ดัชนีช่องโหว่ของโอเพ่นซอร์สซึ่งมีช่องโหว่ 140,000 รายการเปิดตัวโดย Sonatype

Sonatype บิสิเนสไวร์

Sonatype ดำเนินการบนหลักการของการจัดส่งที่ดีขึ้นปลอดภัยขึ้นและเร็วขึ้นด้วยระบบอัตโนมัติของซัพพลายเชนซอฟต์แวร์ บริษัท ได้เข้าซื้อ OSS Index เมื่อปีที่แล้วและตอนนี้ได้เปิดตัวระบบอัตโนมัติและออกแบบใหม่ ดัชนีซอฟต์แวร์โอเพ่นซอร์ส ที่ให้ข้อมูลแก่นักพัฒนาเกี่ยวกับการอ้างอิง OSS และช่องโหว่สำหรับการพัฒนาผลิตภัณฑ์ที่มีข้อมูลเพิ่มเติม ตามที่อธิบายโดยผู้ร่วมก่อตั้งและ CTO ของ บริษัท Brian Fox รุ่นล่าสุดนี้ช่วยเพิ่มความพยายามของ บริษัท ในการจัดหาทรัพยากรพื้นฐานให้กับนักพัฒนาเพื่อให้แน่ใจว่าผลิตภัณฑ์ของพวกเขาเป็นโฮสต์ของระบบรักษาความปลอดภัยที่แข็งแกร่งซึ่งสามารถต้านทานช่องโหว่ที่ทราบได้เนื่องจากแพลตฟอร์มโอเพนซอร์ส ไม่น่าให้อภัยในเรื่องนี้ การเปิดตัวใหม่นี้สัญญาว่าจะมีอินเทอร์เฟซที่สะอาดขึ้นรวมถึงข้อมูลที่เข้าใจง่ายและได้รับการตรวจสอบอย่างละเอียด

ดัชนี OSS ของ Sonatype ได้รับข้อมูลจากการโพสต์สาธารณะและการประเมินช่องโหว่โฮสต์ 2.6 ล้านแพ็กเกจและรายละเอียดเกี่ยวกับช่องโหว่โอเพนซอร์ส 140,000 รายการ รองรับ 7 ภาษาเมื่อเปิดตัวโดยจะรองรับเร็ว ๆ นี้ เหล่านี้ ภาษา ได้แก่ Bower (JavaScript), PHP, Maven / Gradle (Java), npm (Java Script), NuGet, Puthon, RubyGems และ RPM ดัชนีทำงานตามรูปแบบเฉพาะ จะแสดงเนมสเปซซึ่งเป็นคำนำหน้าชื่อที่สื่อความหมายชื่อของคอมโพเนนต์หรือแพ็กเกจเวอร์ชันคุณสมบัติเฉพาะประเภทอื่น ๆ เช่น OS หรือ distro และเส้นทางย่อยภายในคอมโพเนนต์ที่สัมพันธ์กับแพ็กเกจรูท URls ของแพ็กเกจถูกเขียนในไวยากรณ์ 'type: namespace / name @ version? qualifiers # subpath' และ URL ของแพ็กเกจที่มีแบบแผน pkg จะถูกเขียนในไวยากรณ์ 'pkg: type / namespace / name @ version? qualifiers # subpath' รายละเอียดดังกล่าวจะถูกเก็บไว้อย่างสม่ำเสมอตลอดทั้งดัชนี OSS เพื่อให้แน่ใจว่าคุณภาพของข้อมูลที่นำเสนอจะยังคงอยู่

ดัชนียังช่วยให้ใช้งานได้ง่ายด้วยเครื่องมือโอเพนซอร์สจำนวนมากซึ่งโดดเด่นที่สุดคือ REST API อื่น ๆ การบูรณาการ ในดัชนีเช่นปลั๊กอิน Maven Enforcer และ OWASP Dependency Check ทำให้ฐานข้อมูลเป็นเครื่องมือข้อมูลรอบด้านเกี่ยวกับช่องโหว่ของ OSS นอกจากนี้ดัชนียังช่วยให้สามารถรวม toolchain กับส่วนขยายและแอปพลิเคชันดั้งเดิมได้ มีการรวม Audit.js ซึ่งตรวจสอบโครงการ npm และดัชนียังดึงมาจาก The Central Repository ของ Sonatype นอกจากเครื่องมือตรวจสอบเฉพาะแพลตฟอร์มแล้ว DevAudit ซึ่งเป็นเครื่องมือตรวจสอบความปลอดภัยเอนกประสงค์ข้ามแพลตฟอร์มแบบโอเพนซอร์สยังมีให้นักพัฒนาใช้งานอีกด้วย