- Anzeigen -


Sie sind hier: Home » Markt » Studien

Open-Source-Schwachstellen & Anwendungssicherheit


Unternehmen setzen verstärkt auf Open Source und wissen um die Risiken, an Bemühungen um effektive Sicherung und Verwaltung fehlt es jedoch
Black Duck Center für Open Source Research & Innovation veröffentlicht die "Open Source 360°-Studie 2017"

- Anzeigen -





Der Appetit der Welt auf Open-Source-Software ist unersättlich. Unternehmen weltweit haben im vergangenen Jahr den Einsatz von Open Source deutlich erhöht; doch obwohl diese bereitwillig die mit Open Source verbundenen Bedenken bezüglich der sicherheitsrelevanten und operationellen Risiken zur Kenntnis nehmen, hält das effektive Management von Open Source nicht mit der zunehmenden Nutzung mit.

Dies sind wesentliche Erkenntnisse, die aus der eben veröffentlichten Open Source 360°-Studie 2017 des Center for Open Source Research and Innovation (COSRI) von Black Duck hervorgehen. Die COSRI-Umfrage erstreckte sich auf 819 Umfrageteilnehmer, vorwiegend aus den USA und dem EMEA-Raum; darunter 74 Prozent Software-Entwickler, IT-Fachleute, Systemarchitekten, Entwicklungsleiter und Sicherheitsexperten.

Beinahe 60 Prozent der Befragten gaben an, dass der Gebrauch von Open-Source-Code in ihrem Unternehmen im vergangenen Jahr gestiegen ist. Gründe dafür sind: Kostenersparnis, einfacher Zugang und kein Vendor-Lock-In (84 Prozent); die Möglichkeit zur Anpassung des Codes und direkten Fehlerbehebung (67 Prozent); bessere Funktionen und technische Fähigkeiten (55 Prozent) sowie das Tempo bei Open-Source-Evolution und Innovation (55 Prozent).

Zudem führten die Befragten hinsichtlich der positiven Auswirkungen auf das Geschäft die beschleunigte Innovation (55 Prozent) und Qualitätsverbesserung (44 Prozent) an.

Trotzdem die Unternehmen Open Source zugunsten schneller Anwendungsentwicklung und erhöhter Entwicklungsagilität bereitwillig aufgreifen, brachten die Befragten diverse Bedenken zum Ausdruck: Darunter Lizenzierungsrisiken/den Verlust von geistigem Eigentum (66 Prozent), Gefährdung interner Anwendungen durch die Ausnutzung von (64 Prozent) sowie die Ausnutzung von Open-Source-Schwachstellen in externen Anwendungen (71 Prozent); zudem in Bezug auf die unbekannte Qualität der Komponenten (74 Prozent) sowie in Bezug auf das Versagen der Entwicklungsteams bei der Einhaltung der internen Richtlinien (61 Prozent).

Ungeachtet dieser Bedenken gab etwa die Hälfte der Befragten an, dass ihre Organisation keine formalen Richtlinien zur Auswahl und Genehmigung von Open Source hat. Lediglich 15 Prozent haben automatisierte Prozesse etabliert, um den Open-Source-Gebrauch zu verwalten.

Hinsichtlich der Verwaltung und Sicherung von Open Source geben die Befragten ihren Unternehmen nur mittelmäßige Bewertungen, wobei von diesen gerade etwa die Hälfte die zugehörigen Lizenzbestimmungen einhält (54 Prozent), sich der Sicherheitslücken bewusst ist (55 Prozent), weiß wo und welche Open-Source-Version gerade integriert ist und eingesetzt wird (54 Prozent), konform mit internen Richtlinien ist (44 Prozent) ist.

"Die Ergebnisse der Open Source 360°-Studie 2017 passen genau zu den Erfahrungen, wie wir sie mit Unternehmen jeder Größe in sämtlichen Branchen weltweit sammeln. Unternehmen setzen aus ökonomischen und produktionstechnischen Gründen eine enorme Menge an Open-Source-Code ein, doch bisher sind die meisten nicht effektiv, wenn es um dessen Sicherung und Verwaltung geht", so Lou Shipley, CEO bei Black Duck. "Dies ist aus mehreren Gründen überraschend. Heutzutage macht Open Source 80 bis 90 Prozent des Codes einer modernen Anwendung aus und die Anwendungsschicht ist ein primäres Ziel für Hacker. Das bedeutet, dass die Ausnutzung bekannter Open-Source-Schwachstellen das bedeutendste Risiko für die Anwendungssicherheit darstellt, dem sich die meisten Organisationen gegenüber sehen."

