8、软件供应链安全：源代码、构建与部署管理

软件供应链安全：源代码、构建与部署管理

1. 软件供应链安全核心与风险

软件供应链安全的核心在于产品或应用本身的完整性。从代码编写的那一刻起，直至交付，都存在被攻击的风险，如代码被篡改或注入、恶意软件入侵、编码质量差、构建实践薄弱以及未经验证的部署等。像SolarWinds和Codecov这样的知名软件供应链攻击事件，不仅基础设施被攻破，攻击者还通过篡改应用程序，得以访问众多客户组织。如今，行业开始着重改进源代码、构建和部署流程。

2. 源代码类型及风险

不同类型的源代码具有不同特点和风险，组织应确定源代码的数据分类，例如开源代码可能为公开数据，而专有代码可能为机密数据。
- 开源代码（OSS）
- 特点与风险 ：任何人都可编写并在特定许可下分发。Synopsys审计显示，2022年2400个代码库中78%为开源代码。开源代码虽能带来创新并减少开发和测试时间，但存在诸多风险，如代码可能包含后门、恶意链接、逻辑炸弹和故意缺陷，且并非所有公共存储库中的代码都安全。
- 降低风险措施 ：
- 使用工具 ：可使用软件组合和代码分析工具，还可利用免费的OpenSSF Scorecard检查漏洞、依赖项、维护情况等，并获取修复建议；参考OpenSSF的“Concise Guide for Evaluating Open Source Software”评估开源软件。
- 审查代码 ：进行逐行手动代码审查是最安全的方法，但因代码量可能巨大，此方法很少实施