Sicherheit der Softwarelieferkette

Google Cloud bietet eine umfassende und modulare Reihe von Funktionen und Tools für Google Cloud verschiedene Produkte, mit denen Ihre Entwickler-, DevOps- und Sicherheitsteams den Sicherheitsstatus Ihrer Softwarelieferkette verbessern können.

Softwarelieferketten

Eine Softwarelieferkette umfasst den gesamten Code, alle Personen, Systeme und Prozesse, die zur Entwicklung und Bereitstellung Ihrer Software beitragen – sowohl innerhalb als auch außerhalb Ihrer Organisation. Sie umfasst Folgendes:

  • Von Ihnen erstellter Code, seine Abhängigkeiten und die interne und externe Software, die Sie zum Entwickeln, Erstellen, Verpacken, Installieren und Ausführen Ihrer Software verwenden.
  • Prozesse und Richtlinien für den Systemzugriff, das Testen, die Überprüfung, die Überwachung und das Feedback, die Kommunikation und die Genehmigung.
  • Systeme, die Sie zum Entwickeln, Erstellen, Speichern und Ausführen Ihrer Software und ihrer Abhängigkeiten verwenden.

Angesichts der großen Reichweite und Komplexität von Softwarelieferketten gibt es zahlreiche Möglichkeiten, unbefugte Änderungen an der Software vorzunehmen, die Sie Ihren Nutzern zur Verfügung stellen. Diese Angriffsvektoren erstrecken sich über den gesamten Softwarelebenszyklus. Einige Angriffe sind gezielt, wie der Angriff auf das SolarWinds von SolarWinds. Andere Bedrohungen sind indirekt oder gelangen durch Prozesslücken oder Nachlässigkeit in die Lieferkette.

Bei einer Bewertung der Apache Log4j-Sicherheitslücke im Dezember 2021 durch das Google Open Source Insights-Team wurden beispielsweise über 17.000 betroffene Pakete in Maven Central gefunden. Die meisten dieser Pakete waren nicht direkt vom anfälligen log4j-core-Paket abhängig, hatten aber Abhängigkeiten, für die das Paket erforderlich war.

Auch Entwicklungspraktiken und -prozesse wirken sich auf Softwarelieferketten aus. Prozesslücken wie fehlende Codeüberprüfungen oder Sicherheitskriterien für die Bereitstellung in der Produktionsumgebung können dazu führen, dass fehlerhafter Code unbeabsichtigt in die Lieferkette gelangt. Ebenso erhöht ein fehlendes Abhängigkeitsmanagement das Risiko von Sicherheitslücken aus externen Quellen oder Softwarepaketen, die Sie für die Entwicklung, Builds oder die Bereitstellung verwenden.

Softwarelieferketten auf schützen Google Cloud

Google Cloud bietet Folgendes:

  • Produkte und Funktionen, die Best Practices für die Sicherheit bei der Entwicklung, Erstellung, beim Testen und bei der Bereitstellung sowie bei der Richtlinienerzwingung enthalten.
  • Dashboards in der Google Cloud Console, die Sicherheitsinformationen zu Quelle, Builds, Artefakten, Bereitstellungen und Laufzeiten enthalten. Zu diesen Informationen gehören Sicherheitslücken in Build-Artefakten, die Build-Herkunft und Software-Materiallisten (Software Bill of Materials, SBOM) Abhängigkeitslisten.
  • Informationen zur Reifestufe der Sicherheit Ihrer Softwarelieferkette mithilfe des SLSA-Frameworks (Supply-chain Levels for Software Artifacts).

Das folgende Diagramm zeigt Google Cloud Dienste, die zusammenarbeiten um die Softwarelieferkette zu schützen. Sie können einige oder alle dieser Komponenten in Ihre Softwarelieferkette integrieren, um Ihren Sicherheitsstatus zu verbessern.

