Obwohl Software unsere Arbeit, unser Zuhause und unser Privatleben erheblich verändert, wissen viele nicht, dass die heutige Software aus zahlreichen Bestandteilen besteht. Ein Teil der Software, die wir täglich verwenden, enthält benutzerdefinierten Code, der intern von einem Unternehmen entwickelt wurde, während andere Codeteile aus Community-gesteuerten Open Source-Projekten stammen, die in die Anwendungen integriert werden, die wir verwenden.
Die Einführung von Open Source hat die Softwareindustrie insgesamt dramatisch verändert. Anstatt die gesamte Software „von Grund auf neu“ zu erstellen, nutzen Unternehmen Open-Source-Komponenten für allgemeine oder sich wiederholende Features und Funktionen. Dies beschränkt in erster Linie die Verwendung von benutzerdefiniertem Code auf proprietäre Features und Funktionen und ist gleichzeitig der kleinste Faktor, der alles miteinander verbindet
Die heutigen modernen Anwendungen bestehen zu einem erheblichen Teil aus Open Source. Über 30 Millionen Entwickler nutzen Community-basierten Plattformen wie GitHub und beschleunigen so die Akzeptanz und Nutzung von Open Source-Software. Analysten berichten, dass 95% der Unternehmen Open-Source-Software in ihren eigenen unternehmenskritischen IT-Anwendungen verwenden.
Die Verwendung von Open Source-Komponenten, -Bibliotheken und -Paketen während der Softwareentwicklung ermöglicht es Unternehmen zwar, die Entwicklungszeit zu verkürzen, kann aber auch ein erhöhtes Risiko bedeuten. Beispielsweise sind Unternehmen, die Open Source verwenden neuen Sicherheitsrisiken ausgesetzt, die dadurch entstehen, dass Angreifer die breite Nutzung und Offenheit von Open Source nutzen. Darüber hinaus sind Unternehmen einem Lizenzrisiko ausgesetzt, da Open Source-Komponenten durch Lizenzen (z. B. GPL, Apache) geregelt werden, die Bedingungen für die Verwendung der Komponenten festlegen. Und schließlich sind Unternehmen operationellen Risiken ausgesetzt, da das Open-Source-Support-Modell von einer Community von Mitwirkenden abhängt. Zum Beispiel kann eine Community eine bestimmte Komponente, Version oder einen bestimmten Teil aufgeben, und dann müssen die Unternehmen, die diese in ihrer Software verwenden, diese patchen oder selbst weiterentwickeln.
Mit der Verwendung von Open Source vertrauen Unternehmen und Entwicklungsteams darauf, dass die Open Source-Community die Komponenten aktualisiert und wartet, Patches freigibt und Sicherheitsprobleme überwacht. Weniger Community-Beiträge, veraltete Komponentenversionen und ähnlichen Faktoren erhöhen das Risiko und die Supportkosten. Und es bindet Potential, um die Sicherheit und Funktionalität einer Komponente zu gewährleisten.
Obwohl die Unternehmen das Risiko kennen, managen die wenigsten ihre Open Source Komponenten aktiv. Es fehlen häufig automatisierte, wiederholbare Prozesse für das Risikomanagement und die Korrektur von Open Source Komponenten.
Zum Beispiel fehlen sehr oft folgende Prozesse:
In den heutigen schnelllebigen Entwicklungs- und Bereitstellungsmodellen wie DevOps benötigen Unternehmen eine Software-Sicherheitslösung, die den Herausforderungen der Open Source Software gerecht wird.
Wir liefern die perfekte Lösung für Unternehmen, die die Sicherheit weiter in ihre DevOps-Initiativen einbetten möchten, indem sie Open Source-Komponenten in ihrer Codebasis erkennen und identifizieren und detaillierte Risikokennzahlen zu Schwachstellen, potenziellen Lizenzkonflikten und veralteten Bibliotheken bereitstellen.
Mithilfe branchenführender Quellcode-Analysetechnologien bieten wir einen besseren Einblick in Open Source-Sicherheitsrisiken, indem gefährdete Bedingungen im Quellcode überprüft werden, um festzustellen, ob Sicherheitslücken tatsächlich ausgenutzt werden können, und um Risiken für eine effiziente und effektive Behebung zu priorisieren.
Unsere produktübergreifenden Synergien ermöglichen es Unternehmen, sowohl benutzerdefinierten Code als auch Open Source zu sichern und gleichzeitig den Aufwand für Benutzerverwaltung und Scanverwaltung über einheitliche Plugins zu minimieren.
Wir bieten vollständige Suite von AST-Lösungen (Application Security Testing). Wir bieten die Tools, Techniken, Lösungen und Services, mit denen Unternehmen sicherere Software entwickeln, bereitstellen und ausliefern können.
