當前，應用軟件大多數(shù)基于開源的框架，開源框架的源代碼、疊加的自研源代碼。都需要進行安全漏洞測試。企業(yè)的軟件開發(fā)比以往任何時候都更加依賴開源項目，也因此需要管理組件和第三方供應商中的漏洞帶來的風險。
FORRESTER安全與風險會議分析師在Forrester安全與風險2021會議上建議，公司需要采取措施將供應鏈中第三方軟件帶來的風險降至最低。在過去幾年里，供應鏈攻擊已顯著增長。
開源軟件漏洞引發(fā)安全問題
隨著外部攻擊越來越多地通過第三方軟件中的漏洞(例如開源項目或第三方供應商的漏洞)引發(fā)擔憂。
根據(jù)Forrester對530個安全決策的調查，超過三分之一 (35%) 的外部攻擊是通過利用漏洞進行的，而另外三分之一 (33%) 來自對第三方服務或軟件制造商提供的軟件漏洞進行破壞。由此可見，在軟件開發(fā)期間加強對代碼中安全漏洞的檢測及修復，可以大大有效避免漏洞利用引起的網絡攻擊。
Forrester高級分析師Alla Valente表示，如果公司不采取措施解決這個問題，第三方風險的增長可能會破壞企業(yè)應用程序的安全性。
她表示，我們面臨很多第三方風險，而且還在不斷升級。部分原因是當前第三方的數(shù)量比以往任何時候都多。
安全法規(guī)促使企業(yè)重視軟件安全
隨著全球不同國家政府機構開始起草安全軟件指南，這個問題將在2022年變得更加重要。
例如，拜登政府在5月簽署了一項行政命令，要求國家標準與技術研究所(NIST)為聯(lián)邦承包商起草指導方針，以更好地保護軟件安全。這些指導方針包括為政府的產品提供軟件材料清單，并證明開發(fā)人員構建環(huán)境的安全性。NIST已經制定了保護物聯(lián)網設備和軟件安全的指導原則草案。
我國的《關鍵基礎設施保護條例》、《數(shù)據(jù)安全法》、等保2.0等政策也明確表示了在軟件安全、數(shù)據(jù)安全等各個方面企業(yè)應準備的工作和承擔的相應責任。
開源軟件包漏洞難確定
“大多數(shù)開發(fā)人員只是連接到一個存儲庫，然后下載他們正在使用的任何軟件包的最新軟件版本，但這些軟件包是否存在漏洞，或者每個人是否都在使用相同的版本?” Forrester首席分析師Condo表示，如果不關注此類問題，公司只是在推遲安全問題。
開源軟件的不一致性質仍然是一個關鍵問題。雖然主要的軟件包通常管理良好，但許多企業(yè)最終使用的包(通常是通過更常見的組件的依賴關系)管理得不太好，可能存在漏洞。
盡管開源軟件項目平均修復漏洞的時間顯著下降(從2011年的371天下降到2021年的28天)，但主要生態(tài)系統(tǒng)托管的軟件包數(shù)量顯著增長，根據(jù)軟件安全公司Sonatype發(fā)布的一份報告，去年增長了20%。
Condo表示，公司需要深入研究在軟件開發(fā)中所依賴的軟件包，并確定它們是否構成安全問題。他說:“了解你真正依賴的是什么真的很重要。哪里是最薄弱的環(huán)節(jié)，這些問題會在哪里出現(xiàn)，我們應該使用專有包或策劃好的東西。”
AI/ML因素
隨著越來越多的企業(yè)追求基于人工智能和機器學習(AI/ML)的分析，他們也面臨著類似的問題。AI/ML代表了開源問題的一個特定方面，因為開源項目中編碼了大量的算法。分析師Valente表示，企業(yè)應確定這些組件是否對其業(yè)務構成風險。
“組織正在利用人工智能和機器學習，問題不在于他們是否會使用人工智能和機器學習，而是他們是否會購買或構建它，”Valent表示。“如果他們打算購買ML或AI模型，在很多情況下它是開源的，甚至商業(yè)軟件也有75%到90%是開源的?！?/p>
提前發(fā)現(xiàn)問題降低成本
企業(yè)需要在軟件開發(fā)的早期關注安全問題。Condo表示，確定開源依賴項帶來安全問題并將其排除在外，比試圖在部署后關閉軟件中發(fā)現(xiàn)的安全問題要便宜得多。
同樣要注意的是，在自研代碼中存在的安全漏洞一樣需要及時檢測靜態(tài)代碼安全和修正缺陷。數(shù)據(jù)顯示，在軟件測試、發(fā)布階段糾正缺陷的成本是編碼階段發(fā)現(xiàn)并糾正缺陷的成本的15-90倍，如果在交付用戶之后才發(fā)現(xiàn)并解決缺陷，這個數(shù)字將達到50-200倍。因此，在編碼實現(xiàn)階段發(fā)現(xiàn)并解決盡可能多的缺陷，能夠極大降低缺陷管理成本，據(jù)相關統(tǒng)計數(shù)字估計，這個成本至少可以降低1/3。
Condo表示，在軟件開發(fā)初期不夠關注靜態(tài)代碼及開源組件的安全，就會制造更多的技術債務和安全問題，將不得不以更昂貴的方式處理下游問題。安全應該成為整個軟件開發(fā)鏈的一部分，諸如如何更安全的開發(fā)軟件、保護API安全和數(shù)據(jù)安全，并建立安全相應機制。
參讀鏈接：
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉載請注明本文地址：http://m.hztianpu.com/yun/123750.html
