CodeSecDays-Konferenz und umfassenderer Sicherheitsschutz mit GitGuardian

Da Secrets bei den meisten Sicherheitsvorfällen eine Rolle spielen, freut sich Snyk über die Partnerschaft mit GitGuardian, um Entwicklungs- und Sicherheitsteams dabei zu unterstützen, ihre Sicherheitsprogramme zu skalieren und die Angriffsfläche einer Anwendung in jeder Phase des Code-to-Cloud-Lebenszyklus weiter zu reduzieren.

Kürzlich haben wir auf der ersten digitalen Konferenz von GitGuardian gesprochen, den CodeSecDays, gemeinsam mit Security-Verantwortlichen von Chainguard, Doppler, Kondukto und weiteren Unternehmen. Sie teilten Einblicke in Software-Signierung, Open-Source-Sicherheit und Secrets-Management. 

Die Panelteilnehmer entwerfen das Bild einer Welt, in der die Sicherheit der Software-Lieferkette gewährleistet ist 

Eine der beliebtesten Sessions war das von Rachel Stephens, Analystin bei RedMonk, moderierte Panel. Sonya Moisset, Senior Security Advocate bei Snyk, betonte, wie wichtig es ist, die Silos zwischen Entwicklungs- und Sicherheitsteams in Unternehmen aufzubrechen, um sicherere Software-Lieferketten zu schaffen. Sie sagte, es sei wichtig zu erklären, wie sich neue Sicherheitstools in die Workflows und Pipelines der Entwicklungsteams einfügen, um Hürden und Reibungsverluste zu minimieren.  Außerdem hob sie hervor, wie wichtig es ist, Entwicklerinnen und Entwickler von Anfang an erfolgreich an Bord zu holen, um die Akzeptanz neuer Tools zu steigern. 

Nic Manoogian, Senior Software Engineer bei Doppler, betonte, dass man Entwicklern die Arbeit erleichtern müsse. Er sagte, jedes Unternehmen stelle kluge Menschen ein, die gut mit Computern umgehen können. Wenn man ihnen also Steine in den Weg lege, würden sie einen Umweg finden.  Alle Ingenieurinnen und Ingenieure bei Doppler sind in Sicherheit geschult, und auch das Sicherheitsteam versteht, dass die Arbeit aufseiten der Entwicklung erledigt werden muss. Seiner Ansicht nach können Entwicklungs- und Sicherheitsteams symbiotisch zusammenarbeiten.

Wir müssen das Lernen über Sicherheit unterhaltsam gestalten und Entwickler motivieren. Gamification, Hackathons und Bug-Bashes, bei denen Schwachstellen in einem Sprint behoben werden, tragen alle dazu bei, das Bewusstsein zu schärfen und Schwachstellen in Unternehmen zu beheben.“

– Sonya Moisset, Senior Security Advocate bei Snyk

Die Panelteilnehmer sprachen außerdem darüber, wie erfolgreiche Sicherheitsschulungen gestaltet werden können, wie Sie den größtmöglichen Nutzen aus Ihren Sicherheitstools ziehen und welche wichtigsten Schritte die Sicherheitslage Ihres Unternehmens verbessern. 

Wer mit der Absicherung der Software-Lieferkette beginnen möchte, sollte laut Kayssar Daher, Staff Security Engineer bei GitGuardian, klein anfangen. Richten Sie beispielsweise eine Registry für Ihre Python-Pakete ein, um sie auf Sicherheitsprobleme zu überprüfen. Sonya empfahl, zunächst mit ein oder zwei Teams zusammenzuarbeiten, bevor die Lösung auf Hunderte von Teams ausgeweitet wird. Eddie Zane, Staff Developer Relations bei Chainguard, meinte, ein guter Ausgangspunkt sei außerdem, die verwendeten Abhängigkeiten zu erfassen.

„Ich nehme an vielen Veranstaltungen teil. Im vergangenen Jahr habe ich Unternehmen gesehen, bei denen man nie an den Bereich der Software-Lieferkette gedacht hätte. Es fühlt sich an, als würden viele eine Lösung zum Abhaken einer Checkliste verkaufen. Es gibt neue Vorschriften und Executive Orders, aber keine Patentlösung für dieses Problem.“

– Eddie Zane, Staff Developer Relations bei Chainguard

Da künstliche Intelligenz zunehmend in Entwicklungs-Workflows eingesetzt wird, sollten Sie laut Sonya bedenken, dass von KI generierter Code möglicherweise ebenfalls Schwachstellen enthalten kann – genau wie der Code, den wir in einem Unternehmen selbst schreiben. Daher ist es entscheidend, denselben Tool-Stack und Workflow zu verwenden, um KI-generierten Code zu scannen und sicherzustellen, dass er frei von Sicherheitslücken ist.  

