeit: Eine SBOM kann Software-Entwicklern helfen, effektiver zusammenzuarbeiten – indem sie eine klare, zentralisierte Aufzeichnung der in einer Software verwendeten Komponenten bereitstellt. Dies kann die gemeinsame Nutzung und Pflege von Code sowie die Kooperation bei Software-Projekten erleichtern.

Was sie mit Open-Source-Software zu tun haben

Open-Source-Software enthält oft eine Vielzahl von Komponenten, Libraries und anderen Abhängigkeiten, die aus vielerlei Quellen stammen können. Dies kann es schwierig machen, die verwendeten Komponenten nachzuverfolgen und zu verwalten.

Eine Software-Stückliste für Open-Source-Software stellt Informationen über die mit jeder Komponente verbundenen Lizenzen und Urheberrechte sowie über etwaige Sicherheitslücken oder andere potenzielle Probleme bereit. Auf diese Weise lässt sich sicherstellen, dass Open-Source-Software mit Komponenten erstellt wird, die ordnungsgemäß lizenziert sind, und dass alle potenziellen Rechts- oder Sicherheitsprobleme erkannt und behoben werden können.

Welche Lösungen bei ihrer Erstellung helfen können

Es gibt eine Reihe von technischen Lösungen oder Produkten, die Unternehmen bei der Erstellung und Pflege einer Software-Stückliste unterstützen können – von einfachen Tabellen-Templates bis hin zu anspruchsvolleren Software-Tools. Eine einfache Möglichkeit, eine SBOM zu erstellen, bietet beispielsweise das in der Software-Entwicklung weitverbreitete Open-Source-Tool Trivy.

Dabei handelt es sich um einen einfach zu bedienenden Open-Source-Scanner, der Entwicklern ermöglicht, Sicherheitslücken in ihren Projekten zu finden. Seit 2022 unterstützt Trivy auch die Erstellung von Stücklisten im CycloneDX-Format, einem branchenweiten Open-Source-SBOM-Standard. So können Entwicklungsteams diese Listen mit einem Tool erstellen, das sie bereits nutzen können.

Was Unternehmen konkret tun können

Die angesprochene EU-Richtlinie ist ein wichtiger Schritt, um Software sicherer zu machen. Ungeachtet der Übergangsphase sollten sich Unternehmen bereits jetzt auf deren Umsetzung vorbereiten.

Für Firmen, die selbst an der Erstellung von Software beteiligt sind, heißt das: Sie müssen in entsprechende Lösungen investieren, die ihnen helfen, ihren kompletten Prozess der Software-Erstellung zu schützen. Unternehmen, die Software nutzen – und das betrifft de facto alle – sollten drei Aspekte beachten: dass ihre Software-Lieferanten die Richtlinien umsetzen, Tools zur Absicherung ihres gesamten Entwicklungsprozesses einsetzen und Herkunft sowie Sicherheit aller Bestandteile ihrer Software über eine komplette SBOM garantieren können.

Hierfür eignen sich CNAPP-Plattformen, die entsprechende Funktionen für Supply-Chain-Security integriert haben. Hinter dem von Gartner geprägten Begriff CNAPP (engl. Cloud Native Application Protection Platform) verbirgt sich eine neue Kategorie von Sicherheitslösungen, die bei Identifizierung, Bewertung, Priorisierung und Anpassung von Risiken in Cloud-Native-Applications, Infrastruktur und Konfigurationen unterstützen – und im Idealfall End-to-End-Sicherheit für Cloud-Native-Umgebungen bieten.

Warum sie bei der Software-Entwicklung unerlässlich geworden sind

Es war noch nie so wichtig wie heute, die eigene IT-Sicherheitsstrategie zu überdenken. Denn die Grundlagen der Abwehrmöglichkeiten haben sich vor dem Hintergrund von Containern, Cloud-Computing, DevOps und Änderungen bei der Software-Entwicklung geändert.

Um die Sicherheit von Software zu verbessern, müssen Unternehmen die Erstellung von SBOMs in ihren Entwicklungsprozess einbauen. Mit ihrer Hilfe kann die Branche dafür sorgen, dass Hacker keine bösartigen Artefakte in der Software-Supply-Chain platzieren.

* Arne Jacobsen ist Director of Sales EMEA bei Aqua Security.

(ID:49673754)