谷歌专家探讨开源软件安全的挑战和解决方案

2021年06月04日 15:36 次阅读 稿源:cnBeta.COM 条评论

随着越来越多的公司在其软件中依赖开源组件,保护这些组件的安全变得越来越重要。在今天进行的一项Google活动中,开源专家探讨了如何确保开源软件的安全。援引外媒 Dark Reading 报道,这些讨论的话题还包括公司应该优先考虑什么,以及采取什么样的措施来改善开源安全的现状。

访问:

阿里云6·18主会场:每日10点 爆品限时秒杀

Synopsys 公司指出,平均每个软件程序至少依赖 500 个开源库和组件,比 2 年前的 298 个依赖项增长了 77%。一般软件程序中超过 75% 的代码由开源库和组件组成,84% 的应用程序至少有一个漏洞,平均每个应用程序有 158 个。

在关于开源供应链安全的演讲中,Google软件工程师 Dan Lorenc 建议公司了解他们在使用什么。他承认,这一步看起来很明显,但并不容易,特别是当开发者开始创建和发布工件,并将工件与其他工件结合起来时。当一个漏洞被报告时,不管是无意的还是恶意的,不知道什么在操作,都会让你陷入困境。

治理和不断审计新的依赖关系,无论是内部还是开放源码,都是保障软件的有效策略。Lorenc 补充说,这种控制也可以延伸到你使用的组件,并指出这对大多数公司来说也是一个困难的步骤。此外,要验证二进制包的内容是很困难的,但也不一定非要全盘否定。另一方面,生成和编译代码是开放源码的一部分。知道你可以在需要时进行构建是成功的一半,表明你对进入你的应用程序的代码有控制权。

Lorenc 强调,企业应该有计划地处理零日漏洞和已知问题。零日漏洞通常情况下会称为头条更容易受到关注,企业应该有一个应急策略来迅速修补它们。此外,一些老的漏洞由于关注度不高而始终没有得到修复。在运行各种环境和系统的大型组织中,这些问题很容易被忽视。

对文章打分

谷歌专家探讨开源软件安全的挑战和解决方案

1 (14%)
已有 条意见

    最新资讯

    加载中...

    今日最热

    加载中...

    热门评论

      Top 10

      招聘


      Advertisment ad adsense googles cpro.baidu.com
      created by ceallan