„Sonatype“ paleistas atvirojo kodo pažeidžiamumo indeksas, kuriame yra 140 000 pažeidžiamumų

Sonatipas. Verslo viela

Sonatipas veikia geresnio, saugesnio ir greitesnio pristatymo su programinės įrangos tiekimo grandinės automatizavimu principais. Bendrovė įsigijo OSS indeksą praėjusiais metais, o dabar pradėjo automatizuotą ir pertvarkytą Atvirojo kodo programinės įrangos rodyklė kuria kūrėjams pateikiama informacija apie OSS priklausomybes ir pažeidžiamumus, kad būtų galima kurti daugiau informacijos. Kaip paaiškino bendrovės įkūrėjas ir technologijų vadovas Brianas Foxas, šis naujausias leidimas skatina įmonės pastangas aprūpinti kūrėjus pagrindiniais ištekliais, užtikrinančiais, kad jų gaminiuose yra stiprių saugumo sistemų, kurios gali atlaikyti žinomus pažeidžiamumus, kaip gali atvirojo kodo platforma. būkite labai neatlaidus šiuo klausimu. Šis naujas pristatymas žada švaresnę sąsają, taip pat lengvai suprantamą ir kruopščiai patikrintą informaciją.

„Sonatype“ OSS indeksas gauna informaciją iš viešai paskelbtų ir įvertintų pažeidžiamumų, talpindamas 2,6 milijono paketų ir išsamią informaciją apie 140 000 žinomų atvirojo kodo pažeidžiamumų. Paleidimo metu jis palaiko 7 kalbas. Šie kalbomis yra: Boweris („JavaScript“), PHP, „Maven / Gradle“ („Java“), „npm“ („Java“ scenarijus), „NuGet“, „Puthon“, „RubyGems“ ir RPM. Rodyklė veikia pagal tam tikrą formatą. Jame rodoma vardų sritis, kuri yra aprašomasis vardo priešdėlis, komponento ar paketo pavadinimas, jo versija, kiti tipui būdingi kvalifikatoriai, pvz., OS arba distro, ir subkategorija komponento sudėtyje, palyginti su paketo šaknimi. Paketo URl yra parašyta sintaksėje „type: namespace / name @ version? Qualifiers # subpath“, o paketų URL su pkg schema - „pkg: type / namespace / name @ version? Qualifiers # subpath“ sintaksėje. Tokia informacija yra nuosekli visoje OSS rodyklėje, kad būtų užtikrinta pateiktų duomenų kokybė.

Indeksas taip pat palengvina lengvą diegimą su daugybe atvirojo kodo įrankių, iš kurių svarbiausia yra jo REST API. Kita integracijos tokiame rodyklėje kaip „Maven Enforcer“ papildinys ir „OWASP Dependency Check“ paverčia duomenų bazę visapusišku informacijos įrankiu apie OSS pažeidžiamumus. Be to, indeksas leidžia integruoti įrankių grandinę su savo vietiniais plėtiniais ir programomis. Jame yra „Audit.js“ integracija, kuri tikrina npm projektus, o indeksas taip pat remiasi „Sonatype“ paties „Centrine saugykla“. Kūrėjams taip pat galima naudoti „DevAudit“, atviro kodo kelių platformų daugiafunkcio saugumo audito įrankį, išskyrus pateiktus konkrečiai platformai.