Besseres CVE-Management und schnellere Entwicklung mit KI

IBM Concert^® basiert auf der IBM watsonx^®-Technologie und ist eine Lösung zur Optimierung des Anwendungsmanagements und -betriebs. Das für dieses Angebot verantwortliche Entwicklungsteam stand unter dem Druck, das Produkt zur allgemeinen Verfügbarkeit (General Availability, GA) zu bringen und gleichzeitig die strengen Anforderungen von IBM zur Minderung von Sicherheitsrisiken im Produktcode zu erfüllen.   

Produktentwicklungsteams auf der ganzen Welt kennen diese Herausforderung: Parallel zur Entwicklung scannen Sicherheitsbewertungstools den Code und generieren Listen mit Hunderten oder Tausenden von häufigen Schwachstellen und Risiken (Common Vulnerabilities and Exposures, CVEs). Die meisten CVEs sind nicht kritisch, aber das Durchsuchen der Listen und die Priorisierung von Sanierungsmaßnahmen kann die Entwicklung erheblich verlangsamen. Wenn kritische Probleme erst spät im Entwicklungszyklus entdeckt werden, kann viel Zeit in die Neuerstellung und erneute Tests fließen. Daher sind die Produktreife – und letztendlich der Umsatz – an ein ordnungsgemäßes CVE-Management gebunden. 

Zum Glück für das Concert-Entwicklerteam lag eine innovative Lösung direkt vor ihnen. Einer der Kernanwendungsfälle, die von Concert unterstützt werden, ist die Rationalisierung des CVE-Managements. So wurden die Entwickler des Produkts zu einigen der ersten zufriedenen Kunden.  

Mit Concert entwickelte das Entwicklungsteam einen intelligenteren, effizienteren Ansatz für die Verwaltung von CVEs. Bisher verließ sich das Team auf zwei Sicherheits-Bewertungstools von Drittanbietern, die jeweils eigene Listen von CVEs mit Prioritätsbewertungen generierten. Das Team würde dann die beiden Listen manuell analysieren und in Beziehung setzen und anschließend mit dem Büro des IBM Chief Information Security Officer (CISO) kommunizieren, um Prioritäten zu vereinbaren.

Jetzt werden die Daten aus den Tools von Drittanbietern in Concert eingespeist, wo eine einheitliche CVE-Liste mit einer intelligenteren Priorisierung erstellt wird. Die der Software zugrunde liegende KI analysiert, wie sich jede CVE auf die gesamte Umgebung der Anwendung auswirkt, einschließlich Verbindungen und Einstiegspunkte, und berücksichtigt dies in ihrer Prioritätenrangfolge.

Die CVEs und Prioritätsbewertungen werden auch auf einer grafischen Karte angezeigt, sodass Entwickler schnell erkennen können, wie sich die einzelnen CVEs auf die Anwendung auswirken und wo zuerst Handlungsbedarf besteht. „Concert geht weiter als die anderen Scan-Tools“, sagt Mahesh Dashora, Programmdirektor für Qualitätssicherung und Sicherheit und Release Engineering bei IBM. „Wir erhalten einen besseren Einblick in die Risiken, sodass wir die wichtigen Probleme schneller angehen können.“   

Das Team profitierte auch von diesen zusätzlichen Concert-Funktionen:

• Concert zeigt doppelte CVEs an und hilft dem Team so, Probleme an mehreren Stellen mit einer einzigen Korrektur zu beheben.
  
  
• Concert bietet ein Dashboard, das CVEs, Prioritätsbewertungen und unterstützende Zusammenhänge übersichtlich anzeigt und eine effiziente Abstimmung mit dem Büro des CISO ermöglicht.
  
  
• Concert kann in GitHub integriert werden, was die schnelle Erstellung von Service-Tickets mit Details zur Sanierung erleichtert und die Fixes beschleunigt.
  
  
• Concert bietet einen „Evidence Store“ zur Dokumentation aller Entscheidungen in Bezug auf CVEs, um die Audit-Bereitschaft zu unterstützen.