43 lines
1.9 KiB
Markdown
43 lines
1.9 KiB
Markdown
„CVE Scan“ bedeutet im Kontext der Software-Entwicklung in der Regel:
|
||
|
||
**Automatisches Durchsuchen von Software (Code, Bibliotheken, Containern, Systemen) nach bekannten Sicherheitslücken, die in der CVE-Datenbank erfasst sind.**
|
||
|
||
### Was ist „CVE“?
|
||
- **CVE** = *Common Vulnerabilities and Exposures*
|
||
- Das ist ein weltweit genutztes, standardisiertes Verzeichnis von **bekannten Sicherheitslücken** mit eindeutigen IDs, z. B. `CVE-2023-12345`.
|
||
- Jede CVE beschreibt eine bestimmte Schwachstelle in Software/Hardware und hat meist eine **Schwerebewertung** (z. B. CVSS-Score).
|
||
|
||
### Was macht ein „CVE Scan“ konkret?
|
||
Ein CVE-Scan-Tool:
|
||
|
||
1. **Analysiert deine Software-Artefakte**
|
||
- z. B.:
|
||
- verwendete Bibliotheken/Dependencies (Maven, npm, pip, …)
|
||
- Container Images (Docker)
|
||
- Betriebssystem-Pakete (apt, yum, …)
|
||
2. **Vergleicht die gefundenen Komponenten** mit Datenbanken bekannter Schwachstellen:
|
||
- NVD (National Vulnerability Database)
|
||
- Vendor-Advisories
|
||
- Weitere Security-Feeds
|
||
3. **Listet gefundene bekannte Schwachstellen** auf:
|
||
- CVE-ID
|
||
- Schweregrad (z. B. „High“, „Critical“)
|
||
- betroffene Version
|
||
- ggf. empfohlene Fix-Version
|
||
|
||
### Beispiel im Entwicklungsprozess
|
||
In einem CI/CD-Pipeline-Schritt „CVE Scan“ passiert typischerweise:
|
||
|
||
- Nach dem Build wird das Artefakt (z. B. Container-Image, JAR, Node.js-App) gescannt.
|
||
- Der Scan findet z. B.:
|
||
- „Bibliothek `log4j` Version X enthält `CVE-2021-44228` (Critical)“
|
||
- Je nach Policy:
|
||
- Pipeline schlägt fehl, wenn **kritische** CVEs gefunden werden
|
||
oder
|
||
- Es wird zumindest ein Report erzeugt, den das Team bearbeiten muss.
|
||
|
||
### Warum ist das wichtig?
|
||
- Minimiert das Risiko, **bekannte** Sicherheitslücken in Produktion zu bringen.
|
||
- Hilft, Security in den **Entwicklungsprozess** zu integrieren (Shift Left).
|
||
- Unterstützt Compliance-Anforderungen (ISO 27001, BSI, interne Richtlinien).
|