Seminar Open-Source-Lieferketten – SBOM, Schwachstellen und Artefakte

Eine Softwareliste ist nur dann nützlich, wenn sie zum tatsächlich betriebenen Artefakt passt. Das Seminar verbindet die Erfassung von Komponenten mit der Prüfung von Herkunft, Versionen und Sicherheitsbefunden. An einer Beispielanwendung wird sichtbar, warum Quellcode, Build-Abhängigkeiten und ausgelieferte Container unterschiedliche Sichtweisen auf den Softwarebestand liefern.

SBOMs werden als überprüfbare Bestandsnachweise behandelt. Mit vorbereiteten Werkzeugen werden Komponenten erfasst und Schwachstellenbefunde ausgewertet. Ein Scannergebnis allein entscheidet dabei weder über die tatsächliche Ausnutzbarkeit noch über eine Lizenzfreigabe. Technische Prüfschritte, verantwortliche Stellen, Ausnahmen und erneute Bewertungen werden zu einem nachvollziehbaren Freigabeverfahren verbunden.

Der Laborfall stellt zwei Versionen derselben Anwendung mit leicht verändertem Komponentenbestand bereit. Ein Artefakt enthält eine zusätzliche Laufzeitbibliothek, die im ursprünglichen Projektverzeichnis nicht unmittelbar sichtbar ist. Die erzeugten SBOMs werden deshalb mit den tatsächlich untersuchten Artefakten verbunden. Für ausgewählte Befunde wird geprüft, ob Paketname, Version und Einsatzkontext übereinstimmen und welche zusätzliche Information vor einer belastbaren Bewertung noch fehlt.

Die Freigabeentscheidung enthält einen festen Artefaktbezug, geprüfte Befunde und verantwortliche Stellen. Ein späterer Austausch des Images wird dadurch erkennbar. Zusätzlich wird ein Befund mit unklarer Zuordnung bearbeitet, ohne ihn vorschnell als harmlos oder als akuten Vorfall einzustufen. Die erarbeitete Vorgehensweise trennt technische Bestandserfassung, Risikobewertung und organisatorische Freigabe und hält deren Verbindung über nachvollziehbare Kennungen fest.

Seminarinhalte

Herkunft und Komponentenbestand

• Quellcode, direkte und transitive Abhängigkeiten, Build-Umgebung und Laufzeitpakete unterscheiden.
• Versionen, Prüfsummen, Paketquellen und Container-Digests für die Nachvollziehbarkeit festhalten.
• Unbekannte Bezugsquellen und nicht reproduzierbare Änderungen anhand vorbereiteter Fälle erkennen.

SBOM erstellen und prüfen

• Eine Komponentenliste mit vorbereiteten Werkzeugen wie Syft oder Trivy erzeugen.
• SPDX und CycloneDX als Austauschformate einordnen und relevante Felder prüfen.
• Fehlende Versionen, unklare Paketzuordnung und Unterschiede zwischen zwei Artefakten untersuchen.

Schwachstellen bewerten

• Funde zu installierter Version, Einsatzkontext, Erreichbarkeit und verfügbaren Korrekturen zuordnen.
• Falschzuordnungen, unvollständige Daten und Ausnahmen mit nachvollziehbarer Begründung bearbeiten.
• Aktualisierung, Zwischenmaßnahme und erneute Prüfung zu einem Maßnahmenplan verbinden.

Artefaktfreigabe und Pflege

• Signatur- und Prüfsummenprüfung mit einem definierten Vertrauensanker unterscheiden.
• SBOM, Freigabeentscheidung und ausgeliefertes Artefakt über feste Kennungen verbinden.
• Änderungen an Komponenten und neue Sicherheitsbefunde in einen wiederkehrenden Prüfprozess aufnehmen.

Praxisübungen

1. Für eine bereitgestellte Anwendung und ihr Containerimage eine SBOM erstellen und beide Bestände vergleichen.
2. Ausgewählte Schwachstellenbefunde anhand des tatsächlichen Einsatzkontexts priorisieren.
3. Ein verändertes Artefakt über seine Kennung erkennen und eine dokumentierte Freigabe mit Nachprüftermin erstellen.

Schulungsumgebung

Linux-Labor mit vorbereiteter Anwendung, Containerimages, SBOM-Werkzeugen und einem definierten Stand der Prüfdatenbanken. Übungen greifen nicht auf produktive Softwarebestände zu.