От
KL FC Bot
Открытый исходный код стал тенденцией в ИТ-компаниях, а затем — и во многих крупных организациях. Возможность переиспользовать и самостоятельно дополнять код, исправлять ошибки создает условия для быстрых инноваций и снижения расходов.
Но есть у Open Source и присущие именно ему негативные особенности, которые связаны с размытой ответственностью за создание и сопровождение этого кода. Эксперты Endor Labs провели систематический анализ этих рисков с привлечением CISO и CTO двух десятков крупных ИТ-компаний, и вот какие приоритеты выстроила эта группа экспертов.
Известные уязвимости
Самым существенным риском были признаны уязвимости как в самом проекте Open Source, так и в его зависимостях, то есть внешних компонентах Open Source, которые загружаются и используются этим проектом. Именно уязвимости в зависимостях могут породить масштабные проблемы для десятков крупных коммерческих пакетов ПО, как это было со скромным компонентом логирования — Apache Log4j (CVE-2021-44228).
Меры защиты. Регулярно сканируйте свои приложения на известные уязвимости, включая уязвимости в прямых и косвенных зависимостях. Оперативно применяйте доступные исправления. Для оптимизации ресурсов компании патчи можно приоритизировать, опираясь на серьезность ошибки и вероятность эксплуатации в конкретном используемом ПО.
View the full article
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти