19.08.2022 Veracode erweitert „Continuous Software Security“-Plattform

Anwendungssicherheit groß geschrieben

Von: Berthold Wesseler

Seine „Continuous Software Security“-Plattform hat das amerikanische Softwarehaus Veracode erweitert. Die neuen Funktionen sollen es Entwicklern ermöglichen, Software noch effektiver abzusichern und umfassen erweiterte Integrationen für „Software Composition Analysis“ (SCA), ein API zur „Software Bill of Materials“ (SBOM), sowie die Unterstützung zusätzlicher Programmiersprachen und Frameworks für statische Analysen.

Mit der Plattform können Entwickler kontinuierlich Sicherheitstests über die gesamte Anwendungslandschaft des Unternehmens durchführen, was den Prozess wesentlich beschleunigt und gleichzeitig für konsistente Ergebnisse sorgt. „Moderne Anwendungen werden meist aus verschiedenen Komponenten zusammengesetzt und nicht von Grund auf neu geschrieben. Open-Source-Code macht einen beträchtlichen Anteil der geprüften Code-Basis aus“, motiviert Brian Roche, Chief Product Officer bei dem Softwarehaus, die jüngste Produkterweiterung. „So bestehen 97 Prozent der klassischen Java-Anwendung aus Open-Source-Bibliotheken, was nicht nur das allgemeine Sicherheitsrisiko erhöht, sondern auch den Bedarf, Supply-Chain-Risiken zu identifizieren.

Das SBOM-API soll es Entwicklern erleichtern, ihre Code-Basis einschließlich der Third-Party-Komponenten zu erfassen und im Falle einer Sicherheitslücke schneller zu reagieren. Seit dem Launch der Plattform im Mai habe man laut Roche weitere Funktionen hinzugefügt, „die Entwickler dort unterstützt, wo sie arbeiten: in ihrer integrierten Entwicklungsumgebung, dem Code-Repository und der Kommandozeile. Die neuesten Funktionen machen die Plattform entwicklerfreundlicher und sollen so die Einführung vorantreiben.“

RPG und Cobol inklusive

Staatliche Regulierung sorgen für die Standardisierung der Sicherheit von Software Supply-Chains; für Unternehmen gewinnt daher eine SBOM zunehmend an Bedeutung. Mit der SBOM-API in SCA können Entwickler eine SBOM im CycloneDX-JSON-Format erstellen. Dadurch können Entwickler sicherstellen, dass der Code, den sie nutzen oder selbst schreiben, frei von Schwachstellen ist.

Die Plattform unterstützt mehr als hundert Sprachen und Frameworks, einschließlich solcher für Cloud-native Anwendungsentwicklung sowie ältere Sprachen wie RPG und Cobol. Je größer das Unternehmen, desto mehr Programmiersprachen kommen für die Anwendungen zum Einsatz. Außerdem will man die Sprach- und Framework-Auswahl, mit denen Entwickler arbeiten können, möglichst auf dem aktuellsten Stand; dies schließt sowohl den Support von Rails 7.0, Ruby 3.x und PHP Symfony ein. Selbst die Midrange-Klassiker RPG und Cobol werden unterstützt, und zwar in Versionen wie RPG III, RPG IV, RPGLE sowie Cobol/400 und ILE Cobol.

Die Plattform erlaubt es zum Beispiel bei QAD Precision GTTE nach Angaben des Engineering-Direktors Peter Evans, „Sicherheits-Tools direkt in unsere Entwicklungs-Pipelines zu integrieren. Außerdem hat sie uns geholfen, unser Wissen und unsere Fähigkeiten rund um Software-Sicherheit zu erweitern“. Darüber hinaus sei die Plattform in der Lage, Java-Code innerhalb des Spring-Frameworks zu scannen. „Wir prüfen unseren Code heute nicht mehr rückwirkend, sondern konnten einen kontinuierlichen Scan-Prozess etablieren“, erklärt Evans. Nun habe man genau die richtigen Tools zur Verfügung, um mit den aktuellsten Schwachstellen und Regeln mithalten zu können“.

Über Veracode

2006 gegründet, versteht sich das Softwarehaus heute als App-Sec-Partner für die sichere Software-Entwicklung, Minimierung von Schwachstellen und Produktivitätssteigerung von Sicherheits- und Entwicklerteams. Betreut werden heute mehr als 2.500 Kunden weltweit, bei denen mit den Tools nach eigenen Angaben bereits mehr als 53 Billionen Code-Zeilen bewertet wurden. So habe man Kunden dabei geholfen, über 71 Millionen Schwachstellen nicht nur zu finden, sondern auch zu beheben.