Open-Source-Werkzeuge für die CRA-Vorbereitung Toolkit für KMU zur Dokumentation von Softwareabhängigkeiten und Sicherheitsrisiken

Anbieter zum Thema

Eclipse Foundation Inc. Ralph Müller

MicroConsult Academy GmbH

emlix GmbH

Linutronix GmbH

Das kostenlose OCCTET-Toolkit der Eclipse-Foundation bündelt Werkzeuge für SBOMs, Schwachstellenbewertung und Dokumentation. Dies soll KMUs ermöglichen, ihre Softwarebestände transparenter zu machen und sich gezielt auf Anforderungen des Cyber Resilience Act vorzubereiten.

Die Eclipse Foundation hat ein kostenloses Open-Source-Toolkit aus dem EU-finanzierten Projekt OCCTET veröffentlicht. Es richtet sich an kleine und mittlere Unternehmen sowie Open-Source-Projekte, die ihre Softwarebestände und den Umgang mit Sicherheitsrisiken nachvollziehbar dokumentieren wollen. Die Werkzeuge unterstützen die Bestandsaufnahme, die Bewertung bekannter Schwachstellen und die Erstellung von Unterlagen für die Vorbereitung auf den Cyber Resilience Act (CRA).

Als Einstieg dient ein Selbstbewertungsportal. Strukturierte Fragen sollen Unternehmen helfen, ihre mögliche Betroffenheit durch den CRA einzuordnen und Lücken in bestehenden Abläufen zu erkennen. Für KMU mit begrenzten personellen Ressourcen bietet das eine Grundlage, um anstehende Arbeiten zu priorisieren. Nach Angaben der Projektverantwortlichen fehlt es bisherigen Nutzern häufig weniger an einzelnen Sicherheitsmaßnahmen als an einer Übersicht über Softwarebestand, Zuständigkeiten und dokumentierte Entscheidungen.

Softwarebestand erfassen und tatsächliche Betroffenheit prüfen

Für die technische Bestandsaufnahme nutzt das Toolkit Eclipse Apoapsis auf Basis des OSS Review Toolkits. Das Werkzeug identifiziert Open-Source-Komponenten, Abhängigkeiten und Lizenzen und bezieht Informationen zu bekannten Schwachstellen ein. Daraus lassen sich unter anderem Software-Stücklisten, sogenannte SBOMs, erzeugen. Entwicklungsteams erhalten damit eine strukturierte Übersicht der erfassten Bestandteile ihres Produkts, die als Grundlage für weitere Sicherheitsprüfungen und die technische Dokumentation dient.

Die anschließende Prüfung unterstützt der von Bitsea entwickelte OCCTET Curator: Entwickler können Analyseergebnisse überprüfen, die Betroffenheit ihres Produkts bewerten, Probleme priorisieren und Entscheidungen festhalten. Das Werkzeug verbindet automatisierte Analysen mit manueller Überprüfung und unterstützt VEX-Berichte, die dokumentieren, ob ein Produkt von einer bekannten Schwachstelle betroffen ist. Der praktische Nutzen liegt darin, einen Schwachstellenfund einer konkreten Bewertung zuzuführen und die daraus abgeleiteten Maßnahmen nachvollziehbar zu machen.

Vorhandene Paketdaten nutzen, eigene Abläufe ergänzen

Gemeinsam nutzbare Datenbestände liefern ergänzend Informationen zu Softwarepaketen, Herkunft, Lizenzen und Schwachstellen. Der öffentliche PurlDB-Demonstrator unterstützt laut Projektangaben die Erstellung von Referenz-SBOMs für mehr als 20 Millionen Pakete; die VulnerableCode-Integration verknüpft Schwachstelleninformationen mit betroffenen Paketen. Solche Referenzdaten können die Recherche erleichtern. Welche Komponenten und Versionen tatsächlich im eigenen Produkt stecken und welche Sicherheitsfolgen daraus entstehen, muss das Entwicklungsteam jedoch anhand seines Produkts prüfen.

Für KMU bietet OCCTET damit Werkzeuge, um bislang verteilte Informationen für Sicherheitsarbeit und Dokumentation aufzubereiten. Die Behebung von Schwachstellen und die Einbindung der Ergebnisse in Entwicklungs-, Freigabe- und Meldeprozesse bleiben Aufgaben des Unternehmens. Aus erzeugten Berichten allein lässt sich keine vollständige CRA-Konformität ableiten. Die Mitteilung nennt Tests in zehn Technologie-Ökosystemen, beziffert aber weder den Integrationsaufwand noch die erzielbare Zeitersparnis. Über die Projektwebsite können Unternehmen die Dienste aufrufen und mit eigenen Produkten und Entwicklungsabläufen erproben.

CRA Konformität in Open Source Software

Eclipse Foundation startet OCCTET-Projekt für CRA-Konformität

KMU und Open-Source-Projekte können das Toolkit und die verfügbaren Ressourcen unter occtet.eu erkunden. Organisationen, die daran interessiert sind, die Dienste mit echten Produkten und Entwicklungsabläufen zu testen und Feedback zur Unterstützung der kontinuierlichen Verbesserung zu geben, können die Seite „OCCTET Get Engaged“ besuchen.(sg)

(ID:50953262)