百川智能在深圳以 3000 万元成立科技公司
天眼查资料显示,深圳百方智能科技有限公司于近日成立,法定代表人为谢剑;注册资本3000万人民币,超过了 98% 的广东省同行。 企业经营范围含计算机系统服务、人工智能应用软件开发、人工智能双创服务平台、人工智能理论与算法软件开发、人工智能基础软件开发、人工智能通用应用系统等。 股东信息显示,该公司由北京百川智能科技有限公司全资持股。
可复用的软件库、框架和组件(如开源生态系统和第三方供应商提供的)加速了数字创新。但近年来,攻击者利用这些软件制品发起软件供应链攻击的数量呈指数增长,比如 **SolarWinds、log4j 和 xz utils **等知名攻击事件。
软件供应链攻击主要有三个途径:利用开源和第三方依赖组件漏洞注入恶意内容;在构建和部署过程中渗透构建基础架构;通过社会工程学等手段针对软件开发人员。若软件行业减少对开源和第三方组件的使用来降低风险,会减缓数字创新,损害软件供应链的信任。本文从研究者与从业者交流了解到的实际挑战,以及大量研究成果出发,概述了当前保障软件供应链安全的研究工作,并提出未来研究方向以应对软件供应链攻击。
软件供应链的重要性与安全隐患
现代社会高度依赖数字创新,可复用软件制品加速了这一进程,但软件供应链却成为攻击目标。软件开发行业未料到其会被蓄意攻击,近年攻击事件频发,如 SolarWinds 等,造成了巨大影响。美国和欧洲也出台相关法规,强调提升开源制品透明度和完整性的紧迫性。
软件供应链的攻击向量
存在三个主要攻击途径:一是利用开源和第三方代码依赖中的漏洞或恶意注入,攻击者可借此执行任意代码、窃取数据;二是渗透构建基础架构,在软件构建和部署过程中注入恶意代码;三是通过社会工程学手段针对软件开发人员,利用人的因素发起攻击。
安全问题的影响
软件供应链信任度降低,若企业减少对开源和第三方制品的使用,会阻碍数字创新。本文旨在阐述研究方法,概述针对三大攻击向量的研究挑战和成果,提出未来研究方向以增强软件供应链安全,后续内容依次介绍研究方法、各攻击向量的挑战与研究、其他方向的研究成果,总结对软件供应链安全研究方向的看法。
S3C2 通过举办年度安全软件供应链峰会、社区日活动,以及安排研究人员和学生到工业与政府机构演讲交流,收集软件供应链安全的实践问题。
挑战反馈
行业和政府从业者反馈,软件供应链安全是亟待解决的实际问题。在依赖选择上,缺乏有效指标辅助决策,政府从业者还关注国外开发的软件依赖风险。依赖更新时,漏洞数量多且工具无法提供足够信息,更新可能带来兼容性问题。恶意提交检测困难,缺乏可靠方法。在构建基础架构方面,企业寻求安全构建和部署指导,认为可重复性构建不实用。此外,软件供应链安全框架的广泛实施面临挑战,需行业共同努力,且自动化漏洞修复和构建安全文化至关重要。
依赖项选择困难
开发者在挑选开源和第三方代码依赖项时,难以在安全性和功能性之间找到平衡。他们缺乏全面且实用的指标,来帮助判断依赖项是否存在安全漏洞或潜在风险,也难以确定依赖项是否符合项目的功能需求。
依赖更新困难
保持依赖项更新对修复安全漏洞至关重要,开发者更新时会遇到麻烦。他们担心新版本依赖会引入与现有代码的兼容性问题,进而破坏软件的正常功能。而且,在更新过程中,开发者难以预估可能出现的新安全漏洞,这使得依赖更新的决策变得异常复杂。
恶意提交难以及时发现
开源生态系统中,代码依赖项的维护者提交恶意代码的情况时有发生,开发者却很难快速察觉。因为他们缺乏有效的监测机制和工具,无法及时识别这些恶意提交,从而使软件面临安全风险。
依赖选择工具与指标
为辅助开发者进行依赖项选择,研究人员开发了如 OpenSSF Scorecard 等工具,通过评估开源项目的安全性指标,为开发者提供参考。但目前依赖选择指标体系仍不完善,无法全面覆盖所有与安全和功能相关的因素,难以满足开发者多样化的需求。
依赖更新策略
研究提出了基于风险的依赖更新策略,旨在综合考虑依赖项的安全风险、更新的影响范围等因素,制定更合理的更新计划。然而,这些策略在实际应用中缺乏足够的自动化支持,需要开发者手动进行大量的分析和决策,增加了操作成本和复杂性。
恶意提交检测方法
在检测开源依赖项中的恶意提交方面,研究采用机器学习技术,对代码的历史提交记录、开发者行为模式等数据进行分析建模。但该方法面临训练数据库信息不完整的问题,难以涵盖所有类型的恶意行为模式,导致检测的准确性和全面性受到限制。
依赖选择指标与数据问题