Die Ergebnisse der Open Source 360°-Studie zeigen, dass das Tracken und Beheben von Open Source-Schwachstellen in erster Linie durch manuelle Prozesse geschieht, die von internen Ressourcen (53 Prozent) durchgeführt werden. Nur 27 Prozent der Befragten berichteten von automatisierter Identifikation und Beseitigung von bekannten Open-Source-Schwachstellen.

Shipley merkte an, dass die Antworten auf die Umfrage "sehr im Einklang mit den Ergebnissen der Open-Source-Audits stehen, die wir für unsere Kunden durchführen."

Die On-Demand-Business-Unit von Black Duck führt jährlich Hunderte von Open-Source-Code-Audits durch, insbesondere bei Fusionen und Übernahmen. Im kürzlich veröffentlichten Open Source Security and Risk Analysis (OSSRA)-Report, bei dem 1.071 Anwendungen im Jahr 2016 untersucht wurden, fanden sich beides: sowohl ein hohes Level von Open-Source-Nutzung – 96 Prozent der Anwendungen enthielten Open-Source-Code – als auch ein hochgradiges Risiko für Open-Source-Schwachstellen – mehr als 60 Prozent der Anwendungen enthielten Open-Source-Sicherheitslücken.

Bemerkenswerterweise wurden im Open Source Security and Risk Analysis (OSSRA)-Report in den getesteten Applikationen im Finanzwesen 52 Open-Source-Schwachstellen pro Anwendung entdeckt; 60 Prozent der Anwendungen enthielten Hoch-Risiko-Schwachstellen. Im Einzelhandel und E-Commerce wurden bei 83 Prozent der getesteten Anwendungen Hoch-Risiko-Schwachstellen gefunden.

Die diesjährige Open Source 360°-Studie, die von Black Ducks COSRI durchgeführt wurde, ist der Nachfolger der Future of Open Source-Studie, die jahrelang gemeinsam von Black Duck und North Bridge vorgestellt wurde.

Weitere Ergebnisse der Open Source 360°-Studie 2017:

>> Methoden zur Nachverfolgung von Open-Source-Nutzung: Informationen werden von Entwicklern bereitgestellt (54 Prozent); manuelle Design/Code-Reviews (36 Prozent); Scans zur Inventarisierung der Open Source-Nutzung (33 Prozent)

>> Methoden zur Review von Code für Open-Source-Einsatz: keine Review des Codes auf Open Source (38 Prozent); interne Tools zum Scannen auf Open Source (27 Prozent); Drittanbieter-Tools zum Scannen auf Open Source (28 Prozent)

>> Die wichtigsten Elemente für eine erfolgreiche Open-Source-Politik: ein strukturierter Prozess für Review und Genehmigung von Open Source-Nutzungsanfragen (42 Prozent); eine White- und Blacklist genehmigter Open Source-Komponenten, spezifisch für Anwendungsfälle (39 Prozent); eine White- und Backlist der genehmigten Open-Source-Lizenzen, spezifisch für Anwendungsfälle (39 Prozent)

>> Verbreitete Bereiche für den Gebrauch von Open Source: Anwendungen zum Gebrauch innerhalb des Unternehmens (77 Prozent); Anwendungen für die Nutzung durch Kunden (69 Prozent); zum Erstellen und Betreiben der IT-Betriebsinfrastruktur (69 Prozent)

>> Verbreitete Technologiefelder für Open-Source-Nutzung: Entwicklungs-Tools/Software Development-Lifecyle (57 Prozent); Container/DevOps/Virtualisierung/Cloud Computing (53 Prozent); Systemmanagement/Betriebssysteme (52 Prozent)

>> Beteiligung an Open Source: 66 Prozent der befragten Unternehmen tragen zu Open Source-Projekten bei
(Black Duck Software: ra)

