Open Source Supply Chain: Google will Abhängigkeitsprobleme mit Graphen lösen
Das Sicherheitsteam von Google hat gemeinsam mit der Purdue-Universität und weiteren Unternehmen die Graphdatenbank Guac erstellt(öffnet im neuen Fenster), die für eine bessere Übersicht über die Abhängigkeiten von modernen Softwareprojekten sorgen soll. Guac steht dabei für Graph for Understanding Artifact Composition und Ziel der Datenbank ist es, für die Sicherheit relevante Metadaten so aufzuarbeiten, dass Verbindungen zwischen diesen sichtbar werden.
Die Auswertung der gesammelten und abgefragten Informationen soll der Ankündigung zufolge darüber hinaus vor allem für höher angesiedelte Richtlinienentscheidungen genutzt werden. Google zählt dazu die Fragen nach einem möglichen Audit, einer Risikoeinschätzung oder auch Hilfestellungen für Entwicklungsteams. Google selbst ordnet Guac deshalb in die Kategorie "Aggregation und Synthese" in Bezug auf die Sicherheit der sogenannten Software-Supply-Chain ein.
Guac selbst nutzt dabei konkret mehrere Quellen, um diese weiter aufzuarbeiten. Dazu gehören Sicherheitsmetadaten wie öffentliche Informationen zu Sicherheitslücken oder interne Beschreibungen. Hinzu kommen weitere Informationen von den genutzten Upstream-Projekten, was Repositories, Sicherheitslücken oder auch Build-Artefakte umfassen kann. Die Datenbank stellt dann über die genutzten Graphen Verbindungen her, etwa zwischen Sicherheitslücke und genutzter Version, Build-Artefakt und Quell-Repository und Ähnlichem. Eine Suchanfrage nach einem bestimmten Objekt oder Metadaten soll dann damit in Verbindung stehende Informationen liefern.
Google sieht Guac dabei vor allem als zusätzliches, aber umfassenderes Werkzeug im Vergleich zu bisherigen Lösungen mit einem speziellen Fokus. Explizit aufgeführt wird hier etwa eine Software-Bill-of-Materials (SBOM), nachvollziehbare Build-Systeme oder eben auch Sammlungen zu gemeldeten Sicherheitslücken. "Diese Daten sind für sich genommen nützlich, aber es ist schwierig, die Informationen für eine umfassendere Ansicht zu kombinieren und zu synthetisieren", heißt es dabei in der Ankündigung. Guac soll dieses Problem nun lösen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.