Google开源安全团队推出GUAC v0.1工具

Google开源安全团队最近发布了GUAC（Graph for Understanding Artifact）v0.1，这是一款专为安全专业人员设计的工具。GUAC专注于元数据的合成与聚合，旨在满足《美国网络安全行政命令》中提出的要求。该工具的目标是帮助安全专业人员评估供应链的安全状况。

GUAC的主要功能

GUAC通过整合来自不同来源的软件安全元数据，并将其与软件供应链相关的标准化概念库对齐，解决了供应链安全中的信息分散问题。随着供应链的不断演变，GUAC持续更新其数据库，纳入来自外部数据源的最新威胁信息和分析，包括软件物料清单（SBOMs）、软件制品的供应链级别（SLSA）以及开源软件（OSS）洞察。

GUAC的应用场景

GUAC通过链接文档和使用启发式方法来提高数据质量，解决了在构建和发布工作流中生成的大量SBOMs管理上的挑战。GUAC社区正在积极与SPDX合作，推进SBOM工具的开发，以提高元数据的准确性。

在CloudNativeSecurityCon 2023的小组讨论中，GUAC被认可为一款有价值的工具，能够帮助理解、利用并从SBOMs中提取意义。讨论还强调了目前缺乏标准的SBOM分发方法，并指出了在这一领域自动化的潜力。

用户反馈与集成能力

GUAC用户能够开发集成，实现基于信任的策略创建、对安全漏洞的快速响应以及在安全事件发生时的升级计划。此外，用户还可以创建命令行工具（CLI）进行广泛的分析和事件响应，以及IDE插件以主动执行策略。

早期采用者对GUAC给予了积极反馈。Yahoo的信息安全团队高级经理Hemil Kadakia表示，GUAC极大地提升了他们的流程效率。Red Hat的首席软件工程师Dejan Bosanac也表示，GUAC为当前和未来的供应链安全工作提供了良好的基础，并且作为一个真正的开源项目，GUAC拥有一个欢迎新成员的社区。

了解更多

感兴趣的读者可以通过GUAC的社区页面了解更多信息。