共计 2324 个字符，预计需要花费 6 分钟才能阅读完成。
开源软件无处不在。无论是哪个行业，每个企业都依赖软件来满足其业务需要。企业构建和应用的大多数应用程序在其代码中都蕴含开源元素。近几年软件行业逐步迁徙到云上，并且随着应用程序复杂性的减少，软件平安危险也随之减少。企业须要在其软件开发生命周期（SLDC）中施行开源依赖治理最佳实际，并抉择正确的工具来治理其开源危险。对开发人员进行开源平安培训和实现功能强大的软件成分剖析（SCA）工具都是爱护代码免受开源软件危险的关键步骤。
开源危险剖析报告
业内出名机构 Synopsys 公布了 2022 开源平安危险剖析报告（此处查看报告获取形式），并就开源软件的宽泛采纳及其带来的平安危险提出了须要关注的要点。该报告考察了涵盖 17 个行业，其中 4 个行业部门的计算机硬件和半导体、网络安全、能源和清洁技术以及物联网在其审核的代码库中 100% 蕴含开源代码。剩下的纵向公司 93% 到 99% 的代码库都蕴含开源元素。
报告指出， 只管许可证抵触（license conflict）有所缩小，从 2020 年 65% 的代码库中发现许可证抵触，缩小到往年的 53%，但未经审查的依赖关系的状况有所增加。 也就是说，当开发人员引入开源依赖项时，他们往往不晓得蕴含许可条款和条件的子依赖项。例如，node.js 组件的某些版本蕴含利用了 CC-SA 3 许可证下的代码，而这可能会对应用代码的人有肯定要求，并须要对可能相干的知识产权问题进行法律评估。
看起来许可证抵触和高风险破绽的数量缩小是个良好的趋势，但实际上超过一半的代码库蕴含许可证抵触，近一半蕴含高风险破绽。更令人担忧的是， 在 2097 个通过审计的代码库中，88% 的代码库进行了危险评估，其中都蕴含过期版本的开源组件。 也就是说，更新或修补程序可用但还未利用。尽管说企业有理由不总是放弃软件更新，但须要对其代码中应用的开源局部放弃精确和更新，否则如果未更新的组件被忘记，将有可能变成高风险利用。这也正是 Log4j 事件的状况。尽管破绽自身就具备风险性，但企业在修复该破绽时产生的恐慌和凌乱更多来自于不晓得这个破绽在零碎和应用程序中的具体位置。
开源依赖治理最佳实际
在企业中建设一个全面、欠缺的开源软件管理程序看起来是一项十分宏大的工程，往往让人望而生畏，但企业能够尝试从一些最佳实际开始一步步建设。为了防止在颁布零日破绽时产生凌乱，且无效爱护资源和数据，企业须要建设开源软件治理制度。这其中就包含制订策略，建设相干审批流程，并对现有的开源软件依赖进行全面的审计。
1. 制订策略
为企业构建开源代码策略能够在最大水平上升高应用开源代码软件相干的法律、技术和业务危险。开源软件政策和治理打算能够侧重于在开发过程中应用开源代码和在外部应用开源软件，企业甚至能够建设相干部门来专门治理与开源软件相干的任何事务。
制订开源软件政策的第一步就是要确定要害的策略相关联的群体，这些人将间接受到政策的影响，比方开发人员，以及批准政策并承当相应开源软件应用危险的 c-level 管理人员。或间接受到影响的群体，包含 IT 人员、应用开源软件的团队经理、为开源许可证合规性提供倡议的法律专家及架构师们。所有之间或间接关联的群体该当尽早参加政策制订的过程。
企业的策略政策须要概述在开源软件治理方面的指标，确定目前在企业中应用了多少开源软件，同时定义企业应用指标。策略政策还须要规定哪些开源许可证被涵盖，以及开源软件的应用在外部开发和交付的软件中的应用有何不同。企业须要建设一个开源软件的洽购和抉择流程。现实状况下，这个流程清晰的形容了取得开源软件的批准网站、存储库和办法，以及如何决定某个特定的软件包是否适宜对应工作。该流程还应该指定谁能够下载开源软件，从哪里下载，以及在下载、应用或散发之前是否须要许可。
2. 建设审批流程
此外，倡议企业建设审批流程，来确定软件包是否合乎企业的需要和质量标准。该流程须要思考的一些规范包含代码品质、反对级别、我的项目成熟度、贡献者名誉和破绽趋势。将这些规范思考在内，可能无效爱护开发团队，防止代码中呈现同一软件包的不同版本，并确保每个版本都被正当修复和降级。同时为了让审批流程更好地施展其作用，流程中的申请须要疾速进行流转。那么建设一个预批准的开源代码列表可能无效放慢此流程流转速度。
3. 建设审计程序
企业除了要确保开源代码合乎外部政策之外，还要对开源代码进行审计，以全面理解企业正在应用哪些开源软件。这样可能帮忙企业辨认和定位组件，这一点对于放弃开源许可证的合规性和呈现破绽披露时至关重要。倡议企业在整个软件开发生命周期（SDLC）中扫描开源代码或组件，确保应用开源的应用程序在筹备公布前都要进行最终扫描，尤其是依赖项与第三方组件。
为了确定企业的应用程序中有哪些易受攻击的组件，须要先确定应用程序中的开源组件。这时就须要思考代码的所有版本和分叉，检测源码和二进制模式的组件，剖析嵌入开源的商业软件，而不仅仅是软件包管理器中申明的内容。将这项工作自动化，开发团队就不用手动执行（且手动执行的准确率低于自动化）。这样企业就可能迅速地确定有破绽的组件，并在新的破绽被发现时及时报告。上述的这一步十分重要，如果企业无奈及时精确发现易受攻击的组件，就不能精确地修复。
在审计之后，企业就能够创立工作清单和对应的打算，来确保合规性。这些工作包含提供源代码，代码或文档中须要蕴含的必要告诉，以及更新最终用户许可协定。在合规性不可行的状况下，企业须要寻找代替计划，比方不同的库等。
SEAL 软件供应链防火墙
Seal 软件供应链防火墙旨在为企业提供代码平安、构建平安、依赖项平安及运行环境平安等 4 大防护，通过全链路扫描、问题关联及危险组织的形式爱护企业软件供应链平安，升高企业安全漏洞修复老本。
