首頁　>　公司　>　最新消息

開源安全和風險分析報告

2023年開源安全和風險分析報告 　　歡迎閱讀2023年第8版《開源安全和風險分析(OSSRA)報告》。今年的OSSRA提供了新思網絡安全研究中心（CyRC）對商業軟件中的開源安全性、 合規性、許可和代碼質量風險當前狀態的年度深入研究。我們分享了這些調查研究結果，以幫助安全、法律、風險和開發團隊更好地了解安全和許可證風險狀況。新思科技網絡安全研究中心(CyRC)為本報告提供了數據。該中心的任務是發布安全建議和調研報告，以幫助企業更好地開發和使用安全的高質量軟件。 　　OSSRA年度報告代表CyRC從上一年數據中得出的結論。因此，我們的2023年報告顯示的是2022年的數據。在2022年，CyRC對來自17個行業的超1,700個商業代碼庫的匿名調查結果進行了研究。我們的審計服務團隊每年為客戶審計數千個代碼庫，主要目的是識別併購(M&A)交易中一系列的軟件風險。儘管2022年經濟前景不明朗，科技領域的併購也相應放緩，但審計代碼庫的數量依然可觀。 　　近20年來，新思科技Black Duck®軟件組成分析(SCA)產品團隊和CyRC審計服務團隊一直在幫助世界各地的安全、開發和法律團隊加強其項目的安全性和許可證合規。 Black Duck SCA使企業能夠識別和跟踪開源代碼，並在其現 有的開發環境中集成自動化的開源實施策略。 Black Duck審計通常在併購交易背景下進行，涵蓋軟件風險的各種層面。該審計還提供全面的、高度準確的軟件物料清單(SBOM)，涵蓋企業應用中的開源代碼、第三方代碼、Web服務和應用編程接口(API)。 　　審計服務團隊依靠Black Duck KnowledgeBase™知識庫的數據識別潛在的許可證合規與安全風險。該知識庫由CyRC創建、管理和多年積累，存儲了來自2.8萬多個開源代碼倉庫超610萬個開源組件的數據。無論您經營什麼行業，或者您在企業安全和風險管理方面扮演什麼角色，OSSRA持續強調，日益普及的開源軟件推動著業務發展，同時也存在無法進行有效管理的困難。我們每年都在強調，開源軟件是我們今天所依賴的每個應用程序的基礎。因此，有效地識別、跟踪和管理開源代碼對於成功的軟件安全計劃至關重要。本報告提供了關鍵的建議和洞察，以幫助開源軟件的開發者和使用者，更好地了解開源生態系統以及如何對其進行負責任的管理。 下載報告 - 中文版　下載報告 - 英文版 如您想對該產品或其他相關產品做進一步的瞭解，請聯絡吉康科技 周均達, 安排進一步的說明及洽談聯絡電話：(02)29173201 分機 312 手機：0978 111 286 Email: adam@gcomtw.com

2023-03-17

無人機資安檢測啟動

看不見？請點選 網路版本 　　隨著無人機的應用增長，以前僅限於國防領域欺騙事件，於商業運營商報告的欺騙事件在過去五年中已有顯著上升，因此財團法人電信技術中心(TTC)於數位發展部的指導下，於今年3月1日在高雄科學園區總部舉辦「無人機資安聯合驗測實驗室」揭牌儀式，宣告檢測服務正式啟動。 　　「無人機資安聯合驗測實驗室」將提供無人機製造商資安成熟度及無人機產品系統安全、軟體安全、通訊安全、韌體安全及晶片安全等全方位檢測服務，協助建立國內無人機資安檢測能量。針對系統安全方面，例如「駭客偽造GPS訊號，讓無人機以為仍定位在原地，但無人機實際上已經移往準備攻擊處……，因此在系統安全測試裡面特別定義了「無人機衛星定位系統強化能力及抗干擾能力測試」。 　　Spirent根據其超過35年在GNSS/GPS/GLONASS/Beiodu/Galileo/QZSS/NAVIC衛星定位導航訊號模擬測試領域上深厚的研究開發實力，並擁有與政府機構、研發單位、商業產品開發等，各大領域多元合作的經驗，Spirent針對GNSS抗強化能力(抗欺騙)及干擾功能，提供了以下測試項目： GPS導航訊號的攔截與再傳播的欺騙場景（Meaconing）。 靜態位移欺騙場景 (Static Positioning Spoofing)。 動態軌跡欺騙場景 (Trajectory Spoofing)。 衛星導航數據改動欺騙場景 (Navigation Data spoofing)。 衛星導航定位訊號干擾 (GNSS/GPS Interference testing)。 將模擬器可控訊號實時與天空訊號同步，可與真實實時天空信號搭配已進行測試抗欺騙功能 (GNSS Live sky signal Spoofing)。 測試示意圖  更多關於Spirent GNSS抗欺騙與抗干擾測試解決方案資訊 如您想對該產品或其他相關產品做進一步的瞭解，請聯絡吉康科技 黃鳳蓮, 安排進一步的說明及洽談聯絡電話：(02)29173201 分機 300 手機：0988 803 353 Email: flora@gcomtw.com

