软件供应链防御指南太多？如何避免成为下一个SolarWinds, Log4j, and XZ Uti...

正文

请到「今天看啥」查看全文

当不良代码进入软件供应链时，后果可能非常不愉快——正如论文标题中提到的几个近期备受瞩目的案例所示：“闭合链条：如何降低成为 SolarWinds、Log4j 或 XZ Utils 的风险。”

预印本论文的作者，北卡罗来纳州立大学和雅虎的专家们，之所以开展这项研究，是因为他们认为组织很难从市场上众多的供应链防御工具中做出选择。

安全意识强的程序员确实有很多建议需要考虑。美国国家标准与技术研究院（NIST）提供了其安全软件开发框架（SSDF [PDF]）和网络安全供应链风险管理实践指南。CISA 开发了一份自我认证表格。

开源安全基金会开发了一个软件安全评分卡。云原生计算基金会提供了 OWASP 软件组件验证标准[PDF]和供应链安全框架(S2C2F)。

如果追赶所有这些似乎令人生畏，还有 Proactive Software Supply Chain Risk Management Framework，它从 10 个不同的框架中提炼出了 73 项供应链安全任务。

简而言之，对于试图改善其软件供应链安全状况的组织来说，有很多建议。

请到「今天看啥」查看全文