ИТ / Новости
информбезопасность ПО
8.12.2022

В России разработали сервис для выявления закладок в ПО с открытым исходным кодом

«Лаборатория Касперского» представила новый фид — Kaspersky Open Source Software Threats Data Feed. В компании заявили, что это первый подобный сервис в России, он позволит выявлять закладки в сторонних компонентах и ПО с открытым исходным кодом. С этим сервисом компании смогут минимизировать риски использования Open Source — благодаря актуальным данным о пакетах с уязвимостями, вредоносным кодом и недекларированными возможностями.

На данный момент в новом фиде содержится информация примерно о 3 тыс. уязвимых и вредоносных пакетов, размещенных в популярных репозиториях. По данным «Лаборатории Касперского», среди уязвимостей, обнаруженных в Open Source пакетах, около 35% имеют высокий уровень опасности и около 10% — критический.

Разработчики часто используют готовые пакеты с открытым исходным кодом при выполнении своих задач, отметили аналитики. Это позволяет им фокусироваться на комплексных проектах и индивидуальных требованиях к ПО, экономить время и ресурсы при создании стандартных функций.

«Существует несколько крупных репозиториев, где специалисты могут найти подходящий под свой проект компонент. Однако в подобных пакетах могут содержаться случайные или намеренные уязвимости, а также вредоносный код. Более того, иногда создатели пакета намеренно приводят исполняемый код программы к виду, сохраняющему ее функциональность, но затрудняющему анализ, понимание алгоритмов работы и внесение изменений при декомпиляции», — заявили в компании.

С потоком данных Kaspersky Open Source Software Threats Data Feed разработчики смогут избежать уязвимых и скомпрометированных пакетов. Это в том числе пакеты, которые содержат политические лозунги либо изменяют свою функциональность в определённых регионах (например, блокируют функциональность в РФ). Фид предоставляется в формате JSON.

«Использование готовых пакетов при разработке — это общепринятая практика. Она позволяет экономить много времени при создании ПО. Однако важно помнить о возникающих рисках атак на цепочку поставок, которые особенно возросли в 2022 году, когда были обнаружены сотни скомпрометированных и вредоносных пакетов в популярных репозиториях. Чтобы снизить риски подключения уязвимых или даже вредоносных пакетов, мы предлагаем проверять их сторонние компоненты с помощью нашего решения», — сказал эксперт по кибербезопасности «Лаборатории Касперского» Денис Паринов.

Изображение: Adobe Stock

Еще по теме

Почему рынок коммерческих дата-центров нуждается в регулировании

Что ждет начинающего тестировщика в 2024 году

Как найти перспективные зарубежные рынки для российских решений

Какие угрозы несет интернет тел человечеству

Успеют ли банки заменить импортный софт и оборудование до 2025 года

Зачем компании вкладывают деньги в ИТ-состязания?

Импортозамещение и внутренняя разработка ПО в страховании

Почему рынок информационных технологий РФ возвращается к классической дистрибуции

Что сделано и не сделано в цифровизации России за 2023 год

Как заботу о вычислениях переложить на вендоров и почему не все к этому готовы

Когда российский бизнес начнет замещать импортное ИТ-оборудование

Чего добились за два года активного импортозамещения ПО

Как искусственный интеллект меняет банковскую систему РФ

Как проходит цифровая трансформация отечественного госсектора

Процесс замены иностранного софта близится к завершению – и это вызов