updatte

verschiedene/CVE Scan.md

@@ -0,0 +1,42 @@
+„CVE Scan“ bedeutet im Kontext der Software-Entwicklung in der Regel:
+
+**Automatisches Durchsuchen von Software (Code, Bibliotheken, Containern, Systemen) nach bekannten Sicherheitslücken, die in der CVE-Datenbank erfasst sind.**
+
+### Was ist „CVE“?
+- **CVE** = *Common Vulnerabilities and Exposures*  
+- Das ist ein weltweit genutztes, standardisiertes Verzeichnis von **bekannten Sicherheitslücken** mit eindeutigen IDs, z. B. `CVE-2023-12345`.
+- Jede CVE beschreibt eine bestimmte Schwachstelle in Software/Hardware und hat meist eine **Schwerebewertung** (z. B. CVSS-Score).
+
+### Was macht ein „CVE Scan“ konkret?
+Ein CVE-Scan-Tool:
+
+1. **Analysiert deine Software-Artefakte**
+   - z. B.:
+     - verwendete Bibliotheken/Dependencies (Maven, npm, pip, …)
+     - Container Images (Docker)
+     - Betriebssystem-Pakete (apt, yum, …)
+2. **Vergleicht die gefundenen Komponenten** mit Datenbanken bekannter Schwachstellen:
+   - NVD (National Vulnerability Database)
+   - Vendor-Advisories
+   - Weitere Security-Feeds
+3. **Listet gefundene bekannte Schwachstellen** auf:
+   - CVE-ID
+   - Schweregrad (z. B. „High“, „Critical“)
+   - betroffene Version
+   - ggf. empfohlene Fix-Version
+
+### Beispiel im Entwicklungsprozess
+In einem CI/CD-Pipeline-Schritt „CVE Scan“ passiert typischerweise:
+
+- Nach dem Build wird das Artefakt (z. B. Container-Image, JAR, Node.js-App) gescannt.
+- Der Scan findet z. B.:
+  - „Bibliothek `log4j` Version X enthält `CVE-2021-44228` (Critical)“
+- Je nach Policy:
+  - Pipeline schlägt fehl, wenn **kritische** CVEs gefunden werden  
+  oder
+  - Es wird zumindest ein Report erzeugt, den das Team bearbeiten muss.
+
+### Warum ist das wichtig?
+- Minimiert das Risiko, **bekannte** Sicherheitslücken in Produktion zu bringen.
+- Hilft, Security in den **Entwicklungsprozess** zu integrieren (Shift Left).
+- Unterstützt Compliance-Anforderungen (ISO 27001, BSI, interne Richtlinien).