Die OCCTET-Toolchain: für KMU entwickelt, von Open Source angetrieben

Im Zentrum des OCCTET-Projekts steht ein klares Ziel: Cybersicherheit und die Einhaltung des EU Cyber Resilience Act (CRA) für kleine und mittlere Unternehmen (KMU) zugänglich zu machen, insbesondere für jene, die auf Open-Source-Software (OSS) setzen.

OCCTET verwandelt den oft komplexen Prozess der Software-Compliance in ein praktisches und geführtes Erlebnis, mithilfe einer Reihe miteinander verbundener Open-Source-Werkzeuge, bekannt als die OCCTET-Toolchain.

So funktioniert es

1. Projekt analysieren – Der ORT Server scannt Ihren Quellcode (Git-Repository) und erstellt SBOMs, Berichte und Metadaten.
2. Anreichern & kuratieren – Der OCCTET Curator führt die Ergebnisse zusammen, ergänzt fehlende Informationen und ermöglicht die manuelle Prüfung von Komponenten, Lizenzen, Urheberrechten und Schwachstellen, einschließlich der Erstellung von VEX-Aussagen.
3. Externe Daten nutzen – Die föderierte VulnerableCode-Datenbank liefert aktuelle Informationen zu Schwachstellen, Komponenten und Metadaten. Sie ist sowohl mit ORT als auch mit dem Curator verbunden.
4. Berichte erstellen – Die kuratierten Daten können in Standardformaten wie SBOM, VEX und Audit-Berichten exportiert werden.

Der gesamte Ablauf kann aus dem Curator heraus gestartet und gesteuert werden: Analyse starten, einen neuen ORT-Scan mit Ihren Analyseparametern auslösen, Ergebnisse ansehen und die Kuratierung verwalten – alles an einem Ort.

Angetrieben von Eclipse Apoapsis

Die OCCTET-Toolchain basiert auf Eclipse Apoapsis, einem Open-Source-Ökosystem, das unter der Leitung der Eclipse Foundation entwickelt wird, die auch das OCCTET-Projekt koordiniert.
Eclipse Apoapsis wurde entwickelt, um das Compliance-Management und die Software-Sicherung zu erleichtern, und bietet einen Rahmen für Werkzeuge, die Softwarequalität und -vertrauenswürdigkeit analysieren, dokumentieren und verbessern.

Durch die Nutzung von Apoapsis als Grundlage stellt OCCTET sicher, dass alle seine Werkzeuge:

• Interoperabel
• Transparent
• Community-getrieben

sind und offenen Standards folgen, denen KMU vertrauen und die sie anpassen können.

ORT Server

Der ORT Server ist der erste Schritt in der OCCTET-Toolchain.
Er führt eine automatisierte Analyse von Quellcode, Abhängigkeiten und Lizenzen durch und identifiziert alle Open-Source-Komponenten sowie deren zugehörige Lizenzen, Sicherheitslücken und Abhängigkeiten.

Über den ORT Server können KMU:

• Detaillierte Software Bill of Materials (SBOMs) erstellen
• Analyse-Berichte und Metadaten erzeugen
• Den vollständigen Abhängigkeitsbaum ihrer Software abbilden
• Lizenz- und Sicherheitsrisiken frühzeitig erkennen

Die Analyseergebnisse (SBOM, Berichte, Metadaten) werden anschließend an den OCCTET Curator übergeben, während der ORT Server VulnerableCode abfragt, um seine Ergebnisse mit Schwachstellendaten anzureichern.

OCCTET Curator

Der OCCTET Curator, entwickelt von Bitsea, ist die Komponente der Toolchain für Kuratierung und Reporting mit dem Menschen im Mittelpunkt (Human-in-the-Loop).
Er verwandelt rohe Scan-Ergebnisse in geprüfte, vertrauenswürdige Compliance-Daten und ist der Ort, von dem aus Nutzer den gesamten Ablauf steuern.

Der Curator vereint fünf Arbeitsbereiche:

• Komponenten & Abhängigkeiten – das Inventar der Open-Source-Komponenten prüfen und vervollständigen
• Lizenzen & Urheberrecht – erkannte Lizenzen und Rechteinhaber verifizieren
• Schwachstellenmanagement – Schwachstellen bewerten und Vulnerability Exploitability eXchange (VEX)-Aussagen erstellen
• KI-Unterstützung – Hilfe bei der Interpretation von Ergebnissen erhalten und die Prüfung beschleunigen
• Nachweise & Reporting – Entscheidungen nachvollziehbar festhalten und die für die Compliance nötigen Nachweise erstellen

Der OCCTET Curator ist Open Source und frei auf GitHub verfügbar. Er enthält einsatzbereite Skripte zum Erstellen des Dockerfile mit einer gut dokumentierten Konfiguration in der Datei docker-compose.yml, um die Bereitstellung und Integration im breiteren OCCTET-Ökosystem zu erleichtern.

VulnerableCode: eine föderierte Schwachstellendatenbank

Wissen wächst, wenn es geteilt wird.

VulnerableCode, entwickelt von AboutCode, ist die von OCCTET genutzte föderierte Datenbank für Schwachstellen, Komponenten und Metadaten. Über FederatedCode verbindet sie mehrere zuverlässige Datenquellen und konsolidiert Informationen über Open-Source-Komponenten, einschließlich Sicherheitsstatus, Herkunft und bekannten Schwachstellen.

Sowohl der ORT Server als auch der OCCTET Curator fragen VulnerableCode ab, um ihre Daten anzureichern. So profitiert jedes KMU von geprüften, aktuellen Informationen und trägt zu einem stärkeren, widerstandsfähigeren europäischen Software-Ökosystem bei.

Reporting

Am Ende der Kette werden die kuratierten Daten in Standardformaten exportiert:

• SBOM – ein vollständiges Inventar der Softwarekomponenten
• VEX – Aussagen darüber, ob bekannte Schwachstellen das Produkt tatsächlich betreffen
• Audit-Berichte – Dokumentation zur Unterstützung der CRA-Compliance

Alles zusammenführen

Die OCCTET-Toolchain, angetrieben von Eclipse Apoapsis, vereint diese Werkzeuge zu einem einzigen, KMU-freundlichen Ökosystem, das:

• OSS-Komponenten identifiziert und Risiken bewertet
• Den Menschen in die Prüfung und Kuratierung der Ergebnisse einbindet
• Klare, standardisierte Berichte für die CRA-Compliance erstellt
• Organisationen hilft, ihre Cybersicherheitslage kontinuierlich zu überwachen und zu verbessern
• Offene Zusammenarbeit und Transparenz fördert

Die OCCTET-Toolchain ist ein Gemeinschaftswerk, das Cybersicherheit zugänglich, praktisch und in offener Zusammenarbeit verwurzelt machen soll.
Mit fortschreitender Entwicklung wird sich das Projekt weiter auf Basis des Feedbacks von KMU, Entwicklern und Branchenexperten weiterentwickeln — so wird sichergestellt, dass jede neue Funktion realen Bedürfnissen entspricht.

Gemeinsam bauen wir eine sicherere und transparentere digitale Landschaft,
in der Compliance keine Last, sondern ein Motor für Vertrauen und Innovation ist.