LTM zet Lightwell van IBM en Red Hat in voor remediation
LTM ondersteunt bedrijven bij het verhelpen van kwetsbaarheden in open-source software met Lightwell van IBM en Red Hat. Het technologiebedrijf uit de Larsen & Toubro Group bouwt daarvoor een aanbod rond remediation, waaronder dependency-analyse, risicogestuurde prioritering, DevSecOps-integratie en validatie van fixes. IBM maakte de samenwerking vorige week bekend.
Lightwell is een platform voor AI-gestuurde remediation en het leveren van gevalideerde fixes voor open-source dependencies. Het is bedoeld om organisaties niet alleen kwetsbaarheden te laten ontdekken, maar ook patches voor gebruikte open-source dependencies te leveren. IBM en Red Hat brachten het platform in juli commercieel uit. Daarbij wordt generatieve AI gecombineerd met controles door engineers om kwetsbaarheden te identificeren, fixes te maken en deze te valideren.
Een belangrijk uitgangspunt is dat organisaties niet noodzakelijk naar een nieuwe hoofdversie van een softwarecomponent hoeven over te stappen. Lightwell kan kritieke fixes terugbrengen naar specifieke oudere productversies die nog in productie worden gebruikt. Daarmee proberen IBM en Red Hat omvangrijke upgrades en bijbehorende regressietests te vermijden.
Van detectie naar remediation
LTM richt zijn dienstverlening op het traject tussen het vinden van een kwetsbaarheid en het daadwerkelijk doorvoeren van een oplossing. Het bedrijf noemt onder meer een strategie voor remediation, analyse van softwaredependencies, risicogestuurde prioritering, programmabeheer, integratie met DevSecOps-processen, testen en validatie en ondersteuning bij grootschalige deployments.
Daarbij gebruikt LTM Lightwell voor kwetsbaarheden in open-source dependencies. Volgens de bedrijven moet de combinatie securityteams helpen om AI-gestuurde vulnerability discovery om te zetten in gevalideerde fixes voor productieomgevingen.
Die validatie is relevant omdat een gevonden kwetsbaarheid niet automatisch betekent dat een gegenereerde patch zonder verdere controle in productie kan worden gezet. De aankondiging bevat geen cijfers over de snelheid of nauwkeurigheid van de remediation door LTM.
Bibliotheek met aangepaste dependencies
Lightwell bestaat onder meer uit Lightwell Network. Die dienst is algemeen beschikbaar en bevat volgens IBM en Red Hat een catalogus van meer dan 6.500 aangepaste, digitaal ondertekende en gecertificeerde application-layer dependencies, onder andere voor Java en Python. Naast binaries worden broncode en compliance-informatie zoals Software Bills of Materials geleverd.
Een tweede onderdeel, Lightwell Clearinghouse Premier, heeft een beperktere beschikbaarheid. Daarmee kunnen deelnemende organisaties kwetsbaarheden melden en gerichte fixes voor specifieke softwareversies aanvragen. De dienst richt zich in eerste instantie op financiële instellingen.
LTM is al langer IBM Platinum Partner. Met de nieuwe dienstverlening voegt het bedrijf Lightwell toe aan zijn activiteiten rond applicatiemodernisering, cybersecurity en DevSecOps.
Bron: IBM
