{"id":4153,"date":"2025-12-01T19:08:26","date_gmt":"2025-12-01T18:08:26","guid":{"rendered":"https:\/\/informatik.htwk-leipzig.de\/seminar\/?p=4153"},"modified":"2025-12-16T12:17:25","modified_gmt":"2025-12-16T11:17:25","slug":"dependency-track","status":"publish","type":"post","link":"https:\/\/informatik.htwk-leipzig.de\/seminar\/lehrveranstaltungen\/betriebliche-informationssysteme\/2025\/dependency-track\/","title":{"rendered":"Dependency Track"},"content":{"rendered":"

Dependency-Track ist eine Open-Source-Plattform von OWASP zur \u00dcberwachung und Analyse von Software-Abh\u00e4ngigkeiten. Sie nutzt CycloneDX-SBOMs und VEX-Dokumente, um Sicherheitsl\u00fccken, Lizenzrisiken und veraltete Komponenten fr\u00fchzeitig zu erkennen. Durch den Abgleich mit Datenquellen wie NVD, GitHub Advisories oder Snyk bietet das Werkzeug einen umfassenden \u00dcberblick \u00fcber Risiken in der Software-Lieferkette.<\/p>\n

<\/p>\n

\u00dcbersicht<\/h1>\n
\n
Dependency-Track ist eine Open-Source-Plattform von OWASP, die Unternehmen dabei unterst\u00fctzt, Risiken in ihrer Software-Lieferkette fr\u00fchzeitig zu erkennen. Moderne Software besteht heute gr\u00f6\u00dftenteils aus externen Bibliotheken und Abh\u00e4ngigkeiten \u2013 sogenannte Third-Party-Dependencies. Jede dieser Komponenten kann potenzielle Sicherheitsl\u00fccken, Lizenzprobleme oder Integrationsrisiken mit sich bringen.<\/div>\n
Dependency-Track bietet eine zentrale L\u00f6sung, um diese Abh\u00e4ngigkeiten systematisch zu \u00fcberwachen. Daf\u00fcr nutzt das Tool moderne Standards wie CycloneDX (SBOM und VEX), analysiert bekannte Schwachstellen, bewertet Risiken und liefert klare Handlungsempfehlungen. Ziel ist es, Sicherheitsprobleme zu finden, bevor Software ausgeliefert wird \u2013 ein zentraler Baustein f\u00fcr DevSecOps und Supply-Chain-Security.<\/div>\n<\/div>\n
<\/div>\n
\n
\n
Dependency-Track verarbeitet und erzeugt zwei zentrale Dokumenttypen:<\/div>\n<\/div>\n<\/div>\n
\n
\n
1. CycloneDX SBOM (Software Bill of Materials)<\/strong><\/div>\n
Dependency-Track kann SBOMs sowohl:<\/div>\n
– konsumieren (von CI-Pipelines, Build-Tools, Scannern)<\/div>\n
– selbst erzeugen<\/div>\n
<\/div>\n<\/div>\n
\n
\n
2. \u00a0CycloneDX VEX (Vulnerability Exploitability Exchange)<\/strong><\/div>\n
Ein VEX-Dokument gibt an, ob eine bekannte Schwachstelle in einer Software-Komponente f\u00fcr das konkrete Produkt wirklich ausnutzbar ist oder nicht.<\/div>\n
Dependency-Track nutzt VEX-Daten, um False Positives zu reduzieren und besser priorisieren zu k\u00f6nnen.<\/div>\n<\/div>\n
\n
\n

\u00a0Welche Risiken identifiziert Dependency-Track?<\/h4>\n<\/div>\n<\/div>\n<\/div>\n
\n
Dependency-Track identifiziert Risiken, indem es die in einem Softwareprojekt verwendeten Komponenten automatisch mit einer Vielzahl an Schwachstellendatenbanken und Security-Feeds abgleicht. Dabei nutzt die Plattform verschiedene renommierte Datenquellen, um bekannte Sicherheitsl\u00fccken, Fehlkonfigurationen oder veraltete Abh\u00e4ngigkeiten aufzusp\u00fcren. Zu diesen Quellen geh\u00f6ren unter anderem:<\/div>\n
<\/div>\n
– National Vulnerability Database (NVD)<\/div>\n
– GitHub Security Advisories<\/div>\n
– Sonatype OSS Index<\/div>\n
– Snyk<\/div>\n
– Trivy<\/div>\n
– OSV<\/div>\n
– VulnDB<\/div>\n
\n
\n
Durch die Kombination dieser Quellen erh\u00e4lt Dependency-Track ein umfassendes Bild \u00fcber potenzielle Schwachstellen und kann Risiken fr\u00fchzeitig und zuverl\u00e4ssig sichtbar machen.<\/div>\n
<\/div>\n

Welche Technologien unterst\u00fctzt Dependency-Track?<\/h4>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n
\n
Dependency-Track ist gr\u00f6\u00dftenteils technologieunabh\u00e4ngig und unterst\u00fctzt eine Vielzahl g\u00e4ngiger Paket-\u00d6kosysteme direkt out of the box. Dank der integrierten Repository-Anbindung k\u00f6nnen Abh\u00e4ngigkeiten aus unterschiedlichen Programmiersprachen und Build-Systemen automatisch erkannt und verarbeitet werden. Unterst\u00fctzt werden unter anderem Cargo f\u00fcr Rust, Composer f\u00fcr PHP, Gems f\u00fcr Ruby, Hex f\u00fcr Erlang und Elixir, Maven f\u00fcr Java, NPM f\u00fcr JavaScript, NuGet f\u00fcr .NET sowie PyPI f\u00fcr Python. Weitere Paketquellen und \u00d6kosysteme befinden sich bereits in Entwicklung und werden k\u00fcnftig erg\u00e4nzt, sodass die Plattform langfristig eine noch breitere Abdeckung bieten wird.<\/div>\n<\/div>\n

Was ist eine SBOM?<\/h1>\n
\n
Eine Software Bill of Materials (SBOM) ist eine detaillierte St\u00fcckliste aller Komponenten, aus denen eine Software besteht. So wie in der Hardwarewelt ein Ger\u00e4t eine Liste aller verbauten Teile besitzt, listet eine SBOM alle Bibliotheken, Abh\u00e4ngigkeiten und deren Versionen auf.<\/div>\n
typische Komponenten:<\/div>\n