Secure Software Supply-Chain

OWASPs Dependency-Track hat sich seit der letzten Evaluation bewährt und ist mittlerweile Teil unserer Toolchain. Wir generieren in unseren Projekten automatisiert SBOMs und überwachen damit Schwachstellen in Abhängigkeiten kontinuierlich.

Neu beschäftigt uns Agentic-Engineering: Coding-Agents schlagen regelmässig Dependencies vor, deren Herkunft und Sicherheitsstatus nicht immer transparent sind. Automatisierte Scans in der CI/CD-Pipeline fangen problematische Dependencies ab, bevor sie in Produktion gelangen. Für Third-Party-Container-Images im Cluster-Betrieb setzen wir dabei verstärkt auf Trivy als Vulnerability-Scanner und SBOM-Generator.

Bei Inventage evaluieren wir momentan als Alternative das von OWASP getriebene Open-Source Projekt Dependency-Track.

Eine Secure Software Supply-Chain (SSSC) stellt sicher, dass nur vertrauenswürdige Software in eine Organisation gelangt. Dies umfasst die Überwachung und Überprüfung von Drittanbietersoftware, die Verwendung von Signaturverfahren zur Überprüfung der Integrität von Software und die Implementierung von Prozessen zur schnellen Erkennung und Reaktion auf Sicherheitsbedrohungen. Die Umsetzung einer SSSC gewährleistet die Sicherheit und Integrität von IT-Systemen und verhindert Angriffe durch manipulierte Software.

Beliebte Softwarelösungen in diesem Bereich sind Mend und Nexus Lifecycle, welche als Teil der CI/CD-Pipeline Abhängigkeiten auf verschiedenste Faktoren prüfen und im laufenden Betrieb auf neue Sicherheitsbedrohungen aufmerksam machen. Bei Inventage setzen wir auf Nexus Lifecycle. Der Quellcode wird bei jedem Build der Software auf mögliche Schwachstellen überprüft.