- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Bundling von Bibliotheken & Open Source Code


Hütchenspiel mit Softwareschwachstellen: Hersteller müssen Open Source Code und Software von Drittherstellern genau und lückenlos nachverfolgen, bevor sie diese in ihre Produkte einbinden
Gebündelte Bibliotheken sind demnach effizient, bergen allerdings auch Sicherheitsrisiken, die sowohl Anwendungshersteller als auch deren Kunden kennen und berücksichtigen sollten

- Anzeigen -





Autor Kasper Lindgaard
Autor Kasper Lindgaard Vulnerability Intelligence-Verantwortliche sollten auf Gefahrenkategorien zurückgreifen, die das Risiko von Schwachstellen nach festgelegten Kriterien bewerten. Bild: Secunia Research at Flexera Software

Von Kasper Lindgaard, Director, Secunia Research at Flexera Software

Library Bundling und Open Source Code stellen die IT zunehmend vor Herausforderungen: Versteckte Schwachstellen in der Software können unbemerkt in die IT-Umgebung von Unternehmen gelangen und sich weiter ausbreiten. Dabei ist vielen Unternehmen gar nicht bewusst, dass sie Library Bundling und Open Source verwenden. Ob tatsächlich ein Risiko besteht, lässt sich so nur schwer einschätzen. Automatisierte Lösungen für das Software Vulnerability Management können diese Risiken deutlich reduzieren.

Jeder kennt die Tricks der Hütchenspieler: Ein Gegenstand – beispielsweise eine kleine Kugel oder Erbse – wird unter eines von drei identischen Hütchen gelegt, die dann blitzschnell vom Spieler über das Brett bewegt werden. Unter welchem der drei Hütchen ist die Kugel verborgen? So aufmerksam der Zuschauer auch die Bewegungen verfolgt, am Ende liegt er meistens falsch. IT-Fachleute aus den Security und Operations Teams befinden sich beim Risikomanagement von gebündelten Bibliotheken vor einer ganz ähnlichen Situation. Nur wissen sie oft leider gar nicht, dass sie es dabei mit einem Glücksspiel zu tun haben.

Softwareentwicklung durch Dritte
Kaum ein Softwarehersteller entwickelt 100 Prozent seines Anwendungscodes selbst. Die meisten Entwickler bündeln beim Schreiben von Softwarecodes häufig Bibliotheken und Open Source Code von Dritten mit ihrem eigenen Code. Die Gründe dafür sind vielfältig. Meist geht es um höhere Effizienz, Kompatibilität oder anwendungsübergreifende Kommunikation. Gängige Beispiele für gebündelten Code sind Bibliotheken für Kryptografie, Bild- und Dokumentenverarbeitung. Für diese Funktionalitäten liegt der nötige Programmcode oft bereits standardisiert vor. Daher ist es sinnvoller, solche Bausteine und Bibliotheken wiederzuverwenden anstatt viel Zeit in die Entwicklung neuer Komponenten zu investieren.

Kenne deine Sicherheitsrisiken
Gebündelte Bibliotheken sind demnach effizient, bergen allerdings auch Sicherheitsrisiken, die sowohl Anwendungshersteller als auch deren Kunden kennen und berücksichtigen sollten. Hersteller müssen Open Source Code und Software von Drittherstellern genau und lückenlos nachverfolgen, bevor sie diese in ihre Produkte einbinden. Da eine in der Fremdsoftware aufgedeckte Schwachstelle in die Verantwortung des Softwareanbieters fällt, ist das unverzichtbar: Die Anbieter müssen das Problem kennen und bei Bedarf dem Kunden schnellstens ein Softwareupdate oder einen Patch zur Verfügung stellen.

Unternehmen, die Anwendungen mit gebündelten Bibliotheken nutzen, haben es da oft schwerer. Vor allem, da ihnen oft gar nicht bewusst ist, dass sie mit solchen Bündeln arbeiten. Da Softwarenanbieter den Quellcode ihrer Anwendungen in der Regel nicht komplett offenlegen, lässt sich schwer beurteilen, ob die eigene IT von einer bekanntgewordenen Schwachstelle in einer Bibliothek betroffen ist.

Ein gutes Beispiel ist die2014 bekannt gewordene Sicherheitslücke Heartbleed in einigen Implementierungen der Verschlüsselungssoftware OpenSSL. Der Heartbleed-Bug war deshalb so weit verbreitet und so schwer zu fassen, weil die Open-Source-Bibliothek, in so vielen verschiedenen Softwareprodukten enthalten war. Anwender dieser Software waren sich des Risikos gar nicht bewusst. In der Tat hat Secunia Research at Flexera Software mehr als 211 Warnungen zu von Heartbleed betroffenen Anwendungen herausgegeben, – die letzte im Mai 2016, also mehr als zwei Jahre nach Bekanntwerden der Schwachstelle.

Gefahrenpotential richtig einordnen
Wie gefährlich solche aufgedeckten Schwachstellen tatsächlich sind, hängt auch von der Anwendung ab, in welche die gebündelten Bibliotheken eingebunden sind. Während der Heartbleed-Bug in Anwendung A vielleicht in die Kategorie "3 – mäßig kritisch" fällt, kann die gleiche Schwachstelle in "Anwendung B" als "1 – unkritisch "eingestuft werden.

Unternehmen stehen deshalb vor drei Herausforderungen. Erstens müssen sie über einen Mechanismus verfügen, mit dem sie feststellen können, ob ein von ihnen verwendetes Produkt gebündelte Bibliotheken mit einer Schwachstelle enthält. Zweitens müssen sie das Risiko der Schwachstelle kennen, um Prioritäten festlegen zu können. Und schließlich müssen sie drittens auf einen Patch des Produktherstellers warten und dann entscheiden, ob und wie sie diesen anwenden wollen.

Die drei Phasen des Software Vulnerability Managements
Dabei wäre das Hütchenspiel leicht zu gewinnen: die Hütchen müssten einfach durchsichtig sein und dem Beobachter auf einem Blick verraten, wo sich die Kugel befindet. Genau auf dieser Idee baut ein gutes Software Vulnerability Management auf: Es sollte besondere Anwendungsszenarien für gebündelte Software berücksichtigen und die Automatisierung sowie die nahtlose Abfolge von Schwachstellenbewertung, Risikobegrenzung und Überprüfung ermöglichen.

Diese drei Schritte werden im Folgenden näher betrachtet:

1. Schwachstellen bewerten:
Während dieser Phase brauchen Unternehmen vor allem Zugang zu Daten über verifizierte Schwachstellen, mit denen sie prüfen können, ob ihr Unternehmen betroffen ist (Vulnerability Intelligence). Eine verlässliche Datenquelle ermöglicht es, Softwareanbieter zu identifizieren, die in ihren gebündelten Bibliotheken Schwachstellen melden. Dabei werden solche Warnungen nicht nur hinsichtlich der Bibliotheken veröffentlicht, sondern auch in Bezug auf die Anwendungen, in denen diese Bibliotheken genutzt werden. Deshalb gab Secunia Research von Flexera Software nicht nur eine, sondern ganze 211 Warnungen zu Heartbleed heraus. Verlässliche Vulnerability Intelligence hilft auch Unternehmen, die von einer Verwendung von gebündelter Software in ihren Anwendungen gar nichts wissen. Ist eine Anwendung von gefährdetem Code betroffen, erfolgt die Warnung automatisch.

Sofern die Bedrohung real ist, muss das IT-Team ermitteln, ob daraus eine unmittelbare Gefahr für das Unternehmen erwächst. Hierzu ist ein zuverlässiger, automatischer Mechanismus notwendig, der alle IT-Assets kontinuierlich identifiziert, inventarisiert und normalisiert. Nur mit diesen umfassenden Bestandsdaten lässt sich bestimmen, ob die gemeldeten Schwachstellen für die eigene Umgebung relevant sind.

