{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: arbetsprinciper och j\u00e4mf\u00f6relse av SCA. Del ett","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Betydelsen av analys av tredjepartsprogramvara (p\u00e5 engelska Software Composition Analysis \u2014 SCA) under utvecklingsprocessen \u00f6kar i takt med \u00e5rliga rapporter om s\u00e5rbarheter i \u00f6ppen k\u00e4llkod som publiceras av f\u00f6retag som Synopsys, Sonatype, Snyk, White Source. Enligt rapporten Tillst\u00e5ndet f\u00f6r s\u00e5rbarheter inom \u00f6ppen k\u00e4llkod 2020<\/a><\/noindex> \u00f6kar antalet identifierade s\u00e5rbarheter inom \u00f6ppen k\u00e4llkod 2019 n\u00e4stan 1,5 g\u00e5nger j\u00e4mf\u00f6rt med f\u00f6reg\u00e5ende \u00e5r, medan komponenter med \u00f6ppen k\u00e4llkod anv\u00e4nds i 60 % till 80 % av projekten. Om man h\u00e4nvisar till oberoende \u00e5sikter \u00e4r SCA-processer en separat praxis inom OWASP SAMM och BSIMM som en indikator f\u00f6r mognad, och under f\u00f6rsta halvan av 2020 publicerade OWASP en ny standard, OWASP Software Component Verification Standard (SCVS), som tillhandah\u00e5ller b\u00e4sta praxis f\u00f6r kontroll av tredjeparts komponenter i mjukvaruleveranskedjan.<\/p>\n

\"DevSecOps:
\n<\/a><\/noindex>
\nEtt av de mest illustrativa fallen intr\u00e4ffade<\/a><\/noindex> med f\u00f6retaget Equifax i maj 2017. Ok\u00e4nda angripare fick tillg\u00e5ng till information om 143 miljoner amerikaner, inklusive fullst\u00e4ndiga namn, adresser, socialf\u00f6rs\u00e4kringsnummer och k\u00f6rkort. I 209 000 fall f\u00f6rekom \u00e4ven information om de drabbades bankkort i dokumenten. Denna l\u00e4cka intr\u00e4ffade till f\u00f6ljd av utnyttjandet av en kritisk s\u00e5rbarhet i Apache Struts 2 (CVE-2017-5638), trots att en fix hade sl\u00e4ppts redan i mars 2017. F\u00f6retaget hade tv\u00e5 m\u00e5nader p\u00e5 sig att installera uppdateringen, men ingen tog sig an detta.<\/p>\n

I denna artikel kommer vi att diskutera fr\u00e5gan om val av verktyg f\u00f6r att genomf\u00f6ra SCA ur perspektivet av analysens kvalitet. Vi kommer ocks\u00e5 att ge en funktionell j\u00e4mf\u00f6relse av verktygen. Processen f\u00f6r integration i CI\/CD och integrationsm\u00f6jligheterna l\u00e4mnar vi \u00e5t framtida publikationer. En omfattande lista med verktyg presenterades av OWASP p\u00e5 sin webbplats<\/a><\/noindex>, men inom ramen f\u00f6r denna \u00f6versikt kommer vi att ber\u00f6ra endast det mest popul\u00e4ra open source-verktyget Dependency Check, den n\u00e5got mindre k\u00e4nda open source-plattformen Dependency Track och f\u00f6retagsl\u00f6sningen Sonatype Nexus IQ. Vi kommer ocks\u00e5 att unders\u00f6ka hur dessa l\u00f6sningar fungerar och j\u00e4mf\u00f6ra resultaten g\u00e4llande falska positiva resultat.<\/p>\n

\"DevSecOps:
\n<\/p>\n

Arbetsprincip.<\/h3>\n

\nDependency Check<\/a><\/noindex> \u2014 \u00e4r ett verktyg (CLI, maven, jenkins modul, ant) som analyserar projektfiler, samlar fragment av information om beroenden (paketnamn, groupid, specifications titel, version\u2026), bygger en CPE-str\u00e4ng \u2014 (Common Platform Enumeration), Package URL (PURL) och identifierar s\u00e5rbarheter f\u00f6r CPE\/PURL fr\u00e5n databaser (NVD, Sonatype OSS Index, NPM Audit API\u2026), och skapar en eng\u00e5ngsrapport i formatet HTML, JSON, XML\u2026<\/p>\n

L\u00e5t oss titta p\u00e5 hur en CPE ser ut:<\/p>\n

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n
<\/p>\n