GrammaTech CodeSentry
Analyse des Binärcodes auf seine Zusammensetzung

Software von Drittanbietern wird in Softwareprojekten intensiv genutzt. Mindestens 90% der Unternehmen nutzen solche Third-Party-Software und 95% der von ihnen erstellten proprietären oder angepassten Softwareanwendungen enthalten Komponenten von Drittanbietern.
Drittanbietersoftware kann als Quellcode oder in Binärform geliefert werden. Es kann sich hierbei um Open-Source, Commercial-Off-The-Shelf (COTS) oder Code aus Auftragsentwicklung handeln. Die zugrundeliegenden Komponenten und die damit verbundenen Schwachstellen sind der Organisation, die sie verwenden, oft unbekannt. Hier besteht ein Sicherheitsrisiko.
CodeSentry führt eine Analyse der Softwarezusammensetzung durch und inventarisiert Open Source- und Drittanbieter-Code um darin enthaltene Schwachstellen zu erkennen.

Absicherung von Software

Während herkömmliche Software Composition Analyse Tools (SCA-Tools) oft keine Einsicht in Softwarekomponenten haben, die als Binärcode geliefert werden, bietet CodeSentry auch für die Binärcodeanalyse ein Lösung. CodeSentry basiert auf GrammaTechs bahnbrechender Forschung zur Analyse von Binärcode und der Machine-Learning-Technologie. Die CodeSentry-Technologie ermöglicht skalierbare Analysen, ohne dass der Quellcode vorhanden sein muss.
Das Werkzeug arbeitet mit hoher Präzision: die Binär-Analyse ist effizient und weniger fehleranfällig als die von herkömmlichen Software-Composition-Analysis-Tools.

Was ist CodeSentry Binary Software Composition Analysis?

CodeSentry verwendet Mehrkomponenten-Matching-Algorithmen, die eine schnelle und genaue Komponentenerkennung über verschiedene Befehlssatz-Architekturen (Instruction Set Architectures / ISAs) und Compiler ermöglichen. Diese Algorithmen berechnen und vergleichen Codesignaturen durch die Nutzung von Eigenschaften, die von lexikalischen Informationen wie dem Inhalt von Zeichenfolgen bis hin zu tiefen semantischen Abstraktionen der in Funktionen enthaltenen Logik auf hohem Niveau reichen.


CodeSentry analysiert "Artefakte" im Hinblick auf ihre Zusammensetzung und erstellt eine Komponentenliste "Software Bill of Materials" (SBOM).
"Artefakte" können sowohl einzelne Binärdateien wie z.B. ausführbare Dateien oder Objektdateien sein (auch als Archive).
Die für die aufgefundenen Komponenten bereits bekannten Sicherheitsschwachstellen (N-Day Vulnerabilities) werden durch Referenzierung auf CVEs (Common Vulnerability Enumeration) der Nation Vulnerability Database sowie der Risk Based Security Database ausgewiesen.
Als eine weitere Form der Analyse bietet CodeSentry auch die "Zero-Day-Analyse". Diese deckt Probleme auf, die nocht nicht anderweitig identifiziert oder publiziert wurden.
Um die Qualität der zu untersuchenden Komponenten hinsichtlich fachgerechter Umsetzung beurteilen zu könnnen, überprüft CodeSentry auch die Verwendung von Techniken wie z.B. "Stack Cookies/Canaries" oder "Address Space Layout Rendomization".

CodeSentry ist eine API-First-Plattform", deren volle Funktionalität von Clients mittels Webbrouser im Zugriff steht.
Die Bedienoberfläche ist intuitiv zu bedienen und übersichtlich.

Software-"Stücklisten"

CodeSentry erstellt detaillierte Software-Stücklisten (software bill of materials / SBOM) und listet bekannte Schwachstellen in den detektierten Softwarekomponenten auf. Das Tool verfolgt diese Sicherheitsanfälligkeiten kontinuierlich während des gesamten Software-Lebenszyklus. Mit CodeSentry sind Ihre Anwendungen ohne Nacharbeit oder Rätselraten auditierbar. Die Software-"Stücklisten" können in der jeweiligen Anwendung eingebettet werden, wodurch die Auditierungen einfacher werden.

Leistungsfähige Binäranalyse

Die Binärerkennungsfunktion von CodeSentry wird durch eine extrem skalierbare Binäranalyse ermöglicht.
Diese Technologie garantiert eine hohe Genauigkeit und Vollständigkeit (mehr erfahren). Hierdurch werden mehr Schwachstellen erkannt und der Anteil von Falschmeldungenen gering gehalten.

Software Re-Use Risk Management

CodeSentry ermöglicht Qualitätsverantwortlichen Risiken in Verbindung mit Open-Source- und Drittanbieter-Code schnell und einfach zu erkennen.
Dies wird über eine leistungsstarke Kombination von präziser binärer Analyse, detaillierten Software-"Stücklisten" und einer umfassenden Liste bekannter Schwachstellen erreicht.
Die Ergebnisse können über den gesamten Software-Lebenszyklus getrackt und gemanaged werden.

Kostenlose Evaluation

Der beste Weg ein SCA-Tools zu beurteilen, ist es auf den eigenen Code anzuwenden und die Ergebnisse zu beurteilen.
Fragen Sie jetzt nach Ihrer 30-Tage-Trial-Lizenz und erfahren Sie wie die GrammaTech-Technology Ihren Software-Entwicklungsprozess schnell und signifikant verbessert.

Weitere Informationen

Video: Aufdecken von 0-Day und N-Day Schwachstellen durch Statische Codeananlyse

Paper: Aufdecken von Sicherheitsschwachstellen durch Statische Codeanalyse