it-know-how/verschiedene/CVE Scan.md

„CVE Scan“ bedeutet im Kontext der Software-Entwicklung in der Regel:

Automatisches Durchsuchen von Software (Code, Bibliotheken, Containern, Systemen) nach bekannten Sicherheitslücken, die in der CVE-Datenbank erfasst sind.

Was ist „CVE“?

• CVE = Common Vulnerabilities and Exposures
• Das ist ein weltweit genutztes, standardisiertes Verzeichnis von bekannten Sicherheitslücken mit eindeutigen IDs, z. B. CVE-2023-12345.
• Jede CVE beschreibt eine bestimmte Schwachstelle in Software/Hardware und hat meist eine Schwerebewertung (z. B. CVSS-Score).

Was macht ein „CVE Scan“ konkret?

Ein CVE-Scan-Tool:

1. Analysiert deine Software-Artefakte
   • z. B.:
     • verwendete Bibliotheken/Dependencies (Maven, npm, pip, …)
     • Container Images (Docker)
     • Betriebssystem-Pakete (apt, yum, …)
2. Vergleicht die gefundenen Komponenten mit Datenbanken bekannter Schwachstellen:
   • NVD (National Vulnerability Database)
   • Vendor-Advisories
   • Weitere Security-Feeds
3. Listet gefundene bekannte Schwachstellen auf:
   • CVE-ID
   • Schweregrad (z. B. „High“, „Critical“)
   • betroffene Version
   • ggf. empfohlene Fix-Version

Beispiel im Entwicklungsprozess

In einem CI/CD-Pipeline-Schritt „CVE Scan“ passiert typischerweise:

• Nach dem Build wird das Artefakt (z. B. Container-Image, JAR, Node.js-App) gescannt.
• Der Scan findet z. B.:
  • „Bibliothek log4j Version X enthält CVE-2021-44228 (Critical)“
• Je nach Policy:
  • Pipeline schlägt fehl, wenn kritische CVEs gefunden werden
    oder
  • Es wird zumindest ein Report erzeugt, den das Team bearbeiten muss.

Warum ist das wichtig?

• Minimiert das Risiko, bekannte Sicherheitslücken in Produktion zu bringen.
• Hilft, Security in den Entwicklungsprozess zu integrieren (Shift Left).
• Unterstützt Compliance-Anforderungen (ISO 27001, BSI, interne Richtlinien).