Index zraniteľností otvoreného zdroja obsahujúci 140 000 chýb zabezpečenia spustených spoločnosťou Sonatype

Sonatyp. Business Wire

Sonatyp funguje na princípoch lepšieho, bezpečnejšieho a rýchlejšieho doručenia pomocou automatizácie softvérového dodávateľského reťazca. Spoločnosť získala index OSS v minulom roku a teraz uviedla na trh automatizovaný a prepracovaný produkt Index otvoreného softvéru ktorá poskytuje vývojárom informácie o závislostiach a zraniteľnostiach OSS na účely informovanejšieho vývoja produktov. Ako vysvetlil spoluzakladateľ spoločnosti a CTO Brian Fox, toto posledné vydanie zvyšuje úsilie spoločnosti v oblasti poskytovania základných zdrojov vývojárom, aby zabezpečili, že ich produkty sú hostiteľom silných bezpečnostných systémov, ktoré dokážu odolávať známym zraniteľnostiam, ako to dokáže otvorená platforma. byť v tejto veci veľmi nemilosrdný. Toto nové uvedenie na trh sľubuje čistejšie rozhranie, ako aj ľahko pochopiteľné a dôkladne overené informácie.

Index OSS spoločnosti Sonatype odvodzuje informácie z verejne zverejnených a vyhodnotených zraniteľností, obsahuje 2,6 milióna balíkov a podrobnosti o 140 000 známych slabých miestach otvoreného zdroja. Pri štarte podporuje 7 jazykov, čoskoro bude podporená. Títo jazykoch sú: Bower (JavaScript), PHP, Maven / Gradle (Java), npm (Java Script), NuGet, Puthon, RubyGems a RPM. Register beží v konkrétnom formáte. Zobrazuje priestor názvov, ktorý predstavuje popisnú predponu názvu, názov komponentu alebo balíka, jeho verziu, ďalšie typovo špecifické kvalifikátory, ako napríklad OS alebo distro, a podcestu v rámci komponentu vo vzťahu ku koreňu balíka. Balíky URls sú napísané v syntaxi „type: namespace / name @ version? Qualifiers # subpath“ a adresy URL balíkov so schémou pkg sú napísané v syntaxe „pkg: type / namespace / name @ version? Takéto podrobnosti sa v rámci indexu OSS udržiavajú konzistentné, aby sa zabezpečilo zachovanie kvality prezentovaných údajov.

Index tiež uľahčuje ľahkú implementáciu pomocou mnohých nástrojov otvoreného zdroja, z ktorých najvýznamnejšie je rozhranie REST API. Iné integrácie v indexe, ako je napríklad doplnok Maven Enforcer a OWASP Dependency Check, urobte z databázy všestranný informačný nástroj o slabých miestach OSS. Okrem toho index umožňuje integráciu reťazca nástrojov s jeho natívnymi rozšíreniami a aplikáciami. Obsahuje integráciu súboru Audit.js, ktorá audituje projekty NPM, a index tiež čerpá z vlastného centrálneho úložiska spoločnosti Sonatype. Okrem poskytovaných nástrojov na audit špecifických pre platformu je vývojárom k dispozícii aj devAudit, viacúčelový nástroj na auditovanie bezpečnosti na viacerých platformách s otvoreným zdrojovým kódom.