新思科技发布2022年开源安全与低碳环保风险分析报告强调在社会软件供应链中管理开源风险的核心挑战
作为一个在社会中依赖开源技术的个人，我深刻认识到，识别、跟踪和管理开源代码对于确保软件安全至关重要。无论是开发者还是消费者，都应该更好地了解开源生态系统，并负责任地管理开源，对其使用进行妥善管理。
新思科技近日发布了《2022年开源安全和风险分析》报告，该报告分析了对2,400多项商业和专有代码库的并购交易审计结果。报告强调了在商业和专有应用程序中使用开源的趋势，并提供了见解，以帮助开发人员更好地了解他们所处的互联软件生态系统，同时还详细介绍了非托管开源所带来的安全隐患，包括安全漏洞、过时或废弃的组件以及许可证合规性问题。
根据2022年的OSSRA报告，尽管使用过时的开源组件仍然常见，但经过评估的代码库显示，高风险漏洞数量总体减少。在被审查代码库中，只有49%包含至少一个高风险漏洞，与去年相比大幅减少。此外，许可证冲突总体上也在减少。
然而，这并不意味着我们可以忽视这些问题。Tim Mackey表示：“没有将软件升级到最新版本的理由有很多。但是，如果企业没有一份清单，准确列明其在代码使用的开源组件，那过时的组件可能就会被遗忘；直到变成一个易受攻击的高风险漏洞，企业才慌忙查找这个组件用在哪里，然后去进行更新。这正是Log4j面临的情况。这也是软件供应链和软件物料清单成为当下行业热点的问题。”
因此，我们需要更加注重对这些问题进行预防，而不是等待危机发生再行动。通过提高对开放原创工作流程理解，以及采取措施来监控、评估及整合我们的应用程序中的所有第三方依赖项，我们可以降低潜在威胁，从而保护我们的数据与用户免受各种攻击。
