- Anzeigen -


Sie sind hier: Home » Markt » Studien

Open-Source-Schwachstellen & Anwendungssicherheit


Unternehmen setzen verstärkt auf Open Source und wissen um die Risiken, an Bemühungen um effektive Sicherung und Verwaltung fehlt es jedoch
Black Duck Center für Open Source Research & Innovation veröffentlicht die "Open Source 360°-Studie 2017"

- Anzeigen -





Der Appetit der Welt auf Open-Source-Software ist unersättlich. Unternehmen weltweit haben im vergangenen Jahr den Einsatz von Open Source deutlich erhöht; doch obwohl diese bereitwillig die mit Open Source verbundenen Bedenken bezüglich der sicherheitsrelevanten und operationellen Risiken zur Kenntnis nehmen, hält das effektive Management von Open Source nicht mit der zunehmenden Nutzung mit.

Dies sind wesentliche Erkenntnisse, die aus der eben veröffentlichten Open Source 360°-Studie 2017 des Center for Open Source Research and Innovation (COSRI) von Black Duck hervorgehen. Die COSRI-Umfrage erstreckte sich auf 819 Umfrageteilnehmer, vorwiegend aus den USA und dem EMEA-Raum; darunter 74 Prozent Software-Entwickler, IT-Fachleute, Systemarchitekten, Entwicklungsleiter und Sicherheitsexperten.

Beinahe 60 Prozent der Befragten gaben an, dass der Gebrauch von Open-Source-Code in ihrem Unternehmen im vergangenen Jahr gestiegen ist. Gründe dafür sind: Kostenersparnis, einfacher Zugang und kein Vendor-Lock-In (84 Prozent); die Möglichkeit zur Anpassung des Codes und direkten Fehlerbehebung (67 Prozent); bessere Funktionen und technische Fähigkeiten (55 Prozent) sowie das Tempo bei Open-Source-Evolution und Innovation (55 Prozent).

Zudem führten die Befragten hinsichtlich der positiven Auswirkungen auf das Geschäft die beschleunigte Innovation (55 Prozent) und Qualitätsverbesserung (44 Prozent) an.

Trotzdem die Unternehmen Open Source zugunsten schneller Anwendungsentwicklung und erhöhter Entwicklungsagilität bereitwillig aufgreifen, brachten die Befragten diverse Bedenken zum Ausdruck: Darunter Lizenzierungsrisiken/den Verlust von geistigem Eigentum (66 Prozent), Gefährdung interner Anwendungen durch die Ausnutzung von (64 Prozent) sowie die Ausnutzung von Open-Source-Schwachstellen in externen Anwendungen (71 Prozent); zudem in Bezug auf die unbekannte Qualität der Komponenten (74 Prozent) sowie in Bezug auf das Versagen der Entwicklungsteams bei der Einhaltung der internen Richtlinien (61 Prozent).

Ungeachtet dieser Bedenken gab etwa die Hälfte der Befragten an, dass ihre Organisation keine formalen Richtlinien zur Auswahl und Genehmigung von Open Source hat. Lediglich 15 Prozent haben automatisierte Prozesse etabliert, um den Open-Source-Gebrauch zu verwalten.

Hinsichtlich der Verwaltung und Sicherung von Open Source geben die Befragten ihren Unternehmen nur mittelmäßige Bewertungen, wobei von diesen gerade etwa die Hälfte die zugehörigen Lizenzbestimmungen einhält (54 Prozent), sich der Sicherheitslücken bewusst ist (55 Prozent), weiß wo und welche Open-Source-Version gerade integriert ist und eingesetzt wird (54 Prozent), konform mit internen Richtlinien ist (44 Prozent) ist.

"Die Ergebnisse der Open Source 360°-Studie 2017 passen genau zu den Erfahrungen, wie wir sie mit Unternehmen jeder Größe in sämtlichen Branchen weltweit sammeln. Unternehmen setzen aus ökonomischen und produktionstechnischen Gründen eine enorme Menge an Open-Source-Code ein, doch bisher sind die meisten nicht effektiv, wenn es um dessen Sicherung und Verwaltung geht", so Lou Shipley, CEO bei Black Duck. "Dies ist aus mehreren Gründen überraschend. Heutzutage macht Open Source 80 bis 90 Prozent des Codes einer modernen Anwendung aus und die Anwendungsschicht ist ein primäres Ziel für Hacker. Das bedeutet, dass die Ausnutzung bekannter Open-Source-Schwachstellen das bedeutendste Risiko für die Anwendungssicherheit darstellt, dem sich die meisten Organisationen gegenüber sehen."

