新思科技發(fā)布《2023年開(kāi)源安全和風(fēng)險分析》報告

開(kāi)源代碼已經(jīng)深深扎根在現代軟件開(kāi)發(fā)之中，甚至代碼擁有者通常都不知道自己的軟件中包含開(kāi)源組件。開(kāi)源管理不到位，可能會(huì )給企業(yè)造成負面輿論，甚至導致經(jīng)濟損失。尤其在并購交易中，雙方務(wù)必要及早了解目標代碼庫中的潛在開(kāi)源風(fēng)險、安全漏洞和代碼質(zhì)量問(wèn)題。盡管2022年經(jīng)濟走勢不明朗，科技領(lǐng)域的并購也相應放緩，但經(jīng)過(guò)新思科技審計的代碼庫數量依然可觀(guān)。

新思科技(Synopsys, Nasdaq: SNPS) 近日發(fā)布了《2023年開(kāi)源安全和風(fēng)險分析》報告(2023 OSSRA)。該報告是OSSRA的第八個(gè)版本，由新思科技網(wǎng)絡(luò )安全研究中心 (CyRC) 編制，分析了1,700 多項并購交易中涉及的商業(yè)和專(zhuān)有代碼庫的審計結果。該報告揭示了 17 個(gè)行業(yè)的開(kāi)源使用趨勢。

2023 OSSRA報告深入探討了商業(yè)軟件中開(kāi)源安全、合規、許可證和代碼質(zhì)量風(fēng)險的現狀，以幫助安全、法律、風(fēng)險和開(kāi)發(fā)團隊更好地把握開(kāi)源安全和許可風(fēng)險形勢。今年的調查結果顯示，絕大多數代碼庫 (84%) 至少包含一個(gè)已知的開(kāi)源漏洞，較2022年調查結果增加了近 4%。

企業(yè)想要降低來(lái)自開(kāi)源、專(zhuān)有和商業(yè)代碼的業(yè)務(wù)風(fēng)險，首要就是構建其使用的所有軟件的全面清單——軟件物料清單 (SBOM)，無(wú)論這些軟件是來(lái)自何處或如何獲取。企業(yè)只有擁有了完整的清單，才能制定戰略以應對Log4Shell 等新的安全漏洞帶來(lái)的風(fēng)險。

新思科技軟件質(zhì)量與安全部門(mén)總經(jīng)理 Jason Schmitt 表示：“2023 OSSRA 報告強調了開(kāi)源是當今絕大部分軟件構建的基礎。在今年的審計中，開(kāi)源組件的平均數量增加了 13%（從 528 增加到 595）。這個(gè)數據進(jìn)一步凸顯了實(shí)施全面的 SBOM 的重要性。SBOM列出了應用中的所有開(kāi)源組件及其許可證、版本、和補丁狀態(tài)。這是通過(guò)抵御軟件供應鏈攻擊來(lái)理解和降低業(yè)務(wù)風(fēng)險的基本策略?！?/p>

2023 OSSRA 報告的主要發(fā)現包括：

●   根據過(guò)去五年OSSRA報告的數據，開(kāi)源采用率顯著(zhù)提高：這幾年，教學(xué)更多地轉向線(xiàn)上，師生在線(xiàn)互動(dòng)增多，進(jìn)而推動(dòng)了教育軟件的應用，開(kāi)源組件的采用也大幅提升，增長(cháng)了 163%；其它行業(yè)包括航空航天、汽車(chē)、運輸和物流行業(yè)，開(kāi)源的采用率激增了97%；制造業(yè)和機器人領(lǐng)域對開(kāi)源的采用率增長(cháng)了 74%。

●   過(guò)去五年，高風(fēng)險漏洞增加速度驚人：自 2019 年以來(lái)，零售和電子商務(wù)行業(yè)的高風(fēng)險漏洞激增了557%；物聯(lián)網(wǎng) (IoT) 領(lǐng)域，89%被審計的代碼是開(kāi)源，同時(shí)，高風(fēng)險漏洞增加了 130%；同樣，航空航天、汽車(chē)、運輸和物流垂直領(lǐng)域的高風(fēng)險漏洞增加了 232%。

●   與使用許可組件的企業(yè)相比，使用沒(méi)有許可的開(kāi)源組件會(huì )使企業(yè)面臨更大的違反版權法的風(fēng)險：報告發(fā)現，31% 的代碼庫使用沒(méi)有可識別許可證或具有定制許可證的開(kāi)源代碼。這比去年的 OSSRA 報告增加了 55%；缺少與開(kāi)源代碼相關(guān)的許可證或其它開(kāi)源許可證，可能會(huì )對被許可方提出非預期的要求，因此經(jīng)常需要對潛在知識產(chǎn)權問(wèn)題或其它影響進(jìn)行法律評估。

●    可用的代碼質(zhì)量和安全補丁還未普遍應用于代碼庫：在經(jīng)審計的1,480 個(gè)含風(fēng)險評估的代碼庫中，91% 的代碼庫包含過(guò)時(shí)的開(kāi)源組件。除非企業(yè)能夠持續使用最新且準確的 SBOM，否則過(guò)時(shí)的組件可能會(huì )被遺忘，直到演變成為易受到高風(fēng)險攻擊的組件。

新思科技軟件質(zhì)量與安全部門(mén)安全解決方案高級經(jīng)理 Mike McGuire 表示：“管理開(kāi)源風(fēng)險的關(guān)鍵是保持應用內容的完整可見(jiàn)性?；诳梢?jiàn)性，將風(fēng)險管理構建到應用生命周期中。企業(yè)可以憑借必需的信息武裝自己，以便采取明智、及時(shí)的風(fēng)險解決方案。企業(yè)在采用任何類(lèi)型的第三方軟件時(shí)都應該正確地假設它包含了開(kāi)源。而驗證這一點(diǎn)并控制相關(guān)風(fēng)險就像獲得 SBOM 一樣簡(jiǎn)單——供應商可以輕松提供并采取必要步驟來(lái)保護其軟件供應鏈?！?/p>