CodeSentry
Analyse des Binärcodes auf seine Zusammensetzung
Software von Drittanbietern wird in Softwareprojekten intensiv genutzt. Mindestens 90% der Unternehmen nutzen solche Third-Party-Software und 95% der von ihnen erstellten proprietären oder angepassten Softwareanwendungen enthalten Komponenten von Drittanbietern.
Drittanbietersoftware kann als Quellcode oder in Binärform geliefert werden. Es kann sich hierbei um Open-Source, Commercial-Off-The-Shelf (COTS) oder Code aus Auftragsentwicklung handeln. Die zugrundeliegenden Komponenten und die damit verbundenen Schwachstellen sind der Organisation, die sie verwenden, oft unbekannt. Hier besteht ein Sicherheitsrisiko.
CodeSentry führt eine Analyse der Softwarezusammensetzung durch und inventarisiert Open Source- und Drittanbieter-Code um darin enthaltene Schwachstellen zu erkennen.
Absicherung von Software
Während herkömmliche Software Composition Analyse Tools (SCA-Tools) oft keine Einsicht in Softwarekomponenten haben, die als Binärcode geliefert werden, bietet CodeSentry auch für die Binärcodeanalyse ein Lösung. CodeSentry basiert auf CodeSecure's bahnbrechender Forschung zur Analyse von Binärcode und der Machine-Learning-Technologie. Die CodeSentry-Technologie ermöglicht skalierbare Analysen, ohne dass der Quellcode vorhanden sein muss.Das Werkzeug arbeitet mit hoher Präzision: die Binär-Analyse ist effizient und weniger fehleranfällig als die von herkömmlichen Software-Composition-Analysis-Tools.
Was ist CodeSentry Binary Software Composition Analysis?
CodeSentry verwendet Mehrkomponenten-Matching-Algorithmen, die eine schnelle und genaue Komponentenerkennung über verschiedene Befehlssatz-Architekturen (Instruction Set Architectures / ISAs) und Compiler ermöglichen. Diese Algorithmen berechnen und vergleichen Codesignaturen durch die Nutzung von Eigenschaften, die von lexikalischen Informationen wie dem Inhalt von Zeichenfolgen bis hin zu tiefen semantischen Abstraktionen der in Funktionen enthaltenen Logik auf hohem Niveau reichen.Scannen von Post-Production Applications, Packages & Containern
Binärcodeanalyse bei nicht vorhandenem QuellcodeCodeSentry ist ein Werkzeug, welches die Zusammensetzung von Binärcode zeigt (Software Composition Analysis, SCA). Hierbei werden Open-Source-Komponenten, gemeinsame Abhängigkeiten in Binärdateien (einschließlich Firmware, Containern, mobilen oder Desktop-Anwendungen) identifiziert.
Das daraus resultierende Komponenteninventar (Software Bill of Materials, SBOM) ist unter anderem mit VulnDB, der branchenweit umfassendsten Datenbank für Softwareschwachstellen, verknüpft.
CodeSentry analysiert "Artefakte" im Hinblick auf ihre Zusammensetzung und erstellt eine Komponentenliste "Software Bill of Materials" (SBOM).
"Artefakte" können sowohl einzelne Binärdateien wie z.B. ausführbare Dateien oder Objektdateien sein (auch als Archive).
Die für die aufgefundenen Komponenten bereits bekannten Sicherheitsschwachstellen (N-Day Vulnerabilities) werden durch Referenzierung auf CVEs (Common Vulnerability Enumeration) der Nation Vulnerability Database sowie der Risk Based Security Database ausgewiesen.
Als eine weitere Form der Analyse bietet CodeSentry auch die "Zero-Day-Analyse". Diese deckt Probleme auf, die nocht nicht anderweitig identifiziert oder publiziert wurden.
Um die Qualität der zu untersuchenden Komponenten hinsichtlich fachgerechter Umsetzung beurteilen zu könnnen, überprüft CodeSentry auch die Verwendung von Techniken wie z.B. "Stack Cookies/Canaries" oder "Address Space Layout Rendomization".
CodeSentry ist eine API-First-Plattform", deren volle Funktionalität von Clients mittels Webbrouser im Zugriff steht.
Die Bedienoberfläche ist intuitiv zu bedienen und übersichtlich.
Software-"Stücklisten"
CodeSentry erstellt detaillierte Software-Stücklisten (software bill of materials / SBOM) und listet bekannte Schwachstellen in den detektierten Softwarekomponenten auf. Das Tool verfolgt diese Sicherheitsanfälligkeiten kontinuierlich während des gesamten Software-Lebenszyklus. Mit CodeSentry sind Ihre Anwendungen ohne Nacharbeit oder Rätselraten auditierbar. Die Software-"Stücklisten" können in der jeweiligen Anwendung eingebettet werden, wodurch die Auditierungen einfacher werden.Leistungsfähige Binäranalyse
Die Binärerkennungsfunktion von CodeSentry wird durch eine extrem skalierbare Binäranalyse ermöglicht.Diese Technologie garantiert eine hohe Genauigkeit und Vollständigkeit (mehr erfahren). Hierdurch werden mehr Schwachstellen erkannt und der Anteil von Falschmeldungenen gering gehalten.
Software Re-Use Risk Management
CodeSentry ermöglicht Qualitätsverantwortlichen Risiken in Verbindung mit Open-Source- und Drittanbieter-Code schnell und einfach zu erkennen.Dies wird über eine leistungsstarke Kombination von präziser binärer Analyse, detaillierten Software-"Stücklisten" und einer umfassenden Liste bekannter Schwachstellen erreicht.
Die Ergebnisse können über den gesamten Software-Lebenszyklus getrackt und gemanaged werden.
Weitere Informationen
Erfahren Sie wie die CodeSecure-Technology Ihren Software-Entwicklungsprozess schnell und signifikant verbessert und vereinbaren Sie einen kostenlosen Beratungstermin mit einem unserer Mitarbeiter.Weitere Informationen
Video: Aufdecken von 0-Day und N-Day Schwachstellen durch Statische CodeananlysePaper: Aufdecken von Sicherheitsschwachstellen durch Statische Codeanalyse
Letzte Neuigkeiten
(aktuelle CodeSentry-Version: 6.1)
- CodeSentry 6.1 mit bedeutenden Updates und Verbesserungen verfügbar
- CodeSentry 6.0 mit wichtigen neuen Funktionen und Verbesserungen verfügbar
- CodeSentry 5.2 verfügbar: Checks für über 3.500 neue Sicherheitslücken
- CodeSentry 5.1 mit Checks für über 8.400 neue Sicherheitslücken verfügbar
- Battery Ventures kauft die Sicherheits-Software-Sparte von GrammaTech
- GrammaTech CodeSentry 5.0 überprüft 9.700 neue Sicherheitslücken und 3.700 neue Komponenten