Das Bewerten von Schwachstellen bringt zudem eine entsprechende Priorisierung mit sich. Angesichts Tausender jährlich gemeldeter Schwachstellen ist es andernfalls fast unmöglich, die Risiken erfolgreich einzudämmen. Vulnerability Intelligence-Verantwortliche sollten deshalb auf Gefahrenkategorien zurückgreifen, die das Risiko von Schwachstellen nach festgelegten Kriterien bewerten. Damit können IT-Teams effizient, effektiv und ökonomisch beurteilen, ob und wann ein Patch angewandt werden muss.

2. Begrenzen und Beseitigen
Die zweite Phase des Software Vulnerability Managements widmet sich ganz dem Eindämmen potentieller Risiken. Häufig ist dazu ein Austausch zwischen dem IT Security Team und dem IT-Operations-Team notwendig. Das IT-Operations-Team übernimmt üblicherweise das Patch-Management. Identifizierung und Download erfolgen dann anhand der Application-Readiness-Prozesse. Anschließend müssen die Patches getestet werden, z. B. auf Abhängigkeiten, bis sie schließlich paketiert und für die betreffenden Geräte bereitgestellt werden.

Ein guter Eindämmungsprozess sollte das IT-Operations-Team darin unterstützen, bekannte Schwachstellen im Unternehmensumfeld zu identifizieren und Patches anhand der Gefahrenkategorie zu priorisieren. Das garantiert, dass die gefährlichsten Schwachstellen als erstes behoben werden können.

3. Überprüfung
Im letzten Schritt des Software Vulnerability Managements wird die Anwendung des Patches oder anderer Techniken zur Risikoeindämmung überprüft. Für unterschiedliche Bereiche des Unternehmens lassen sich unterschiedliche Verifizierungsverfahren, wie Ticketing-Systeme, Scanner oder Berichte anwenden.

Bei der Nutzung von gebündelten Bibliotheken ist es wie beim Hütchenspiel: Wer nicht sehen kann, wo sich die Softwareschwachstelle befindet, kann sie auch nicht beheben. Das Stichwort heißt hier Transparenz. Eine gute Strategie für Software Vulnerability Management liefert Unternehmen die Informationen und die Mechanismen, die sie zur Beurteilung ihrer Risiken über alle IT-Assets hinweg benötigen – also auch in Bezug auf gebündelte Software. Im Anschluss können diese Risiken dann eingedämmt und der Erfolg der Maßnahmen kann überprüft werden. (Flexera Software: ra)

eingetragen: 18.11.16
Home & Newsletterlauf: 01.12.16


Flexera Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Vorschriften im Gesundheitswesen

    Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert. Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

  • Datensicherheit und Datenschutz

    Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät. Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

  • Googeln für Hacker

    Google ist die Suchmaschine schlechthin, auch wenn die Datensammelwut des Weltkonzerns aus Mountainview immer wieder kontrovers diskutiert wird. Fast 80 Prozent der Suchanfragen weltweit gehen an Google, während andere Suchmaschinen noch nicht einmal die 10-Prozent-Hürde schaffen. Bei Mobilgeräten liegt der Anteil von Google sogar bei mehr als 96 Prozent. Das ist selbst für Laien keine Überraschung. Weniger verbreitet ist das Wissen, dass Google sich auch bei Hackern großer Beliebtheit erfreut. Verschiedene versteckte Funktionen ermöglichen es Eingeweihten, sehr schnell an umfangreiche Listen potenzieller Opfer zu kommen. Versehentlich freigegebene Dokumente ausspähen, verwundbare Log-in-Seiten finden oder sich in schlecht geschützte Webcams einloggen - Google liefert bequem die einfachsten Ziele. Das ist nicht alles: durch verschiedene Tricks kann sich ein Angreifer quasi hinter der "harmlosen" Suchmaschine verstecken und so gezielt seine Spuren verwischen.