SBOM, CI/CD-Pipeline & mehr 7 Maßnahmen für sichere Software-Lieferketten

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

Parasoft® Deutschland GmbH

Bei der Sicherheit von Software-Lieferketten geht es um mehr als nur die Erstellung einer CI/CD-Pipeline. Sie muss sicher konfiguriert sein, genauso wie IaC-Templates. Auch das kontinuierliche Scannen auf Schwachstellen aller Software-Komponenten gehört dazu.

Lieferketten sind sowohl in der Produktion wie auch in der Software-Entwicklung das Herzstück eines reibungslosen Ablaufs. In der Vergangenheit waren die Lieferketten allerdings immer häufiger Ziel von Cyberkriminellen. Auch aufgrund der der wachsenden Anforderungen und der zunehmenden Komplexität der Software-Komponenten benötigt die Sicherheit von Supply Chains laut Palo Alto Networks mehr Aufmerksamkeit. Der Hersteller liefert sieben Maßnahmen, mit denen sich Risiken frühzeitig erkennen und priorisieren und Angriffe auf die Software-Lieferkette verhindern lassen.

Vorfall offenbarte einen eklatanten Mangel an Vorkehrungen

CrowdStrike-Ausfall: Wendepunkt für das Software-Engineering

1. IaC auf Fehlkonfigurationen prüfen

Infrastructure-as-Code-Templates wie Terraform, CloudFormation, Azure Resource Manager (ARM), oder Kubernetes können Palo Alto zufolge unsichere Voreinstellungen enthalten, die wiederum ein leichtes Ziel für Cyberangriffe darstellen. Um Sicherheitslücken zu vermeiden, sollten Unternehmen IaC-Best-Practices implementieren, Fehlkonfigurationen frühzeitig beheben und sensible Daten schützen. Dazu gehören regelmäßiges Scannen und die Einhaltung von Sicherheitsrichtlinien.

2. Open-Source-Pakete auf bekannte Schwachstellen scannen

Moderne Anwendungen bestehen laut Palo Alto bis zu 96 Prozent aus Open-Source-Komponenten. Viele davon würden bekannte Schwachstellen aufweisen. Um einen Überblick darüber zu erhalten, können CISOs auf Datenbanken wie die Common Vulnerabilities and Exposures (CVE) zurückgreifen, die Informationen zu bekannten Sicherheitslücken enthalten. Auch Code-Bibliotheken sollten Sie regelmäßig scannen, betroffene Pakete aktualisieren und Patches anhand von Risikobewertungen wie CVSS priorisieren.

Wie Unternehmen Open-Source-Komponenten sicher verwenden

Offene Quelle, offene Schwachstelle?

3. Container-Images im gesamten Entwicklungszyklus prüfen

ontainer-Images sollten in jeder Phase der Entwicklung überprüft werden – von der Erstellung einer CI/CD-Pipeline bis hin zum produktiven Betrieb. Außerdem empfiehlt Palo Alto, unbekannte Images in Sandboxes zu testen, um mögliche Malware zu erkennen, ohne dass dies Auswirkungen auf die Systeme hat. Grundsätzlich sollten unbedingt nur vertrauenswürdige Quellen verwendet werden, um Image-Poisoning-Angriffe zu vermeiden.

Container-Security

Schutz in der Build-Phase reicht nicht

4. Versionskontrollsysteme stärken

Da die Sicherheit der Lieferketten maßgeblich vom System abhängt, das sie verwaltet, kann ein falsch konfiguriertes Versionskontrollsystem (VCS) zum Einfallstor für Cyberkriminelle werden, wenn passenden Zugriffssteuerungen und Branche Protections fehlen. Daher seien Maßnahmen wie die Aktivierung von Zwei-Faktor-Authentifizierung (2FA), Single-Sign-On (SSO) und IP-Beschränkung sowie der Schutz von Branches vor gefälschten Commits genauso wie vorgeschriebene Code-Reviews in den Entwicklerteams unerlässlich.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

5. CI/CD-Pipelines sicher konfigurieren

Als Rückgrat der Code-Bereitstellung bezeichnet Palo Alto CI/CD-Pipelines. Deshalb erfordern sie besondere Sicherheitsvorkehrungen. Denn ungeprüfte Änderungen der Abläufe können dazu führen, dass Zugangsdaten offengelegt werden oder Code manipuliert wird. Indem sie die Pipeline-Konfigurationen monitoren, unsichere Befehle vermeiden, nur eingeschränkten Zugriff auf sensible Umgebungen erlauben und Test- und Deployment-Berechtigungen voneinander trennen, können Unternehmen dieses Risiko vermeiden.

6. Daten sicher speichern und verwalten

Auch auf die Sicherheit von Zugriffsdaten sollten Unternehmen ein besonderes Augenmerk legen. Hierfür empfiehlt Palo Alto den Einsatz von spezialisierten Tresore wie HashiCorp Vault oder Azure Key Vault, um vertrauliche Informationen sicher zu speichern. Darüber hinaus sollten Zugangsschlüssel regelmäßig geändert und ein Plan zur Deaktivierung, zum Widerruf und zur Erstellung neuer Anmeldeinformationen implementiert werden.

Cloud-Storage-Datenmanagement

Erhöhte Sicherheit und erweiterte Optionen für die Vawlt-„Supercloud“

7. End-to-End-Sichtbarkeit schaffen

Mithilfe einer Software Bill of Materials (SBOM) und umfassender Code-to-Cloud-Transparenz können Sicherheitsteams Palo Alto zufolge Schwachstellen gezielt priorisieren und im Ernstfall schnell die richtigen Maßnahmen ergreifen, um Schäden zu begrenzen.

„Die Sicherheit der Softwarelieferkette hängt davon ab, Schwachstellen frühzeitig zu identifizieren und alle Ebenen zu schützen – von der Infrastruktur über den Code bis hin zu den Pipelines“, sagt Marc Meckel, Manager Domain Consulting bei Palo Alto Networks. „Besonders kritisch ist dabei die kontinuierliche Überwachung und Anpassung der Sicherheitsmaßnahmen. Wer heute seine Supply Chain absichert, muss morgen bereits die nächsten Bedrohungen antizipieren. Unternehmen sollten daher nicht nur in Technologien, sondern auch in die Schulung ihrer Entwicklungsteams investieren, um eine nachhaltige Sicherheitskultur zu etablieren. Die größte Herausforderung liegt dabei oft nicht in der Implementierung einzelner Sicherheitsmaßnahmen, sondern in deren nahtloser Integration in bestehende Entwicklungsprozesse.“

Adversarial Tests, SBOMs & Schulungen

So machen Unternehmen ihre Software sicherer

(ID:50355954)