SPARTA stärkt die europäische Cybersicherheitsforschung durch die Zusammenarbeit von Wissenschaft, Technologie und Sozialwissenschaften. Ziel war es, sichere digitale Infrastrukturen und einen verlässlichen Datenaustausch zu fördern. Das Projekt bündelte europäische Kompetenzen, entwickelte gemeinsame Forschungsansätze und schuf ein Netzwerk für Cybersicherheit. Dabei wurden gesellschaftliche Verantwortung, Datenschutz und ethische Anforderungen berücksichtigt. SPARTA trägt dazu bei, digitale Sicherheit in Europa nachhaltig und verantwortungsvoll weiterzuentwickeln.

Das CAPE Programm

Im Rahmen von SPARTA leistete die Universität Konstanz einen Beitrag zum CAPE-Programm („Continuous Assessment in Polymorphous Environments“). CAPE bewertet Cybersicherheitseigenschaften in zwei Bereichen: cyber-physische Systeme und komplexe Systemverbünde. Bei cyber-physischen Systemen liegt der Schwerpunkt auf dem Co-Design von Sicherheit und Zuverlässigkeit, mit dem Ziel, Sicherheits- und Zuverlässigkeitsanforderungen trotz der Komplexität der Zertifizierung gemeinsam zu definieren. Bei komplexen Systemverbünden befasst sich CAPE mit DevOps-Umgebungen, indem die Bewertung über einen längeren Zeitraum ausgeweitet und externe Bibliotheken sowie Code einbezogen werden.

Die Arbeitsgruppe trug zu diesen Bemühungen im Bereich der datengesteuerten Sicherheitsanalyse bei, insbesondere durch visuelle Analyseansätze zur Unterstützung komplexer Entscheidungsprozesse, z. B. für die Auswirkungsanalyse von Schwachstellen in Open-Source-Software. Unser Ziel war es, die Sicherheitsanalyse bei der Entscheidung darüber zu unterstützen, ob eine bestimmte Open-Source-Bibliothek in Projekte aufgenommen werden soll, und den Status dieser Abhängigkeit über den gesamten Projektlebenszyklus hinweg zu verfolgen.

Forschungsfragen

• Wie können Visualisierungen dabei helfen, anfällige Repositorys in großen Softwareunternehmen zu identifizieren und miteinander zu vergleichen?
• Wie können Visualisierungstools Analysten dabei unterstützen, das durch anfällige Open-Source-Bibliotheken verursachte Risiko für das Unternehmen einzuschätzen?
• Wie lassen sich bestimmte hochriskante Schwachstellen, wie beispielsweise bekannte CVEs, über Repositorys, Anwendungen und verwendete Bibliotheken hinweg effizient identifizieren?
• Wie lassen sich der Schweregrad von Schwachstellen und die Auswirkungen auf das Unternehmen visuell darstellen, um die Priorisierung und Entscheidungsfindung zu unterstützen?

Übersetzt mit DeepL.com (kostenlose Version)

Ausgewählte Ergebnisse

• In enger Zusammenarbeit mit SAP haben wir den Vulnerability Explorer (VulnEx) entwickelt.
• VulnEx unterstützt Unternehmen dabei, Sicherheitsrisiken projektübergreifend visuell zu bewerten, indem es Schwachstellen (CVEs), die aus Open-Source-Software-Abhängigkeiten stammen, auf unternehmensweiter Ebene anzeigt.
• Zur besseren Übersicht bietet das Tool sowohl eine tabellarische Ansicht für die detaillierte Überprüfung von Schwachstellen als auch eine Baumansicht, die Abhängigkeitsstrukturen als gerichteten azyklischen Graphen darstellt, wobei schwerwiegende CVEs visuell als rote Knoten markiert sind.
• Damit sich Entwickler auf die Sicherheitsrisiken ihrer Projekte konzentrieren können, unterstützt die Benutzeroberfläche die Filterung von Repositorys und Modulen nach Anzahl der Abhängigkeiten, Anzahl der CVEs, minimalem/maximalem CVSS-Score und Repository-Name.
• Als Fallstudie wurden alle Open-Source-Java-Projekte der Eclipse Foundation mit Eclipse Steady gecrawlt und gescannt, um den Datensatz für den Demonstrator zu generieren.
• Die Fallstudie mit Software-Sicherheitsexperten von SAP deckte mehrere kritische und schwerwiegende CVEs auf, die sich auf zahlreiche abhängige Softwareprodukte auswirkten, und ermöglichte gleichzeitig eine Priorisierung auf Basis des CVE-Schweregrads und der Projektrelevanz.