Öppen källkods sårbarhetsindex som innehåller 140 000 sårbarheter lanserades av Sonatype

Sonatype. Affärstråd

Sonatype arbetar med principerna om bättre, säkrare och snabbare leverans med automatisering av mjukvaruförsörjningskedjan. Företaget förvärvade OSS Index förra året och har nu lanserat en automatiserad och omdesignad Open Source Software Index som ger utvecklare information om OSS-beroenden och sårbarheter för mer informerad produktutveckling. Som förklarats av företagets grundare och CTO, Brian Fox, ger den senaste utgåvan upp företagets ansträngningar för att ge utvecklare grundläggande resurser för att säkerställa att deras produkter är värd för starka säkerhetssystem som tål kända sårbarheter som öppen källkodsplattform vara mycket oförlåtlig i denna fråga. Denna nya lansering lovar ett renare gränssnitt samt lättförståelig och noggrant verifierad information.

Sonatype's OSS Index hämtar information från offentligt publicerade och utvärderade sårbarheter, värd 2,6 miljoner paket och detaljer om 140 000 kända öppen källkodssårbarheter. Den stöder sju språk vid lanseringen, med stöd snart. Dessa språk är: Bower (JavaScript), PHP, Maven / Gradle (Java), npm (Java Script), NuGet, Puthon, RubyGems och RPM. Indexet har ett visst format. Den visar namnområdet som är ett beskrivande namnprefix, namnet på komponenten eller paketet, dess version, andra typspecifika kvalifikationer som OS eller distro och delväg inom en komponent i förhållande till paketets rot. Paketets URls skrivs i syntaxen 'type: namespace / name @ version? Sådana detaljer hålls konsekventa i hela OSS-indexet för att säkerställa att kvaliteten på data som presenteras bibehålls.

Indexet underlättar också enkel implementering med sina många open source-verktyg, det mest framträdande är dess REST API. Övrig integrationer i indexet som Maven Enforcer plugin och OWASP Dependency Check gör databasen till ett allomfattande informationsverktyg om OSS-sårbarheter. Utöver detta tillåter indexet verktygskedjeintegration med dess inbyggda tillägg och applikationer. Den har en Audit.js-integration som granskar npm-projekt och indexet hämtar också från Sonatypes egna The Central Repository. Utöver de plattformsspecifika granskningsverktygen som tillhandahålls, är DevAudit, ett öppen källkod för multifunktionellt säkerhetsgranskningsverktyg, också tillgängligt för utvecklare att använda.