历史上的今天
今天是：2024年12月09日（星期一）
2020年12月09日 | 新思科技发布DevSecOps实践和开源管理报告，开源漏洞成焦点
2020-12-09 来源：EEWORLD
开源已经逐渐成为新一代软件开发模式，能有效推动产品快速迭代。但是开源风险的问题比较复杂，包括知识产权及合规风险，还有安全漏洞等，而且完善的开源治理体系还尚未构建起来。值得庆幸的是，现在有一些安全测试工具可以降低开源使用的风险。
新思科技（Synopsys, Inc.，Nasdaq: SNPS）宣布发布《2020年DevSecOps实践和开源管理报告》。该报告由新思科技网络安全研究中心（CyRC）总结制作，采访了1,500名从事网络安全、软件开发、软件工程和Web开发的IT专业人员。该报告探讨了全球企业用于解决开源漏洞管理的策略以及日益严重的商业代码中过时或弃用的开源组件问题。
开源在当今的软件生态系统中扮演着至关重要的角色。绝大多数现代代码库都包含开源组件，开源通常占整个代码的70％或更多。然而，开源使用增长的同时，不受管理的开源带来的安全风险日益严重。实际上，《2020年开源安全和风险分析》报告（OSSRA）指出经过新思科技审计的代码库中，75%包含具有已知安全漏洞的开源组件。为了应对这种情况，受访者在审查新的开源代码组件时将识别已知的安全漏洞作为首要标准。
新思科技网络安全研究中心首席安全策略师Tim Mackey表示：“很明显，未修补的漏洞是造成开发人员困扰以及最终导致业务风险的主要原因。《2020年DevSecOps实践和开源管理报告》强调了企业如何竭力有效地追踪和管理其开源风险。”
Tim Mackey接着说：“超过一半（51%）的受访者表示他们需要两至三周的时间来应用开源补丁，这可能与以下的情况有关系，仅仅38%的受访者使用自动的软件组件分析（SCA）工具来确定使用了哪些开源组件以及何时发布更新。其余的组织可能采用手动的操作流程来管理开源，这些可能会拖慢开发和运营团队的速度，迫使他们在平均每天发布数十个新的安全披露的环境下来追赶安全。”
《2020年DevSecOps实践和开源管理报告》中值得注意的其他要点包括：
DevSecOps在全球范围内迅速增长。总计63%的受访者表示他们正在将一些DevSecOps活动融入其软件开发计划中。
应用程序安全测试（AST）工具没有被普遍采用。从受访者对调查问卷的回答可以看出，其实并不缺乏应用程序安全测试的工具和技术。然而，即使使用率很高的AST工具也只有不到一半的受访者在使用。
媒体在开源风险管理中发挥着重要的作用。46%的受访者指出，媒体报道促使他们对开源使用情况实行更加严格的管控。
47%的受访者根据他们所使用的开源组件的时间来定义标准。开源社区中一个日益严重的问题是项目的可持续性。新思科技2020 OSSRA报告显示，在2019年被审计的代码库中，91%的代码库包含的组件已经过期四年以上或过去两年中没有开发活动。部署过期的代码会增加安全风险，包括开源组件被劫持的风险。如2018年发生的一个事件：event-stream组件被注入恶意代码，目的是窃取Copay钱包中的比特币。
史海拾趣
|
定时/计数器都有定时或对外部事件计数的功能。通常，定时/计数器归纳起来一般有3种类型： 硬件计数器 可在简单软件控制下计数，特点是成本低，使用方便，但是专用性强，使用不广泛。 软件定时/计数器 特点是几乎没有硬件费用，但他占用cpu的 ...… 查看全部问答＞ |
|
前提：“我们在家里安装了红外幕帘探头、门磁感应传感器、燃气泄漏报警器、烟雾报警器等各种设备，形成了一个移动视频智能系统。” 早上出门前，开启安防报警系 ...… 查看全部问答＞ |
|
能不能用VC，根据无线网SSID和自己填写的密码，迅速验证密码是否正确 英特尔的无线网卡，能不能用VC做一个程序，根据无线网SSID（网名）和自己填写的密码，迅速验证密码是否正确呀？ 初步设计的界面如下 无线网卡的管理工具也可以验证，但是太慢了，而且每次只能验证最多4个密码。不好 不知这个问题是不是应该在 ...… 查看全部问答＞ |
|
本月11日，中国嵌入式系统产业联盟“百家e坛”嵌入式技术主题论坛第三期如期召 开，延续前两期活动的火爆场面，本期活动同样吸引了众多嵌入式技术爱好者的热情参与。 本期活动可谓是名家云集，三位主讲嘉宾都是嵌入式业界知名的技术专家，因此吸引 ...… 查看全部问答＞ |
|
ARM芯片上有一些管脚没有寄存器对其进行控制,在WinCE驱动程序中，请问这样的管脚应该如何操作呢?如对扩展总线进行读写控制的nROE、nRWE，还有扩展的地址线RADDR（GPA有些管脚是RADDR，可以操作，但其它的应如何赋值并操作呢？）等。 … 查看全部问答＞ |
|
首先，我是新手，没有接触过网卡驱动程序开发，仅看过windows上一个中间层的驱动代码。 我有些问题： ndis仅仅是windows上的东西吗？ windows上开发一个驱动程序必须按照ndis吗？ 网卡制造商如果仅有wi ...… 查看全部问答＞ |
|
我们的ODM产品需要增加一个短信提示功能。客户的需求是，采取C/S架构的通信。Client端是若干个GPRS终端，Server端是一台拥有公网IP的PC。要求c、s能够双向通信。 在和客户的构图中，目前提出有3种方案： &n ...… 查看全部问答＞ |