Google Cloud Softwarelieferkettenkomponenten

Entwicklungsumgebung schützen

Cloud Workstations bietet vollständig verwaltete Entwicklungsumgebungen auf Google Cloud. IT- und Sicherheitsadministratoren können ihre Entwicklungsumgebungen bereitstellen, skalieren, verwalten und schützen. Entwickler können auf Entwicklungsumgebungen mit konsistenten Konfigurationen und anpassbaren Tools zugreifen.

Cloud Workstations verschiebt die Sicherheit nach links, indem der Sicherheitsstatus Ihrer Anwendungsentwicklungsumgebungen verbessert wird. Zu den Sicherheitsfunktionen gehören VPC Service Controls, privater eingehender oder ausgehender Traffic, erzwungene Image-Updates und IAM-Zugriffsrichtlinien. In Kombination mit Chrome Enterprise Premium bietet Cloud Workstations zusätzliche Funktionen zum Schutz vor Datenverlust.

Softwarelieferkette schützen

Die Sicherung der Softwarelieferkette – Build-Artefakte und Anwendungsabhängigkeiten – ist ein wichtiger Schritt zur Verbesserung der Sicherheit Ihrer Softwarelieferkette. Die weitverbreitete Verwendung von Open-Source-Software macht dieses Problem besonders schwierig.

  • Assured Open Source Software bietet Open Source-Pakete, die von Google überprüft und getestet wurden. Diese Pakete werden mit den sicheren Pipelines von Google erstellt und regelmäßig auf Sicherheitslücken gescannt, analysiert und getestet.

  • Artifact Registry ist ein universeller Paketmanager für alle Ihre Build Artefakte und Abhängigkeiten. Durch die Zentralisierung aller Artefakte und Abhängigkeiten haben Sie mehr Einblick in den Code in Ihrer Softwarelieferkette und mehr Kontrolle darüber.

    • In Remote-Repositories werden Artefakte aus voreingestellten externen Quellen wie Docker Hub, Maven Central, dem Python Package Index (PyPI), Debian oder CentOS sowie aus nutzerdefinierten Quellen für unterstützte Formate gespeichert. Durch das Caching von Artefakten in Remote-Repositories wird die Downloadzeit verkürzt, die Verfügbarkeit von Paketen verbessert und, falls aktiviert, ein Scan auf Sicherheitslücken durchgeführt.
    • Virtuelle Repositories konsolidieren Repositories desselben Formats hinter einem einzigen Endpunkt und ermöglichen es Ihnen, die Suchreihenfolge in Upstream- Repositories zu steuern. Sie können Ihre privaten Pakete priorisieren, wodurch das Risiko von Angriffen durch Abhängigkeitsverwechslung verringert wird.
    • Sie können Artefakte auch schützen, indem Sie Sicherheitsfunktionen wie die Zugriffssteuerung, VPC Service Controls-Dienstperimeter, Organisationsrichtlinien und andere Sicherheitsfunktionen konfigurieren. Weitere Informationen finden Sie in der Artifact Registry Dokumentation.

  • Artefaktanalyse erkennt proaktiv Sicherheitslücken für Artefakte in Artifact Registry.

CI/CD-Pipeline schützen

Böswillige Akteure können Softwarelieferketten angreifen, indem sie die CI/CD-Pipelines kompromittieren. Mit den folgenden Produkten können Sie Ihre CI/CD-Pipeline schützen:

  • Cloud Build führt Ihre Builds in der Google Cloud Infrastruktur von aus. Zu den Sicherheitsfunktionen gehören detaillierte IAM-Berechtigungen, VPC Service Controls und isolierte und kurzlebige Build-Umgebungen. Spezifische Funktionen für die Sicherheit der Softwarelieferkette sind:

    • Unterstützung für SLSA-Level 3-Builds für Container-Images.
    • Möglichkeit, eine authentifizierte und fälschungssichere Build-Herkunft für containerisierte Anwendungen zu generieren.

    • Sicherheitsstatistiken für erstellte Anwendungen. Dazu zählen:

      • Die SLSA-Build-Ebene, die die Reifestufe Ihres Software Build-Prozesses gemäß der SLSA-Spezifikation angibt.
      • Sicherheitslücken in Build-Artefakten.
      • Die Build-Herkunft, eine Sammlung überprüfbarer Metadaten zu einem Build. Sie enthält Details wie die Digests der erstellten Images, die Quell-Speicherorte, die Build-Toolchain, die Build-Schritte und die Build-Dauer.

