Single Source of Truth – JFrog integriert Wiz für schnellere Security-Remediation

Der Marktführer im Bereich Software-Lieferketten kooperiert mit der führenden Cloud- und KI-Sicherheitsplattform, um eine Single Source of Truth – vom Code über die Cloud bis zur Laufzeit – bereitzustellen. Sicherheitsteams werden so mit der Transparenz und Geschwindigkeit ausgestattet, die sie benötigen, um Bedrohungen zu beheben, bevor Angreifer sie ausnutzen können

JFrog Ltd., Entwickler der JFrog Software Supply Chain Plattform dem Referenzsystem für vertrauenswürdige Software-Artefakte, Binärdateien und KI-Assets, gibt eine neue Integration mit Wiz bekannt, das nun Teil von Google Cloud ist. Die Integration schließt eine kritische Sicherheitslücke im KI-Zeitalter: Sie verkürzt die Zeit zwischen der Aufspürung von Risiken und verifizierten Code-Korrekturen. Die JFrog-Plattform dient dabei als Single Source of Truth für alle Software-Artefakte – vom Build bis zur Produktion –, während die Cloud- und KI-Sicherheitsplattform von Wiz sofortige Transparenz über die Cloud-Laufzeit bietet.

In dieser Kombination ermöglicht die Integration Sicherheits- und Entwicklungsteams einen einheitlichen Überblick darüber, was gerade läuft, woher es stammt, ob es vertrauenswürdig ist und wie es behoben werden kann. So können Teams mit den neuesten KI-Modellen Schritt halten, die sich schneller weiterentwickeln, als die meisten Unternehmen reagieren können.

„Die heutigen Sicherheitsteams in Unternehmen sind zwischen zwei Informationsquellen hin- und hergerissen: AppSec-Teams sehen, was entwickelt wurde, verlieren diesen Überblick jedoch, sobald die Software ausgeliefert wird. Cloud-Sicherheitsteams sehen, was läuft, verfügen aber nicht über den Kontext der Lieferkette, um die tatsächlichen Risiken zu verstehen“, sagt Gal Marder, Chief Strategy Officer bei JFrog. „Unsere Partnerschaft und Integration mit Wiz löst dieses Problem, indem sie einen einheitlichen Überblick, vom Build bis zur Produktion, liefert. Teams können so innerhalb von Stunden statt Tagen von der Erkennung zur Behebung übergehen.“

Im Pionierzeitalter der KI hat sich die Bedrohungslandschaft grundlegend verändert. Angreifer nutzen Schwachstellen mittlerweile schneller aus, als Verteidiger reagieren können. Laut einer aktuellen Forrester-Studie liegt die mittlere Zeit bis zur Ausnutzung mittlerweile bei unter einem Tag. Doch die „Mean Time to Remediate“ (MTTR) – ohnehin schon eine entscheidende Kennzahl – hat noch mehr an Bedeutung gewonnen. Früher maßen Teams die Zeit zur Behebung in Tagen. Heute kann schon der Unterschied zwischen Stunde und Tag darüber entscheiden, ob ein Unternehmen kompromittiert wird. Der Engpass liegt nicht mehr in der Erkennung, sondern in der manuellen Untersuchung. AppSec-Teams sehen, was entwickelt und gescannt wurde. Cloud-Sicherheitsteams sehen, was gerade läuft. Diese Transparenzlücke zwingt Teams dazu, sich den Kontext manuell über isolierte Tools hinweg zusammenzustellen – wodurch die Reaktion auf Bedrohungen zu einer wochenlangen Untersuchung statt zu einer Behebung von wenigen Stunden wird.

Die JFrog-Wiz-Integration wurde dafür entwickelt, diese Lücke zu schließen, indem sie beide Teile des Gesamtbildes in Echtzeit miteinander verbindet. Die Integration erfolgt über einen API-basierten Daten-Workflow. Wiz identifiziert anfällige und exponierte Workloads in Cloud-Umgebungen. JFrog verfolgt jeden Workload zurück zu seinem Quellartefakt in JFrog Artifactory und reichert ihn mit den Schwachstellenbefunden von JFrog Advanced Security, kontextbezogenen Analysen und den Herkunftsdaten von AppTrust an. Durch diese Zusammenfassung erhalten Sicherheitsteams eine einheitliche Übersicht und vollständige Kontrolle: Was läuft, woher stammt es, ob es vertrauenswürdig ist und wie es behoben werden kann – ohne die Erstellung benutzerdefinierter Dashboards oder manuelle Korrelationen. Das Ergebnis: Teams verbringen weniger Zeit mit der Rekonstruktion des Kontexts und mehr Zeit mit der Behebung von Schwachstellen.

Die JFrog-Integration mit Wiz bietet:

• Schnelleren Übergang vom Risiko zur Behebung: Was früher Tage manueller Untersuchungen in Anspruch nahm, dauert nun nur noch Stunden. Sicherheitsteams sehen die Ergebnisse von Wiz und den JFrog-Lieferkettenkontext in einer einheitlichen Ansicht im Wiz Security Graph, ohne dass eine manuelle Korrelation erforderlich ist.
• Kontinuierliche Compliance statt periodischer Audits: JFrog AppTrust bestätigt durch kryptografische Verifizierung, dass jede ausgeführte Arbeitslast mit dem übereinstimmt, was signiert und genehmigt wurde. Dies schafft eine Umgebung für die kontinuierliche Compliance-Überprüfung, anstelle von periodischen, auf Momentaufnahmen basierenden Bewertungen.
• Klare Zuständigkeiten und automatische Weiterleitung: Jedes Artefakt enthält Angaben zum Team, zur Build-Pipeline und zur Person, die es freigegeben hat. Wird eine Bedrohung identifiziert, erfolgt die Zuordnung der Verantwortlichkeiten automatisch – es geht keine Zeit damit verloren, herauszufinden, wer für die Behebung zuständig ist.
• Automatische Erkennung nicht vertrauenswürdiger Bereitstellungen: Nicht vertrauenswürdige Images, die aus nicht genehmigten Registries ausgeführt werden, werden automatisch markiert. Behebungswege lassen sich direkt bis zur Build-Pipeline zurückverfolgen, wobei die Verfügbarkeit von Korrekturen anhand der bestehenden Artifactory-Artefakte überprüft wird.
• Reibungslose Integration: Die auf einer API-Verbindung basierende Integration erfordert keine neuen Agenten, keine Cluster-Instrumentierung und keine erweiterten Cloud-Berechtigungen. Kunden, die sowohl JFrog Advanced Security als auch Wiz einsetzen, können diese Integration in nur wenigen Minuten in Betrieb nehmen. 

„Wir freuen uns über die Zusammenarbeit mit JFrog, um die Cloud-Laufzeit-Transparenz und den Software-Lieferketten-Kontext in einer einheitlichen Ansicht zusammenzuführen“, so Oron Noah, VP of Product, Extensibility & Partnerships bei Wiz. „Die Integration hilft Kunden, weniger Zeit mit manueller Korrelation und mehr Zeit mit der Behebung von Risiken zu verbringen.“