zurück zum Artikel

Versionsverwaltung: GitLab 14.3 baut die Security-Analyse aus

Rainald Menge-Sonnentag

(Bild: Gorodenkoff/Shutterstock.com)

Das aktuelle Release der Versionsverwaltungsplattform erweitert unter anderem die dynamischen und die statischen Sicherheitstests für Anwendungen.

GitLab hat das monatliche Release 14.3 der Versionsverwaltungsplattform veröffentlicht. Die Neuerungen finden sich vor allem in den kommerziellen Varianten und decken unter anderem die statische Codeanalyse und die Security-Funktionen ab. Außerdem wartet die Version mit neuen Gruppenrichtlinien auf und bietet Ergänzungen für die CI/CD-Pipeline (Continuous Integration, Continuous Delivery).

In Version 10.3 hat GitLab die Sicherheitsanalyse [1] über SAST (Static Application Security Testing) eingeführt. Als Grundlage dienen zahlreiche Open-Source-Tools für unterschiedliche Programmiersprachen und Plattformen [2]. Regelmäßig kommen neue Werkzeuge hinzu, und der jüngste größere Neuzugang war im April Semgrep [3].

Mit dem aktuellen Release der Plattform führt GitLab eine eigene SAST-Engine ein, die zunächst auf Ruby und Rails ausgelegt ist. Die Motivation für die anfängliche Ausrichtung auf die Programmiersprache und das darauf aufsetzende Webframework dürfte darin liegen, dass die Versionsverwaltungsplattform seit ihren Anfängen vor etwa zehn Jahren in Ruby on Rails entwickelt ist.

Die hauseigene SAST-Engine soll unter anderem beim Aufspüren von False Positives helfen.

(Bild: GitLab)

Die neue SAST-Engine setzt unter anderem auf Daten- und Kontrollflussanalyse. Außerdem bringt sie eine Pattern Extraction Language mit, die sich zum einen für die Schwachstellenanalyse und zum anderen zum Beseitigen von False Positives, die andere Security-Tools gemeldet haben, nutzen lässt. Außerdem kann die Engine wohl externe Testwerkzeuge integrieren.

GitLab 14.3 erweitert zudem die Einbindung des Dynamic Application Security Testing (DAST). In der Ultimate-Variante lassen sich neuerdings Security-Policies sowohl für DAST als auch für die Secret Detection festlegen. Letztere hatte GitLab in Version 11.9 eingeführt [4]: Teams können damit ihre Repositories nach geheim zu haltenden Informationen wie Passwörtern, SSH- oder API-Keys durchsuchen, um das versehentliche Veröffentlichen von Credentials bei Commits zu verhindern.

Die Security-Policies sind auf Projektebene angelegt und lassen sich wahlweise in einem definierten zeitlichen Turnus oder als Bestandteil von C-Pipelines über Security & Compliance | Policies unabhängig von der CI-Konfiguration in der .gitlab-ci.yml-Datei umsetzen.

Weitere Neuerungen bieten gruppenbasierte Vorgaben beziehungsweise Zugriffsrechte. Unter anderem kann der in Version 13.11 eingeführte GitLab Kubernetes Agent nun autorisierten Gruppen den Zugriff gewähren. Bisher war der Zugriff nur aus dem Projekt möglich, für das der Agent registriert ist. Auch für geschützte Umgebungen lassen sich die Zugriffsrechte nun gruppenweise festlegen

Zwei Ergänzungen für CI/CD-Pipelines stehen anders als die bisher aufgeführten Neuerungen auch in der kostenfreien Free-Variante von GitLab zur Verfügung. Zum einen dürfen include-Blöcke in der Pipelinedefinition nun rules-Unterblöcke enthalten, die vorgeben, unter welchen Voraussetzungen die Einbindung erfolgen soll. Außerdem können Variablen in der Pipeline ihrerseits andere Variablen enthalten.

Neben dem neuen Release und dem geplanten Börsengang [5] hat GitLab einen eigenen Collectives-Bereich auf Stack Overflow [6] angekündigt. Die Plattform für Softwareentwicklerinnen und -entwickler hatte die Collectives [7] im Juni kurz nach der Übernahme durch den Tech-Investor Prosus [8] eingeführt. Es handelt sich um Bereiche, die auf eine spezielle Programmiersprache oder Technik ausgelegt sind. Neben dem Bereich zu GitLab existieren derzeit Collectives für die Programmiersprache Go und die Google Cloud.

Weitere Neuerungen in GitLab 14.3 finden sich in der offiziellen Ankündigung [9]. Dort ist auch erkennbar, welche neuen Funktionen jeweils für die Varianten Free, Premium und Ultimate verfügbar sind.

(rme [10])


URL dieses Artikels:
https://www.heise.de/-6199319

Links in diesem Artikel:
[1] https://www.heise.de/meldung/Gitlab-10-3-verspricht-mehr-Sicherheit-und-bessere-Performance-3929511.html
[2] https://docs.gitlab.com/ee/user/application_security/sast/#supported-languages-and-frameworks
[3] https://www.heise.de/news/Versionsverwaltung-GitLab-13-11-schickt-Agenten-ins-Kubernetes-Cluster-6025897.html
[4] https://www.heise.de/meldung/GitLab-11-9-hilft-gegen-versehentliches-Veroeffentlichen-von-Credentials-4347435.html
[5] https://www.heise.de/news/GitLab-sucht-das-Glueck-an-der-Boerse-6196529.html
[6] https://stackoverflow.blog/2021/09/22/gitlab-launches-collective-on-stack-overflow/
[7] https://stackoverflow.com/collectives
[8] https://www.heise.de/news/Softwareentwicklung-So-geht-es-weiter-bei-Stack-Overflow-6110527.html
[9] https://about.gitlab.com/releases/2021/09/22/gitlab-14-3-released/
[10] mailto:rme@ix.de