{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: Arbeitsprinzipien und Vergleich von SCA. Teil eins","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Bedeutung der Analyse von Drittanbieter-Softwarekomponenten (engl. Software Composition Analysis \u2014 SCA) im Entwicklungsprozess w\u00e4chst. Dies zeigt sich in den j\u00e4hrlichen Berichten \u00fcber Schwachstellen in Open-Source-Bibliotheken, die von Firmen wie Synopsys, Sonatype, Snyk und White Source ver\u00f6ffentlicht werden. Laut dem Bericht The State of Open Source Security Vulnerabilities 2020<\/a><\/noindex> hat die Zahl der entdeckten Schwachstellen in Open Source im Jahr 2019 fast um das 1,5-Fache im Vergleich zum Vorjahr zugenommen, w\u00e4hrend Komponenten mit offenem Code in 60 % bis 80 % der Projekte verwendet werden. Laut unabh\u00e4ngiger Meinung sind SCA-Prozesse eine eigenst\u00e4ndige Praxis in OWASP SAMM und BSIMM als Indikator f\u00fcr die Reife. In der ersten H\u00e4lfte des Jahres 2020 ver\u00f6ffentlichte OWASP den neuen Standard OWASP Software Component Verification Standard (SCVS), der Best Practices zur \u00dcberpr\u00fcfung von Drittanbieterkomponenten in der Software-Lieferkette bereitstellt.<\/p>\n

\"DevSecOps:
\n<\/a><\/noindex>
\nEiner der beeindruckendsten F\u00e4lle geschah<\/a><\/noindex> Im Mai 2017 kam es zu einem Vorfall mit der Firma Equifax. Unbekannte Angreifer erlangten Zugriff auf die Daten von 143 Millionen Amerikanern, einschlie\u00dflich vollst\u00e4ndiger Namen, Adressen, Sozialversicherungsnummern und F\u00fchrerscheindaten. In 209.000 F\u00e4llen waren auch Informationen zu den Bankkarten der Betroffenen betroffen. Diese Datenpanne resultierte aus der Ausnutzung einer kritischen Schwachstelle in Apache Struts 2 (CVE-2017-5638), w\u00e4hrend das Patch bereits im M\u00e4rz 2017 ver\u00f6ffentlicht wurde. Das Unternehmen hatte zwei Monate Zeit, um das Update zu implementieren, doch diese Frist wurde nicht eingehalten.<\/p>\n

In diesem Artikel wird die Auswahl eines Tools f\u00fcr die Durchf\u00fchrung von SCA aus der Perspektive der Analysequalit\u00e4t diskutiert. Au\u00dferdem wird ein funktionaler Vergleich der Tools vorgestellt. Den Prozess der Integration in CI\/CD und die Integrationsm\u00f6glichkeiten lassen wir f\u00fcr zuk\u00fcnftige Ver\u00f6ffentlichungen offen. Eine umfangreiche Liste von Tools wurde von OWASP ver\u00f6ffentlicht. auf ihrer Website<\/a><\/noindex>, aber in diesem \u00dcberblick konzentrieren wir uns nur auf das am weitesten verbreitete Open-Source-Tool Dependency Check, die etwas weniger bekannte Open-Source-Plattform Dependency Track und die Enterprise-L\u00f6sung Sonatype Nexus IQ. Wir werden auch untersuchen, wie diese L\u00f6sungen funktionieren und die Ergebnisse hinsichtlich falsch-positiver Meldungen vergleichen.<\/p>\n

\"DevSecOps:
\n<\/p>\n

Funktionsweise<\/h3>\n

\nDependency Check<\/a><\/noindex> ist ein Tool (CLI, Maven, Jenkins-Modul, Ant), das die Projektdateien analysiert, Informationen \u00fcber Abh\u00e4ngigkeiten (Paketname, GroupID, Spezifikationstitel, Version\u2026) sammelt, eine CPE-Zeichenfolge (Common Platform Enumeration), Package URL (PURL) erstellt und f\u00fcr CPE\/PURL Schwachstellen aus Datenbanken (NVD, Sonatype OSS Index, NPM Audit API\u2026) identifiziert, wonach ein einmaliger Bericht im Format HTML, JSON, XML\u2026 erstellt wird.<\/p>\n

Schauen wir uns an, wie eine CPE aussieht:<\/p>\n

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n
<\/p>\n