Revenera Code Insight mit erweiterten Funktionen zur Software Composition Analysis (SCA)

Das Analyse- und Scanningtool hilft Entwicklern und Rechtsberatern, Compliance-Risiken und Schwachstellen in Softwareprodukte zu identifizieren und Sicherheits- und Branchenstandards zu erfüllen. Revenera Code Insight liefert dazu ein vollständiges Bild des Open-Source-Inventory. Der SBoM wird automatisch generiert und lässt sich kontinuierlich über die Software Supply Chain hinweg anpassen und managen.

Erweiterte Funktionen von Code Insight:

• Unified Project Framework für kombinierte Ansicht auf vorkompilierten Quellcode und Build-Artefakte, einschließlich direkter und transitiver Abhängigkeiten.
• Projekthierarchien zur genauen Modellierung komplexer Softwareanwendungen, die aus mehreren wiederverwendbaren Modulen bestehen und in der Regel von verschiedenen Teams entwickelt werden.
• Globale Inventaransicht, einschließlich eines „Indented Bill-of-Material“, die Komponenten der unteren Ebenen beinhaltet und Anwendungen nach dem Top-Down-Verfahren listet. Benutzerdefinierte Abfragen nach unterschiedlichen Kriterien ermöglichen eine unternehmensweite Anzeige des Inventory (SBoM-Elementen) und helfen Komponenten, Lizenzen und/oder Sicherheitslücken zu identifizieren.
• Projekt Branching für die Synchronisierung von Code Insight mit Code Repositories (z. B. nach dem Release einer Anwendung oder beim Hinzufügen von neuen Branches im Laufe des Produktlebenszyklus
• Inventar-Provenienz zur Verwaltung der Open-Source-Chain-of-Custody
• Benutzerdefinierte Berichts- und Detektor-Frameworks für mehr Flexibilität

„In den Audits von Revenera sehen wir immer wieder, dass Softwareanbieter oft nicht wirklich wissen, wie sich ihre Produkte genau zusammensetzen. Vor der Analyse sind durchschnittlich gerade einmal 6% der genutzten OSS-Komponenten überhaupt bekannt”, erklärt Nicole Segerer, Vice President of Product Management & Marketing bei Revenera. „Mit unseren Lösungen können wir hier schnell Licht ins Dunkle bringen. Revenera unterstützt Unternehmen dabei, der wachsenden Nachfrage nach einer Software-Stückliste nachzukommen und immer wichtigere Branchenstandards zum Beispiel im Bereich Automotive und Medizintechnik zu erfüllen.“

In den letzten Jahren sind die Anforderungen hinsichtlich Open Source Software deutlich gestiegen. Der Software BOM rückt dabei in den Mittelpunkt und ist mittlerweile für einige Organisationen wie PCI, MITRE, NTIA, der FDA und dem Open Web Application Security Project (OWASP) verpflichtend. Damit wächst der Druck auf Softwareanbieter und IoT-Hersteller ihr Open Source-Management zu optimieren und in DevOps-Prozesse einzubinden. Neben der Erstellung eines SBoM für jede einzelne Anwendung gehören dazu auch integrierte Prozesse, um Schwachstellen in OSS-Komponenten zu identifizieren, zu überwachen und zu patchen.

„Software Composition Analysis oder SCA nimmt eine zentrale Rolle im DevOps-Prozess ein”, so Alex Rybak, Director of Product Management bei Revenera. „Das Scannen und Analysieren von Software-Komponenten wird leider immer noch gerne als Aufgabe der Sicherheit abgetan. Das ist aber nur die halbe Wahrheit. Es gibt genügend Gründe, warum Unternehmen wissen sollten, was in ihrer Software steckt. Dass spezifische SCA-Prozesse mehr und mehr einen festen Platz innerhalb des Software-Entwicklungslebenszyklus einnehmen, begrüßen wir daher sehr.“