Sonatype 發(fā)布的一份報(bào)告顯示，開源供需動(dòng)態(tài)持續(xù)強(qiáng)勁增長(zhǎng)。此外，關(guān)于開源安全風(fēng)險(xiǎn)，該報(bào)告顯示，針對(duì)上游公共存儲(chǔ)庫的供應(yīng)鏈攻擊同比增長(zhǎng)了 650% ，并且在流行和非流行項(xiàng)目版本中存在的已知漏洞水平方面存在著有趣的二分法。
根據(jù)從702名軟件工程專業(yè)人士收集的調(diào)查反饋，研究發(fā)現(xiàn)人們對(duì)軟件鏈管理實(shí)踐的主觀信念與10萬個(gè)應(yīng)用程序的客觀結(jié)果之間存在根本脫節(jié)。
該報(bào)告分析了與Java (Maven Central)、JavaScript (npmjs)、Python (PyPI) 和 .Net (nuget) 生態(tài)系統(tǒng)相關(guān)的運(yùn)營(yíng)供應(yīng)、需求和安全趨勢(shì)。此外，研究人員研究了在過去12個(gè)月里，從開發(fā)人員進(jìn)行的100,000個(gè)生產(chǎn)應(yīng)用程序和4,000,000個(gè)組件遷移中收集的軟件工程實(shí)踐。
開源供應(yīng)、需求和安全動(dòng)態(tài)
供應(yīng)量增加20%。前四大開源生態(tài)系統(tǒng)現(xiàn)在包含37451,682個(gè)不同版本的組件。
需求增加73%。到2021年，世界各地的開發(fā)者將從前四大生態(tài)系統(tǒng)下載超過2.2萬億的開源軟件包。
攻擊增加650%。2021年，針對(duì)上游開源生態(tài)系統(tǒng)弱點(diǎn)的軟件供應(yīng)鏈攻擊呈指數(shù)級(jí)增長(zhǎng)。
生產(chǎn)應(yīng)用程序只利用了6%的可用項(xiàng)目。盡管有大量的開源項(xiàng)目可用，但使用率卻集中在少數(shù)受歡迎的項(xiàng)目中。
熱門項(xiàng)目更容易受到攻擊。29%的流行項(xiàng)目版本包含至少一個(gè)已知的安全漏洞。相反，只有6.5%的非流行項(xiàng)目版本這樣做，這表明安全研究人員關(guān)注的是最常用的項(xiàng)目。
確定最佳開源項(xiàng)目的經(jīng)驗(yàn)指標(biāo)
具有更快平均更新時(shí)間(MTTU)的項(xiàng)目更安全。研究發(fā)現(xiàn)，他們出現(xiàn)漏洞的可能性要低1.8倍。
受歡迎程度并不能很好地預(yù)示安全性。流行的開源項(xiàng)目存在漏洞的可能性是普通項(xiàng)目的2.8倍。
開發(fā)團(tuán)隊(duì)之間的依賴管理實(shí)踐差異很大
軟件開發(fā)人員在更新第三方依賴時(shí)，69%的情況下會(huì)做出次優(yōu)選擇。新版本的項(xiàng)目通常更好，但并不總是最好的。這在無形中忽視了版本中關(guān)于漏洞補(bǔ)丁的問題。
商業(yè)工程團(tuán)隊(duì)只管理他們使用的 25% 的組件，使得他們的大部分開源依賴項(xiàng)過時(shí)并且容易受到安全風(fēng)險(xiǎn)的影響。
自動(dòng)化每年可為組織節(jié)省 192,000 美元。如果配備了智能自動(dòng)化，一個(gè)擁有20個(gè)應(yīng)用程序開發(fā)團(tuán)隊(duì)的中型企業(yè)每年將節(jié)省160天開發(fā)時(shí)間。
軟件供應(yīng)鏈管理實(shí)踐：認(rèn)知與現(xiàn)實(shí)
主觀調(diào)查反饋和客觀數(shù)據(jù)之間存在脫節(jié)。人們相信他們?cè)谛迯?fù)有缺陷的組件方面做得很好，并表示他們了解風(fēng)險(xiǎn)所在?？陀^上，研究表明開發(fā)團(tuán)隊(duì)缺乏結(jié)構(gòu)化的指導(dǎo)，并且經(jīng)常在軟件供應(yīng)鏈管理方面做出次優(yōu)決策。
“今年的軟件供應(yīng)鏈狀況報(bào)告再次表明，開源如何既是數(shù)字創(chuàng)新的關(guān)鍵燃料，又是軟件供應(yīng)鏈攻擊的成熟目標(biāo)，” Sonatype執(zhí)行副總裁Matt Howard表示。
“雖然開發(fā)人員對(duì)開源的需求繼續(xù)呈指數(shù)級(jí)增長(zhǎng)，但我們的研究首次表明，實(shí)際使用的總體供應(yīng)量很少。
此外，我們現(xiàn)在知道流行的項(xiàng)目包含更多漏洞。這一嚴(yán)峻的現(xiàn)實(shí)凸顯了工程領(lǐng)導(dǎo)者采用智能自動(dòng)化的關(guān)鍵責(zé)任和機(jī)會(huì)，這樣他們就可以對(duì)最好的開源供應(yīng)商進(jìn)行標(biāo)準(zhǔn)化，同時(shí)幫助開發(fā)人員保持第三方庫的更新和最新的最佳版本。”
同時(shí)，面對(duì)開源存在更多安全漏洞的事實(shí)，開發(fā)團(tuán)隊(duì)?wèi)?yīng)警惕潛在軟件供應(yīng)鏈安全風(fēng)險(xiǎn)。在開發(fā)前期將安全考慮進(jìn)來。通常我們認(rèn)為有人看過代碼，他們分析了代碼就安全了。但實(shí)際上可能不是這樣。
據(jù)Synopsis稱，目前84%的代碼庫至少存在一個(gè)安全漏洞。由于開源軟件依賴于第三方代碼鏈，安全團(tuán)隊(duì)通常很難獲得依賴性供應(yīng)鏈的全部可見性，而在那些不易察覺的地方的任何漏洞都可能導(dǎo)致整個(gè)網(wǎng)絡(luò)受到破壞。建議企業(yè)在軟件開發(fā)過程中或進(jìn)行DevsecOps建設(shè)時(shí)，有必要進(jìn)行一定的靜態(tài)代碼安全檢測(cè)及開源代碼安全測(cè)試，以確保沒有在無意間將安全漏洞引入軟件，提高軟件安全性降低遭到網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)。Wukong(悟空)靜態(tài)代碼檢測(cè)工具，從源碼開始，為您的軟件安全保駕護(hù)航!
參讀鏈接：
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://www.ezyhdfw.cn/yun/120834.html
