Rückblick auf Q4 2020 – iOS-Remotecodeausführung, Developer-first-SAST und mehr

In diesem vierten Teil unseres Jahresrückblicks im Snyk Blog beleuchten wir einige unserer wichtigsten Ankündigungen und Neuigkeiten, die im Oktober, November und Dezember im Blog erschienen sind und ein ereignisreiches Jahr abrunden. Zuvor haben wir in jedem Quartal drei Beiträge hervorgehoben – von Best Practices für Angular über zwei Finanzierungsrunden bis hin zu einer Übernahme. Was für ein Jahr! Wir beginnen mit einem Beitrag, auf den wir bereits im vorherigen Artikel hingewiesen haben.

SIEHE AUCH: Rückblick auf Q1 2020 — JVM-Ökosystembericht, DevSecOps-Einblicke und mehr

Oktober 2020: SourMint: iOS-Remotecodeausführung, Erkenntnisse zu Android und Reaktionen der Community

Wie im Beitrag zum dritten Quartal erwähnt, gab es zwei Offenlegungen, nachdem wir verdächtige Aktivitäten des Sourmint SDK auf iOS- und Android-Plattformen festgestellt hatten. In unserem ersten Blogbeitrag im August beschrieben wir zunächst nur das schädliche Verhalten, das wir in der iOS-Version des SDK entdeckt hatten. Dabei ging es hauptsächlich um Anzeigenbetrug und Datenlecks. Im Oktober veröffentlichten wir jedoch neue Erkenntnisse, denen zufolge eine Remotecodeausführung unter iOS möglich war, die sich über Werbebanner oder durch Mintegral selbst ausnutzen ließ. Außerdem enthielt auch das Android-SDK schädlichen Code, der vertrauliche Daten preisgeben konnte. Das folgende Video zeigt dies:

Play Video: Malicious Mintegral SDK Leaks Data on Android

Der Blogbeitrag ging auf die bemerkenswerten Reaktionen der Community ein. So führten einige Monetarisierungsplattformen wie MoPub Mintegral nun als veraltetes Netzwerk und empfahlen, es „aus allen Inventarsegmenten und Positionen zu entfernen“. Singular, ein Mobile Measurement Provider (MMP), analysierte das Verhalten und fand Hinweise auf Click Hijacking in einigen SDK-basierten Netzwerken. Außerdem verglich Singular die Rate verdächtiger Aktivitäten vor und nach unserer Veröffentlichung.

Oktober 2020: Wir stellen SAST für Entwicklerinnen und Entwickler mit Snyk Code vor

Im vorherigen Beitrag hatten wir bereits einen Vorgeschmack auf das neue, auf Entwicklerinnen und Entwickler ausgerichtete SAST-Produkt von Snyk gegeben: Snyk Code. Als die Übernahme angekündigt wurde, erkannten zwar viele richtig, worauf wir hinauswollten, doch offiziell bekannt gegeben hatten wir es noch nicht. Bei der ersten SnykCon stellte Guy Podjarny das neue Produkt dann während der Eröffnungs-Keynote vor – wie ein stolzer frischgebackener Vater. „Was ist SAST?“, fragen Sie vielleicht. Für die meisten Entwicklerinnen und Entwickler ist der Begriff wahrscheinlich nicht geläufig. SAST steht für Static Application Security Testing und bezeichnet eine Testmethode, mit der sich Schwachstellen im Code Ihrer Anwendung erkennen lassen. Anders als bei Tests zur Software Composition Analysis (SCA), die bekannte Schwachstellen in den Abhängigkeiten Ihrer Anwendung aufspüren. Wenn Sie sowohl den Anwendungscode als auch die verwendeten Abhängigkeiten scannen, ergänzen sich die Ansätze und bieten eine deutlich bessere Sicherheitsabdeckung für Ihre gesamte Anwendung.

Doch dabei sollte es nicht bleiben – insbesondere, wenn wir bedenken, wie moderne Anwendungen architektonisch aufgebaut und entwickelt werden. Wenn Sie eine cloudnative Anwendung erstellen, schreiben Sie wahrscheinlich auch Dockerfiles, die den Container beschreiben, in dem Ihre Anwendung bereitgestellt wird, sowie Infrastructure-as-Code-Skripte, die zur Bereitstellung und Konfiguration der Anwendungsumgebung erforderlich sind. Entwicklerinnen und Entwickler, die diesen Code und diese Konfiguration schreiben und pflegen, müssen all das berücksichtigen. Eine echte Plattform für cloudnative Anwendungen sollte deshalb nicht nur den Anwendungscode und seine Abhängigkeiten testen, sondern auch Container-Abhängigkeiten und unsichere Standardeinstellungen in Infrastructure-as-Code-Skripten. Wenn das Ihre Entwicklungsumgebung beschreibt, sollten Sie sich die Tools von Snyk ansehen. Sie decken Ihre Sicherheitsanforderungen in all diesen Bereichen cloudnativer Anwendungen ab.

