工人日?qǐng)?bào)-中工網(wǎng)記者 車輝
7月18日， 由綠盟科技承辦的“2022中國(guó)網(wǎng)絡(luò)空間新型技術(shù)安全創(chuàng)新論壇-云安全分論壇”召開(kāi)。會(huì)上，綠盟科技發(fā)布《軟件供應(yīng)鏈安全技術(shù)白皮書》（以下簡(jiǎn)稱“白皮書”），對(duì)推動(dòng)國(guó)內(nèi)軟件供應(yīng)鏈生態(tài)建設(shè)具有重要意義。
信息和通信技術(shù)（ICT）產(chǎn)業(yè)鏈承擔(dān)著我國(guó)產(chǎn)業(yè)從工業(yè)化向數(shù)字化轉(zhuǎn)型升級(jí)的重要任務(wù)，軟件供應(yīng)鏈作為ICT供應(yīng)鏈的重要組成部分，是各類關(guān)鍵信息基礎(chǔ)設(shè)施平穩(wěn)運(yùn)行的基礎(chǔ)，其關(guān)鍵組件的設(shè)計(jì)、開(kāi)發(fā)、部署、監(jiān)控和持續(xù)運(yùn)營(yíng)等生命周期核心環(huán)節(jié)的安全可控，成為網(wǎng)絡(luò)安全的關(guān)鍵考量因素。
在此次大會(huì)上，綠盟科技集團(tuán)天元實(shí)驗(yàn)室高級(jí)研究員陳靜發(fā)表演講，她表示從近幾年的軟件供應(yīng)鏈攻擊事件來(lái)看，利用開(kāi)源社區(qū)、公共開(kāi)源存儲(chǔ)倉(cāng)庫(kù)等開(kāi)源軟件生態(tài)入侵事件較為嚴(yán)重。因此需要從監(jiān)管層面加強(qiáng)供應(yīng)鏈產(chǎn)品安全認(rèn)證管理，提供企業(yè)軟件SBOM托管和可信認(rèn)證服務(wù)，企業(yè)也需要完善供應(yīng)鏈資產(chǎn)管理和安全檢查，借助SBOM知識(shí)圖譜理清企業(yè)供應(yīng)鏈依賴關(guān)系，從而在監(jiān)測(cè)到預(yù)警時(shí)能夠從容應(yīng)對(duì)。
同時(shí)，為應(yīng)對(duì)軟件供應(yīng)鏈威脅，上游企業(yè)需要構(gòu)建自身產(chǎn)品的軟件成分清單來(lái)梳理軟件供應(yīng)鏈信息，向下游企業(yè)和用戶清晰、透明的提供管理軟件供應(yīng)鏈所需要的基礎(chǔ)條件。軟件成分清單依據(jù)識(shí)別成分的粒度，可以分為不透明、微透明、半透明和透明幾個(gè)階段。透明程度高的軟件成分清單，能顯著提升最終用戶進(jìn)行軟件供應(yīng)鏈安全評(píng)估的準(zhǔn)確性。
此外，陳靜對(duì)企業(yè)供應(yīng)鏈上下游關(guān)系做了進(jìn)一步闡述，她表示，在軟件開(kāi)發(fā)生命周期中，開(kāi)發(fā)階段漏洞的引入不止在代碼編寫階段，還有所依賴的開(kāi)源組件、開(kāi)發(fā)和構(gòu)建工具等，依照軟件的開(kāi)發(fā)和構(gòu)建過(guò)程，企業(yè)需要建設(shè)開(kāi)發(fā)過(guò)程安全評(píng)估能力。在軟件交付階段，作為供應(yīng)商，除保證交付軟件安全外，也應(yīng)將軟件成分清單一并交付給下游企業(yè)，促使整個(gè)軟件供應(yīng)鏈的上下游都具備依據(jù)安全通報(bào)、威脅情報(bào)監(jiān)控等第三方信息能夠分析、評(píng)估軟件供應(yīng)鏈安全的基本條件。供應(yīng)鏈軟件產(chǎn)品交付運(yùn)行后，供應(yīng)商應(yīng)在產(chǎn)品的生命周期內(nèi)提供安全保障服務(wù)，對(duì)產(chǎn)品漏洞及時(shí)修復(fù)，最終用戶也應(yīng)根據(jù)供應(yīng)商所提供的軟件成分清單納入企業(yè)資產(chǎn)管理范圍，定期對(duì)資產(chǎn)進(jìn)行安全評(píng)估，結(jié)合漏洞預(yù)警，對(duì)受影響的產(chǎn)品進(jìn)行加固和修復(fù)。
在技術(shù)不斷迭代與產(chǎn)業(yè)高速發(fā)展中，軟件供應(yīng)鏈逐漸形成了包含技術(shù)體系、多元產(chǎn)品組件及各路開(kāi)發(fā)者、供應(yīng)者與消費(fèi)者為一體的龐大產(chǎn)業(yè)生態(tài)，軟件供應(yīng)鏈安全將直接影響關(guān)鍵基礎(chǔ)設(shè)施和數(shù)字經(jīng)濟(jì)安全。作為中國(guó)可信安全生態(tài)建設(shè)的積極參與者，綠盟科技推出軟件供應(yīng)鏈技術(shù)安全白皮書，旨在從軟件供應(yīng)鏈安全威脅與國(guó)內(nèi)外形勢(shì)來(lái)梳理軟件供應(yīng)鏈中存在的安全問(wèn)題，提煉出軟件供應(yīng)鏈安全治理的核心理念、技術(shù)框架、關(guān)鍵技術(shù)，并從供應(yīng)鏈安全監(jiān)管和控制方面給出解決方案和最佳實(shí)踐，期望為讀者帶來(lái)全新的技術(shù)思考，助力我國(guó)軟件產(chǎn)業(yè)發(fā)展。
