heise+ | Softwarelieferkette: "Bill of Behavior" als Packungsbeilage für Container

Ein neues Sicherheitskonzept für die Softwarelieferkette

In der modernen IT-Welt gleicht die Dokumentation von Softwareanwendungen oft dem Zustand der Pharmaindustrie vor der Einführung verbindlicher Packungsbeilagen. Während die Software Bill of Materials (SBOM) zwar auflistet, welche Komponenten in einem Programm enthalten sind, bleibt sie eine reine Bestandsaufnahme. Sie verrät nicht, wie sich die Software im Betrieb tatsächlich verhalten soll. Hier setzt die Software Bill of Behavior (SBOB) an: Sie definiert das Laufzeitverhalten von Anwendungen präskriptiv als eine Art signierte Absichtserklärung des Herstellers.

Die Grenzen der SBOM und der regulatorische Druck

Die SBOM ist durch Initiativen wie die US-Executive Order 14028 bereits fest in der Beschaffung etabliert. Sie liefert Transparenz über Abhängigkeiten, Lizenzen und Versionen. Doch für die Sicherheit in komplexen Umgebungen reicht dies nicht aus. Ein Angreifer, der eine legitime Komponente manipuliert, kann innerhalb der erlaubten Abhängigkeiten agieren, ohne dass eine SBOM Alarm schlägt.

Der europäische Gesetzgeber reagiert auf diese Lücke mit strengen Anforderungen. Der Cyber Resilience Act (CRA), die NIS2-Richtlinie sowie der Digital Operational Resilience Act (DORA) fordern eine höhere Sicherheit und Resilienz. Unternehmen stehen unter dem Druck, diese Vorgaben bis spätestens Dezember 2027 umzusetzen. Die SBOB bietet hierfür einen skalierbaren Ansatz, um nicht nur statische Zutaten, sondern das dynamische Verhalten zu überwachen.

Funktionsweise: eBPF als technisches Fundament

Warum ist die SBOB gerade jetzt relevant? Die Antwort liegt in der Nutzung von eBPF (extended Berkeley Packet Filter). Diese Technologie erlaubt es, tief unter der Applikation in Echtzeit in den Kernel einzugreifen und Systemaufrufe zu überwachen.

Eine SBOB fungiert dabei als „Behavioral Bundle“, das beispielsweise im YAML-Format vorliegt. Es beschreibt, welche Netzwerkverbindungen, Dateizugriffe oder Systemaufrufe für einen Container legitim sind. Weicht die Anwendung zur Laufzeit von diesem definierten Profil ab, schlägt das System Alarm. Dies ermöglicht die Erkennung von Angriffsmustern, die klassischerweise schwer zu identifizieren sind, darunter:

* **Typosquatting:** Erkennung von schädlichen Paketen, die sich als legitime Bibliotheken tarnen.

* **DNS-Anomalien:** Identifikation von unerwarteten DNS-Abfragen, die auf Command-and-Control-Server hindeuten könnten.

* **Exploits:** Abweichungen im Prozessverhalten, die auf eine Kompromittierung hindeuten, auch ohne dass eine bekannte CVE-Nummer vorliegt.

Ausblick und strategische Bedeutung

Die Integration der SBOB in den Lebenszyklus von Containern ist kein reines Nischenthema mehr. Das Ziel der Cloud Native Computing Foundation (CNCF) ist ambitioniert: Bis zum Jahr 2027 sollen 90 Prozent der CNCF-Projekte ihre Software inklusive einer SBOB ausliefern. Referenzimplementierungen, etwa im Rahmen des Projekts Kubescape, zeigen bereits heute, wie Hersteller und Betreiber die SBOB nutzen können, um regulatorische Anforderungen effizient zu erfüllen und gleichzeitig die Sicherheit in der Produktion signifikant zu erhöhen.

Für Unternehmen bedeutet dies eine Verschiebung der Sicherheitsstrategie: Weg von der reinen Prüfung der Software-Zutaten hin zur aktiven Überwachung der Software-Absichten. Die SBOB fungiert somit als notwendige Ergänzung, um in einer zunehmend komplexen Bedrohungslage proaktiv und regelkonform agieren zu können.