SIEHE AUCH: Rückblick auf Q3 2020 – Snyk und DeepCode, Best Practices für Angular-Sicherheit und mehr

Oktober 2020: Rückblicke auf Tag 1 und Tag 2 der SnykCon

Die letzten Beiträge, die wir im Jahresrückblick 2020 hervorheben, drehen sich um unsere SnykCon. Es handelt sich um Rückblicke, die in diesem Blog vorgestellt werden – ein Rückblick auf Rückblicke sozusagen. Auf der SnykCon gab es zahlreiche großartige Ankündigungen. Einige davon haben wir bereits erwähnt, darunter natürlich die Vorstellung von Snyk Code. Eine Ankündigung machte viele von uns besonders stolz, Teil von Snyk zu sein: Wir verkündeten, dass wir gemäß dem CarbonNeutral Protocol, der führenden internationalen Richtlinie für Nachhaltigkeit, den Status CarbonNeutral® erreicht hatten. Mithilfe einer Kombination aus Maßnahmen zur Steigerung der betrieblichen Effizienz, externen Emissionsminderungsprojekten und Investitionen in erneuerbare Energien wollen wir unseren CO₂-Fußabdruck von 2.400 Tonnen ausgleichen. Gerade jetzt ist es wichtig, nicht nur ernsthaft über Probleme zu sprechen, die uns alle betreffen, sondern auch tatsächlich etwas dagegen zu unternehmen. Ich freue mich, für ein Unternehmen zu arbeiten, das dieses Thema ernst nimmt und offiziell als CarbonNeutral-Unternehmen anerkannt ist!

Kürzlich wurden viele großartige Produktfunktionen ergänzt. Eine davon ist mir besonders aufgefallen und stößt bei Entwicklerinnen und Entwicklern stets auf großes Interesse: Dockerfiles direkt in Quellcode-Repositories wie GitHub erkennen zu können. Das ist ein wichtiger Schritt, um Sicherheitstests bei Entwicklerinnen und Entwicklern zu etablieren. Dafür müssen Sicherheitsscans und -tests zugänglich und in die Entwicklungstools integriert sein.

Eine weitere strategisch wichtige Ankündigung machten Snyk-CEO Peter McKay und Docker-CEO Scott Johnston gemeinsam: die Partnerschaft ihrer Unternehmen. Sie gaben bekannt, dass Snyk künftig exklusiv Sicherheitseinblicke für Docker Official Images und weitere zukünftige Programme zur Inhaltszertifizierung bereitstellt. Johnston erklärte, dass die Sicherheitseinblicke von Snyk Entwicklerinnen und Entwicklern als wichtiger Prüfpunkt dienen, um zu bestätigen, dass Images gut gepflegt und sicher sind.

Bei der SnykCon wurden noch viele weitere großartige Inhalte aufgezeichnet. Ich empfehle Ihnen daher sehr, sich die Videos auf der Snyk-Website anzusehen.

Wie bei früheren Blogbeiträgen haben es einige Artikel nicht in unsere Auswahl der Highlights geschafft. Das heißt aber nicht, dass Sie sie sich nicht ansehen sollten! Dazu gehört die Unterstützung von Snyk in der beliebten JHipster-Anwendungsgeneratorplattform. Außerdem haben wir eine elegant gestaltete Snyk-Entwickler-Community veröffentlicht, die Sie unter https://community.snyk.io finden. Nach unserem Spickzettel mit Best Practices für die Angular-Sicherheit durfte natürlich auch einer für das React-Framework nicht fehlen! Und nicht zuletzt haben wir unseren beliebten Snyk-CLI-Spickzettel aktualisiert und dabei auch die Container-Unterstützung ergänzt.

Damit wünschen wir Ihnen einen sicheren und schönen Jahresausklang. Freuen Sie sich auf weitere großartige Inhalte im Snyk Blog 2021!