Endor Labs Station 9 报告：开源软件的主要风险

由 Endor Labs 主导，并汇集了来自 HashiCorp、Adobe、Palo Alto Networks、Discord 等公司的 20 多位行业专家的贡献，Endor Labs Station 9 报告 详细列出了开源软件中的主要操作和安全风险。

开源软件的风险背景

Endor Labs 的首席安全研究员 Henrik Plate 指出，现代应用程序广泛使用开源组件，因此必须认真对待这些组件集成带来的风险。虽然开源软件通常比专有软件更高效和安全，但它以“原样”提供，没有任何形式的担保，所有使用风险都由下游用户承担。

报告结构与灵感来源

该报告灵感来源于 OWASP Top Ten，这是一份为开发者和 Web 应用安全提供的标准文档。报告涵盖了与开源组件使用相关的十大风险，这些风险可能导致系统被破坏、数据泄露、合规性受损或可用性降低。

报告中的主要风险

1. 已知漏洞：开源包中存在的已知漏洞是首要风险。
2. 分发基础设施攻击：合法包可能通过分发基础设施被攻击，从而注入恶意代码或资源。
3. 名称混淆攻击：通过拼写错误、品牌劫持或组合劫持等策略创建恶意包，诱使开发者无意中信任它们。

新兴风险与应对工具

虽然开源软件包含已知漏洞的风险在业界已广为人知，并且有许多工具可以应对，但分发基础设施攻击和名称混淆攻击是相对较新的风险，属于供应链攻击的范畴。目前，业界正在开发应对这些风险的工具，如 Semgrep 和 Guarddog。

其他重要风险

4. 未维护的软件：未维护的软件可能带来功能和安全问题。
5. 过时的软件：过时的软件可以通过更新到最新版本来修复，但可能会面临兼容性问题。
6. 许可证和监管风险：开源软件可能涉及复杂的许可证和监管问题。
7. 不成熟的软件：未应用最佳实践或缺乏单元测试的软件。
8. 错误的版本控制：导致开发者无法审查或批准变更。
9. 依赖不足或过多：包提供的功能过少或过多。

风险管理与未来更新

这些风险在传统质量导向的视角下似乎更易管理，但在全面风险管理中不应被忽视。Endor Labs Station 9 团队计划定期更新该报告，以反映技术进步和威胁环境的变化。