OpenText-Startseite.
Technische Themen

Was ist Open-Source-Sicherheit?

Illustration von IT-Artikeln mit Schwerpunkt auf einem Laptop

Übersicht

Open-Source-Sicherheit, gemeinhin als Software Composition Analysis (SCA) bezeichnet, ist eine Methode, die Benutzern einen besseren Einblick in das Open-Source-Inventar ihrer Anwendungen ermöglicht. Dies geschieht durch die Untersuchung von Komponenten anhand von binären Fingerabdrücken, die Nutzung professionell kuratierter und geschützter Forschungsergebnisse, den Abgleich präziser Scans mit diesen geschützten Erkenntnissen sowie die Bereitstellung dieser Erkenntnisse für Entwickler direkt in ihren bevorzugten Tools.

Was ist Open Source?

Was ist Open Source?

Unter Open Source versteht man jede Software mit zugänglichem Quellcode, den jeder frei verändern und weitergeben kann. Der Quellcode ist der Teil der Software, den die Benutzer nicht sehen. Es ist der Code, den Programmierer erstellen und bearbeiten können, um die Funktionsweise der Software zu ändern. Durch den Zugriff auf den Quellcode eines Programms können die Entwickler oder Programmierer die Software verbessern, indem sie Funktionen hinzufügen oder Teile, die nicht immer korrekt funktionieren, korrigieren.

Warum Open-Source-Software verwenden?

In der heutigen schnelllebigen Geschäftswelt haben Softwareteams agile Entwicklungsverfahren wie DevOps eingeführt, um mit der Nachfrage des Unternehmens Schritt zu halten. Diese Praktiken üben einen großen Druck auf die Entwickler aus, Anwendungen schneller zu erstellen und bereitzustellen. Um ihre Ziele innerhalb kurzer Software-Release-Zyklen zu erreichen, verwenden Entwickler häufig Open-Source-Softwarekomponenten. Open-Source-Software (OSS) wird frei verteilt und ist daher sehr kostengünstig. Viele Entwickler profitieren davon, mit OSS zu beginnen und sie dann an ihre Bedürfnisse anzupassen. Da der Code offen ist, muss er nur geändert werden, um die gewünschten Funktionen hinzuzufügen.

Ist Open Source ein Sicherheitsrisiko?

Es ist kein Geheimnis, dass Entwickler Open-Source-Software verwenden.

Dennoch stellt sich die Frage, wie es gehandhabt werden soll - und das aus gutem Grund.

Hier ist der Grund dafür:

  • Open-Source-Komponenten sind nicht alle gleich. Einige sind von Anfang an anfällig, während andere mit der Zeit schlecht werden.
  • Die Nutzung ist komplexer geworden. Bei mehreren Milliarden Downloads wird es immer schwieriger, Bibliotheken und direkte Abhängigkeiten zu verwalten.
  • Transitive Abhängigkeiten: Wenn Sie Tools zur Verwaltung von Abhängigkeiten wie Maven (Java), Bower (JavaScript), Bundler (Ruby) usw. verwenden, ziehen Sie automatisch Abhängigkeiten von Drittanbietern mit ein - eine Belastung, die Sie sich nicht leisten können.
  • 300.000+ Open-Source-Komponenten werden jährlich von einem durchschnittlichen Unternehmen heruntergeladen
  • Im Jahr 2018 wies bei Milliarden von Downloads von Open-Source-Komponenten 1 von 10 Open-Source-Komponenten bekannte Sicherheitslücken auf (10,3%).
  • 51% der heruntergeladenen JavaScript-Pakete enthielten bekannte Sicherheitslücken.
  • 71% Anstieg der bestätigten oder vermuteten Sicherheitsverletzungen im Zusammenhang mit Open Source seit 2014

Wie erkenne ich Open-Source-Schwachstellen in meiner Software?

Unternehmen müssen nicht nur den von ihnen geschriebenen Code sichern, sondern auch den Code, den sie aus Open-Source-Komponenten beziehen. Deshalb setzen viele Unternehmen Sonatype ein, um Open Source Governance in großem Umfang über den gesamten SDLC zu automatisieren und die Sicherheit in die Entwicklungs- und Build-Phasen zu verlagern.

Entdecken Sie die beste integrierte Lösung für die Sicherheit von benutzerdefiniertem Code und Open Source Code mit OpenText™ Cybersecurity Cloud und Sonatype. Präzise Open-Source-Intelligenz bietet eine 360-Grad-Ansicht von Anwendungssicherheitsproblemen über den benutzerdefinierten Code und Open-Source-Komponenten in einem einzigen Scan. Sie können in einem einzigen Scan und Dashboard nach Schwachstellen in Open Source und benutzerdefiniertem Code suchen.

Fortify bietet auch Open-Source-Intelligenz und Sicherheit durch Debricked, das modernes maschinelles Lernen für schnellere und präzisere Ergebnisse nutzt. Debricked ist eine Cloud-native Lösung zur Analyse der Softwarekomposition, die von Entwicklern gerne genutzt wird und die Produktivität steigert. Diese Lösung verfolgt einen ganzheitlichen Ansatz mit nahtlosen Integrationen in den DevOps-Lebenszyklus, um Risiken in der Software-Lieferkette proaktiv zu verwalten.

Verwandte Produkte

OpenText™ Fortify On Demand

Profitieren Sie von Sicherheitstests, Schwachstellenverwaltung, spezifischer Expertise und Support

OpenText™ Fortify Statischer Code-Analysator

Erkennen und beheben Sie Sicherheitsprobleme schon frühzeitig mit den genauesten Ergebnissen der Branche

OpenText™ Cybersecurity Cloud

Verteidigen Sie sich präzise, sichern Sie sich zuverlässig

Identity and Access Management

Sichern Sie Ihre digitalen Ressourcen durch eine zuverlässige Verwaltung von Identitäten und Zugriff

Privatsphäre und Datenschutz

Daten sichern, Risiken reduzieren, Compliance verbessern und Zugriff regeln

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten