敏捷开发中的开源安全治理.pdfVIP

敏捷开发 中的开源安全治理 开 源 安 全 治 理 的探 索 与 实 践 如何做 开 源 安 全 治 理 的思 路 开源安全治理 的价值 • DevOps成熟度依赖低 • 误报低、效率高、易自动化 • 较高的威胁确定性 • 投入产出比可观 • 足够的威胁震撼性 开源安全治理所需能力 研发资产中开源软件及漏洞的识别能力 • 开源识别：对于给定的配置库、制品库或代码包 ，能 够通过技术手段 ，快速、准确的识别其中的开源软件及 其版本 • 漏洞识别：对于识别出的开源软件 ，能够关联并分析 该开源软件存在的漏洞信息 • 开源认证：提供资产软件与官方软件一致性认证能力 ， 避免软件被篡改 ，确保资产及工具链的安全性 开源软