Die Ergebnisse der Open Source 360°-Studie zeigen, dass das Tracken und Beheben von Open Source-Schwachstellen in erster Linie durch manuelle Prozesse geschieht, die von internen Ressourcen (53 Prozent) durchgeführt werden. Nur 27 Prozent der Befragten berichteten von automatisierter Identifikation und Beseitigung von bekannten Open-Source-Schwachstellen.

Shipley merkte an, dass die Antworten auf die Umfrage "sehr im Einklang mit den Ergebnissen der Open-Source-Audits stehen, die wir für unsere Kunden durchführen."

Die On-Demand-Business-Unit von Black Duck führt jährlich Hunderte von Open-Source-Code-Audits durch, insbesondere bei Fusionen und Übernahmen. Im kürzlich veröffentlichten Open Source Security and Risk Analysis (OSSRA)-Report, bei dem 1.071 Anwendungen im Jahr 2016 untersucht wurden, fanden sich beides: sowohl ein hohes Level von Open-Source-Nutzung – 96 Prozent der Anwendungen enthielten Open-Source-Code – als auch ein hochgradiges Risiko für Open-Source-Schwachstellen – mehr als 60 Prozent der Anwendungen enthielten Open-Source-Sicherheitslücken.

Bemerkenswerterweise wurden im Open Source Security and Risk Analysis (OSSRA)-Report in den getesteten Applikationen im Finanzwesen 52 Open-Source-Schwachstellen pro Anwendung entdeckt; 60 Prozent der Anwendungen enthielten Hoch-Risiko-Schwachstellen. Im Einzelhandel und E-Commerce wurden bei 83 Prozent der getesteten Anwendungen Hoch-Risiko-Schwachstellen gefunden.

Die diesjährige Open Source 360°-Studie, die von Black Ducks COSRI durchgeführt wurde, ist der Nachfolger der Future of Open Source-Studie, die jahrelang gemeinsam von Black Duck und North Bridge vorgestellt wurde.

Weitere Ergebnisse der Open Source 360°-Studie 2017:

>> Methoden zur Nachverfolgung von Open-Source-Nutzung: Informationen werden von Entwicklern bereitgestellt (54 Prozent); manuelle Design/Code-Reviews (36 Prozent); Scans zur Inventarisierung der Open Source-Nutzung (33 Prozent)

>> Methoden zur Review von Code für Open-Source-Einsatz: keine Review des Codes auf Open Source (38 Prozent); interne Tools zum Scannen auf Open Source (27 Prozent); Drittanbieter-Tools zum Scannen auf Open Source (28 Prozent)

>> Die wichtigsten Elemente für eine erfolgreiche Open-Source-Politik: ein strukturierter Prozess für Review und Genehmigung von Open Source-Nutzungsanfragen (42 Prozent); eine White- und Blacklist genehmigter Open Source-Komponenten, spezifisch für Anwendungsfälle (39 Prozent); eine White- und Backlist der genehmigten Open-Source-Lizenzen, spezifisch für Anwendungsfälle (39 Prozent)

>> Verbreitete Bereiche für den Gebrauch von Open Source: Anwendungen zum Gebrauch innerhalb des Unternehmens (77 Prozent); Anwendungen für die Nutzung durch Kunden (69 Prozent); zum Erstellen und Betreiben der IT-Betriebsinfrastruktur (69 Prozent)

>> Verbreitete Technologiefelder für Open-Source-Nutzung: Entwicklungs-Tools/Software Development-Lifecyle (57 Prozent); Container/DevOps/Virtualisierung/Cloud Computing (53 Prozent); Systemmanagement/Betriebssysteme (52 Prozent)

>> Beteiligung an Open Source: 66 Prozent der befragten Unternehmen tragen zu Open Source-Projekten bei
(Black Duck Software: ra)

eingetragen: 21.06.17
Home & Newsletterlauf: 03.07.17


Black Duck Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Studien

  • Künstliche Intelligenzen managen smartes Zuhause

    Der deutsche Smart-Home-Markt boomt und wird sich bis 2022 auf 4,3 Milliarden Euro verdreifachen. Laut der auf der IFA veröffentlichten Studie "Der deutsche Smart-Home-Markt 2017-2022. Zahlen und Fakten" vom eco - Verband der Internetwirtschaft e. V. und Arthur D. Little liegt die durchschnittliche jährliche Wachstumsrate in den kommenden fünf Jahren bei 26,4 Prozent. Die höchsten Umsätze werden dann in den beiden Marktsegmenten Energiemanagement mit 1,3 Milliarden Euro und Licht- und Fenstersteuerung mit 1,2 Milliarden Euro generiert. Insgesamt sechs Segmente untersucht die Studie - dazu gehören Sicherheit und Zugangskontrolle, Unterhaltung, Gesundheit und betreutes Wohnen sowie Haushaltsgeräte.

