搜索

[26033] 2017-02-07_基于开源软件漏洞的攻击今年将上升20%

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-19
2017-02-07_基于开源软件漏洞的攻击今年将上升20% - -   M a r i a   K o r o l o v 基 于 开 源 软 件 漏 洞 的 攻 击 今 年 将 上 升   2 0 % 原 创   译 者 j a s m i n e p e n g   L i n u x 中 国   2 0 1 7 - 0 2 - 0 7 随 着 开 源 代 码 在 商 业 和 家 用 应 用 上 越 来 越 流 行 ， 基 于 它 的 漏 洞 的 攻 击 也 日 益 增 多 ， 据 黑 鸭 子 软 件 对 收 集 的 开 源 项 目 的 数 据 统 计 ， 其 预 计 今 年 的 攻 击 增 长   2 0 %   。 编 译 自 ：   h t t p : / / w w w . c s o o n l i n e . c o m / a r t i c l e / 3 1 5 7 3 7 7 / a p p l i c a t i o n - d e v e l o p m e n t / r e p o r t - a t t a c k s - b a s e d - o n - o p e n - s o u r c e - v u l n e r a b i l i t i e s - w i l l - r i s e - 2 0 - p e r c e n t - t h i s - y e a r . h t m l   作 者 ：   M a r i a   K o r o l o v 译 者 ：   j a s m i n e p e n g 随 着 开 源 代 码 在 商 业 和 家 用 应 用 上 越 来 越 流 行 ， 基 于 它 的 漏 洞 的 攻 击 也 日 益 增 多 ， 据 黑 鸭 子 软 件 对 收 集 的 开 源 项 目 的 数 据 统 计 ， 其 预 计 今 年 的 攻 击 增 长   2 0 %   。 黑 鸭 子 软 件 [ 1 ] 安 全 战 略 部 的 副 总 经 理   M i k e   P i t t e n g e r   介 绍 说 ， 包 含 了   5 0 %   以 上 的 自 由 、 开 放 源 软 件 的 商 业 软 件 项 目 占 比 从 2 0 1 1   年 的   3 %   上 升 到 今 天 的   3 3 % 。 他 说 ， 平 均 每 个 商 业 应 用 使 用 超 过   1 0 0   个 开 源 组 件 ， 而 三 分 之 二 的 商 业 应 用 代 码 带 有 已 知 漏 洞 。 更 糟 糕 的 是 ， 软 件 的 买 家 常 常 无 法 知 道 他 们 购 买 的 软 件 中 有 哪 些 开 源 组 件 。 相 关 阅 读 ：   浪 漫 开 发 ： 如 何 避 免 使 用 开 源 时 易 受 攻 击 感 [ 2 ]
“ 一 般 来 说 ， 公 司 并 不 乐 于 提 供 这 些 ” ， 他 说 到 。 他 们 为 客 户 提 供 的 组 件 列 表 常 常 是 不 完 整 的 。 “ 如 果 你 未 经 他 们 同 意 就 扫 描 二 进 制 码 ， 你 很 可 能 违 反 了 他 们 的 许 可 协 议 ， 给 自 己 带 来 很 多 麻 烦 ” 。 一 些 大 公 司 买 家 可 能 有 权 要 求 他 们 完 整 披 露 ， 并 由 第 三 方 比 如 黑 鸭 子 软 件 进 行 扫 描 验 证 。 完 全 避 免 开 源 软 件 并 不 是 一 个 好 的 选 择 。 很 多 开 源 库 是 事 实 上 的 工 业 标 准 ， 而 且 从 头 开 始 写 同 样 的 代 码 太 耗 费 时 间 ， 延 误 了 投 放 市 场 的 时 间 ， 损 害 了 公 司 的 竞 争 力 。 因 此 ， 商 业 软 件 商 使 用 开 源 代 码 的 越 来 越 多 ， 这 个 趋 势 在 加 速 ， P i t t e n g e r 　 说 到 。 同 样 的 逻 辑 适 用 于 企 业 自 建 软 件 ，   I S A C A [ 3 ]   思 维 领 导 与 研 究 部 门 总 监   E d   M o y l e   说 。 I S A C A   是   I T   和   网 络 安 全 专 业 人 员 的 一 个 全 球 化 组 织 。 “ 也 有 很 多 社 区 支 持 活 跃 的 项 目 ， 带 来 可 靠 的 安 全 和 功 能 更 新 ” ， 他 补 充 说 。 “ 在 特 定 情 况 下 ， 如 果 能 够 审 计 代 码 会 带 来 安 全 的 好 处 ， 当 然 也 带 来 了 高 度 定 制 软 件 的 能 力 。 按 照 以 往 经 验 ， 如 果 一 个 商 业 工 具 能 够 做 什 么 事 ， 很 可 能 就 会 有 开 源 工 具 提 供 同 样 的 功 能 。 ” 但 是 ， “ 多 个 眼 睛 ” 来 检 查 开 源 代 码 漏 洞 的 方 式 并 不 总 能 有 好 的 效 果 。 “ 任 何 人 都 可 以 审 计 代 码 ， 但 也 可 能 每 个 人 都 认 为 有 人 来 审 计 ， 结 果 最 终 谁 都 没 有 做 此 事 。 ” 　 来 自   A l i e n V a u l t [ 4 ]   的 安 全 顾 问 　 J a v v a d   M a l i k 　 说 。 “ 这 是 一 个 问 题 。 ” 结 果 ， 管 理 开 源 组 件 越 来 越 棘 手 ， 而 那 些 坏 家 伙 们 也 意 识 到 这 一 点 。 开 源 代 码 到 处 都 是 ， 所 以 攻 击 者 可 以 使 用 同 样 的 利 用 方 式 寻 找 一 大 批 目 标 。 由 于 跟 踪 开 源 代 码 的 困 难 ， 使 用 者 常 常 不 打 补 丁 和 更 新 ， 这 样 ， 黑 客 可 以 利 用 已 知 漏 洞 和 已 公 布 的 缺 陷 利 用 例 子 。 物 联 网 的 兴 起 去 年 也 成 为 了 一 个 主 要 的 安 全 问 题 ， 今 年 将 继 续 是 一 个 主 要 问 题 ， 专 家 们 预 测 。 “ 智 能 设 备 和 物 联 网 中 使 用 了 许 多 开 源 软 件 ， 这 正 是   M i r a i   僵 尸 网 络 病 毒 利 用 的 漏 洞 ， ” M a l i k   说 。 （ L C T T   译 注 ： 自   2 0 1 6   年 9   月 黑 客 操 控 感 染 了 恶 意 软 件   M i r a i   的 物 联 网 设 备 发 起 了   D D o S   攻 击 ， 影 响 波 及 很 多 著 名 网 站 ， 并 导 致 服 务 中 断 ， 影 响 颇 深 颇 广 。 ） 同 时 ， 开 发 者 常 常 不 检 查 开 源 代 码 漏 洞 [ 5 ] ， 或 者 怀 疑 有 问 题 但 由 于 最 后 期 限 的 压 力 ， 而 直 接 使 用 了 。 所 以 ， 不 只 是 未 打 补 丁 的 漏 洞 存 在 着 ， 还 有 新 写 的 代 码 会 集 成 进 去 旧 的 、 已 知 的 漏 洞 ， 黑 鸭 子 软 件 的   P i t t e n g e r   说 到 。 商 业 软 件 项 目 中 的 漏 洞 平 均 存 活 时 间 为   5   年 ， 他 说 到 。 心 血 漏 洞 [ 6 ] 这 个 漏 洞 早 在   2 0 1 4   年 初 就 在   O p e n S S L   库 中 发 现 ， 并 被 广 泛 宣 传 。 但 去 年 ， 在 测 试 的 应 用 中 仍 有   1 0 %   存 在 此 漏 洞 。 此 外 ， 每 年 有   2 0 0 0   到   4 0 0 0   个 新 漏 洞 被 发 现 ， P i t t e n g e r   补 充 说 。 要 解 决 这 个 问 题 ， 需 要 软 件 商 和 顾 客 的 切 实 行 动 ， 以 及 企 业 级 软 件 开 发 者 的 安 全 意 识 — — 不 过 目 前 看 在 最 终 改 善 前 ， 形 势 很 可 能 还 要 恶 化 。 欢 迎 对 此 提 出 您 的 评 论 。
推 荐 文 章 <   左 右 滑 动 查 看 相 关 文 章   > 输 入 文 章   I D   或 长 按 二 维 码 直 达 [ 1 ] :   黑 鸭 子 软 件   -   h t t p s : / / w w w . b l a c k d u c k s o f t w a r e . c o m / [ 2 ] :   浪 漫 开 发 ： 如 何 避 免 使 用 开 源 时 易 受 攻 击 感   -   h t t p : / / c s o o n l i n e . c o m / a r t i c l e / 2 8 8 3 3 1 5 / a p p l i c a t i o n - s e c u r i t y / r o m a n c i n g - d e v e l o p m e n t - h o w - t o - a v o i d - f e e l i n g - v u l n e r a b l e - w i t h - o p e n - s o u r c e . h t m l # t k . c s o - i n f s b [ 3 ] :   I S A C A   -   h t t p : / / w w w . i s a c a . o r g / [ 4 ] :   A l i e n V a u l t   -   h t t p s : / / w w w . a l i e n v a u l t . c o m / [ 5 ] :   开 源 代 码 漏 洞   -   h t t p : / / c s o o n l i n e . c o m / a r t i c l e / 3 0 7 7 8 1 5 / a p p l i c a t i o n - s e c u r i t y / y o u r - o p e n - s o u r c e - s e c u r i t y - p r o b l e m - i s - w o r s e - t h a n - y o u - t h i n k . h t m l [ 6 ] :   心 血 漏 洞   -   h t t p : / / c s o o n l i n e . c o m / a r t i c l e / 2 1 4 2 1 0 3 / s e c u r i t y / i s - o p e n - s o u r c e - t o - b l a m e - f o r - t h e - h e a r t b l e e d - b u g . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理