    Eine Anleitung zum Aufrufen von Sicherheitsstatistiken für erstellte Anwendungen finden Sie unter Anwendung erstellen und Sicherheitsstatistiken ansehen.

  • Cloud Deploy automatisiert die Bereitstellung Ihrer Anwendungen in einer Reihe von Zielumgebungen in einer definierten Reihenfolge. Es unterstützt die Continuous Delivery direkt in Google Kubernetes Engine, GKE Enterprise und Cloud Run mit Genehmigungen und Rollbacks mit einem Klick, Unternehmenssicherheit und Audit sowie integrierten Bereitstellungsstatistiken. Außerdem werden Sicherheitsstatistiken für bereitgestellte Anwendungen angezeigt.

Anwendungen in der Produktionsumgebung schützen

Google Kubernetes Engine (GKE) und Cloud Run tragen dazu bei, den Sicherheitsstatus Ihrer Laufzeitumgebungen zu verbessern. Beide bieten Sicherheitsfunktionen, um Ihre Anwendungen zur Laufzeit zu schützen.

  • GKE kann den Sicherheitsstatus Ihrer Container bewerten und aktive Anleitungen zu Clustereinstellungen, Arbeitslastkonfiguration und Sicherheitslücken geben. GKE enthält ein Sicherheitsstatus-Dashboard, das fundierte, umsetzbare Empfehlungen zur Verbesserung Ihres Sicherheitsstatus bietet. Eine Anleitung zum Aufrufen von Sicherheitsstatistiken im GKE-Sicherheits status-Dashboard finden Sie unter In GKE bereitstellen und Sicherheitsstatistiken ansehen.

  • Cloud Run enthält einen Bereich „Sicherheit“, in dem Sicherheitsstatistiken für die Softwarelieferkette angezeigt werden, z. B. Informationen zur Compliance mit der SLSA-Build-Ebene, die Build-Herkunft und Sicherheitslücken, die in ausgeführten Diensten gefunden wurden. Eine Anleitung zum Aufrufen von Sicherheitsstatistiken im Bereich „Sicherheitsstatistiken“ von Cloud Run finden Sie unter In Cloud Run bereitstellen und Sicherheitsstatistiken ansehen.

Vertrauenskette durch Richtlinien aufbauen

Die Binärautorisierung trägt dazu bei, eine Vertrauenskette entlang Ihrer Softwarelieferkette aufzubauen, aufrechtzuerhalten und zu überprüfen, indem Attestierungen erfasst werden. Das sind digitale Dokumente, die Images zertifizieren.

Eine Attestierung gibt an, dass durch das erfolgreiche Ausführen eines bestimmten, erforderlichen Prozesses das zugehörige Image erstellt wurde. Basierend auf diesen erfassten Attestierungen hilft die Binärautorisierung, vertrauenswürdige Richtlinien zu definieren, zu überprüfen und zu erzwingen. So wird sichergestellt, dass das Image nur bereitgestellt wird, wenn die Attestierungen der Richtlinie Ihrer Organisation entsprechen. Sie können die Binärautorisierung so konfigurieren, dass Sie benachrichtigt werden, wenn Richtlinienverstöße gefunden werden.

Attestierungen können beispielsweise angeben, dass ein Image:

  • Mit Cloud Build erstellt wurde.
  • Keine Sicherheitslücken enthält, die einen bestimmten Schweregrad überschreiten. Wenn es bestimmte Sicherheitslücken gibt, die nicht auf Ihre Anwendungen zutreffen, können Sie sie einer Zulassungsliste hinzufügen.

Sie können die Binärautorisierung mit GKE und Cloud Run verwenden.

Preise

Für jeden Google Cloud Dienst gelten eigene Preise. Weitere Informationen finden Sie in der Preisdokumentation für die Dienste, an denen Sie interessiert sind.

Nächste Schritte