  • Interimsbewertung "PCI-Compliance"

    Mit steigender Cyberkriminalität rückt die Sicherheit von Zahlungskarten bei Unternehmen und Kunden gleichermaßen in den Fokus. Der "Payment Card Industry Data Security Standard" (PCI DSS) soll Unternehmen, die Kartenzahlungen akzeptieren, darin unterstützen, ihre Zahlungssysteme vor Datenverletzungen und damit vor dem Diebstahl von Kundendaten zu schützen. Die Ergebnisse des Verizon 2017 Payment Security Report (2017 PSR) lassen erkennen, dass es einen Zusammenhang gibt zwischen Einhaltung der Sicherheitsstandards und der Fähigkeit der Unternehmen, Cyberangriffe abzuwehren. Keines der Zahlungskarten-Unternehmen, bei denen Verizon Datenverletzungen untersucht hat, erfüllt zum Zeitpunkt des Vorfalls vollständig die Compliance-Vorgaben. Erfüllt wurden maximal zehn der zwölf Kernanforderungen des PCI DSS.

  • Verordnete Verschlüsselungs-Hintertüren

    Venafi veröffentlichte die Ergebnisse einer Live-Studie, in deren Zusammenhang 296 IT-Sicherheitsfachleute zu Hintertüren in Verschlüsselungen befragt wurden. Die Untersuchung wurde mit Besuchern der Black Hat-Konferenz durchgeführt, die vom 22. bis 27. Juli 2017 in Las Vegas stattfand. Die Ergebnisse der Umfrage zeigen, dass die Mehrheit der IT-Sicherheitsspezialisten glauben, dass Hintertüren in Verschlüsselungen ineffektiv und potentiell gefährlich sind. 91 Prozent gaben zu Protokoll, dass sie davon ausgehen, dass Cyberkriminelle Vorteile aus den staatlichen verordneten Verschlüsselungs-Hintertüren ziehen könnten. Darüber hinaus glauben 72 Prozent nicht, dass diese bekannten Lücken den Staaten bei der Strafverfolgung von Terroristen weiterhelfen.

  • So lässt sich der Skills-Gap schließen

    Entwickler besitzen oftmals nicht die nötigen Kenntnisse und Fähigkeiten, um in der DevSecOps-Welt erfolgreich zu sein. Das haben die Anwendungssicherheitsspezialistin Veracode - seit kurzem Teil von CA Technologies - und DevOps.com in ihrer gemeinsamen 2017 DevSecOps Global Skills Survey herausgefunden. Der Studie zufolge halten es 65 Prozent der befragten DevOps-Fachkräfte für wichtig, beim Einstieg in die IT-Branche DevSecOps-Skills zu besitzen. 70 Prozent sagen aber auch, dass diese Skills auf dem formalen Bildungsweg nicht ausreichend vermittelt werden. Das führt zu einem Mangel an entsprechenden Fachkräften, der sich in vielen Unternehmen bemerkbar macht. Um den Skills-Gap zu schließen und die Sicherheit ihrer Anwendungen sicherzustellen, sollten Unternehmen ihre Mitarbeiter selbst schulen - zum Beispiel durch spezielle Drittanbieter-Trainings.

  • Bewusstsein für Anforderungen der DSGVO

    Deutsche Unternehmen sind nur unzureichend auf die Umsetzung der EU-Datenschutz-Grundverordnung vorbereitet. Vielen Unternehmensvorständen sind die weitreichenden Implikationen der Verordnung nicht bewusst. Dabei sollte diese als Chance betrachtet werden, die eigene Infrastruktur zu verbessern und wichtige Investitionen in die Zukunft zu tätigen. Die EU-Datenschutz-Grundverordnung (DSGVO) gilt ab dem 25. Mai 2018 - mit weitreichenden Konsequenzen für Unternehmen auf der ganzen Welt. In einer neuen Studie von Trend Micro zeigt sich jedoch, dass viele C-Level-Führungskräfte die Anforderungen der Verordnung unterschätzen. Das kann zu Nachlässigkeit bei deren Umsetzung führen. Die Untersuchung zeigt ein weitreichendes Bewusstsein für die Grundlagen der DSGVO. So sind sich 96 Prozent der Befragten in Deutschland bewusst, dass sie die Verordnung umsetzen müssen. Immerhin 93 Prozent haben sich bereits grundsätzlich mit deren Anforderungen auseinandergesetzt. Zusätzlich sind 83 Prozent der deutschen Unternehmen davon überzeugt, dass sie ihre Daten bereits jetzt bestmöglich schützen.