管理第三方軟件中的漏洞風險
詢問***信息官關(guān)于應用程序安全的問題，很多人都會談論在對自身產(chǎn)品的漏洞檢查方面作出的努力。
然而在很多情況下，風險并不存在于內(nèi)部開發(fā)人員所編寫的代碼中，而在外部開發(fā)人員提供的組件中，開源庫或者第三方工具包。拿WebKit舉例來說：很多公司知道瀏覽器(例如蘋果的Safari或者谷歌的Chrome)都依賴于WebKit，還有很多其他應用程序也同樣如此，例如Entourage 2008, Yahoo!Messenger和Macromedia的Contribute3等。
依賴于第三方代碼的公司將安全交給其他開發(fā)人員的手中，惠普公司企業(yè)安全產(chǎn)品副總裁Barmak Meftah。
“公司通常不會考慮到第三方軟件給他們帶來的風險，以及使用開源軟件作為其堆棧的一部分的風險，”Meftah表示，“他們假設供應商和開源開發(fā)人員在應用程序開發(fā)過程中進行了安全檢查，而事實上，這種假設是錯誤的。”
為了保護其軟件安全，企業(yè)必須弄清楚哪些代碼組件構(gòu)成了其代碼庫的一部分。***步是對開發(fā)使用的所有代碼進行檢查，漏洞管理公司Rapid7公司***安全官兼Metasploit公司總設計師HD Moore表示。
“即使開發(fā)團隊非常精通于他們的工作，并清楚他們的產(chǎn)品的樣子，可能也并不會注意到正在使用的后端庫的情況，而這在代碼審計過程中是需要涵蓋近來的，”Moore表示。
在任何代碼審計的開始，企業(yè)必須確定他們能夠評估一個軟件庫，無論是開源還是閉源。如果軟件庫是由第三方開發(fā)人員提供的，那么公司必須專注于合同用語上，包括***步獲得分析該軟件的許可，惠普公司的Meftah表示。
“我們看到在承包條款方面，越來越多的軟件開發(fā)商允許最終用戶對軟件做一些分析，”他表示。
一旦企業(yè)獲得了分析軟件的權(quán)利，開發(fā)人員和IT安全團隊需要做一個應用程序評估，并檢查軟件中存在的漏洞，無論是通過靜態(tài)分析還是通過監(jiān)測開發(fā)商的支持論壇，或者通過跟蹤軟件修改的智能服務。
然后公司就可以作出明智的決定，是否修復軟件漏洞，或者如果修復漏洞不實際的話，使用運行時分析產(chǎn)品來硬化應用程序，以防止任何對關(guān)鍵漏洞的利用。
“任何通過該組件的異常活動都將被跟蹤，”Meftah表示，“只要你硬化了軟件，你可以盡情的使用這個有漏洞的軟件。”
很多公司存在的一個問題是，軟件庫的來源可能不是單一的供應商，Veracode公司的Wysopal表示。
“你接觸的每一個第三方可能也有自己的第三方，”他表示，“所以負責這方面工作的員工應該去詢問他們的第三方供應商，他們是如何處理應用程序安全的。”
這個所謂的嵌套第三方供應鏈問題可能會隱藏軟件的真正的來源，從而使漏洞修復變得更加困難。
即使找到了某個軟件庫可能依賴的代碼組件，企業(yè)仍然需要確定漏洞修復不會破壞應用程序本身。這個過程 是十分艱巨的，但是對于使用第三方組件的公司又是很必要的，Rapid7公司的Moore表示。
【編輯推薦】
