历史上的今天
今天是：2025年05月15日（星期四）
2019年05月15日 | 新思科技OSSRA报告，深入分析开源应用的趋势与模式
2019-05-15 来源：EEWORLD
很多软件都是建立在可重用的开源组件的基础之上 。但是使用开源的人员经常忽视相关的安全和许可风险。软件开发人员通常会从开源存储库中获取代码，以嵌入其公司的产品中，加快开发过程。虽然代码重用的效率提高和成本节省很明显，但企业很少定期检查开源代码以查找潜在的安全性和法律问题。很少有公司管理他们的开发人员使用开源。因此，他们仍未了解其开源风险和义务。
美国新思科技公司 (Synopsys, Nasdaq: SNPS)近日发布了《2019年开源安全和风险分析》（OSSRA）报告。该报告由新思科技网络安全研究中心(CyRC)制作，审查了由黑鸭审计服务团队执行的超过1,200个商业应用程序和库的审计结果。报告重点介绍了开源应用的趋势和模式，以及不安全的开源组件和许可证冲突的普遍性。
报告显示，现在企业面临着开源应用风险管理的挑战，这些难题在过去几年就已经有苗头了。然而，数据还表明现在已经达到了一个拐点，由于风险意识和商业软件组件分析解决方案成熟度的提高，许多企业提升了其管理开源风险的能力。
新思科技网络安全研究中心首席安全策略师Tim Mackey 表示：“开源在现代软件开发和部署中发挥着越来越重要的作用，但要实现其价值，企业需要从安全性和许可证合规的角度来理解和管理它如何影响其风险态势。2019年OSSRA报告提供了商业应用程序中开源风险管理的状况概览。报告表明现在仍然存在重大挑战，绝大多数的应用程序包含开源安全漏洞和许可证冲突，但同时也强调这些挑战是可以解决的，因为开源漏洞和许可证冲突的数量与去年相比有所下降。”
2019年OSSRA报告中最值得注意的开源风险趋势包括：
● 开源采用率大幅提升。2018年审计的代码库中96%包含开源组件，每个代码库中平均有298个开源组件，2017年则为257个。
● 开源许可证冲突可能会使知识产权面临风险。68%的代码库包含某种形式的开源许可证冲突，38%的代码库包含没有可识别许可证的开源组件。
● “废弃”组件的使用很常见。85%的代码库包含过去四年以上老式的组件或者过去两年没有开发的组件。如果一个组件处于非活跃状态或者无人维护，也就意味着没有人正在处理其潜在的漏洞。
● 许多组织未能修补或更新其开源组件。2018年黑鸭审计中确定的漏洞的平均年龄是6.6年，略高于2017年 。这表明补救措施没有显著改善。2018年扫描的代码库中有43%包含超过十年以上的漏洞。国家漏洞数据库(National Vulnerability Database)显示2018年增加了16,500个新漏洞，其明确的修补流程需要扩展以适应增加的披露的漏洞。
● 并非所有的漏洞都相同，但许多企业甚至没有解决那些风险最高的漏洞。超过40%的代码库包含至少一个高风险开源漏洞。
报告显示开源软件的使用本身并不是问题，实际上这对软件创新至关重要。但是未能积极主动地鉴别和管理任何与开源组件使用有关的安全和许可证风险，可能极具破坏性。虽然风险因素仍然存在，2019年OSSRA报告数据表明，在Equifax数据泄露之后，开源风险意识的提高和商业软件组件分析解决方案的成熟度已经取得了进展：
· 企业在管理开源安全漏洞方面正渐入佳境。2018年审计的代码库中有60%包含至少一个漏洞，相比2017年的78%已经改善不少。
· 总体而言，开源许可证合规性也得到了改善。2018年审计的代码库中有68%包含有许可证冲突的组件，2017年则为74%。
史海拾趣
|
总结起来最主要的有以下几个吧 1 ADS调试用 确切的说是ADS AXD。ADS里包含AXD。原来都用SDT后来ARM公司停止对SDT支持了，改支持ADS了，还是用ADS吧。 有的人的程序发布的仍然是SDT版本的，但基本都可以找到相应ADS的，新人在这里不要发蒙。ADS是 ...… 查看全部问答＞ |
|
我在uC/OS的中断服务程序中只要不调用函数,中断服务程序是可以运行的,但是一旦中断服务函数中涉及信号量，则外部等待这个信号量的任务只会执行一次就死在那里了! 串口中断接收程序： interrupt 20 void iUART0_Receive(void){ OSIn ...… 查看全部问答＞ |
|
由中国健康教育协会、中国保健协会食物营养与安全专业委员会、中国营养师网等单位共同发起，华夏量健（北京）科技有限公司全程支持的中国营养健康教育信息化工程启动仪式近日在首届中国营养健康教育高峰论坛上成功举行。 ...… 查看全部问答＞ |
|
我有一块S3C2440的板子，装好后通电三组串口好像短路一样，相互之间的阻值只有几十欧，用串口0连PC开机就不断输出乱码或者00 00....，本来调试串口是UART1的，即使启动时的调试信息也是通过UART1输出的。很奇怪，不知道是什么原因。… 查看全部问答＞ |
|
一个采集音频信号并且输出波形的小程序。 在EVC中的模拟器下可以看到比较好的效果，无信号时的零线平滑笔直。 下载到板子上，再运行程序，就会发现零线是一条小锯齿的形状，通过一条音频线将PC与ARM相连，短路相接也还是有锯齿。。。 问问大虾这 ...… 查看全部问答＞ |
|
本人做的项目是车载导航多媒体系统，主板是Pxa270，现在要添加usbhost驱动， 不知道PB工程里怎么修改，驱动程序生成的是DLL吗？大家说详细点 谢谢！… 查看全部问答＞ |
|
以下是源码，我想弄清楚unsigned long GetCurTick(void)返回的值有什么用，是不是一个OS的计数值，与系统的时钟有关。 static unsigned long curTimer; static unsigned long TimeOutIni=5400; unsigned long GetCurTick(void) { unsigned lo ...… 查看全部问答＞ |
|
两个LI命令之间，轴都是硬性停止，没有减速停止，我在之间也用了AM命令也不行，除非写两个程序#B,#C 每个一个LI就可以 减速停止， 两个LI命令之间，轴都是硬性停止 … 查看全部问答＞ |
|
新手求救：谁有2407扩展cy7c1021cv33 RAM的电路图 我想扩展一片64Kcy7c1021cv33的RAM作调试程序用，谁有这方面的电路图?主要是不知道该把接DS，还PS。 谢谢 brettwkl@163.com… 查看全部问答＞ |