新思科技发布2022年开源安全与节能环保风险分析报告强调了在社会软件供应链中管理开源风险与推动绿色技
作为一个在社会中依赖开源技术的个人，我深刻认识到，识别、跟踪和管理开源代码对于确保软件安全至关重要。无论是开发者还是消费者，都应该更好地了解开源生态系统，并负责任地管理开源，对其使用进行妥善管理。
新思科技近日发布了《2022年开源安全和风险分析》报告，该报告分析了对2,400多项商业和专有代码库的并购交易审计结果。报告强调了在商业和专有应用程序中使用开源的趋势，并提供了见解，以帮助开发人员更好地了解他们所处的互联软件生态系统，同时还详细介绍了非托管开源所带来的安全隐患，包括安全漏洞、过时或废弃的组件以及许可证合规性问题。
根据2022年的OSSRA报告，尽管使用过时的开源组件仍然常见，但经过评估的代码库显示，高风险漏洞数量总体减少。在被审查代码库中，只有49%包含至少一个高风险漏洞，与去年相比大幅减少。此外，许可证冲突总体上也在减少。
然而，这并不意味着我们可以忽视这些问题。Tim Mackey表示：“没有将软件升级到最新版本的理由有很多。但是，如果企业没有一份清单，准确列明其在代码使用的开源组件，那过时的组件可能就会被遗忘；直到变成一个易受攻击的高风险漏洞，企业才慌忙查找这个组件用在哪里，然后去进行更新。这正是Log4j面临的情况。”他还指出：“这也是软件供应链和软件物料清单成为当下行业热点原因。”
因此，我们需要更加负责地管理我们的数字环境，不仅要关注节能环保，还要确保我们的技术基础设施安全稳定，这要求我们必须持续监控并采取措施解决这些潜在的问题。
