Sichere deine Softwarelieferkette

Wenn du ein Softwareprojekt entwickelst, nutzt du wahrscheinlich andere Software, um deine App zu erstellen und auszuführen, wie zum Beispiel Open-Source-Bibliotheken, Frameworks oder andere Tools. Diese Ressourcen werden zusammenfassend als deine "Abhängigkeiten" bezeichnet, da dein Projekt auf sie angewiesen ist, um einwandfrei zu funktionieren. Dein Projekt könnte auf Hunderte dieser Abhängigkeiten angewiesen sein, die zusammen deine sogenannte "Lieferkette" bilden.

Deine Lieferkette kann ein Sicherheitsrisiko darstellen. Wenn eine deiner Abhängigkeiten eine bekannte Sicherheitslücke oder einen Fehler aufweist, könnten böswillige Akteure diese Schwachstelle ausnutzen, um beispielsweise Schadcode (Malware) einzuschleusen, sensible Daten zu stehlen oder dein Projekt auf andere Weise zu stören. Diese Art von Bedrohung wird als "Lieferkettenangriff" bezeichnet. Wenn deine Lieferkette anfällige Abhängigkeiten enthält, gefährdest du die Sicherheit deines eigenen Projekts und setzt auch deine Benutzer:innen einem Risiko aus.

Eine der wichtigsten Maßnahmen, die du zum Schutz deiner Lieferkette ergreifen kannst, ist das Patchen deiner anfälligen Abhängigkeiten.

Angreifer haben es nicht nur auf die von dir verwendeten Abhängigkeiten abgesehen, sondern auch auf Benutzerkonten und Buildprozesse. Es ist wichtig, beides zu sichern, um sicherzustellen, dass der von dir verbreitete Code nicht manipuliert wurde.

GitHub bietet eine Reihe von Funktionen, die dir helfen, die Abhängigkeiten in deiner Umgebung zu verstehen und zu sichern sowie deine GitHub-Konten und dein Buildsystem zu schützen.

Im Gegensatz zu Sicherheits-Add-ons von Drittanbietern sind die GitHub-Lieferkettenfunktionen vollständig in die nativen GitHub-Workflows integriert, die Entwickler:innen bereits kennen und schätzen. Indem GitHub es Entwickler:innen erleichtert, Sicherheitslücken direkt im Arbeitsablauf zu beheben, verschafft es Sicherheitsteams mehr Zeit, sich auf wichtige Strategien zu konzentrieren, die Unternehmen, Kund:innen und Communitys vor anwendungsbezogenen Sicherheitslücken schützen.

Supply-chain Levels for Software Artifacts (SLSA) ist ein Framework zur Verbesserung der durchgängigen Integrität eines Software-Artefakts über dessen gesamten Entwicklungslebenszyklus hinweg. Es bietet eine umfassende, schrittweise Methodik, um Integritäts- und Herkunftsgarantien in deine Softwarelieferkette zu integrieren. SLSA Level 3 steht für eine deutlich gehärtete Softwarelieferkette, in der Builds stark isoliert sind, der Verlauf des Quellcodes überprüft wird und die Herkunft streng kontrolliert wird. Dies bietet einen starken Schutz vor Manipulationen und gewährleistet die Integrität der Software-Artefakte. GitHub Actions und Artifact Attestations vereinfachen den Weg zu SLSA Level 3 erheblich.

Du kannst eine Software-Stückliste (SBOM) für dein Repository aus dem GitHub-Abhängigkeitsdiagramm exportieren. SBOMs sorgen für Transparenz bei deiner Open-Source-Nutzung und helfen dabei, Schwachstellen in der Lieferkette aufzudecken, wodurch die Risiken in der Lieferkette verringert werden.

Die meisten GitHub-Lieferkettenfunktionen stehen allen Benutzer:innen kostenlos zur Verfügung. Einige ausgewählte erweiterte Funktionen sind in GitHub Code Security nur für private Repos verfügbar. Siehe Preise.