Der Eisberg: Ihre Angriffsfläche ist gerade größer geworden

In ihrem eigenständigen Vortrag ging Sonya darauf ein, wie sich Risiken in Open-Source-Projekten mindern lassen. Sie beschrieb zentrale Herausforderungen der Cybersicherheit, Tools aus dem GitHub Marketplace zur Absicherung Ihrer Pipeline und bewährte Verfahren zur Stärkung Ihrer Open-Source-Sicherheit. Anhand der „Eisberg“-Analogie veranschaulichte sie die verschiedenen Ebenen einer modernen Anwendung, darunter Anwendungscode, Open-Source-Bibliotheken, Container und Infrastructure as Code. Über der Wasseroberfläche ist nur die Spitze zu sehen – moderne Anwendungen bestehen jedoch aus vielen Ebenen, die nicht sofort sichtbar, aber für ihre Funktion unerlässlich sind. 

Die Eisberg-Analogie verdeutlicht die Komplexität moderner Anwendungen und wie wichtig ein ganzheitlicher Ansatz für ihre Absicherung ist. Damit eine Anwendung sicher ist, müssen Sie alle diese Ebenen berücksichtigen und absichern, einschließlich proprietärem Code, Open-Source-Bibliotheken, Containern und Infrastructure as Code.

Sonya beginnt ihren Vortrag mit einigen der häufigsten Angriffe auf Open-Source-Software, etwa Typosquatting und dem Einschleusen von bösartigem Code in Software. Die offene Zugänglichkeit von Open-Source-Software macht sie außerdem anfällig für Angriffe auf die Lieferkette. Bei Open-Source-Projekten können Angreifer Schwachstellen in die erstellte Software einschleusen und so neue Bedrohungen leicht an Unternehmen verbreiten, die diese Software verwenden.

Sichern Sie Ihre Pipeline in jeder Phase des SDLC ab

Um diese und andere Angriffe abzuwehren, können Sie die im GitHub Marketplace verfügbaren Sicherheitsanwendungen und -aktionen nutzen, um Ihre Pipeline in jeder Phase des Softwareentwicklungslebenszyklus abzusichern. Laut Sonya sollten Maintainer und Mitwirkende eine grundlegende Pipeline aufbauen, die Folgendes umfasst:

• Ein Tool zur Software Composition Analysis, das Open-Source-Komponenten in einer Codebasis identifiziert, damit Maintainer und Mitwirkende ihre Risiken in Bezug auf Sicherheits- und Lizenz-Compliance-Probleme verwalten können.

• Ein Tool, das die unkontrollierte Verbreitung von Secrets verhindert, also die unerwünschte Verteilung von Secrets wie API-Schlüsseln und Zugangsdaten über mehrere Systeme hinweg.

• Ein Tool für die statische Codeanalyse. Dabei handelt es sich um eine Methode zur Fehlersuche, bei der der Quellcode vor der Ausführung eines Programms untersucht und anhand festgelegter Programmierrichtlinien analysiert wird.

Anschließend stellt sie wirksame Strategien für den Umgang mit Secrets vor, etwa die Verschlüsselung vertraulicher Informationen. Außerdem erläutert sie, wie sich statische Codeanalyse in den verschiedenen Phasen des Softwareentwicklungslebenszyklus einsetzen lässt – vom frühen Entwurf und der Entwicklung bis hin zu Tests und Bereitstellung. Ausführliche Informationen zu diesem Thema finden Sie in Sonyas „Open Source Software Security Handbook – Best Practices for Securing Your Projects“.

Wenn Sie das Ziel der CodeSecDays teilen und sich eine Welt ohne Sicherheitslücken vorstellen, finden Sie hier die vollständige Playlist der Veranstaltung.  

Legen Sie mit Snyk und GitGuardian los

Wenn Sie mehr darüber erfahren möchten, wie GitGuardian und Snyk Sie dabei unterstützen können, sicherer zu entwickeln, schreiben Sie uns an tapp@snyk.io oder vereinbaren Sie eine Demo mit unserem Team.