Supply-Chain-Sicherheit
SBOMs, signierte Builds und saubere Abhängigkeiten, die Grundlage für den Cyber Resilience Act.
Angreifer kommen immer häufiger über das, womit Sie bauen: ein vergiftetes Paket, ein gekaperter Maintainer, ein manipuliertes Build-Skript. Wir sichern den Weg vom Quellcode bis zum Release – gepinnte und geprüfte Abhängigkeiten, SBOMs in jedem Build, signierte Artefakte mit Provenienz und eine gehärtete CI –, damit Sie belegen können, was in Ihrem Produkt steckt, und merken, wenn sich etwas ändert, das sich nicht ändern sollte.
01 / Was es löst
CycloneDX- oder SPDX-Stücklisten, automatisch erzeugt, mit jedem Release versioniert und bereit für Kunden und Behörden.
Artefakte und Container-Images mit Sigstore signiert, mit Provenienz, die zeigt, wie und woraus sie gebaut wurden.
Lockfiles, gepinnte Versionen und ein Review neuer Pakete und ihrer Install-Skripte, bevor sie den Build erreichen.
Pipeline-Tokens mit minimalen Rechten, kurzlebige Cloud-Zugangsdaten, geschützte Branches und Alerts bei Änderungen an Build- und Konfigurationsdateien.
02 / Stack
Branchenstandard, langweilig im besten Sinne: Werkzeuge mit Zukunft, die auch der nächste Entwickler kennt.
SBOM & Inventar
CycloneDX / SPDX
Standard-SBOM-Formate
Syft
SBOM-Erzeugung für Code und Images
Dependency-Track
Komponenteninventar und Schwachstellen-Tracking
Signatur & Provenienz
Sigstore / cosign
Schlüssellose Signatur von Artefakten und Images
SLSA
Build-Integritätsstufen und Provenienz
in-toto attestations
Prüfbare Aussagen zu jedem Build-Schritt
Scans
OSV-Scanner
Bekannte Schwachstellen in Abhängigkeiten
Trivy / Grype
Scans von Images und Dateisystemen
Gitleaks
In den Quellcode gerutschte Secrets
CI & Repositories
GitHub Actions / GitLab CI
Gepinnte Actions, begrenzte Tokens, OIDC zur Cloud
OpenSSF Scorecard
Sicherheitszustand von Repositories und Abhängigkeiten
Renovate / Dependabot
Kontrollierte, geprüfte Abhängigkeits-Updates
03 / Vorgehen
SBOMs, Scans und Signaturen laufen in der Pipeline, nicht in einer Tabelle vor dem Release.
Ein Mensch prüft neue Abhängigkeiten und Install-Skripte; Routine-Updates laufen automatisch durch.
Komponenteninventar und Schwachstellenmanagement passend zu dem, was der Cyber Resilience Act von Herstellern erwartet.
Unerwartete Änderungen an Build-Skripten, Konfigurations- und Lockfiles lösen einen Alert aus, statt durchs Review zu rutschen.
04 / Standards
Wir halten uns bei jedem Projekt an Branchenstandards und bewährte Methoden – sie sorgen dafür, dass der Kostenvoranschlag hält.
05 / Infrastruktur
Gute Fragen
Klare Antworten auf das, was Kunden vor dem Start wissen wollen.
Ein Angriff, der Sie nicht über Ihren eigenen Code erreicht, sondern über etwas, womit Sie bauen: ein kompromittiertes oder per Typosquatting untergeschobenes Paket, ein gekapertes Maintainer-Konto, ein manipuliertes Build-Tool oder CI-Secret. Mehrere solche Angriffe der letzten Jahre haben Schadsoftware über Installationsskripte und Build-Konfiguration verbreitet.
Verwandte Arbeiten
Projekte und eigene Produkte, in denen dieser Service steckt.
Start
Erzählen Sie uns, wie Sie heute bauen und releasen. Ein Senior Engineer antwortet mit ehrlichem Umfang und Preis.
Let’s manage IoT-Sicherheit ansehen
