Software-Lieferkette und SBOM

Kurz: Moderne Software besteht zum größten Teil aus fremden Bibliotheken. Lieferkettenangriffe schleusen Schadcode über solche Abhängigkeiten oder Build-Werkzeuge ein. Eine SBOM listet alle Bestandteile.

Genauer: Eine Anwendung hängt oft von hunderten, indirekt tausenden Paketen ab. Wird eines kompromittiert (gekaperter Account, Tippfehler-Paket, manipulierter Build), erbt jeder Nutzer das Problem. Beispiele sind SolarWinds und Log4Shell.

Im Detail

• SBOM: Software Bill of Materials, eine Zutatenliste (Formate CycloneDX, SPDX).
• Typosquatting: Pakete mit fast gleichem Namen wie bekannte.
• Dependency Confusion: Internes Paket wird durch gleichnamiges öffentliches ersetzt.
• Maßnahmen: Lockfiles, Versionen festnageln, Integritäts-Hashes, Updates mit Überwachung (Dependabot), Schwachstellen-Scans, minimale Abhängigkeiten.
• Reproduzierbare Builds: Gleicher Quelltext erzeugt bit-identische Binärdatei.
• Signierte Artefakte und Herkunftsnachweis: Sigstore/cosign, SLSA-Stufen.
• CI/CD absichern: Geheimnisse schützen, Rechte von Pipelines begrenzen.

Siehe auch: OWASP Top 10, Container-Sicherheit