Säkra upp leveranskedjorna i mjukvaruutvecklingen

Modern applikationsutveckling bygger ofta på bibliotek och system från tredjeparts-leverantörer. Desto djupare dessa beroenden blir, desto viktigare blir det att ta säkerheten på allvar.

Vi på Accelerate at Iver erbjuder kunskap och lösningar för att hjälpa er skydda dessa kedjor, och på så sätt hjälpa er öka tillförlitligheten och säkerheten i era applikationer.  

Genom att kombinera statisk och dynamisk kodscanning, samt kontroll av bibliotek och paket innan de laddas ner via era kodförråd (repositories) så kan ni höja säkerheten i er applikationsleverans. 

Externa beroenden i mjukvara och nya direktiv 

I samband med införandet av det europeiska direktivet kring cybersäkerhet (både Cyber Resilience Act och NIS2) är det av högsta vikt att känna till vilka externa beroenden som existerar i ens mjukvara. En stor del av detta rör nyupptäckta svagheter i bibliotek som används. För att lösa detta problem hjälper vi er med konfiguration och uppsättning av kod-scanning i pipelines, med scanning av containrar som körs, eller med verktyg som söker igenom de tredjepartsbibliotek som används och blockerar versioner som har kända svagheter. 

Attacken på NPM och behovet av Säkerhetskontroller 

Genom att använda verktyg för att säkra genomsökning av bibliotek så går det att i ett tidigt skede upptäcka och kunna stoppa sårbarheter från att komma ut till ens kunder. En stor attack som genomfördes på det här sättet av event-stream paketet från NPM. NPM är ett av världens största mjukvarubibliotek för kodpaket. Det som då hände var att en av projektets ansvariga la till ett extra tredjepartsbibliotek och sedermera modifierade det med skadlig kod. Det innebar att alla som hade flytande versionskontroller på paketet fick den nya skadliga koden vid nästa kompilering. Attacken började i september 2018 och NPM:s säkerhetsteam fick kännedom om attacken i november samma år. 

Det finns många exempel då olika aktörer på ett eller annat sätt lyckats få in skadlig kod i legitima bibliotek och paket. Med hjälp av genomsökning av kod antingen i byggsteg, eller vid nedladdning av beroenden så skulle detta kunna uppdagas, så snart den skadliga koden har upptäckts, och därmed skulle risken för företaget minska. Automatisering av dessa kontroller minskar också kravet på enskilda individer i organisationen.