10 октября 2024

eur = 106.42 0.73 (0.69 %)

btc = 60 756.00$ -1 087.81 (-1.76 %)

eth = 2 374.35$ -57.74 (-2.37 %)

ton = 5.01$ -0.16 (-3.01 %)

usd = 96.95 0.84 (0.87 %)

eur = 106.42 0.73 (0.69 %)

btc = 60 756.00$ -1 087.81 (-1.76 %)

Форум

Сервис «Лаборатории Касперского» позволит минимизировать риски использования Open Source

1 минута на чтение
Сервис «Лаборатории Касперского» позволит минимизировать риски использования Open Source

Читать первым в Telegram-канале «Код Дурова»

«Лаборатория Касперского» представила сервис для выявления закладок в ПО с открытым исходным кодом, сообщили в компании «Коду Дурова».

Kaspersky Open Source Software Threats Data Feed позволит выявлять закладки в сторонних компонентах и ПО с открытым исходным кодом. Это поможет компаниям минимизировать риски использования продуктов Open Source.

Всё благодаря актуальным данным о пакетах с уязвимостями, вредоносным кодом и недекларированными возможностями. Уже сейчас в сервисе есть информация примерно о трёх тысячах уязвимых и вредоносных пакетов, размещённых в популярных репозиториях.

В десятках пакетов специалисты зафиксировали недекларированные возможности, в том числе отображение нежелательной информации политической направленности или пакеты, изменяющие свою функциональность в определённых регионах.

Утверждается, что некоторые из скомпрометированных компонентов загружены пользователями десятки тысяч раз. Исследование показало, что среди уязвимостей, обнаруженных в Open Source пакетах, около 35% имеют высокий уровень опасности, и около 10% — критический:

Разработчики часто используют готовые пакеты с открытым исходным кодом при выполнении своих задач. Это позволяет им фокусироваться на комплексных проектах и индивидуальных требованиях к ПО, экономить время и ресурсы при создании стандартных функций. Существует несколько крупных репозиториев, где специалисты могут найти подходящий под свой проект компонент. Однако в подобных пакетах могут содержаться случайные или намеренные уязвимости, а также вредоносный код. Более того, иногда создатели пакета намеренно приводят исполняемый код программы к виду, сохраняющему её функциональность, но затрудняющему анализ, понимание алгоритмов работы и внесение изменений при декомпиляции.

В «Лаборатории Касперского» подчеркнули, что представленным потоком данных разработчики смогут избежать уязвимых и скомпрометированных пакетов. Эксперт по кибербезопасности «Лаборатории Касперского» Денис Паринов также напомнил о возникающих рисках:

Использование готовых пакетов при разработке — это общепринятая практика. Она позволяет экономить много времени при создании ПО. Однако важно помнить о возникающих рисках атак на цепочку поставок, которые особенно возросли в 2022 году, когда были обнаружены сотни скомпрометированных и вредоносных пакетов в популярных репозиториях. Чтобы снизить риски подключения уязвимых или даже вредоносных пакетов, мы предлагаем проверять их сторонние компоненты с помощью нашего решения.
Сейчас читают

Картина дня

8 октября, 2024
8 октября, 202412 минут на чтение
Фото Влад Войтенко
Влад Войтенко
12 минут на чтение
[ Новости ]
[ Статьи ]
Личный опыт работы
Блоги 275