Wie man ein SBOM für Container-Workflows erstellt

TL;DR

Die Erstellung eines Software Bill of Materials (SBOM) für Container -Workflows ist entscheidend für die Sicherheit und Compliance in Softwarelieferketten. Die Qualität eines SBOM hängt stark davon ab, ob es zur Build-Zeit oder nach dem Build generiert wird, wobei die Build-Zeit-Generierung eine umfassendere und genauere Dokumentation der Abhängigkeiten ermöglicht.

Hauptinhalt

Die Generierung von SBOMs stellt für viele Organisationen eine Herausforderung dar, da 86 % der Unternehmen Schwierigkeiten bei der Erstellung berichten. Ein wesentlicher Grund dafür ist die Vielzahl an Tools, die für unterschiedliche Artefakttypen verwendet werden, was zu inkonsistenten Ergebnissen führt. SBOMs sind jedoch für Sicherheits- und Compliance-Teams von großer Bedeutung, da sie eine zentrale Rolle bei der Reaktion auf Sicherheitsanfälligkeiten und der Erfüllung von Audit-Anforderungen spielen.

Ein zentrales Element für die Qualität eines SBOM ist der Zeitpunkt der Generierung. Es gibt zwei Hauptansätze: die Generierung zur Build-Zeit und die nachträgliche Analyse. Die Generierung zur Build-Zeit integriert sich in das Build-System und hat Zugriff auf den vollständigen Abhängigkeitsbaum sowie die Metadaten des Paketmanagers. Dies ermöglicht eine präzise Erfassung aller Abhängigkeiten, einschließlich der transitive Abhängigkeiten, die von nachträglichen Scannern möglicherweise übersehen werden.

Im Gegensatz dazu arbeiten nachträgliche Scanning-Tools, indem sie das fertige Artefakt analysieren und dessen Inhalte rückentwickeln. Diese Methode kann jedoch oft nicht alle Abhängigkeiten erfassen, insbesondere bei statisch verlinkten Binärdateien oder während des Builds installierten OS-Paketen. Daher wird empfohlen, SBOMs während des Builds zu generieren, wenn der Zugriff auf das Build-System vorhanden ist. Für Drittanbieter-Images oder ältere Artefakte ohne Build-Integration ist das nachträgliche Scannen die geeignete Wahl.

Die Nützlichkeit eines SBOM hängt nicht nur von seiner Existenz ab, sondern auch von der Qualität der Informationen, die es enthält. Fünf Kriterien sind entscheidend für die Handlungsfähigkeit eines SBOMs: Vollständigkeit, Genauigkeit, Aktualität, Verifizierbarkeit und die Fähigkeit, die tatsächlichen installierten Versionen zu reflektieren. Ein vollständiges SBOM berücksichtigt alle Komponenten des Artefakts über alle Schichten und Pakettypen hinweg und erfasst sowohl OS-Pakete als auch Anwendungsabhängigkeiten.

Technische Details/Implikationen

Die Generierung eines qualitativ hochwertigen SBOM erfordert den Zugang zum gesamten Build-Kontext, einschließlich der Abhängigkeitsgraphen jeder Build-Phase. Bei der Verwendung von Multi-Stage-Dockerfiles oder minimalen Basis-Images können erhebliche Lücken entstehen, wenn nachträgliche Scanner verwendet werden, da sie möglicherweise nicht alle Abhängigkeiten erkennen. Um dies zu vermeiden, sollten Organisationen sicherstellen, dass ihre Build-Systeme die Generierung von SBOMs unterstützen und diese als Teil des Build-Prozesses automatisiert werden.

Fazit/Ausblick

Die korrekte Erstellung und Nutzung von SBOMs ist für die Sicherheit und Compliance in modernen Software-Lieferketten unerlässlich. Zukünftige Entwicklungen in der Automatisierung und Integration von SBOM-Generierung in Build-Prozesse könnten die Effizienz und Genauigkeit weiter verbessern.