软件包分析项目实时检查开源仓库中的包
创始人
2024-03-02 11:09:51
0次
开源安全基金会（OpenSSF）发布了一个新工具的测试版，它可以对发布到著名开源仓库的所有软件包进行动态分析。软件包分析项目试图通过识别任何恶意行为并警告用户来保护开源软件包，目的是增强对开源软件的信任并加强软件供应链的安全性。
OpenSSF 说：“软件包分析项目旨在了解开源仓库上可用软件包的行为和功能：它们访问哪些文件，它们连接到哪些地址，以及它们运行哪些命令？”
该基金会的 Caleb Brown 和 David A. Wheeler 补充说：“该项目还跟踪软件包随时间的行为变化，以确定以前安全的软件何时开始出现可疑行为。”
该程序在为期一个月的测试运行中发现了 200 多个发布到 PyPI 和 NPM 的恶意软件包，其中大多数流氓库依赖于依赖混淆和仿冒攻击。谷歌是 OpenSSF 的成员，它支持软件包分析计划，强调“在发布软件包之前审查软件包以确保用户安全”的重要性。
去年，该公司的开源安全团队提出了软件工件的供应链级别（SLSA）架构，以验证软件包的完整性并防止未经授权的更改。这一发展是在开源生态系统越来越多地被武器化，用加密货币矿工和数据窃贼等恶意软件攻击开发者的情况下进行的。
作者：Laveesh Kocher 选题：lkxed 译者：geekpi 校对：wxy
相关内容
热门资讯
“Linux 中国” 开源社区...
这是一个艰难的决定 —— 这不是调侃，而是当你真正做出改变了你十几年生活轨迹的决定时，你就会明白这个...
硬核观察 #1263 德国铁路...
#1 德国铁路公司招聘 Windows for Workgroups 3.11 管理员该职位要求了解...
人工智能教程（七）：Sciki...
在本系列的 上一篇文章 中，我们用 TensorFlow 构建了第一个神经网络，然后还通过 Kera...
关闭 WSL 中正在运行的 L...
以下是使用 WSL 关闭在 Windows 内运行的 Linux 系统的不同方法。你使用 WSL 在...
MX Linux 23.2 “...
最新的 MX Linux 23.2 小版本更新带来了基本的改进和新增功能。MX Linux 推出了 ...
硬核观察 #1262 网络上最...
#1 网络上最古老的软件存档库之一即将关闭美国新墨西哥州立大学（NMSU）最近宣布，即将于 2024...
如何在 RHEL 上通过绑定配...
在 Linux 中，你可以根据自己的需要创建高级网络设置，如 网络绑定 Network Bondin...
Linux Matrix 消息...
Matrix 用户可以升级 Fractal 6 了！Fractal 是目前 最好的 Matrix 客...
如何通过 VLC 使用字幕
使用 VLC 媒体播放器播放和管理字幕的新手指南。我是一个超级动漫迷，如果你想观看最新的剧集，那么你...
硬核观察 #1261 X 计划...
#1 X 计划在奥斯汀建立内容审核总部据报道，该部门将招聘 100 名全职员工，将主要关注 CSE ...