2023-03-15

拒絕受駭！美國推行「軟體物料清單」公開軟體組成

  拒絕受駭！美國推行「軟體物料清單」公開軟體組成，採購更安心 美國白宮發出行政命令，要求所有向聯邦政府出售的軟體都必須提供「軟體物料清單」（Software Bill of Materials，簡稱 SBOM）。就像是食品標籤上的成分標示，載明軟體的組成、內部模組和完整的供應鏈；更具體來說，根據美國商務部和國家電信暨資訊管理局（NTIA）的公告，合格的 SBOM 在資料欄位上，至少必須涵蓋軟體內所有成分的供應商、名稱、辨識碼、版本、彼此間依賴關係、作者等內容。(From: https://lab.ocf.tw/2021/09/02/sbom/) Building a software Bill of Materials with Black Duck Posted by Mike McGuire on Wednesday, August 3, 2022https://www.synopsys.com/blogs/software-security/building-sbom-with-black-duck/ Black Duck 的 SBOM 匯出功能可以讓使用者遵循標準、建立客戶信任、並將安全性納入其軟體供應鏈中。 保障應用程式安全是必要的一步，就算應用程式的開發經過了很多人的手，也要評估每一個組件的供應鏈。如果供應鏈中有任何隱藏的地方，就很難有信心評估應用程式所面臨的風險數量。通過建立軟件物料清單 (SBOM)，開發組織可以向自己和消費者提供關於特定應用程式風險相關信息的重要資訊。從而，他們更有能力避免並回應安全漏洞和政策違規的情況。 通過 SBOM 符合標準並建立信任 Black Duck® 通過允許用戶快速建立和導出以 SPDX 和 CycloneDX 等格式的 SBOM，使得用戶能夠更容易地保障軟件供應鏈。這些標準化的 SBOM 格式提供了符合 NIST 標準的所需信息，如行政命令 14028 中所提到的。這項行政命令旨在在政府和私營部門之間提供更多關於軟件安全的透明度。實現透明度的步驟之一是要求供應商以標準、可機器讀取的格式向產品購買者提供 SBOM。 儘管行政命令只適用於美國聯邦政府採購和運營的軟件，但我們有充分的理由期望它的某些方面，如 SBOM 要求，將成為整個軟件開發行業的事實標準。今天準備生成最準確和符合要求的 SBOM 是贏得消費者信任的重要一步。 使用 Black Duck 導出 SBOM 當用戶使用 Black Duck 掃描項目或應用程序時，他們會收到一個儀表板，顯示所有已識別的軟件組件。這個列表中包括有關每個組件的許可證和關係等詳細信息。由於 SBOM 最簡單的定義是軟件的一份成分清單，因此這個儀表板是生成此類清單的最直觀的地方。用戶只需導航到“報告”選項卡，選擇創建 SBOM 的選項，並選擇所需格式。在幾秒鐘內，項目的 SBOM 就已經創建並準備下載。 下面的截圖展示了如何使用五個簡單的步驟為示例應用程序創建 SBOM。 組件儀表板是我們的演示應用程序 Insecure Bank 的儀表板。您可以看到關於哪些依賴關係已被識別，它們如何被引入應用程序以及與它們相關的許可證的信息。看起來我們發現了一些有問題的 Log4j 版本！ 在 Black Duck 中生成 SBOM 最困難的部分是決定使用哪種 NTIA-compliant 格式。 生成的任何報告或 SBOM 都會保存在「報告」選項卡中。這有助於提供單一真實消息來源，並且更容易跟踪隨著時間推移這些 SBOM 的差異。 無論您是選擇 SPDX 還是 CycloneDX，所產生的 SBOM 都將是一個 JSON 檔案。這有助於保持標準和機器可讀性。有無數的 JSON 檢視程式可用。以下是在 Firefox 中我們產生的 SBOM 的示例，Firefox 已為我們格式化了它。在此片段中，您可以看到這些有問題的 Log4J 組件，以及類似授權的其他資訊。 如您想對該產品或其他相關產品做進一步的瞭解，請聯絡吉康科技 周均達, 安排進一步的說明及洽談 聯絡電話：(02)29173201 分機 312 手機：0978 111 286 Email: adam@gcomtw.com

2023-02-16

被發現的最大安全漏洞是什麼_Synopsys 年度報告

  被發現的最大安全漏洞是什麼? 安全漏洞快照 新思科技網路安全研究中心(CyRC)分析了2021年開展的數千項商務軟體安全測試的資料。幾乎所有的測試都是侵入性的“黑盒”和“灰盒”測試，包括： 滲透(pen)測試。 動態應用安全測試。 移動應用安全測試。 下載該報告，瞭解哪些漏洞 — 如跨站腳本、遠端代碼執行、SQL注入和點擊劫持等 — 在商務軟體中最常見，以及為何說僅依賴自動化測試會將企業暴露在網路攻擊和資料洩露風險之中。 代表的行業 該報告涵蓋了16個垂直行業，包括軟體和互聯網、金融服務、保險、商業服務、製造業、媒體和娛樂、零售和醫療保健等。 包含的測試 本次分析活動所執行的應用安全(AppSec)測試包括滲透測試、動態應用安全測試和移動應用安全測試，所有這些測試都是為了像真實駭客那樣探測正在運行的應用。 關鍵結果 該報告清楚地解釋了為何說開展AppSec全方位測試對於管理軟體風險至關重要。雖然靜態應用安全測試(SAST)等“白盒”工具可以在軟體發展生命週期的早期揭示安全問題，但卻無法發現運行時的安全性漏洞。同樣，一些漏洞無法被自動化工具檢測到，需要手動監測才能發現。在CyRC開展的大約4,400次測試中   95%暴露了安全性漏洞 25%暴露了嚴重或重大安全性漏洞 78%的安全性漏洞屬於十大安全性漏洞(OWASP Top 10) 測試報告英文版　　 測試報告中文版 如您想對該產品或其他相關產品做進一步的瞭解，請聯絡吉康科技 周均達, 安排進一步的說明及洽談聯絡電話：(02)29173201 分機 312 手機：0978 111 286 Email: adam@gcomtw.com

2022-12-27
上一頁   1  2  3  4  5  6  7  8  9  10   下一頁