新思科技发布2022年开源安全和风险分析报告强调了在软件供应链中管理开源风险的核心挑战推动社会全面实
作为一个普通的网民，我深知开源在现代社会中所扮演的重要角色。它是我们每日使用的应用程序不可或缺的一部分，而识别、跟踪和管理这些开源代码对于确保软件安全至关重要，无论是开发者还是消费者都应该对此保持高度警觉。
最近，新思科技发布了《2022年开源安全和风险分析》报告，这份报告详细分析了商业和专有代码库中使用开源组件的情况，并提供了一系列见解，以帮助开发人员更好地理解他们所处的复杂软件生态系统。此外，该报告还揭示了非托管开源可能带来的安全隐患，如安全漏洞、过时或废弃的组件以及许可证合规性问题。
根据报告，尽管使用过时的开源组件仍然很常见，但经过评估的大多数代码库显示出减少开放漏洞数量的趋势。同时，许可证冲突的问题也在逐渐减少，不过仍存在一半以上被审查代码库中出现许可证冲突的情况。这表明虽然进步已经取得，但还有许多工作需要完成以确保软件供应链中的质量和安全性。
我认为这个研究结果提醒我们要更加谨慎地处理那些未经更新且易受攻击的旧版本，以及那些不明来源或没有清晰授权条款（如无许可证或定制化许可）的软件。Tim Mackey首席安全策略师的话语让我深思：“没有理由不将软件升级到最新版本”，但实际上很多企业并未建立良好的追踪机制来监控其依赖项，因此容易忽视这些潜在的问题直到它们成为了严重威胁。
正是这种认识不足导致了像Log4j这样的危机发生。这也是为什么现在行业越来越强调软件供应链管理与物料清单（SBOM）的重要性——只有这样，我们才能真正保障我们的数字生活免受潜在威胁。
