Software-Sicherheit leicht gemacht

Veracode verbessert Entwicklerfreundlichkeit

Black Hat (Stand #2428) – Veracode, ein weltweit führender Anbieter von Lösungen zum Testen der Anwendungssicherheit, gab heute die Erweiterung seiner Continuous Software Security Platform mit umfangreichen Verbesserungen der integrierten Entwicklerfunktionen bekannt. Zu den neuen Funktionen gehören erweiterte Integrationen zur Unterstützung der Softwarekompositionsanalyse (SCA), eine Anwendungsprogrammierschnittstelle (API) für Software Bill of Materials (SBOM) sowie zusätzliche Sprach- und Framework-Unterstützung für die statische Analyse, wodurch die Fähigkeit der Entwickler zur Sicherung von Software in den Umgebungen, in denen sie arbeiten, weiter verbessert wird.

Diese Pressemitteilung enthält multimediale Inhalte. Die vollständige Mitteilung hier ansehen: https://www.businesswire.com/news/home/20220809005146/de/

Fig. 1 Veracode “Beat the Heat” security flaw heat map, State of Software Security Report v12 (Graphic: Business Wire)

Brian Roche, Chief Product Officer bei Veracode, sagte: „Moderne Anwendungen werden meist zusammengestellt und nicht von Grund auf neu geschrieben. Open-Source-Code macht einen beträchtlichen Anteil der geprüften Codebasen aus - beispielsweise bestehen 97 Prozent der typischen Java-Anwendungen aus Open-Source-Bibliotheken* - was das Sicherheitsrisiko und die Notwendigkeit, Risiken in der Lieferkette zu identifizieren, erhöht. Unsere SBOM-API soll Entwicklern die Inventarisierung ihrer Code-Datenbank, einschließlich der Komponenten von Drittanbietern, erleichtern und es ihnen ermöglichen, schnell zu handeln, wenn neue Schwachstellen auftauchen. Seit der Einführung unserer Continuous Software Security Platform im Mai haben wir zusätzliche Funktionen geschaffen, die die Entwickler genau dort abholen, wo sie arbeiten: in der integrierten Entwicklungsumgebung (IDE), im Code-Repository und in der Befehlszeilenschnittstelle. Diese Innovationen sollen die Akzeptanz fördern, indem sie die Plattform noch entwicklerfreundlicher machen.“

Erleichterte DevSecOps

Die Plattform von Veracode unterstützt mehr als 100 Sprachen und Frameworks, darunter auch solche für die Entwicklung von Cloud-nativen Anwendungen und ältere Sprachen wie COBOL, die mit älteren Systemen verwendet werden. Große Unternehmen haben Anwendungen in unzähligen Sprachen, und die Möglichkeit, eine Lösung für kontinuierliche Sicherheitstests für alle Sprachen einzusetzen, vereinfacht den Prozess und liefert gleichzeitig konsistente Ergebnisse. In der jüngsten Studie State of Software Security (SoSS) 12 des Unternehmens wurden die häufigsten Schwachstellen nach Sprachen analysiert, wobei sich herausstellte, dass eine Schwachstelle, die in einer Sprache am häufigsten auftritt, in einer anderen Sprache nicht unbedingt von Bedeutung ist. So ist beispielsweise Cross-Site Scripting (XSS) mit 77 Prozent die häufigste Schwachstelle in PHP, während sie in C++* nicht einmal in den Top 10 zu finden ist. Darüber hinaus ändern sich die Schwachstellen ständig, d. h. selbst wenn eine Schwachstelle in einer Programmiersprache nicht weit verbreitet ist, sollten Anwender aktive Schritte unternehmen, um zu verhindern, dass sie sich auf ihren Code auswirkt. Da die Abhilfemaßnahmen je nach Schwachstelle und Programmiersprache variieren, erleichtert eine breite Palette an Sprachunterstützung an einem Ort die Arbeit der Entwickler, da sie mehr Zeit für die Einhaltung der engen Bereitstellungsfristen haben.