2020 年软件供应链状况报告：下一代开源网络攻击增长 430％
Sonatype发布了《2020年软件供应链状况》报告指出，旨在积极渗透开源软件供应链的下一代网络攻击大规模激增430%。
这是Sonatype发布的第六份年度软件供应链状况报告，此报告分析了超过1.5万亿个开源下载请求，24,000个开源项目和5,600个企业开发团队。报告指出，在过去的12个月中，其共记录了929次下一代软件供应链攻击。相比之下，2015年2月至2019年6月之间记录的此类攻击则只有216起。
对此，Sonatype首席执行官WayneJackson表示，“在2017年臭名昭著的Equifax违规事件发生之后，企业大幅地增加了投资，以防止对开源软件供应链的类似攻击。我们的研究表明，商业工程团队应对新的零日漏洞的能力正在提高。因此，当对手将活动转移到“上游”时，下一代供应链攻击增加了430%也就不足为奇了，因为攻击者可以感染单个开源组件，该组件有可能被“下游”分发，并被战略性地、秘密地利用。”
研究发现，企业软件开发团队对开源软件组件中漏洞的响应时间也有所不同。其中，有51%的组织需要一周以上的时间来补救新的零日漏洞。此外，报告还指出，高性能的开发团队在检测和修复开放源代码漏洞方面的速度提高了26倍，并且部署代码变更的频率也比同行高15倍。同时，他们使用自动化软件组成分析(SCA)的可能性要高出59%，且成功更新依赖关系和修复漏洞而不出现破绽的可能性也要高出近5倍。报告中的一些其他发现包括有：
到2020年，所有主要开源生态系统的组件下载请求预计将达到1.5万亿
开发人员下载的JavaOSS组件中有10%存在已知的安全漏洞
开发人员构建到其应用程序中的开源组件中，有11%存在已知的漏洞，平均发现38个漏洞
40%的npm软件包包含有已知漏洞的依赖项
在公开披露后的三天内，新的开源零日漏洞就已被利用
......
完整报告地址：https://www.sonatype.com/2020ssc
免责声明：我们致力于保护作者版权，注重分享，被刊用文章因无法核实真实出处，未能及时与作者取得联系，或有版权异议的，请联系管理员，我们会立即处理!
部分文章是来自自研大数据AI进行生成,内容摘自(百度百科,百度知道,头条百科,中国民法典,刑法,牛津词典,新华词典,汉语词典,国家院校,科普平台)等数据,内容仅供学习参考,不准确地方联系删除处理!
图片声明：本站部分配图来自人工智能系统AI生成,觅知网授权图片,PxHere摄影无版权图库和百度，360，搜狗等多加搜索引擎自动关键词搜索配图，如有侵权的图片，请第一时间联系我们，邮箱：ciyunidc@ciyunshuju.com。本站只作为美观性配图使用,无任何非法侵犯第三方意图,一切解释权归图片著作权方,本站不承担任何责任。如有恶意碰瓷者,必当奉陪到底严惩不贷!
