Onze blog

Met de toenemende complexiteit van applicaties en de toename van beveiligingsbedreigingen is het garanderen van de veiligheid van softwareapplicaties een aanzienlijke uitdaging voor organisaties geworden. Application Security Posture Management (ASPM) komt naar voren als een oplossing voor deze uitdagingen en biedt een raamwerk voor het verbeteren van de zichtbaarheid, het beheren van kwetsbaarheden en het afdwingen van beveiligingscontroles gedurende de gehele levenscyclus van softwareontwikkeling. De […]

De details van wat er binnen CI/CD-pijplijnen gebeurt, zijn berucht ondoorzichtig. Hoe kun je er, ondanks dat je het YAML-configuratiebestand, de pijplijnlijst met instructies, hebt geschreven, zeker van zijn dat alles precies gebeurt zoals beschreven? Erger nog, het merendeel van de pijpleidingen is volledig tijdelijk, dus zelfs in het geval van een storing […]

Het Secure Software Development Framework (SSDF), ook wel NIST SP800-218 genoemd, is een reeks richtlijnen ontwikkeld door NIST als reactie op Executive Order 14028, die zich richt op het verbeteren van de cyberbeveiliging in de Verenigde Staten, met name wat betreft de beveiliging van de softwaretoeleveringsketen. SSDF is een best practices-framework, geen standaard. Hoewel vooral relevant voor organisaties die […]

Achtergrond SLSA (Supply-chain Levels for Software Artefacts) is een beveiligingsframework dat tot doel heeft manipulatie te voorkomen, de integriteit te verbeteren en pakketten en infrastructuur te beveiligen. Het kernconcept van SLSA is dat een software-artefact alleen kan worden vertrouwd als het aan drie eisen voldoet: Het artefact moet een herkomstdocument hebben waarin de oorsprong en het bouwproces ervan worden beschreven.

״Softwareleveranciers moeten aansprakelijk worden gesteld als zij niet voldoen aan de zorgplicht die zij aan consumenten, bedrijven of aanbieders van kritieke infrastructuur verschuldigd zijn ״(het Witte Huis). Tegenwoordig wordt van elke softwareleverancier verwacht dat hij een grotere verantwoordelijkheid op zich neemt voor het waarborgen van de integriteit en veiligheid van software door middel van contractuele overeenkomsten, softwarereleases en -updates, meldingen en […]

TL;DR De afgelopen jaren heeft de technologie-industrie vurig gepleit voor het concept van ‘naar links verschuiven’ in de softwareontwikkeling, en gepleit voor een vroege integratie van beveiligingspraktijken in de ontwikkelingslevenscyclus. Deze beweging heeft tot doel ontwikkelaars de verantwoordelijkheid te geven om de veiligheid van hun code vanaf het begin van het project te garanderen. Hoewel de bedoelingen achter deze aanpak echter […]

De industrie heeft het idee van een SBOM nog niet volledig begrepen en we hoorden al een nieuwe term – ML-BOM – Machine Learning Bill of Material. Laten we, voordat er paniek uitbreekt, eerst begrijpen waarom zo'n stuklijst moet worden geproduceerd, wat de uitdagingen zijn bij het genereren van een ML-BOM en hoe zo'n ML-BOM eruit kan zien. […]

Een van de risico's van de softwaretoeleveringsketen is het lekken van geheimen. Er zijn overal in de softwaretoeleveringsketen geheimen; ontwikkelaars en de CI\CD-pijplijnen moeten geheimen gebruiken om toegang te krijgen tot de SCM, de pijplijn, de artefactregisters, de cloudomgevingen en externe services. En als er overal geheimen zijn, is het een kwestie van tijd […]

Begin augustus bracht het Amerikaanse National Institute of Standards and Technology (NIST) een conceptversie 2.0 uit van zijn baanbrekende Cybersecurity Framework, voor het eerst gepubliceerd in 2014. Er is de afgelopen tien jaar veel veranderd, niet in de laatste plaats het stijgende niveau van cyberveiligheidsbedreigingen die in het oorspronkelijke document bedoeld waren om kritieke […]

We hebben de laatste tijd allemaal veel over SBOM's gehoord. We hoorden over hun nut, hun samenstelling en hun eisen op het gebied van veiligheid en regelgeving. Deze keer wil ik de tijd nemen om te praten over een iets minder bekend segment van de CyclonDX SBOM: de afhankelijkheidsgrafiek. Anders dan de naam doet vermoeden is de Dependency Graph geen […]