Главные риски приложений с открытым исходным кодом | Блог Касперского

[KL FC Bot]

Открытый исходный код стал тенденцией в ИТ-компаниях, а затем — и во многих крупных организациях. Возможность переиспользовать и самостоятельно дополнять код, исправлять ошибки создает условия для быстрых инноваций и снижения расходов.

Но есть у Open Source и присущие именно ему негативные особенности, которые связаны с размытой ответственностью за создание и сопровождение этого кода. Эксперты Endor Labs провели систематический анализ этих рисков с привлечением CISO и CTO двух десятков крупных ИТ-компаний, и вот какие приоритеты выстроила эта группа экспертов.

Известные уязвимости

Самым существенным риском были признаны уязвимости как в самом проекте Open Source, так и в его зависимостях, то есть внешних компонентах Open Source, которые загружаются и используются этим проектом. Именно уязвимости в зависимостях могут породить масштабные проблемы для десятков крупных коммерческих пакетов ПО, как это было со скромным компонентом логирования — Apache Log4j (CVE-2021-44228).

Меры защиты. Регулярно сканируйте свои приложения на известные уязвимости, включая уязвимости в прямых и косвенных зависимостях. Оперативно применяйте доступные исправления. Для оптимизации ресурсов компании патчи можно приоритизировать, опираясь на серьезность ошибки и вероятность эксплуатации в конкретном используемом ПО.

 

View the full article

[Umnik]

Оооой, мой любимый Стен снова взялся за ручку. При этом повторяет те же тезисы, что в прошлый раз. Господи божечки, ну нельзя же быть настолько ненавистником СПО. В этот раз человек сослался на Endor Labs. Если кто не знает (никто не знает, я уверен, я сам не знал), кто это - это фирмочка, которая появилась буквально вчера: основана в 2021 году. И единственная её задача - сопровождать зависимости в ваших проектах, которые вы тянете из СПО. А значит что нужно? Нужно нагнать страху, что зависимости из СПО могут принести проблем. Какой ещё вывод может сделать фирма, которая продаёт это решение?