การประเมินความเสี่ยงด้านความปลอดภัยของห่วงโซ่อุปทาน: จากการพึ่งพาโอเพนซอร์สไปจนถึงส่วนประกอบของบุคคลที่สาม

สถานะความปลอดภัยของห่วงโซ่อุปทาน

แอปพลิเคชันสมัยใหม่รหัส 90% มาจากโอเพนซอร์ส เหตุการณ์ Log4j (2021) ซึ่งส่งผลกระทบต่อระบบนับล้านทั่วโลกถือเป็นการโจมตีห่วงโซ่อุปทานที่ร้ายแรงที่สุดในประวัติศาสตร์ เหตุการณ์ SolarWinds ส่งผลกระทบต่อหน่วยงานรัฐบาลของสหรัฐอเมริกา

ความเสี่ยงทั่วไป

การพึ่งพาความสับสน: ผู้โจมตีโพสต์แพ็คเกจที่มีชื่อเดียวกันไปยังคลังสินค้าสาธารณะ แพ็คเกจวางยาพิษ: บัญชีของผู้ดูแลถูกแฮ็กและฝังรหัสที่เป็นอันตราย การพึ่งพาที่ไม่ได้รับการบำรุงรักษา: แพคเกจ abandoned ไม่ได้รับการอัปเดตอีกต่อไปและไม่มีการแก้ไขช่องโหว่

เครื่องมือป้องกัน

การวิเคราะห์องค์ประกอบซอฟต์แวร์ SCA: Snyk, Dependabot, OWASP Dependency-Check รายการวัสดุซอฟต์แวร์ SBOM: CycloneDX, รูปแบบ SPDX แสดงรายการการพึ่งพาทั้งหมด

แนวทางปฏิบัติที่ดีที่สุด

หลักการพึ่งพาขั้นต่ำ, รุ่นล็อค, การพึ่งพาการตรวจสอบปกติ, ใช้คลังสินค้าส่วนตัว, แฮชล็อค, ตรวจสอบการประกาศความปลอดภัย