Unser Blog

Im April 2023 veröffentlichten DHS, CISA, DOE und CESER einen Bericht mit dem Titel „Software Bill of Materials (SBOM) Sharing Lifecycle Report“. Der Zweck des Berichts bestand darin, die aktuelle Art und Weise zu untersuchen, wie Menschen SBOMs teilen, und allgemein zu skizzieren, wie dieser Austausch besser und ausgefeilter gestaltet werden könnte, um […]

Da das Bewusstsein immer größer wird, sollte der Schutz Ihrer Software-Lieferketten ein wesentlicher Bestandteil der Cybersicherheitsstrategie jedes Unternehmens sein. Eine der Hauptschwierigkeiten bei der Entwicklung einer umfassenden Strategie zur Minderung von Bedrohungen in der Software-Lieferkette ist die Komplexität und Vielfalt der Lieferketten. Jede Lieferkette ist einzigartig und die Elemente […]

Ende März 2023 deckten Sicherheitsforscher den komplexen Software-Lieferkettenangriff eines Bedrohungsakteurs auf Geschäftskommunikationssoftware von 3CX auf, hauptsächlich auf die Desktop-App des Unternehmens für Sprach- und Videoanrufe. Die Forscher warnten, dass die App irgendwie mit einem Trojaner infiziert sei und dass ihre Verwendung die Organisation einem möglichen Exfiltrationsplan eines Bedrohungsakteurs aussetzen könnte. […]

CI/CD-Pipelines sind bekanntermaßen undurchsichtig, was genau darin geschieht. Selbst wenn Sie derjenige sind, der die YAML-Konfigurationsdatei (die Pipeline-Anweisungsliste) geschrieben hat, wie können Sie dann sicher sein, dass alles genau wie beschrieben abläuft? Schlimmer noch, die meisten Pipelines sind völlig vergänglich, sodass selbst wenn etwas Schlimmes passiert, keine […]

OpenSSL ist eine weit verbreitete Open-Source-Softwarebibliothek zur Implementierung sicherer Kommunikation über Computernetzwerke. Wie weit verbreitet? Wenn Sie jemals auf eine HTTPS-Webseite zugegriffen haben, ist die Wahrscheinlichkeit groß, dass Sie dies über eine OpenSSL-Verschlüsselung getan haben. Die Bibliothek bietet kryptografische Funktionen und Protokolle für die Datenverschlüsselung, -entschlüsselung, -authentifizierung und die Überprüfung digitaler Signaturen. OpenSSL kann […]

Erfolgreiche Cyberangriffe auf Hardware- und Softwareprodukte kommen immer häufiger vor. Laut Cybersecurity Ventures kostet Cyberkriminalität die Welt im Jahr 7 schätzungsweise 2022 Billionen US-Dollar. Bei einem so hohen Preis ist es kein Wunder, dass sowohl Unternehmen als auch Regierungen darauf aufmerksam werden. Die USA gingen mit der Präsidialverordnung (President Executive Order) voran.

Zur Beschleunigung der Entwicklung werden automatisierte CI/CD-Pipelines (Continuous Integration/Continuous Delivery) eingesetzt. Es ist großartig, über Trigger oder Zeitpläne zu verfügen, die Ihren Code übernehmen, zusammenführen, erstellen, testen und automatisch versenden. Da die meisten Pipelines jedoch auf Geschwindigkeit und Benutzerfreundlichkeit ausgelegt sind, sind sie nicht von Natur aus auf Sicherheit ausgelegt.

Die Geschwindigkeit, mit der neue Schwachstellen aufgedeckt werden, nimmt ständig zu. Derzeit liegt sie bei durchschnittlich 15,000 CVEs pro Jahr. Das Jahr 2022 sticht mit über 26,000 gemeldeten neuen CVEs hervor. Offensichtlich sind nicht alle Schwachstellen für Ihre Software relevant. Um herauszufinden, ob eine bestimmte Sicherheitslücke ein Problem darstellt, müssen Sie zunächst herausfinden, […]

Trotz der zunehmenden Akzeptanz der Software Bill of Materials (SBOM) als Schwachstellenmanagement- und Cybersicherheitstool haben viele Unternehmen immer noch Schwierigkeiten, die beiden heute gängigsten SBOM-Formate SPDX und CycloneDX zu verstehen. In diesem Artikel vergleichen wir diese beiden Formate, um Ihnen bei der Auswahl des richtigen Formats für […] zu helfen.

Der traditionelle Ansatz zur Sicherung von Softwareprodukten konzentriert sich auf die Beseitigung von Schwachstellen in benutzerdefiniertem Code und den Schutz von Anwendungen vor bekannten Risiken in Abhängigkeiten von Drittanbietern. Diese Methode ist jedoch unzureichend und kann nicht das gesamte Ausmaß der von der Software-Lieferkette ausgehenden Bedrohungen abdecken. Es wird versäumt, jeden Aspekt dieser Kette zu sichern, von der Produktion bis zum Vertrieb […]