Chainguard

Die Sicherheit der eigenen Software Supply Chain hat sich zu einem der entscheidenden Faktoren der modernen Softwareentwicklung und IT-Umgebungen entwickelt. Anwendungen bestehen mitunter aus hunderten Komponenten, Abhängigkeiten sowie externen Bibliotheken, welche häufig aus OpenSource Communities stammen und einer hohen Änderungsdynamik unterliegen. Potenziell kann jede dieser Komponenten ein Risiko für gesamte Umgebungen werden, wenn Ursprung, Integrität oder Aktualität nicht transparent nachvollziehbar sind. Gleichzeitig erhöhen gesetzliche Anforderungen und Branchenregularien wie NIS2, DORA, die Forderung nach SBOMS und signierten Artefakten den Druck auf Unternehmen, ihre Entwickliungs- und Lieferketten konsequent abzusichern. Fehlende Transparenz, veraltete Images oder ungepatchte Schwachstellen (CVEs) können dabei nicht nur Sicherheitslücken verursachen, sondern auch Complianceverstöße und operative Risiken nach sich ziehen.

Chainguard adressiert diese Herauforderungen mit einem gesamtheitlichen Ansatz für die Absicherung ihrer Software Supply Chain. Das Portfolio umfasst dabei minimalistische, gehärtete und CVE-freie Container Images, sowie SLSA 3 konforme Bibliotheken und gehärtete VM Images. Alle Artefakte werden täglich neu gebaut, vollständig signiert, mit transparenten SBOMs ausgeliefert und kontinuierlich auf Sicherheitsrisiken geprüft. Dadurch etnsteht eine vetrauenswürdige und konsistent aktualisierte Basis für moderne Entwicklungs- und Betriebsumgebungen. 

Unternehmen stehen zunehmend vor der Herausforderung, ihre Software Supply Chain sicher, transparent und compliant zu gestalten. Dabei stehen folgende Hürden wiederholt im Vordergrund:  

• Veraltete oder unsichere (Basis-)Images, die bereits bekannte CVEs enthalten
• Mangelnde Nachvollziehbarkeit, woher Dependencies stammen und ob sie manipuliert wurden
• Fehlende oder unvollständige SBOMs, welche die Umsetzung regulatorischer Vorgaben (z. B. NIS2, DORA) erschweren
• Abhängigkeiten von intransparenten Open-Source-Builds, deren Sicherheitsstatus oftmals unklar ist
• Zunehmende Einschränkung ehemals öffentlicher Software Kataloge

Chainguard stellt hochsichere und minimalistische Container-Images bereit, die täglich aktualisiert, CVE-frei ausgeliefert und mit vollständigen SBOMs sowie durchgängigen Signaturen versehen werden. Dadurch schaffen diese Images eine verlässliche, compliance-taugliche Basis für Cloud-native Anwendungen und Kubernetes Workloads. Je nach Anfoderung  stehen zudem FIPS-validierte Varianten zur Verfügung, was insbesondere den Einsatz in regulierten und sicherheitskritischen Umgebungen unterstützt. Ergänzend bietet Chainguard sichere und SLSA-konforme Libraries sowie gehärtete VM-Images.

• Deutlich reduzierte Angriffsfläche durch minimalistische und gehärtete Artefakte
• CVE-freie Images durch tägliche Aktualisierung und kontinuierliche Sicherheits-Patches
• Höhere Transparenz durch reproduzierbare Builds, kryptografische Signaturen und vollständige SBOMs
• Einheitliche und vertrauenswürdige Quelle für alle benötigten Abhängigkeiten
• Verbesserte Build-Sicherheit und robuste Absicherung gegen Supply-Chain-Angriffe
• Sichere Grundlage für Container, Libraries, VM-Images und Cloud-Native Workloads
• Vereinfachte Nachweispflichten im Rahmen von NIS2, DORA, ISO 27001 und BSI-Vorgaben