{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: principes van werking en vergelijking van SCA. Deel \u00e9\u00e9n","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

De betekenis van Software Composition Analysis (SCA) in het ontwikkelingsproces groeit naarmate er jaarlijkse rapporten over kwetsbaarheden in open source bibliotheken verschijnen, gepubliceerd door bedrijven als Synopsys, Sonatype, Snyk en White Source. Volgens het rapport De Staat van Open Source Beveiligingskwetsbaarheden 2020<\/a><\/noindex> is het aantal ontdekte kwetsbaarheden in open source in 2019 bijna met 1,5 keer gestegen vergeleken met het voorgaande jaar, terwijl componenten met open source in 60% tot 80% van de projecten worden gebruikt. Volgens onafhankelijke bronnen zijn SCA-processen een aparte praktijk binnen OWASP SAMM en BSIMM als een maatstaf voor volwassenheid. In de eerste helft van 2020 heeft OWASP een nieuwe standaard gepubliceerd, de OWASP Software Component Verification Standard (SCVS), die best practices biedt voor het verifi\u00ebren van externe componenten in de softwareleveringsketen.<\/p>\n

\"DevSecOps:
\n<\/a><\/noindex>
\nEen van de meest significante gevallen vond plaats<\/a><\/noindex> met het bedrijf Equifax in mei 2017. Onbekende aanvallers verkregen toegang tot de informatie van 143 miljoen Amerikanen, waaronder volledige namen, adressen, sociale zekerheidsnummers en rijbewijzen. In 209.000 gevallen werd ook informatie over de creditcards van de slachtoffers vermeld. Deze datalek vond plaats als gevolg van de exploitatie van een kritieke kwetsbaarheid in Apache Struts 2 (CVE-2017-5638), terwijl de patch al in maart 2017 was vrijgegeven. Het bedrijf had twee maanden om de update te installeren, maar niemand maakte zich hier zorgen over.<\/p>\n

In dit artikel zal de keuze van een SCA-tool worden besproken vanuit het perspectief van de kwaliteit van de analyse-resultaten. Ook zal er een functionele vergelijking van de tools worden gepresenteerd. Het proces van integratie in CI\/CD en integratiemogelijkheden zullen we in toekomstige publicaties behandelen. Een uitgebreide lijst van tools is gepresenteerd door OWASP op hun website<\/a><\/noindex>, maar in deze review zullen we alleen ingaan op de meest populaire open source tool Dependency Check, de iets minder bekende open source platform Dependency Track en de Enterprise-oplossing Sonatype Nexus IQ. We zullen ook bekijken hoe deze oplossingen werken en de verkregen resultaten vergelijken op valse positieven.<\/p>\n

\"DevSecOps:
\n<\/p>\n

Werking principe<\/h3>\n

\nDependency Check<\/a><\/noindex> \u2014 is a utility (CLI, maven, jenkins module, ant) that analyzes project files, collects fragments of information about dependencies (package name, groupid, specification title, version\u2026), constructs a CPE string \u2014 (Common Platform Enumeration), Package URL (PURL), and detects vulnerabilities for CPE\/PURL from databases (NVD, Sonatype OSS Index, NPM Audit API\u2026), and then generates a one-time report in HTML, JSON, XML format\u2026<\/p>\n

Let\u2019s take a look at what CPE looks like:<\/p>\n

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n
<\/p>\n