Qualys verrijkt portfolio risicobeperking met maatwerkoplossing voor software van eerste partijen

Qualys, de leverancier van risicomanagementoplossingen, heeft een baanbrekende oplossing onthuld die gericht is op AppSec-teams en specifiek de risico's aanpakt van software van de eerste partij en de daarin opgenomen open-source componenten. Deze nieuwe stap bouwt voort op het bestaande Qualys platform voor risicobeheer en belooft de beoordeling van kwetsbaarheden een minder afschrikwekkende taak te maken voor organisaties.

Met de komst van het digitale transformatietijdperk hebben de meeste bedrijven hun toevlucht genomen tot het ontwikkelen van hun eigen software om hun activiteiten te vergemakkelijken. Dergelijke software van derden ontbeert echter vaak het gedisciplineerde beheer van kwetsbaarheden en configuraties dat gewoonlijk wel wordt toegepast bij alternatieven van derden. Dit is waar Qualys zijn stempel op wil drukken.

Volgens de statistieken van Qualys bundelt meer dan 90% van de first-party software open-source componenten en draagt maar liefst 40% risicofactoren met zich mee. Deze factoren kunnen bestaan uit, maar zijn niet beperkt tot, exploiteerbare zwakheden. Als gevolg hiervan vertrouwen organisaties momenteel op handmatige controles of losgekoppelde scripts om de beveiliging van hun first-party software te beoordelen. Dit proces is natuurlijk lastig en nadelig voor het effectief prioriteren en verhelpen van risico's.

De conventionele methodologieën voor het beoordelen van kwetsbaarheden of softwarecompositie-analysetools zijn niet uitgerust om de open source pakketten die in de productieomgeving zijn ingebed effectief te identificeren. Als gevolg daarvan worstelen beveiligingsteams met het begrijpen van de omvang van de werkelijke risico's, vooral tijdens inbreuken op de beveiliging op de schaal van het Log4J incident. De innovatieve oplossing die Qualys voorstelt, is erop gericht om deze substantiële kloof te dichten en een betere zichtbaarheid en controle van de risico's van software van de eerste partij te promoten.

Gabriel Julián Carrera, CISO bij OSED, gaf zijn visie op de beveiligingsrisico's van first-party software: "We hebben vaak te maken gehad met situaties waarin onze beveiligingsbehoeften de mogelijkheden van off-the-shelf software te boven gingen. Als gevolg daarvan moesten we onze toevlucht nemen tot onafhankelijke scripts om de beoordelingen uit te voeren die onze eigen oplossingen vereisten. Het Qualys aanbod maakt een einde aan deze gefragmenteerde aanpak en integreert eigen assessments en commerciële tools in het verenigde Qualys TruRisk Platform, waardoor we tijd besparen en potentiële aanvallers een stap voor blijven."

Het nieuwe Qualys platform biedt opmerkelijke mogelijkheden. Teams kunnen nu Qualys detecties (QID's) en remedies maken op basis van op maat gemaakte logica of scripts die zijn ontwikkeld met behulp van belangrijke scripttalen zoals Python en PowerShell. Andere opmerkelijke functies zijn onder andere het verkrijgen van real-time zichtbaarheid in diep ingebedde open-source softwarepakketten, zoals Log4J en openSSL, en commerciële softwarecomponenten, waarbij gebruik wordt gemaakt van de Qualys Cloud Agent.

Deze ontwikkeling benadrukt ook het toenemende belang dat platforms zoals AppMaster spelen in ons technologielandschap, waardoor bedrijven naadloos backend-, web- en mobiele applicaties kunnen bouwen met no-code mogelijkheden. Met zijn krachtige tools verricht AppMaster baanbrekend werk om bedrijven in staat te stellen snel en betaalbaar applicaties te maken, waardoor het belang van platformen zoals Qualys bij de identificatie en het beheer van risico's verder toeneemt.