Was Sie wissen müssen
Risiken in der Software-Lieferkette haben sich zu einem der wichtigsten Anliegen für Unternehmen der Privatwirtschaft und Behörden jeder Größe entwickelt. Der Hauptgrund für das wachsende Risiko ist die große Anzahl der verwendeten Open-Source-Pakete und -Bibliotheken. So hostet beispielsweise GitHub, eine Online-Plattform, die Software für andere verwaltet, über 200 Millionen Software-Repositorys. Darüber hinaus unterstützen JavaScript und Python, zwei weit verbreitete Programmiersprachen, zusammen über eine Million Pakete.
Angesichts der Nachfrage nach schneller Softwareentwicklung sind Open-Source-Pakete und -Bibliotheken zu entscheidenden Komponenten geworden, die diese zügige Bereitstellung ermöglichen. Allerdings erfolgt die Überwachung und Erfassung dieses Prozesses nur in begrenztem Umfang. Es ist kaum bekannt, in welchem Umfang Entwickler und Softwareanbieter diese Pakete nutzen. Es gibt keine Datenbank, aus der hervorgeht, welche Unternehmen welche Softwarekomponenten einsetzen. Den Unternehmen selbst ist möglicherweise gar nicht bewusst, wie umfangreich die Software ist, die sie für ihre geschäftskritischen Abläufe einsetzen.
Die Herausforderung besteht darin, es zu finden
Der Schlüssel zur Verringerung des Risikos für Ihr Unternehmen liegt darin, betroffene Implementierungen so schnell wie möglich zu identifizieren und zu beheben oder deren Auswirkungen zu mindern. Die Herausforderung besteht jedoch darin, weit verbreitete Open-Source-Bibliotheken von Drittanbietern wie cURL zu patchen und alle Stellen, an denen diese im gesamten Unternehmen verwendet werden, ausfindig zu machen.
CURL ist, wie andere Open-Source-Bibliotheken auch, Quellcode, den Softwareanbieter kompilieren müssen und der auf verschiedene Weise verbreitet werden kann – von der statischen Integration in ihr Programm bis hin zu dynamisch verknüpften Ressourcen. Herkömmliche Schwachstellenscanner haben Schwierigkeiten (oder können dies in vielen Fällen gar nicht), diese Art von Abhängigkeiten zu erkennen. Daher erfordert ihre Erforschung einen vielschichtigen Ansatz.
Inwiefern kann Tanium SBOM dabei helfen?
Die Tanium Software Bill of Materials (SBOM)- bietet in Kombination mit Tanium Asset die Möglichkeit, Bibliotheken von Drittanbietern zu identifizieren, die mit Softwarepaketen verbunden sind. Tanium SBOM ist eine Zusatzfunktion, die sowohl mit „Asset“ als auch mit „Comply“ kompatibel ist.
Durch den Einsatz eines einzigen Tanium-Agenten bietet Tanium SBOM Echtzeit-Transparenz in komplexen Softwareumgebungen und ermöglicht es Unternehmen, fundiertere Entscheidungen hinsichtlich des Endpunkt-Risikomanagements zu treffen.
Nach der Konfiguration von Tanium SBOM verfügen Sie über detaillierte Informationen zu jeder Softwareanwendung in Ihrer Umgebung sowie zum Vorhandensein anfälliger Pakete. Stellen Sie Tanium SBOM einfach eine Frage, und Sie erhalten innerhalb von Sekunden eine Antwort aus Ihrer gesamten Umgebung – und das in großem Maßstab.
So nutzen Sie Tanium SBOM zur Behebung der cURL-Sicherheitslücke
Tanium SBOM unterstützt derzeit die Analyse folgender Ökosysteme: Java, JavaScript, Python, PHP, Ruby und GoLang-Binärdateien. Für die Installation und Konfiguration von SBOM-Inhalten sind einige zusätzliche Schritte erforderlich.
Mit Tanium haben Sie folgende Möglichkeiten:
- Verstehen Sie jede Softwarekomponente zur Laufzeit, decken Sie Softwarepakete auf und untersuchen Sie alle darin enthaltenen Komponenten, ohne dabei auf den Softwareanbieter angewiesen zu sein. Es kann „Thick-Client“-Dateien untersuchen und „Thin-Client“-Umgebungen überprüfen.
- Beheben Sie die in diesen Komponenten festgestellten Sicherheitslücken oder Fehlkonfigurationen.
- Ergreifen Sie Maßnahmen zur Risikominderung, indem Sie die Nutzung eines betroffenen Geräts einstellen, relevante Prozesse beenden oder Apps sogar vollständig von den betroffenen Endgeräten entfernen.
Die Tanium Converged Endpoint Management (XEM)-Plattform kann Schwachstellen wie die aktuelle cURL-Sicherheitslücke erkennen und beheben und Ihr Unternehmen besser auf künftige Schwachstellen in der Lieferkette vorbereiten.
Weitere Informationen, darunter „ “ sowie „Wie Tanium bei CVE-2023-38545: cURL-Sicherheitslücke helfen kann“ (), finden Sie hier.
