Software-Lieferkette
Zum Stand der Dinge 2024

Von Innovation bis Infiltration: Wie Sie sich vor versteckten Gefahren in Ihrem Software-Ökosystem schützen

Wir haben die Antworten von über 1.200 Security-, Development- und Operations-Experten, die Analysen des JFrog-Security-Research-Teams und die Daten von Artifactory kombiniert, um nachvollziehen zu können, auf welchem Stand die Sicherheit in der Software-Lieferkette ist. Hier ist eine Auswahl der Ergebnisse:

Die Open-Source-Lieferkette geht mit Hunderttausenden neuer Pakete im Jahr 2023 durch die Decke.
Unternehmen brauchen bessere Möglichkeiten zur Priorisierung von Abhilfemaßnahmen. Denn im Rahmen einer Untersuchung des JFrog-Security-Forschungsteams wurde der Schweregrad von 85 % der kritischen CVEs reduziert.
Der Wildwuchs an Sicherheitstools beeinträchtigt die Effizienz von Developern, die bis zu 25 % ihrer Zeit für die Behebung von Sicherheitslücken aufwenden.
Unternehmen ziehen es vor, KI für die Sicherheit einzusetzen, als ihr das Schreiben von Code anzuvertrauen.

Den Bericht jetzt herunterladen

Der Bericht zur Software-Lieferkette belegt:

10+ Programmiersprachen

werden von Development-Teams in Unternehmen genutzt

4-9 Tools für die Anwendungssicherheit

werden im Durchschnitt verwendet, wobei größere Unternehmen 10 oder mehr Tools einsetzen

25 % der Developer-Zeit

wendet die Mehrheit der Unternehmen für die Behebung von Sicherheitslücken auf

Die alte Garde bleibt
stark

Die Daten von JFrog zeigen, dass sich die Top-Technologien, die Unternehmen für die Erstellung produktionsreifer Software einsetzen, im Vergleich zu den Vorjahren nicht wesentlich verändert haben. Maven, PyPI, NPM und Docker sind nach wie vor die dominierenden Ökosysteme für Packaging-Technologien, die von Unternehmen genutzt werden.

Lesen Sie mehr im Bericht

Nicht alle CVEs sind gleich

Das JFrog-Security-Research-Team hat bei einer Untersuchung von über 200 High-Profile-CVEs aus dem Jahr 2023 festgestellt, dass der Schweregrad von 85 % der kritischen CVEs und 73 % der hohen CVEs überbewertet wurde. Eine weitere Analyse ergab, dass viele CVEs im tatsächlichen Development-Umfeld höchstwahrscheinlich nicht relevant sind.

Den Bericht herunterladen

Lust auf mehr?
Laden Sie den Bericht des letzten Jahres herunter.