Lieferketten-Kompromittierung — Thema: supply chain | Ereignisbeleg: targeted, stole+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ENISA links SBOM automation, integrity safeguards and lifecycle management to software supply chain security
Die ENISA hat technische Richtlinien zur Implementierung von Software Bill of Materials (SBOMs) veröffentlicht, um die Transparenz in Software-Lieferketten zu erhöhen. Organisationen, insbesondere KMU, sollen maschinenlesbare Inventare nutzen, um Schwachstellen zu identifizieren und Abhängigkeiten zu verfolgen. Es wird empfohlen, SBOMs in bestehende Sicherheitsabläufe zu integrieren, etablierte Formate zu verwenden und die Integrität der Daten zu gewährleisten, um Sicherheitsrisiken zu minimieren.
SecBoard-Einordnung
Die Implementierung von SBOMs ermöglicht es Organisationen, Software-Komponenten und deren Abhängigkeiten transparent zu verfolgen, was die schnelle Identifizierung und Behebung von Schwachstellen erleichtert und somit die Resilienz gegenüber Lieferkettenangriffen erhöht.
Realistisch schlimmster Fall: Ohne SBOMs könnten Organisationen kritische Schwachstellen in ihren Software-Lieferketten übersehen, was zu unentdeckten Kompromittierungen, Datenlecks oder Systemausfällen durch Angriffe auf die Lieferkette führen könnte.
Empfehlung: Organisationen sollten die ENISA-Richtlinien prüfen, SBOMs in maschinenlesbaren Formaten wie SPDX oder CycloneDX erstellen oder anfordern und diese in ihre bestehenden Sicherheitsabläufe integrieren, um die Integrität der Daten zu gewährleisten.
Betroffen
Organisationen, insbesondere KMU, die Software entwickeln oder nutzen und ihre Lieferketten sichern müssen.
Prüfen
3- ▸Überprüfen Sie, ob Ihre Organisation bereits SBOMs für eingesetzte Software erhält oder generiert.
- ▸Bewerten Sie, ob die Integrität der SBOM-Daten in Ihrer Lieferkette validiert wird.
▸ 1 weitere▾ weniger
- ▸Prüfen Sie, ob SBOMs in Ihre bestehenden Schwachstellenmanagement- und Incident-Response-Prozesse integriert sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen Arten von Schwachstellen durch SBOMs identifiziert werden können.
- ▸Es werden keine konkreten Beispiele für Angriffe genannt, die durch SBOMs verhindert werden können.
- ▸Der Artikel nennt keine spezifischen Tools oder Anbieter für die SBOM-Erstellung oder -Verwaltung.
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ENISA hat technische Richtlinien zur Implementierung von Software Bill of Materials (SBOMs) veröffentlicht, um die Transparenz in Software-Lieferketten zu erhöhen.“
„Risiken im Zusammenhang mit ungenauen oder manipulierten Daten mindern.“
„Die Integrität der Daten zu gewährleisten, um Sicherheitsrisiken zu minimieren.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.