JFrog und Wiz:
Die Sicherheitslücke zwischen Laufzeit und Problemhebung schließen

Die Integration von JFrog und Wiz ist eine bidirektionale API-Verbindung, die die Software-Lieferketten-Plattform von JFrog mit der Cloud-Laufzeit-Sicherheitsplattform von Wiz vereint. Sie bietet Sicherheits-, DevOps- und Release-Teams eine zentrale, kontrollierte Übersicht von Code bis Cloud und verknüpft die Artefakt-Provenance aus JFrog Artifactory, Xray und AppTrust mit dem Live-Produktionskontext von Wiz. Das Ergebnis ist ein einziges System of Record dafür, was erstellt wurde, was ausgeführt wird und ob es vertrauenswürdig ist.

Die Integration tauscht Daten über eine API-basierte Verbindung in beide Richtungen aus. Wiz sendet Live-Laufzeitdaten – einschließlich Container-Images, Cluster- und Namespace-Standort sowie Cloud-Ressourcenkontext – an JFrog, wo sie mit Artifactory und Xray korreliert werden, um offenzulegen, was in der Produktion ausgeführt wird und ob Risiken bestehen. JFrog sendet Kontext auf Artefaktebene wie SCA-Befunde, Scan-Ergebnisse, Eigentümerdaten und AppTrust-Integritätsnachweise an den Wiz Security Graph, sodass Wiz-Benutzer Laufzeitbefunde nach tatsächlicher Lieferketten-Exposition priorisieren können, ohne ihre Plattform zu verlassen.

Nein. Die Integration ist vollständig agentenlos und API-basiert. Kunden erhalten sofortige Laufzeit-Transparenz anhand der bereits vorhandenen Wiz-Daten, ohne dass der JFrog Runtime Controller, DaemonSets oder eBPF-Sensoren bereitgestellt werden müssen. Erweiterte Cluster-Berechtigungen sind nicht erforderlich, wodurch der Koordinationsaufwand zwischen Sicherheits-, DevOps- und Plattform-Teams entfällt. Kunden, die später tiefere Einblicke in das Verhalten wünschen, z. B. welche Prozesse ausgeführt oder welche Dateien geöffnet werden, können den Runtime Impact-Sensor von JFrog als optionales Upgrade hinzufügen.

Eine Integritätsverletzung tritt auf, wenn ein laufender Workload ein Artefakt ausführt, das in der JFrog Platform nicht existiert oder über keine genehmigte kryptografische Signatur von JFrog AppTrust verfügt. Einfach ausgedrückt bedeutet dies, dass die in der Produktion laufende Software nicht autorisiert oder manipuliert ist oder Teil eines Shadow-Deployments ist, das die genehmigte Release-Pipeline umgangen hat. Dies unterscheidet sich von einer CVE, bei der es sich um eine bekannte Schwachstelle in einem Paket handelt. Bei einer Integritätsverletzung geht es darum, ob die ausgeführte Software überhaupt vertrauenswürdig ist.

Nein. JFrog Runtime ist von Grund auf sensorunabhängig konzipiert und fungiert als API-Sammelstelle für Laufzeitdaten aus jeder unterstützten Quelle. Wiz ist die erste und bekannteste Integration, doch Kunden können auch Laufzeitdaten von Upwind, Palo Alto Networks oder dem eigenen nativen Sensor von JFrog einspeisen. Unabhängig von der Quelle liefert JFrog dasselbe Ergebnis: eine korrelierte Ansicht dessen, was ausgeführt wird, woher es stammt und ob es sicher ist oder nicht.

AppSec (Application Security) und CNAPP (Cloud-Native Application Protection Platform) decken unterschiedliche Phasen des Software-Lebenszyklus ab. AppSec konzentriert sich auf die Absicherung von Code und Artefakten vor der Auslieferung und nutzt Tools wie SAST, SCA und Secrets Detection, um Schwachstellen während der Entwicklung und des Builds zu identifizieren. CNAPP konzentriert sich auf die Absicherung von Workloads nach deren Bereitstellung und nutzt Cloud Posture Management, Workload Protection sowie Runtime Threat Detection, um Risiken in Live-Produktionsumgebungen zu identifizieren. Die beiden Disziplinen haben in der Vergangenheit isoliert voneinander agiert. AppSec-Teams verlieren die Übersicht, sobald Code ausgeliefert wird, und CNAPP-Teams sehen zwar, was ausgeführt wird, aber nicht, woher es stammt. Die Integration von JFrog und Wiz verbindet beides, sodass Artefaktherkunft und Laufzeitstatus zu zwei Ansichten desselben verwalteten Datensatzes werden.

Die JFrog + Wiz-Integration erfordert drei Produkte auf der JFrog Plattform: JFrog Artifactory, JFrog Xray und JFrog Advanced Security mit aktivierter Runtime Security. Artifactory bildet die vertrauenswürdige zentrale Quelle für Binärdateien, Xray liefert CVE-Daten und kontextbezogene Analysen, um zu filtern, welche Schwachstellen tatsächlich relevant sind, und Runtime korreliert das von Wiz abgerufene Inventar der aktiven Workloads mit beidem. JFrog Advanced Security wird empfohlen, um die kontextbezogene Analyse von CVEs freizuschalten. Da der Wiz-Connector ohne Agenten arbeitet und die Wiz API (OAuth2-Client-Anmeldedaten) verwendet, müssen in Ihren Kubernetes-Clustern weder ein JFrog Runtime Controller noch Sensoren bereitgestellt werden.

Die Einrichtung dauert einige Minuten. Da der Connector agentenlos ist, muss in Ihren Clustern nichts installiert werden. Sie erstellen ein Wiz-Servicekonto mit schreibgeschützten Berechtigungen und geben dann in der JFrog Plattform unter Administration > Runtime > Cluster Management die Client ID, das Client Secret und die Wiz API URL ein. Die Dauer der ersten Synchronisierung hängt von der Größe der Umgebung ab: einige Minuten für kleine Umgebungen mit weniger als 50 Clustern, 15–60 Minuten für mittelgroße Umgebungen mit 50–200 Clustern und bis zu einigen Stunden für große Umgebungen mit 200 oder mehr Clustern. Nach der ersten Synchronisierung werden erfolgreiche Connectors etwa alle 24 Stunden mit Delta-Updates aktualisiert.

Eine native CNAPP mit SCA-Scans überprüft Images in der Cloud, hat jedoch keinen Einblick in das zugrunde liegende Binärsystem, in dem diese Images erstellt, signiert und freigegeben wurden. JFrog + Wiz schließt diese Lücke. Da Artifactory jede vertrauenswürdige Binärdatei enthält, kann JFrog Runtime Integritätsverletzungen erkennen – wenn sich ein Digest eines laufenden Images vom ursprünglichen Artifactory-Digest unterscheidet, was auf mögliche Manipulationen oder Abweichungen hindeutet – etwas, das eine eigenständige CNAPP nicht kann. Die kontextbezogene Analyse von Xray grenzt CVEs weiter auf diejenigen ein, die im laufenden Code tatsächlich ausnutzbar sind, und die Erkennung nicht vertrauenswürdiger Registries kennzeichnet Images, die aus Registries abgerufen wurden, die nicht in Artifactory vorhanden sind. Das Ergebnis ist Ende-zu-Ende-Kontext vom Quellcode und Build bis zur Live-Laufzeit, nicht nur eine Momentaufnahme der Laufzeit.

Ein verwaltetes Artefakt ist jede Binärdatei – ein Container-Image, Paket, eine Bibliothek oder ein ML-Modell –, die in Artifactory als Single Source of Truth gespeichert ist und vor der Freigabe die von Ihrem Unternehmen geforderten Sicherheits-, Lizenz- und Herkunftsprüfungen bestanden hat. Governance bedeutet, dass das Artefakt von JFrog Xray auf Schwachstellen und schädliche Pakete gescannt, anhand von Kurationsrichtlinien bewertet, in ein unveränderliches, signiertes Release Bundle mit angehängter SBOM und Build-Nachweisen verpackt und durch nachweisbasierte Promotion-Gates von der Entwicklung in die Produktion überführt wurde. In der JFrog- und Wiz-Integration bilden kontrollierte Artefakte die Grundlage für Runtime Trust. JFrog Runtime vergleicht jede Workload, die Wiz in Ihren Clustern erkennt, mit den kontrollierten Binärdateien in Artifactory, um Abweichungen, Abrufe aus nicht vertrauenswürdigen Registries und Integritätsverletzungen zu kennzeichnen.