Broadcom versterkt open source-beveiliging met TrueSource

TrueSource brengt drie hoofdcomponenten samen: Spring Enterprise, TrueSource Trusted Artifacts en TrueSource Data Services. Het initiatief richt zich op het leveren van geharde, gecontroleerde bibliotheken en containerimages voor zakelijk gebruik.

Menselijke controle boven geautomatiseerde AI-patches

Een belangrijk speerpunt in de strategie van Broadcom is de nadruk op menselijke verificatie bij de beveiliging van code. In een tijd waarin kunstmatige intelligentie (AI) het opsporen en misbruiken van kwetsbaarheden versnelt, waarschuwt de technologieleverancier voor het ongecontroleerd inzetten van volledig geautomatiseerde, door AI gegenereerde patches. Broadcom verwijst hierbij naar onderzoek van 1Password's Off-by-1 Labs, waaruit bleek dat slechts 26 procent van 6.000 door AI gegenereerde patches beveiligingslekken dichtte zonder de functionaliteit van applicaties te verstoren.

Binnen TrueSource worden beveiligingslekken opgespoord met behulp van AI-modellen, maar elke patch wordt handmatig gecontroleerd en geverifieerd door engineers. Daarnaast zet Broadcom in op 'upstream' herstel, waarbij oplossingen direct worden teruggeleverd aan de open source-gemeenschap en de originele ontwikkelaars.

Drie pijlers binnen TrueSource

Het portfolio is opgebouwd uit de volgende onderdelen:

Spring Enterprise: Biedt beveiligde en samengestelde versies van het Spring-ecosysteem. De dekking strekt zich uit tot de volledige afhankelijkheidsketen van meer dan 5.000 geverifieerde Java-bibliotheken (zoals Apache Tomcat en Kotlin). Klanten ontvangen patches voor kwetsbaarheden (CVE's) zonder dat hiervoor een volledige versie-upgrade nodig is.

TrueSource Trusted Artifacts: Biedt beveiligde builds (volgens de SLSA Build Level 3-norm) voor bibliotheken binnen Java, Python en Node.js. Dit onderdeel bevat tevens de Bitnami Secure Images-catalogus met geharde containerimages voor veelgebruikte open source-pakketten.

TrueSource Data Services: Richt zich op de beveiliging en het beheer van database-omgevingen waar zakelijke applicaties op draaien, waaronder PostgreSQL, RabbitMQ, MySQL en Valkey. Dit omvat naast beveiligingspatches ook geautomatiseerde uitrol en operationele ondersteuning.

Beveiligingsfuncties en programma voor vitale infrastructuur

TrueSource omvat geautomatiseerde hulpprogramma's die repositories van klanten scannen en de impact van nieuwe releases analyseren voordat deze worden doorgevoerd. Beveiligingsteams krijgen via dashboards inzicht in welke kwetsbaarheden zijn verholpen.

Daarnaast biedt het programma klanten de mogelijkheid om nog niet openbare kwetsbaarheden in te dienen voor vroegtijdige herstelopties. Voor organisaties binnen de vitale infrastructuur is een specifiek programma opgezet dat prioritaire toegang biedt tot informatie over patches en maatregelen om risico's te beperken.

Beschikbaarheid

Spring Enterprise, TrueSource Trusted Artifacts en TrueSource Data Services zijn per direct beschikbaar via gestandaardiseerde licentievormen voor bedrijven.