Dependenciesbeobachten.
Dependency Monitoring verfolgt verwendete Bibliotheken, Versionen, Lizenzen, bekannte Schwachstellen und Aktualisierungen. Es priorisiert nicht jede neue CVE gleich, sondern den tatsächlich verwendeten und erreichbaren Anteil.
Gezielt
einsetzen.
Verwendete Komponenten, Updates und tatsächlich betroffene Risiken im Entwicklungsbetrieb verfolgen.
Automatische Update-PRs lösen keine Freigabe. Sie brauchen Tests, Ownership und einen Entscheid für Breaking Changes oder nicht mehr gepflegte Komponenten.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| GitHub · Dependabot | Dependency Updates und Alerts | GitHub-Repositories | Update-Regeln und CI Tests |
| Mend · Renovate | Automatisierte Dependency Updates | Multi-Repository Teams | Konfigurations- und Merge-Policy |
| Snyk · Snyk Open Source | Dependency Monitoring | Entwickler und Security Teams | Reachability und Lizenzumfang |
| GitLab · Dependency Scanning | CI-basierte Dependency Analyse | GitLab CI/CD | Triage und Ausnahmeprozess |
| Sonatype · Nexus Lifecycle | Komponentenintelligenz | Enterprise Package Management | Policy und Entwicklerakzeptanz |
| JFrog · Xray | Artefakt und Dependency Analyse | Artifactory-Umgebungen | Build-Info und Registry-Abdeckung |
| Socket · Socket | Package Risk Monitoring | JavaScript- und Package-Ökosysteme | Sprach- und Registry-Abdeckung |
| Endor Labs · Endor Labs | Reachability Analysis | Cloud-native Software | Tatsächliche Nutzung gegen Manifest unterscheiden |
| FOSSA · FOSSA | Dependency und Lizenzmanagement | Open Source Governance | Schwachstellenworkflow ergänzen |
| Aikido · Aikido Security | Developer Security Platform | Kleinere und mittlere Produktteams | Tiefe komplexer Enterprise-Policies |
Laufend beobachten,
gezielt handeln.
- Lockfiles in allen Repositories erzwingen, damit überwachte und tatsächlich gebaute Versionen übereinstimmen; Repositories ohne Lockfile als Befund führen.
- Paketbezug über ein internes Proxy-Repository bündeln und frisch veröffentlichte Versionen erst nach einer kurzen Karenzfrist zulassen, um Schadversionen abzufangen.
- Alarme nach Ausnutzbarkeit staffeln: bekannte aktive Ausnutzung (z. B. CISA-KEV-Katalog) und hohe Ausnutzungswahrscheinlichkeit (EPSS) vor reinem CVSS-Wert.
- Neben dem Hauptzweig auch gepflegte Release-Zweige und produktive Deployments überwachen; dort laufen die Versionen, die tatsächlich angreifbar sind.
- Zeit von Veröffentlichung einer aktiv ausgenutzten Schwachstelle bis zur produktiven Korrektur
- Anteil direkter Abhängigkeiten, die mehr als eine Hauptversion hinter dem aktuellen Stand liegen
- Anteil Repositories mit Lockfile und aktivem Monitoring
Produktteams verantworten Updates und Entscheide zu Breaking Changes in ihren Repositories. Die Plattform- oder AppSec-Funktion betreibt Proxy-Repository, Regeln und Eskalation; Ausnahmen gibt der Produkt-Owner befristet frei.
ISO/IEC 27001:2022 Annex A 8.8 (Management technischer Schwachstellen) und 5.21 (Informationssicherheit in der IKT-Lieferkette); NIS2 Art. 21 Abs. 2 lit. d und e nennen Sicherheit der Lieferkette sowie Management und Offenlegung von Schwachstellen.
Die delegierte Verordnung (EU) 2024/1774 zu DORA verlangt in Art. 10 Abs. 2 lit. d, die Verwendung von Bibliotheken Dritter einschliesslich Open Source für kritische oder wichtige Funktionen nachzuverfolgen.
Immer sofort auf die neueste Version zu aktualisieren ist nicht automatisch sicherer. Über übernommene Maintainer-Konten gelangt Schadcode gerade mit neuen Versionen in die Lieferkette.
Nachweis statt
Versprechen.
- Manifest, tatsächliche Nutzung und erreichbare Komponente unterscheiden.
- Update-Automation mit Tests, Freigabe und Rückfalloption verbinden.
- Unmaintained Dependencies und Lizenzpflichten sichtbar halten.
Software Supply Chain · SBOM und VEX · Vulnerability Management
Produktfunktionen sind Herstellerangaben. Die Eignung zeigt erst ein kontrollierter Test im eigenen Scope.
Security Tool Navigator · Gebiet 12
Im Gebiet Third Party und Supply Chain einordnen.
Diese Werkzeugklasse gehört zum Gebiet Third Party und Supply Chain. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.