Der Stand der Open-Source-Sicherheit: Umfrage 2020

Open-Source-Sicherheit liegt uns bei Snyk am Herzen. Seit 2017 veröffentlicht Snyk jedes Jahr unseren Bericht State of Open Source Security. Darin analysieren wir aktuelle Trends in der Open-Source-Sicherheit und untersuchen, wie Unternehmen Schwachstellen in ihrer Open-Source-Software und ihren Cloud-nativen Technologien verwalten. Für unsere Forschung bitten wir die Community, ihre Perspektiven in unserer Umfrage zum Stand der Open-Source-Sicherheit mit uns zu teilen. Die Umfrage für 2020 ist jetzt verfügbar – wir freuen uns auf Ihre Meinung!

Ihre Antworten auf diese Umfrage helfen uns, die Herausforderungen unserer Community besser zu verstehen und unsere Forschung auszurichten. Zusammen mit Daten, die wir auf unseren Plattformen und denen unserer Partner erheben und analysieren, veröffentlichen wir erneut diesen kostenlosen Bericht für die Community. Dieses Jahr erweitern wir unseren Fokus, um noch genauer auf Cloud-native Technologien wie Container, Orchestrierungstools und Infrastructure as Code einzugehen.

Open-Source-Sicherheit im Jahr 2019

In unserem Bericht von 2019 haben wir die Trends in verschiedenen Entwicklungsökosystemen und ihre Auswirkungen auf die Sicherheit eingehend untersucht. Unsere Forschung brachte zahlreiche bemerkenswerte Erkenntnisse zutage; einige zentrale Ergebnisse stachen besonders hervor. Diese Erkenntnisse aus dem Jahr 2019 wollen wir auch in unserem Bericht für 2020 weiter beobachten.

Bekannte Schwachstellen

Ein zentraler Aspekt unserer Untersuchung für den Bericht von 2019 war die Zahl der gemeldeten Sicherheitslücken in verschiedenen Ökosystemen. Bei der Untersuchung von Anwendungspaketen in PyPi, Golang, npm, Maven Central und PHP Packagist stellten wir fest, dass die Zahl der Schwachstellen im Zweijahreszeitraum 2017–2018 um fast 88 % gestiegen war. Insbesondere bei PHP nahm das Tempo, mit dem 2018 Schwachstellen gemeldet wurden, deutlich zu.

Bei Schwachstellen interessiert uns nicht nur ihre Gesamtzahl, sondern auch ihr Schweregrad. Von 2017 bis 2018 beobachteten wir einen durchaus ermutigenden Trend: Der Anteil hochgradiger Schwachstellen im Verhältnis zu Schwachstellen mittlerer Schwere verlagerte sich zugunsten der weniger riskanten Schwachstellen mittlerer Schwere.

Container-Sicherheit

Für unseren Bericht von 2019 begannen wir, einige der wichtigsten Trends bei Schwachstellen in Container-Images zu untersuchen. Dazu betrachteten wir bekannte Schwachstellen in den Systembibliotheken einiger der beliebtesten Images auf Docker Hub. Die durchschnittliche Zahl der Schwachstellen war recht hoch. Besonders häufig waren jedoch Node.js-Bibliotheken in diesen Images anfällig. Ein Lichtblick: 44 % der Schwachstellen ließen sich beheben, indem das Basis-Image durch eine weniger anfällige Version ersetzt wurde.

Zeit bis zur Behebung

Ein weiterer wichtiger Faktor für den allgemeinen Sicherheitsstatus des Open-Source-Ökosystems ist die Zeit, die Maintainer benötigen, um gemeldete Schwachstellen zu beheben und einen Fix bereitzustellen. Bei einigen der beliebtesten npm-Pakete stellten wir fest, dass die Behebung zwischen 289 und über 2.000 Tagen dauerte!

Pläne für den Bericht 2020

Die Erkenntnisse aus dem Jahr 2019 waren sehr interessant und in manchen Fällen durchaus aufschlussreich. Für den diesjährigen Bericht wollen wir die Trends bei vielen der zentralen Themen aus dem Bericht von 2019 weiter beobachten und unseren Blick zugleich erweitern. In unserer Umfrage stellen wir mehr Fragen dazu, wie Unternehmen ihre DevSecOps-Kultur fördern und die Sicherheit von Open-Source-Software, Containern und Orchestrierung verwalten.

Im Rahmen unserer Datenforschung bauen wir auf den Erkenntnissen aus dem Bericht von 2019 auf und erheben noch mehr Informationen zu Schwachstellen in den verschiedenen Ökosystemen. Wir untersuchen die Daten eingehender, um letztlich die Frage zu beantworten: Verbessert sich die Open-Source-Sicherheit? Zusammen mit den Umfrageergebnissen ergibt sich daraus ein aussagekräftiger Einblick in das Open-Source-Ökosystem, der Maintainer und Unternehmen dabei hilft, Sicherheitsinitiativen besser zu planen.

Unterstützen Sie uns dabei und nehmen Sie hier an der Umfrage teil!