{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: Arbeitsprinzipien und Vergleich von SCA. Teil eins","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Bedeutung der Analyse von Drittanbieterkomponenten (engl. Software Composition Analysis \u2013 SCA) im Entwicklungsprozess steigt mit der Ver\u00f6ffentlichung der j\u00e4hrlichen Berichte \u00fcber Sicherheitsanf\u00e4lligkeiten von Open Source-Bibliotheken, die von Unternehmen wie Synopsys, Sonatype, Snyk und White Source ver\u00f6ffentlicht werden. Laut dem Bericht The State of Open Source Security Vulnerabilities 2020<\/a><\/noindex> hat die Anzahl der identifizierten Sicherheitsanf\u00e4lligkeiten in Open Source im Jahr 2019 fast um das 1,5-Fache im Vergleich zum Vorjahr zugenommen, w\u00e4hrend Open-Source-Komponenten in 60 % bis 80 % der Projekte verwendet werden. Wenn wir auf unabh\u00e4ngige Meinungen zur\u00fcckgreifen, sind die SCA-Prozesse eine separate Praxis des OWASP SAMM und BSIMM als Reifeindikator, und in der ersten H\u00e4lfte des Jahres 2020 hat OWASP den neuen Standard OWASP Software Component Verification Standard (SCVS) ver\u00f6ffentlicht, der Best Practices zur \u00dcberpr\u00fcfung von Drittanbieterkomponenten in der Software-Lieferkette bereitstellt.<\/p>\n

\"DevSecOps:
\n<\/a><\/noindex>
\nEiner der aufschlussreichsten F\u00e4lle ereignete sich<\/a><\/noindex> mit der Firma Equifax im Mai 2017. Unbekannte Angreifer erlangten Informationen \u00fcber 143 Millionen Amerikaner, einschlie\u00dflich vollst\u00e4ndiger Namen, Adressen, Sozialversicherungsnummern und F\u00fchrerscheindaten. In 209.000 F\u00e4llen war auch Informationen \u00fcber die Bankkarten der Betroffenen in den Unterlagen enthalten. Diese Datenpanne trat aufgrund der Ausnutzung einer kritischen Sicherheitsanf\u00e4lligkeit in Apache Struts 2 (CVE-2017-5638) auf, w\u00e4hrend der Patch bereits im M\u00e4rz 2017 ver\u00f6ffentlicht worden war. Das Unternehmen hatte zwei Monate Zeit, um das Update zu installieren, aber niemand k\u00fcmmerte sich darum.<\/p>\n

In diesem Artikel wird die Frage der Auswahl eines Tools zur Durchf\u00fchrung von SCA aus der Perspektive der Qualit\u00e4t der Analyseergebnisse diskutiert. Au\u00dferdem wird ein funktionaler Vergleich der Tools vorgestellt. Den Integrationsprozess in CI\/CD und die Integrationsm\u00f6glichkeiten lassen wir f\u00fcr zuk\u00fcnftige Ver\u00f6ffentlichungen. Eine umfassende Liste von Tools wurde von OWASP auf seiner Website<\/a><\/noindex>, aber im Rahmen des aktuellen Reviews werden wir nur das beliebteste Open-Source-Tool Dependency Check, die etwas weniger bekannte Open-Source-Plattform Dependency Track und die Enterprise-L\u00f6sung Sonatype Nexus IQ behandeln. Zudem werden wir untersuchen, wie diese L\u00f6sungen funktionieren und die erhaltenen Ergebnisse auf Falschmeldungen vergleichen.<\/p>\n

\"DevSecOps:
\n<\/p>\n

Funktionsweise<\/h3>\n

\nDependency Check<\/a><\/noindex> \u2014 ist ein Werkzeug (CLI, Maven, Jenkins-Modul, Ant), das Projektdateien analysiert, Informationsfragmente \u00fcber Abh\u00e4ngigkeiten (Paketname, GroupID, Spezifikationstitel, Version \u2026) sammelt, eine CPE-Zeichenfolge (Common Platform Enumeration), Package URL (PURL) erstellt und f\u00fcr CPE\/PURL Schwachstellen aus Datenbanken (NVD, Sonatype OSS Index, NPM Audit API \u2026) ermittelt, anschlie\u00dfend wird ein einmaliger Bericht im Format HTML, JSON, XML \u2026 erstellt.<\/p>\n

Schauen wir uns an, wie CPE aussieht:<\/p>\n

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n
<\/p>\n