社区编辑申请
注册/登录
开源软件安全度走向成熟 企业该如何制定安全策略?
开源 安全
根据近日发布的一项调查结果显示,那些制定了开源软件(OSS)安全策略的企业,往往在自我评估就绪程度方面有更好的表现,而且他们通常都有自己专门的团队负责推动软件安全性。

根据近日发布的一项调查结果显示,那些制定了开源软件(OSS)安全策略的企业,往往在自我评估就绪程度方面有更好的表现,而且他们通常都有自己专门的团队负责推动软件安全性。

本周二,软件安全公司Snyk和Linux Foundation公布了一项调查结果,发现那些制定了开源软件安全策略的企业中,10家有7家认为他们的应用开发是高度安全的、或者有一定安全性的。相比之下,那些尚未制定安全策略的企业中,只有45%认为自己是有某种程度的安全性的。

Snyk公司开发者关系总监Matt Jarvis表示,开源软件对应用开发有很大的好处,但企业也必须认识到开源软件的缺点并为此做好准备。

他说:“虽然开源是创新和构建高质量软件的一种经过验证的机制,但取得成功的同时也成为了自身的牺牲品,因为开源软件无处不在导致它成为了供应链攻击的一大目标。企业需要加深对开源工作机制的理解,包括治理和代码,并通过采用开发者优先的安全工具和方法,来加强他们的供应链管理。”

规模较小的企业在开源软件安全策略方面有所落后

总体来看,只有大约一半的企业制定了开源安全策略来指导开发者使用各种组件和框架,而更多的小公司(60%)要么没有相关策略,要么根本不知道自己是否有策略。

报告指出,对于初创公司和小型公司来说,他们从经济性的角度考虑往往会降低制定安全策略的优先级。

报告指出:“小型组织的IT人员和预算很少,业务的功能需求往往优先考虑的,这样业务才能保持竞争力。缺乏资源和时间,是组织没有解决开源软件安全最佳实践的主要原因。”

开源软件安全度走向成熟 企业该如何制定安全策略?

来源:《Addressing Cybersecurity Challenges in Open Source Software》报告

研究表明,对不同的编程语言也要有不同的安全考量,例如用.NET编写的应用修复缺陷的平均时间最长,为148天,其次是JavaScript的49天。

JavaScript依赖项众多导致的问题

JavaScript应用的依赖项最多,根据Snyk的数据,每个项目平均有174个——大约是依赖项最少的Python语言的7倍,后者平均每个项目有25个。

Jarvis说,虽然大型传递依赖树可能会导致修复漏洞路径迂回,但如果组织有办法跟踪不同项目之间的关系,那么依赖性高并不一定是个劣势。

“与其他生态系统相比,JavaScript包的范围往往更小,因此虽然数量更多,但用于审计潜在缺陷的代码可能更少。最重要的问题是,你要了解你正在使用哪些依赖项,特别是作为依赖项的依赖项引入的传递性依赖项,这就要使用适当的安全工具来对这些项进行扫描。”

然而数据还表明,不同的语言的缺陷程度也有所不同,例如用Java编写的项目平均有超过47个高危漏洞和28个中危漏洞,远高于排名第二的JavaScript,后者平均有18个和21个漏洞,Python平均有20个。

“在数据中,有很多因素在起作用,例如项目的复杂性、开发人员的数量和受欢迎程度,这些都会对漏洞的数量和类型产生影响。那些备受开发者欢迎的项目,可能漏洞就更多一些。”

自动化=安全成熟度

根据调查结果显示,尽管发现依赖项中的漏洞很重要,但大多数安全成熟度比较高的企业(也就是那些制定了开源软件安全策略的企业)主要依赖于行业漏洞咨询(60%)、自动监控包中错误(60%)、来自包维护者的通知(49%) )。

自动化监控可以说是那些安全成熟度高的企业和那些没有策略的企业之间一个最显着的差距,那些没有策略的企业中,只有38%使用某种自动监控,而安全成熟度高的企业这一比例达到了60%。

Jarvis说,如果企业没有制定开源软件安全策略,那么他们现在就应该着手了,可作为加强其开发安全性的一种方式,即使是轻量级的策略也是一个很好的开始。

他说:“制定策略和表达意向之间是存在相关性的,我们认为,制定策略是安全成熟度一个合理的起点,因为这说明,企业组织已经意识到这些潜在问题,并且已经开始着手了。”

责任编辑:未丽燕 来源: 至顶网
相关推荐

2022-07-27 11:26:55

数据安全企业

2022-04-24 12:46:59

网络安全威胁事件安全运营

2022-07-01 16:02:36

开源安全

2022-07-12 08:00:00

数据安全数据泄露网络攻击

2022-06-16 11:57:22

2022-02-13 00:10:31

2022-07-18 23:54:13

安全漏洞自动化测试

2009-06-11 11:32:12

2012-04-05 09:52:21

2020-12-29 10:26:55

开源软件安全安全治理漏洞

2020-03-02 08:25:38

免费开源软件FOSS软件安全

2022-02-13 00:29:57

2022-04-27 12:24:16

云安全云化时代

2018-05-18 10:10:05

开源

2014-08-12 09:47:04

开源软件软件安全OSS组件

2009-08-05 10:49:50

信息安全策略安全管理

2020-02-02 09:23:44

软件安全渗透测试信息安全

2011-01-24 13:51:46

2022-05-13 15:14:13

安全数据保护企业

2022-04-14 14:02:39

云计算云安全安全团队

同话题下的热门内容

Java程序员必须掌握的十款开源工具!Wazuh: 一款超强大的威胁预防、检测安全平台,支持虚拟化、容器化和云环境保护Koodo:一款适用于 Linux 的一体化开源电子书阅读器应用国内开源软件的发展现状与风险分析Padloc:一个直观的开源密码管理器使用 Crossplane 和 VCluster 在 Kubernetes 上快速构建新集群

编辑推荐

十大免费开源云文件共享平台使用Go语言开发必备的5大开源工具开源人脸识别seetaface入门教程(一)Docker不香吗,为啥还要K8s?值得考虑的九大开源ERP系统,看看都有谁
我收藏的内容
点赞
收藏

51CTO技术栈公众号