Die Herausforderung

Die Mission von Black Duck besteht darin, Entwicklungs- und Sicherheitsteams zu befähigen, in einer zunehmend regulierten und KI-gestützten Welt Vertrauen in Software aufzubauen. Da sich sowohl die Softwareentwicklung als auch die Ausnutzung von Software-Lieferketten beschleunigen, ist die Notwendigkeit hoch, schnell zu innovieren und gleichzeitig die Sicherheit der eigenen Lösungen zu gewährleisten. „Wir kämpfen mit Open-Source-Sicherheitsrisiken genau wie unsere Kunden“, sagte Ron Lewis, Head of Cybersecurity Governance bei Black Duck. „Das ist der Vektor für Angriffe, der heute am häufigsten gegen Unternehmen eingesetzt wird. Man sieht es ständig in den Nachrichten.“

Für die SaaS-Flaggschiffplattform von Black Duck, Polaris, war die nachweisbare Verwaltung dieses Risikos der Schlüssel zum Zugang zum Bundesmarkt. Dem Team wurde jedoch klar, dass die Erlangung der FedRAMP-Akkreditierung für Polaris einen erheblichen, kontinuierlichen Aufwand zur Verwaltung der Wartung seiner eigenen Lieferkettenabhängigkeiten erfordern würde, was den Fokus von seiner etablierten Produkt-Roadmap ablenken würde.

Die Lösung

Um diese Herausforderung zu bewältigen, suchte Black Duck nach einem Partner, dem es bei der Bewältigung dieser schweren Arbeit vertrauen konnte. „Wir wollten dies an einen vertrauenswürdigen Partner auslagern, der in der Branche einen guten Ruf genießt. Nachdem wir mehrere potenzielle Kandidaten geprüft hatten, kamen wir zu dem Schluss, dass Chainguard die beste Lösung für uns ist“, sagte Collin Hogue-Spears, Senior Director, Product Management.

Seema Ganoje, Director of Cloud Operations, erklärte: „Chainguards Tools zur Herkunftsverfolgung (Provenance), der kryptografische Nachweis darüber, woher Images stammen, wie sie erstellt wurden, signierte SBOMs und Atteste ermöglichen es uns, unsere Risikomanagement-Workflows zu optimieren – für FedRAMP macht das den entscheidenden Unterschied.“

Die Ergebnisse

Weniger Zeit für Infrastruktur, mehr Zeit für die Entwicklung

Mit Chainguard an Bord konnte das Engineering-Team von Black Duck weniger Zeit mit dem Stopfen von Lücken und mehr Zeit mit Innovationen verbringen. „Unsere Fähigkeit, unsere Software auszuliefern und zu skalieren, hat sich durch die Verwendung von Chainguard-Container-Images als Grundlage drastisch verbessert. Was wir jetzt tun können, ist schneller zu liefern, mit größerem Vertrauen, dass unsere Lösungen frei von Schwachstellen sind, und diesen Nachweis unseren Kunden zu erbringen“, sagte Collin. „Das Endergebnis für uns ist, dass wir unsere Produkte mit Chainguard schneller auf den Markt bringen können.“

Rons Sicherheitsteam spürte den Unterschied ebenfalls. „Einer der Punkte, bei denen uns die Implementierung von Chainguard aus Sicht des Sicherheitsteams wirklich geholfen hat, ist die Reduzierung des Arbeitsaufwands für die Behebung von Schwachstellen. Mein Team ist immer an der Kapazitätsgrenze, aber mit Chainguard fühlt sich die Herausforderung, mit dem ständigen Strom von Schwachstellen und Patches Schritt zu halten, weniger überwältigend an“, sagte er.

Da diese grundlegende Sicherheitsarbeit erledigt war, konnte das Black Duck-Team seine Energie darauf verwenden, seinen Kunden mehr Wert zu bieten: „Mit Chainguard können wir uns nun auf die Verbesserung von Polaris konzentrieren, was erweiterte Integrationen mit DevOps-Automatisierungstools und eine verbesserte Erreichbarkeitsanalyse sowie die Einführung unserer agentenbasierten AppSec-Lösung Signal umfasst. All dies sind Funktionen, die unseren Kunden wichtig sind“, sagte Seema.

Ein kultureller Wandel hin zu Secure-by-Default-Open-Source

Chainguard hat die Sichtweise der Black Duck-Entwickler auf das Management von Open-Source-Risiken verändert. „Mit Chainguard im Hintergrund können wir uns auf Open-Source verlassen, die standardmäßig sicher ist (secure by default)“, sagte Seema. Entwickler müssen nicht mehr bei jeder Entscheidung das Sicherheitsrisiko abwägen; sie können sich auf das konzentrieren, was für das Produkt am besten ist.

„Dieses Vertrauen hat die Messlatte höher gelegt“, sagte Seema. „Bis Code die Produktion erreicht, haben die Teams einen Nachweis über dessen Herkunft für jeden einzelnen Schritt.“ Und diese Herkunft und die Secure-by-Default-Haltung sind wichtige Meilensteine auf dem Weg des Black Duck-Teams zur FedRAMP-Akkreditierung.

Compliance und Kundenvertrauen

Für einige seiner am stärksten regulierten Kunden ist das Sicherheitsniveau von Black Duck zu einem Verkaufsargument geworden.

„Wir haben viele Kunden in regulierten Branchen wie Finanzdienstleistungen, kritische Infrastrukturen, Medizintechnik und Automobilindustrie“, erklärte Collin. „Und für diese Kunden ist Sicherheit von entscheidender Bedeutung, da sie sowohl von Aufsichtsbehörden als auch von ihren eigenen Kunden überprüft werden. Die Nutzung von Chainguard als Grundlage für standardmäßige Sicherheit und die Herkunft der Lieferkette hilft uns wirklich dabei, Vertrauen bei diesen Kunden aufzubauen.“

Vom Kunden zur Koalition

Die Beziehung zwischen Black Duck und Chainguard ist weiter gewachsen. „Wir haben als Kunden bei Chainguard begonnen und sind schnell in eine Partnerschaft übergegangen. Und jetzt freuen wir uns darauf, diese Partnerschaft mit der Athena Coalition weiter auszubauen“, sagte Collin.

Athena ist Chainguards Branchenkoalition zum Schutz von Open-Source-Software vor KI-Angriffen. Sie bündelt Schwachstellenerkenntnisse ihrer Mitglieder und wandelt sie in Korrekturen und Minderungsmaßnahmen um, bevor Angreifer diese ausnutzen können. Seema erklärte die Rolle von Black Duck: „Wir steuern SCA- und Schwachstellen-Intelligence bei. Wenn Mythos einen Zero-Day findet, koordiniert sich die Koalition, ruft die Ergebnisse ab, verifiziert sie, erstellt die Minderungsmaßnahmen, leitet sie upstream weiter, und das gesamte Ökosystem wird stärker.“

Was als Kundenbeziehung auf Basis von FedRAMP-Anforderungen begann, hat sich zu einer Partnerschaft und nun zu einer Koalition entwickelt, in der Black Duck und Chainguard dazu beitragen, zu gestalten, wie sich das Open-Source-Ökosystem schützt.