eingetragen: 21.06.17
Home & Newsletterlauf: 03.07.17


Black Duck Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Studien

  • Gesamtschaden von knapp 2,2 Milliarden Euro

    Norton by Symantec veröffentlichte die neueste Auflage ihres jährlichen "Norton Cyber Security Insights Reports" (NCSIR). Der Bericht zeigt, dass sich noch immer viele Verbraucher im Netz zu sicher fühlen. Cyberkriminelle widerlegen dieses falsche Sicherheitsgefühl und haben im vergangenen Jahr mit ihren Aktivitäten in den 20 untersuchten Ländern insgesamt 172 Milliarden US-Dollar von 978 Millionen Verbrauchern gestohlen. Allein in Europa waren im untersuchten Zeitraum mehr als 98 Millionen Menschen von Cyberkriminalität betroffen, wobei ein Schaden von 27,4 Milliarden US-Dollar entstanden ist. Das ist mehr als das Bruttoinlandsprodukt manches europäischen Landes. Auch für Deutschland sind die Zahlen besorgniserregend. So wurden im Untersuchungszeitraum über 23 Millionen Deutsche Opfer von Cyberkriminalität. Das entspricht mehr als einem Drittel der Erwachsenen, die online gehen (38 Prozent). Dabei entstand ein Gesamtschaden von knapp 2,2 Milliarden Euro. Jedes einzelne Opfer war zudem durchschnittlich 14,6 Stunden - also fast zwei volle Arbeitstage - damit beschäftigt, die Folgen der Cyberattacke zu beheben.

  • Hoffnung: Steigende Budgets für Sicherheit

    IT-Abteilungen stehen angesichts der immer ausgefeilteren Cyber-Attacken vor großen Herausforderungen. Der zweite Teil des Application Intelligence Report (AIR), eine Studie von A10 Networks, zeigt ein weiteres drängendes Problem: Die mangelnde Bereitschaft der Mitarbeiter, Vorsichtsmaßnahmen umzusetzen, beeinträchtigt die Abwehr von Bedrohungen maßgeblich und bietet so einen weiteren Grund zur Sorge. Der AIR-Report untersucht den Umgang mit Apps und die steigenden Sicherheitsauswirkungen für das private Umfeld, aber auch für Unternehmen und die IT-Abteilungen. Der erste Teil der Studie, der im Sommer 2017 vorgestellt wurde, hatte ergeben, dass sich die Grenzen zwischen beruflichen und privaten Leben durch die Nutzung von Apps zu Hause, im Büro und unterwegs immer weiter verschieben.

  • Komplexere Angriffsformen liegen im Trend

    Die Analysen von ThreatMetrix haben nachgewiesen, dass 2017 ein Rekordjahr im Kampf gegen die Online-Kriminalität war. Wie der "ThreatMetrix Cybercrime Report 2017" rückblickend feststellt, hat sich die Zahl der digitalen Attacken in den letzten zwei Jahren um 100 Prozent erhöht. Dieses Ergebnis basiert auf der Auswertung von Cybercrime-Aktivitäten weltweit - hierfür wurden über das globale Netzwerk des Unternehmens rund 100 Millionen Transaktionen täglich analysiert. Die gute Nachricht: Unternehmen, die zum Schutz der Verbraucher in innovative, digitale Strategien investieren, konnten ebenfalls einen Rekord aufstellen, und zwar bei der Abwehr von den aus den großen Datendiebstählen resultierenden Downstream-Angriffen auf ihre Kunden.

  • Studien: Ransom-Attacken weiter auf dem Vormarsch

    Radware hat ihren "Global Application and Network Security Report 2017-2018" veröffentlicht. Nach diesem Bericht hat sich der Anteil der Unternehmen, die finanziell motivierte Cyber-Angriffe melden, in den letzten zwei Jahren verdoppelt. Die Hälfte aller befragten Unternehmen erlebte im vergangenen Jahr einen Cyber-Angriff, der mit Lösegeldforderungen verbunden war. Da der Wert von Bitcoin und anderen Krypto-Währungen - oft die bevorzugte Zahlungsform unter Hackern - stetig steigt, bieten Ransom-Angriffe Hackern die Möglichkeit, Lösegelder gewinnbringend anzulegen und so zusätzliche Gewinne zu erzielen.

  • Das persönliche Passwort-Management ist schwierig

    Mit jedem neuen Account, den Anwender zur Nutzung von Online-Diensten einrichten, stellt sich erneut die Frage nach einem einzigartigen und starken Passwort. Doch wer kann sich so viele Passwörter merken? Jeder zweite Anwender in Deutschland greift laut einer Kaspersky-Studie zu unsicheren Methoden. Ein Viertel der in Deutschland befragten Nutzer gibt beispielsweise zu, sich Passwörter auf Papierzetteln zu notieren. Den meisten Anwendern in Deutschland ist die Bedeutung von sicheren, starken und damit komplexen Passwörtern für die Sicherheit ihrer Online-Konten durchaus bewusst. Die sichersten Passwörter werden vor allem dann genutzt, wenn es ums Geld geht: Online-Banking-Accounts stehen hier mit 66,5 Prozent an der Spitze, gefolgt von Accounts für Bezahlsysteme und E-Wallets (58,2 Prozent) sowie für Online-Einkäufe (44,2 Prozent).