Che cos’è Open Source Security?

Open Source Security, comunemente indicata con Software Composition Analysis (SCA), è un metodo che offre agli utenti una migliore visibilità nell’inventario open source delle proprie applicazioni. Ciò si realizza analizzando i componenti mediante le impronte digitali binarie, utilizzando una ricerca ben curata dal punto di vista professionale e riservata (proprietary research), abbinando scansioni precise alla proprietary intelligence, nonché dimostrando agli sviluppatori suddetta intelligence direttamente all’interno dei loro strumenti preferiti.

Che cos’è l’Open Source?

Open source fa riferimento a qualsiasi software con un codice sorgente accessibile che chiunque può modificare e condividere liberamente. Il codice sorgente è la parte del software che gli utenti non vedono; è il codice che i programmatori possono creare e modificare per cambiare il funzionamento del software. Grazie all’accesso al codice sorgente di un programma, gli sviluppatori o programmatori possono migliorare il software aggiungendo funzionalità o risolvendo alcune componenti che non sempre funzionano correttamente.

Perché utilizzare un software open source?

Nel mondo aziendale di oggi dal ritmo veloce, i team dei software hanno adottato pratiche di sviluppo agili quali DevOps per restare al passo con la richiesta commerciale. Tali pratiche esercitano molta pressione sugli sviluppatori affinché creino e distribuiscano le applicazioni più rapidamente. Per raggiungere i propri obiettivi all’interno dei brevi cicli delle release dei software, gli sviluppatori utilizzano spesso componenti software open source. Il software open source (OSS) è distribuito gratuitamente, riducendo notevolmente i costi. Molti sviluppatori traggono vantaggio iniziando con OSS e poi lo modificano per soddisfare le proprie esigenze. Dal momento che il codice è aperto, basta semplicemente modificarlo per aggiungere la funzionalità desiderata.

Open source è un rischio per la sicurezza?

Si sa, gli sviluppatori utilizzano un software open source.
Eppure vi sono ancora domande sul come dovrebbe essere gestito, e a giusta ragione!

Ecco perché:

• I componenti open source non sono creati tutti allo stesso modo. Alcuni sono vulnerabili sin dall’inizio, altri invece lo diventano nel tempo.
• L’utilizzo è diventato più complesso. Con decine di miliardi di download, è sempre più difficile gestire le librerie e le dipendenze dirette.
• Dipendenze transitive: se utilizzate strumenti di gestione delle dipendenze quali Maven (Java), Bower (JavaScript), Bundler (Ruby), ecc., state mettendo automaticamente insieme dipendenze di terze parti – una responsabilità che non potete assumervi.
• Ogni anno, vengono scaricati più di 300.000 componenti open source da un’azienda media
• Nel 2018, tra i miliardi di download delle release dei componenti open source, 1 su 10 ha sperimentato le vulnerabilità sulla sicurezza (10,3%).
• Il 51% dei download dei pacchetti Java conteneva vulnerabilità sulla sicurezza conosciute.
• Aumento del 71% di violazioni confermate o sospette relative all'open source dal 2014

In che modo identifico le vulnerabilità open source nel mio software?

Le aziende devono proteggere non solo il codice che scrivono, ma anche il codice che consumano dai componenti open source. Ecco il motivo per cui molte organizzazioni stanno utilizzando Sonatype per automatizzare la governance open source da scalare in tutto il SDLC, anteponendo la sicurezza all’interno delle fasi di creazione e sviluppo.

Scoprite la soluzione integrata migliore del settore per un codice personalizzato e una sicurezza del codice open source con  Fortify e Sonatype. La precisa open source intelligence offre una visione a 360° sui problemi relativi alla sicurezza delle applicazioni in tutto il codice personalizzato e nei componenti open source in un’unica scansione. Potete eseguire le ricerche per le vulnerabilità open source e del codice personalizzato in una singola scansione e dashboard

Fortify offre anche un’intelligence e una sicurezza open source tramite Debricked utilizzando un Machine Learning all’avanguardia per risultati più rapidi e precisi. Debricked è una soluzione di analisi della composizione software nativa sul cloud che gli sviluppatori desiderano utilizzare e che, a sua volta, aumenta la produttività. Questa soluzione si serve di un approccio olistico con integrazioni perfette nel ciclo di vita DevOps per gestire in modo proattivo i rischi della catena di distribuzione del software.