Sonatype에서 시작된 140,000 개의 취약점을 포함하는 오픈 소스 취약점 인덱스

소나타 이프. 비즈니스 와이어

소나타 입 소프트웨어 공급망 자동화를 통해 더 좋고, 안전하고, 더 빠른 배송 원칙에 따라 작동합니다. 이 회사는 작년에 OSS Index를 인수했으며 이제 자동화 및 재 설계된 오픈 소스 소프트웨어 색인 보다 정보에 입각 한 제품 개발을위한 OSS 종속성 및 취약성에 대한 정보를 개발자에게 제공합니다. 이 회사의 공동 창립자이자 CTO 인 Brian Fox가 설명했듯이이 최신 릴리스는 개발자에게 기본 리소스를 제공하여 자사 제품이 오픈 소스 플랫폼이 할 수있는 것처럼 알려진 취약성을 견딜 수있는 강력한 보안 시스템에 호스트되도록하는 회사의 노력을 강화합니다. 이 문제에 대해 매우 용서하지 마십시오. 이 새로운 출시는보다 깔끔한 인터페이스와 이해하기 쉽고 철저하게 검증 된 정보를 약속합니다.

Sonatype의 OSS Index는 공개적으로 게시되고 평가 된 취약점에서 정보를 가져와 260 만 개의 패키지를 호스팅하고 14 만 개의 알려진 오픈 소스 취약점에 대한 세부 정보를 호스팅합니다. 출시시 7 개 언어를 지원하며 곧 지원 될 예정입니다. 이들 언어 Bower (JavaScript), PHP, Maven / Gradle (Java), npm (Java Script), NuGet, Puthon, RubyGems 및 RPM이 있습니다. 인덱스는 특정 형식에 따라 실행됩니다. 설명적인 이름 접두사 인 네임 스페이스, 구성 요소 또는 패키지의 이름, 버전, OS 또는 배포판과 같은 기타 유형별 한정자, 패키지 루트와 관련된 구성 요소 내의 하위 경로를 표시합니다. 패키지 UR은 'type : namespace / name @ version? qualifiers # subpath'구문으로 작성되고 pkg 체계가있는 패키지 URL은 'pkg : type / namespace / name @ version? qualifiers # subpath'구문으로 작성됩니다. 이러한 세부 사항은 제시된 데이터의 품질이 유지되도록 OSS 인덱스 전체에서 일관되게 유지됩니다.

이 색인은 또한 많은 오픈 소스 도구를 사용하여 쉽게 구현할 수 있도록 지원하며 가장 눈에 띄는 것은 REST API입니다. 다른 통합 Maven Enforcer 플러그인 및 OWASP Dependency Check와 같은 색인에서 데이터베이스는 OSS 취약성에 대한 포괄적 인 정보 도구가됩니다. 이 외에도 인덱스는 기본 확장 및 애플리케이션과의 도구 체인 통합을 허용합니다. npm 프로젝트를 감사하는 Audit.js 통합 기능이 있으며 Index는 Sonatype의 자체 The Central Repository에서 가져옵니다. 제공된 플랫폼 별 감사 도구 외에 오픈 소스 교차 플랫폼 다목적 보안 감사 도구 인 DevAudit도 개발자가 사용할 수 있습니다.