01 開源組件安全風(fēng)險管控難
隨著軟件規(guī)?；l(fā)展和開源軟件的興起，越來越多的軟件在開發(fā)過程中集成第三方組件或開源組件。雖然這極大地提高了開發(fā)效率，但也難以避免地引入了安全風(fēng)險。
2021年底，知名的開源項目 Apache Log4j被暴存在嚴重的安全漏洞，影響范圍巨大，被稱之為 “核彈級” 漏洞！該漏洞被披露后，雖然各知名漏洞掃描工具（黑盒）均針對該漏洞進行了多次更新，但依舊遺漏了許多遭受該組件安全影響的應(yīng)用系統(tǒng)。
開源組件泛用的當(dāng)下，作為企業(yè)的技術(shù)負責(zé)人，您知道您公司的應(yīng)用軟件使用了多少開源組件嗎？如果再次發(fā)生類似Log4j漏洞的開源安全問題，您是否能快速找到企業(yè)中，所有使用該組件的應(yīng)用軟件系統(tǒng)呢？
當(dāng)我把這兩個問題拋到我們的技術(shù)交流社群之后，得到的答案大多都是否定的。因為開源組件泛用，我們很難管控應(yīng)用的安全性。那為什么會這樣呢？我總結(jié)以下幾點原因——
1、流程支持弱
缺乏軟件安全全流程管控制度的支持。供應(yīng)商和交付團隊完成某個應(yīng)用系統(tǒng)的交付后，企業(yè)安全人員只能看到新增了一個軟件系統(tǒng)“盲盒”，卻難以對新增軟件系統(tǒng)漏洞、開源許可等安全風(fēng)險進行全方位掌控。
2、安全鴻溝大
●?開發(fā)團隊不理解安全需求，而安全人員也不熟悉開發(fā)過程；
●?缺少軟件構(gòu)成分析和軟件組件管理工具。
3、技術(shù)難度高
哪些軟件組件的使用率高？哪些組件是諸多應(yīng)用系統(tǒng)所共用的？漏洞出現(xiàn)時，先修復(fù)哪些，后修復(fù)哪些？怎么修復(fù)？技術(shù)難度都有些高。
02 軟件物料清單管理，開源組件安全管控的“優(yōu)選”
古代先輩們上陣殺敵，最怕“敵在暗我在明”，摸不清敵軍的軍隊規(guī)模，看不到敵軍的糧草儲備，就不知道該采取什么樣的作戰(zhàn)策略，也不知道敵我勝算。
軟件安全也是如此，最大的挑戰(zhàn)在于“軟件猶如盲盒”，安全問題隱蔽性強。同時，開源組件被泛用，不確定性風(fēng)險指數(shù)級散播。就像是敵軍往我軍陣營安插了許多間諜，所以摸清內(nèi)部情況、打開軟件這個“盲盒”，對于管控開源組件安全就十分必要。
而軟件物料清單（SBOM），就是打開“應(yīng)用軟件盲盒”的鑰匙。
網(wǎng)安云軟件物料清單管理平臺（點擊免費試用），可實現(xiàn)對各應(yīng)用軟件的組件、組件漏洞和開源許可等的安全管理。既明晰了軟件的構(gòu)成關(guān)系，又可預(yù)警“開源組件風(fēng)險”，還能進一步通過大屏安全展示。
如此，幫助企業(yè)安全人員全面掌握軟件組件的使用情況和安全風(fēng)險，提高軟件的透明度和深入細化管理軟件安全風(fēng)險。
開源難題解決思路：
1）SBOM快速生成：多場景快速生成軟件物料清單（SBOM）
2）檢測組件安全：檢測和預(yù)警組件漏洞、開源許可等安全風(fēng)險
3）管理組件資產(chǎn)：搭建組織專屬的軟件組件資產(chǎn)庫
4）安全防護響應(yīng)：及時采取安全防護響應(yīng)措施，保護軟件資產(chǎn)
?文章來源：http://www.zghlxwxcb.cn/news/detail-710625.html
?
通過網(wǎng)安云軟件物料清單管理平臺，可實現(xiàn)對軟件及其組件、構(gòu)成關(guān)系的透明化安全管理，掌控軟件安全態(tài)勢。當(dāng)?shù)弥硞€組件存在安全問題時，搜索該組件，即可找出與之關(guān)聯(lián)的所有應(yīng)用軟件系統(tǒng)，以便于安全人員及時采取防護響應(yīng)等安全措施，保障業(yè)務(wù)持續(xù)穩(wěn)定安全運行。文章來源地址http://www.zghlxwxcb.cn/news/detail-710625.html
到了這里，關(guān)于軟件物料清單管理 | 打開“應(yīng)用軟件盲盒”，預(yù)警“開源組件風(fēng)險”的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
