OWASP 创始人：关注首要问题，开源库也可以放心使用

开发四年只会写业务代码，分布式高并发都不会还做程序员？

Veracode 的战略 VP，同时也是 OWASP 创始人的 Mark Curphey 在一次关于开源软件库的使用和风险的会议上表示，我们正处于应用安全的根本转折点上。

他认为这种转变源于三大趋势：

云：使用云将从根本上改变我们对安全性的看法。
开源的应用：与云类似，向开源的转变既会带来更大的安全风险，同时也会带来改变和提高安全性的机会。当每个开发者都使用同一个资源时，大家会专注于保护这一个资源，这会使得其安全性大大提高。
DevOps：DevOps 专注于自动化和持续交付，它将改变我们对安全性的思考方式，同时让我们思考如何将其嵌入开发人员流程中。

开源方面，Curphey 强调开源的生产和消费都有不断变化的趋势，在消费端，很难找到一家没有使用开源代码构建产品和服务的公司。他引用 SourceClear 的数据表明，高达 95％的客户代码库都是开源的。另一方面，在生产端，我们可以看到正在创建的开源库数量有所增加，而且它们的分发速度也更快，并且体积越来越小。数量和速度的增长最终意味着更难以仔细检查哪些是安全的，哪些是不安全的。与此同时，开发速度也在不断提高，这意味着任何减慢或中断开发人员工作流程的安全检查都不会有效。今天的应用安全需要无阻碍且简单，这在很大程度上意味着自动化。

Curphey 指出，今天我们需要改变对于应用安全的思考方式，仅确保开发人员了解如何安全编码并扫描他们的代码是不够的，这会带来巨大安全隐患。更重要的是要考虑开发人员在其代码中使用的开源库。开源现在是创新的关键，并且有安全使用它的有效方法，这需要改变我们的安全思想以适应这一新的现实，而不是去惧怕它。

另一个方面，攻击者不仅仅攻击开源库，他们还创建恶意的开源代码，组织在不知情的情况下将其纳入其系统代码库中，这也是一大趋势。

但 Curphey 同时也指出，不用过于担忧，应对方法在于关注首要问题，他解释，在许多情况下，当开发人员引入开源库时，他们只使用了其中一小部分代码，可能只是其中一种函数或者一个功能。因此，即使开源库被标记为易受攻击，采用组织的系统可能也不会受到攻击。在这样的情况下，安全团队需要帮助开发团队确定可接受的风险并确定补救或缓解的优先级，关注于首要解决的安全问题。

OWASP 创始人：关注首要问题，开源库也可以放心使用相关推荐

为何选择iText？java PDF开源库选择与iText发展历史
作者:CuteXiaoKe 微信公众号:CuteXiaoKe 转眼间,我写iText7系列已经有一年多了,还记得最开始的时候是因为兴趣才翻译iText,不过随着慢慢翻译文章才发现iText的强大之处, ...
python开源库推荐_推荐5个值得关注的Python开源项目
原标题:推荐5个值得关注的Python开源项目今天小编看到了五个开源项目,觉得还错,推荐给大家. 1.Wagtail CMS Wagtail是一个基于Django的CMS系统它拥有优质的用户体验 ...
利用人工智能（Magpie开源库）给一段中文的文本内容进行分类打标签
当下人工智能是真心的火热呀,各种原来传统的业务也都在尝试用人工智能技术来处理,以此来节省人工成本,提高生产效率.既然有这么火的利器,那么我们就先来简单认识下什么是人工智能吧,人工智能是指利用语音识别. ...
集合70多种推荐算法，东北大学老师用Java写了一个开源库，在GitHub上收获近1500个Star...
[AI科技大本营导读]在经过一年多的开发工作之后,LibRec 3.0 版本终于发布了.LibRec 是一个基于 Java 的开源算法工具库,覆盖了 70 余个各类型推荐算法,可以有效解决评分预测 ...
Kimera:一个基于度量语义的SLAM开源库
标题:Kimera:an Open-Source Library for Real-Time Metric-Semantic Localization and Mapping 作者:Antoni Ro ...
伯乐：一个易用、强大的PyTorch推荐系统开源库
来源:RUC AI Box 本文约3500字,建议阅读5分钟 4类53个模型,27个数据集,又一推荐系统神器! [ 导读 ]是否还在为推荐模型无法复现而怀疑人生?是否还在为不知如何入门推荐而踌躇不前? ...
收藏，7个学习Python编程的最佳开源库！
点击上方"AI遇见机器学习",选择"星标"公众号重磅干货,第一时间送达仅做学术分享,如有侵权,联系删除转载于 :机器学习算法与Python实战很多伙伴们 ...
走过19年，每年千万下载量，科学计算开源库SciPy的前世今生
点击上方"AI遇见机器学习",选择"星标"公众号重磅干货,第一时间送达转自:机器之心每年千万下载量,科学计算开源库 SciPy,你已经是个成熟的小伙伴了. ...
SDWebImage开源库阅读分析（全）
汇总记录: 本文基于SDWebImage 4.2.3版本进行分析和整理(链接地址). 整体目录结构: SDWebImage |----SDWebImageCompat 处理不同平台(iOS.TV.OS ...
C++开源库，欢迎补充。
C++在"商业应用"方面,曾经是天下第一的开发语言,但这一桂冠已经被java抢走多年.因为当今商业应用程序类型,已经从桌面应用迅速转移成 Web应用.当Java横行天下之后,MS ...

OWASP 创始人：关注首要问题，开源库也可以放心使用

OWASP 创始人：关注首要问题，开源库也可以放心使用相关推荐

最新文章

热门文章