当前依赖选择指标不够全面和精准,无法充分反映依赖项的真实安全状况。同时,用于评估依赖项的数据库存在信息缺失、更新不及时等问题,难以提供完整可靠的参考依据。
理论与实践脱节
虽然在依赖管理的理论研究上取得了一定进展,但在将这些理论转化为实际可用的工具和方法时,存在较大差距。开发出的工具往往难以集成到现有的软件开发流程中,导致开发者在实际应用中面临诸多困难。
跨平台研究不足
随着软件开发环境的日益复杂,跨平台的代码依赖越来越常见。然而,目前针对跨平台依赖安全的研究相对较少,缺乏有效的方法和工具来保障不同平台间依赖项的安全性和兼容性 。
软件供应链安全依赖行业集体行动与人员参与,相关框架需广泛采用和信息共享才有效。企业虽有安全措施,但面临文化适应问题,如 SolarWinds 事件后需调整安全文化。“guardrails, not gates” 方式平衡开发速度与安全,但仍有风险。此外,自动化漏洞修复可减轻开发者负担,构建安全文化需全员参与。
软件供应链安全方法的广泛采用至关重要,需确保其用户友好以推动行业接受。未来,高级网络钓鱼攻击将构成更大威胁,需通过改进培训、限制环境或利用 LLMs 防御等措施应对。此外,随着技术防御加强,内部威胁可能持续存在,需要更先进的行为监测和自适应安全协议。
美国行政命令要求政府承包商 CEO 对软件符合开发实践、开源软件完整性和出处进行自我认证。工业参与者担心要求不明确,部分企业因负担问题将产品开源以豁免认证,但多数人认为相关认证对安全更具基础性作用。
众多软件安全标准、指南和框架涌现,如 SSDF、SLSA 等,旨在降低供应链风险。但从业者在众多标准中难以抉择,Proactive Software Supply Chain Risk Management(PSSCRM)试图整合多个框架来提供统一指导。
美国将软件安全度量列为研究重点,但软件系统的特性使有效度量困难重重。提供支持需进行指标策划、数据发布和定期审查,以帮助开发者在复杂情况下做出决策,研究正朝着更实用的方向努力,如提供单个依赖及其生态系统的实时数据和指标。
软件供应链安全至关重要,近年来受 SolarWinds、log4j 等事件影响备受关注。行业和学术界针对代码依赖、构建基础架构、人员这三个主要攻击向量展开了大量研究。例如,行业中采用 SCA 工具、SBOMs 和 OpenSSF Scorecard 应对代码依赖问题,利用 SLSA、in - toto 和 TUF 保障构建过程安全;学术界则开发了新分析工具,对现有工具和生态系统进行实证研究,并与从业者沟通以了解实际挑战。
尽管取得了一定进展,但软件供应链安全仍面临诸多难题。在代码依赖方面,管理漏洞困难,开发者难以选择安全可靠的依赖项;构建基础架构方面,遗留环境难以改变,缺乏有效的分析工具,构建过程的可重复性难以实现;人员因素方面,需持续关注人为因素带来的风险;同时,LLMs 在软件供应链中的应用也带来了新的安全风险。
未来需要持续深入研究软件供应链安全,具体包括改进依赖管理,加强构建环境安全,关注人员因素对软件供应链安全的影响,以及应对 LLMs 带来的新风险等。还计划开发 “软件供应链安全仪表板” 并发布年度报告,以满足从业者的数据需求并进行定期审查,从而更好地推动软件供应链安全的发展。
微信关注我们
转载内容版权归作者及来源网站所有!
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
近一个月的开发和优化,本站点的第一个app全新上线。该app采用极致压缩,本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。
为解决软件依赖安装时官方源访问速度慢的问题,腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构,目前腾讯云软件源站支持公网访问和内网访问。
Spring框架(Spring Framework)是由Rod Johnson于2002年提出的开源Java企业级应用框架,旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念,提供核心容器、应用上下文、数据访问集成等模块,支持整合Hibernate、Struts等第三方框架,其适用范围不仅限于服务器端开发,绝大多数Java应用均可从中受益。
Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。