當前速訊：開源軟件對網絡安全的影響
開源軟件是過去幾十年最具創(chuàng)新性的發(fā)展之一。
用戶和安全供應商可以訪問類似的資源和技術來應對惡意參與者社區(qū)。但是，團隊合作是網絡安全經常不足的領域。這種分散的安全環(huán)境可能會傷害客戶，造成威脅參與者可以利用的安全漏洞。
(資料圖片)
根據 X-Force 威脅情報指數(shù)，惡意行為者的網絡攻擊處于歷史最高水平，僅勒索軟件就占攻擊的 23%。與此同時，運營技術基礎設施攻擊增加了 2000%。
這種令人擔憂的發(fā)展的原因之一是客戶通常自主運營，而惡意行為者在協(xié)作環(huán)境中集體工作。
開源軟件 （OSS） 安全性是指用于管理和確保從生產到開發(fā)的合規(guī)性的流程和工具。最好的方案是會自動探索應用中的開源依賴項，提供有價值的信息和關鍵版本控制，并觸發(fā)警報以識別策略違規(guī)行為。
然后，它們會自動監(jiān)控、警報和阻止生產中的攻擊，針對任何開源組件的漏洞，以幫助快速采取行動。
不再依賴供應商或安全團隊的專家和開發(fā)人員使用開源軟件。相反，可以聯(lián)系整個開源社區(qū)，就像其他組織或供應商一樣，包括研究人員和大學，所有人都在查看相同的代碼并對其進行改進。
01、開源如何幫助網絡安全團隊？
網絡安全專家可以快速評估開源的相關風險。例如，程序員可能會在不知不覺中將有缺陷的開源代碼插入到企業(yè)軟件應用程序中。此操作可能會使組織、其客戶和合作伙伴容易受到日益復雜的數(shù)據泄露的影響。
然而，隨著 IT 攻擊威脅的飆升在 Covid-19 期間給該行業(yè)帶來了極大的壓力，越來越多的網絡安全專業(yè)人員理解開源的重要性，以及它如何成為保護客戶和領先于安全審計問題的強大工具。
隨著免費和開源工具和組件在企業(yè)環(huán)境中變得越來越普遍，作為安全供應商，在產品集成和威脅情報方面進行更多協(xié)作至關重要。
采用開源軟件可以最大限度地降低整體開發(fā)成本，并使開發(fā)人員能夠專注于更多增值工作。開源軟件的另一個顯著好處是成本較低。如果出現(xiàn)問題，您可以輕松地立即打開并修復代碼，而無需等待供應商回答。
包括微軟在內的 IT 領域的巨頭已經接受了 OSS 網絡安全，但一個重要的問題是，由于源代碼是免費提供的，因此它更容易被利用。一些安全領導者認為專有軟件比 OSS 更安全，因為它的代碼是隱藏的。畢竟，即使代碼中存在缺陷，惡意行為者如果看不到它們，也無法利用它們。
雖然專有軟件也存在漏洞，但源代碼的披露是一個重大的合規(guī)性問題。這種方法被稱為“通過默默無聞獲得安全性”，其中包括幾個缺陷。
美國國家標準與技術研究院（NIST）明確建議依靠“通過隱蔽性實現(xiàn)安全性”來確保系統(tǒng)的安全性。系統(tǒng)安全不應依賴于實現(xiàn)保密性或其組件。
代碼的透明度意味著更多的用戶花時間評估漏洞解決方案。但事實并非如此。開源代碼的每個組件都沒有專門的用戶群，甚至不能保證團隊是否有足夠的知識和專業(yè)知識來識別和解決所有問題。
以下是安全專業(yè)人員確保安全性的一些方法，即使使用開源代碼也是如此：
使用多重身份驗證和強密碼
消除不再使用的軟件
及時了解所有軟件的安全更新
規(guī)范用戶訪問，確保數(shù)據安全
部署違規(guī)檢測工具
根據需要加密數(shù)據
準備好響應協(xié)議，以防檢測到安全漏洞
隨著有關多個組織中網絡安全攻擊的最新報告，充分保護公司的 Web 應用程序、軟件、供應鏈和數(shù)據免受惡意軟件、勒索軟件和網絡釣魚威脅至關重要。
計算技術的進步和發(fā)展使開源安全工具能夠識別各個領域各行各業(yè)的網絡威脅和漏洞。
02、實施開源軟件有哪些風險？
在組織中部署開源軟件之前，必須考慮與其部署相關的問題和風險。以下是開源軟件的一些危險：
過多的訪問和代碼漏洞。開放獲取意味著所有人都可以訪問代碼。因此，這為惡意行為者創(chuàng)造了隨心所欲地操縱代碼的機會。利用 OSS 可以為不良行為者提供多種途徑來未經授權訪問您的信息和網絡。
缺乏支持。大多數(shù) OSS 系統(tǒng)沒有專門的支持團隊。如果沒有可靠的支持團隊，可能無法獲得安全補丁和更新。如果不良行為者檢測到開源軟件中的漏洞，他們可以利用這些系統(tǒng)漏洞獲得對公司信息和網絡的未經批準的訪問權限。
缺乏驗證。不能保證合格的專家在開源軟件開發(fā)中執(zhí)行充分的測試和質量保證，也不能保證審查代碼的人員會仔細評估其安全性。缺乏確認會使您的計算機基礎架構容易受到攻擊
在獲取和部署開源軟件之前，必須徹底開展保障活動。通過這些預防措施，您可以更好地保護和最小化公司系統(tǒng)和網絡的安全風險。
另一方面，專有軟件具有內置控件，以防止使用不兼容或多個版本。開源元素通常依賴于用戶來驗證正確使用。
03、開源系統(tǒng)和封閉系統(tǒng)之間是否存在平衡？
在自動化和技術時代，軟件在日常任務中越來越多地被利用和接受。但是，無論特定軟件的用途如何，都有兩種主要類型：開源和閉源。
閉源軟件是保持源代碼加密和安全的軟件。用戶不能修改、復制或刪除代碼段而不承擔從取消保修到法律后果的后果。
另一方面，開源軟件恰恰相反。它使用戶能夠自行修改、刪除或復制代碼節(jié)。此外，用戶可以在他們的程序上使用功能而不會產生任何影響。
總體而言，如果想要靈活性、可擴展性和最低成本，開源軟件項目是開始網絡安全之旅的絕佳場所。但是，選擇非常適合的需求的技術可能具有挑戰(zhàn)性。
本文提供的信息僅用于一般指導和信息目的，本文的內容在任何情況下均不應被視為投資、業(yè)務、法律或稅務建議。
本文來自微信公眾號：出新研究 （ID：chuxinyanjiu），作者：Kyndall Elliott，編譯：唐詩
標簽： 開源軟件
