Geschwindigkeitsproblem klassisches Patching

Open Source ist aus der Unternehmenswelt nicht mehr wegzudenken, immerhin 98 Prozent der kommerziellen Codebases enthalten inzwischen quelloffene Software. Letztlich kommt kaum noch eine moderne Anwendung ohne Open Source aus – denn warum sollten Unternehmen alles von Grund auf selbst entwickeln, wenn es doch zuverlässige Lösungen gibt, um die sich eine rege Community intensiv kümmert? Auch SAP lässt sich mithilfe von Open Source leicht erweitern – die Basis dafür stellt die SAP BTP bereit, bei der SAP seinerseits an vielen Stellen ebenfalls auf Open Source setzt.

Was bislang die Innovationsgeschwindigkeit von Unternehmen massiv erhöhte, wächst sich mittlerweile allerdings zu einer riesigen Security-Herausforderung aus, da fortschrittliche KI-Modelle unglaublich gut darin sind, Schwachstellen in Software zu finden. Mit der Preview-Version von Claude Mythos hatte Anthropic im Frühjahr beispielsweise mehr als 1000 Open-Source-Projekte untersucht, auf denen ein Großteil des Internets und viele Unternehmensinfrastrukturen basieren. Dabei wurden Tausende Schwachstellen entdeckt, denen Sicherheitsexperten anschließend den Schweregrad „hoch“ oder „kritisch“ attestierten.

Wettlauf Mensch gegen KI

Damit beginnt für Unternehmen ein Wettlauf, den sie allein fast nicht gewinnen können. Findet die KI nämlich mehr Schwachstellen, als Menschen je könnten, und das in immer kürzerer Zeit, brechen ihre etablierten Patching- und Update-Prozesse zusammen. Sie kommen schlicht nicht mehr nach zu evaluieren, in welchen Anwendungen verwundbare Komponenten stecken und welche Systeme betroffen sind, und es fehlt ihnen die Zeit, alle verfügbaren Patches und neuen Versionen gründlich zu testen, sie gegebenenfalls anzupassen und einzuspielen. Der Berg an Aktualisierungen wird größer und größer – ebenso wie das Risiko, dass Cyberkriminelle eine der nicht abgedichteten Schwachstellen ausnutzen.

Abhilfe schafft ebenfalls KI, die Code und Schwachstelleninformationen analysieren und geeignete Gegenmaßnahmen vorschlagen kann, um die Reaktionszeiten zu verkürzen. Genau hier setzen IBM und Red Hat mit Lightwell an – einer Initiative zur Sicherung komplexer Open-Source-Softwarelieferketten, die auf einer KI-gestützten Remediation Engine und der Expertise von mehr als 20.000 Technikern basiert. Im Rahmen von Lightwell werden Schwachstellen und Abhängigkeiten identifiziert, Sicherheitsaktualisierungen entwickelt und produktionsreife Updatepakete bereitgestellt. Disruptive Upgrades oder umfangreiche Änderungen an Produktivsystemen sind nicht notwendig, da die entwickelten Fixes und Patches dem „Upstream Always“-Modell folgend immer in frühere Versionen zurückportiert werden, sodass Unternehmen ihre bestehenden Softwareversionen weiternutzen können und nicht auf neue Major Releases umsteigen müssen.

Lightwell pflegt zum Start einen Katalog von über 6500 digital signierten und zertifizierten Komponenten, der stetig erweitert wird und neben dem Quellcode auch Compliance-Unterlagen wie SBOMs enthält. Zunächst nur für die Finanzbranche werden zudem auch gezielt individuelle Aktualisierungen für andere Komponenten entwickelt – weitere Branchen wie Healthcare, Telekommunikation und öffentliche Verwaltung sollen folgen. Letztlich verschärft KI nicht nur die Bedrohungslage, sondern hilft, Angriffsfläche zu verkleinern. Was bisher Hunderte oder Tausende manuelle Prüfungen, Anpassungen und Entscheidungen erforderte, kann großteils automatisch ablaufen. Damit nichts schiefgeht, müssen die Prozesse sorgfältig aufgesetzt werden. Und dank Lightwell muss das nicht jedes Unternehmen für sich tun, sondern kann sich Unterstützung von SAP-Partnern und ISVs holen, die sich Lightwell anschließen und die vom Unternehmen selbst beziehungsweise von Integratoren entwickelten Anwendungen auf Open-Source-Komponenten prüfen, Schwachstellen identifizieren und schließen.

Sicherheit ist und bleibt nun mal ebenso wie Open Source ein Teamsport, bei dem die Ergebnisse dann am besten sind, wenn alle Beteiligten zusammenarbeiten.

Zum Partnereintrag: