| Разработчики: | Лаборатория Касперского (Kaspersky) |
| Дата премьеры системы: | декабрь 2022 г |
| Отрасли: | Информационные технологии |
2023: Интеграция с CodeScoring
«Лаборатория Касперского» и компания Profiscope заявили об интеграции: сервис данных об уязвимостях Kaspersky Open Source Software Threats Data Feed теперь доступен пользователям CodeScoring. Об этом Web Control (Вэб Контрол ДК) сообщил 18 октября 2023 года.
Kaspersky Open Source Software Threats Data Feed поставляет данные, которых нет в публичных базах уязвимостей. Речь идет в том числе о компонентах с недекларируемыми возможностями, например, отображающими нежелательную информацию, обусловленную геополитикой, и пакетах, содержащих небезопасное ПО, такое как криптомайнеры или вредоносные инструменты. Информация доставляется заказчику в формате JSON.
CodeScoring представляет собой инструмент для использования этих данных: он автоматизирует проверку компонентов с открытым исходным кодом и предоставляет разработчикам результаты анализа.
Использование готовых пакетов при разработке — общепринятая практика, которая позволяет экономить время на создании программного обеспечения. Однако важно помнить о рисках атак на цепочку поставок, которые особенно возросли в 2022 году, когда были обнаружены множество скомпрометированных и вредоносных пакетов в популярных репозиториях. Компаниям важно проверять сторонние компоненты, чтобы снизить риски их использования. Оценка рисков безопасности при использовании open source осуществляется, как правило, посредством SCA-систем, которые собирают открытую информацию из международных баз данных уязвимостей.
CodeScoring — российское OSA/SCA-решение, которое обеспечивает безопасность использования Open Source-компонентов и защиту цепочки поставки на всех этапах жизненного цикла ПО. Решение позволяет собирать и управлять информацией об используемых компонентах с открытым исходным кодом и отслеживать риски безопасности, а также лицензионные и операционные риски в соответствии с настроенными политиками. До интеграции в решении CodeScoring использовались сведения об уязвимостях из 15 экосистемных баз уязвимостей, таких как, например, NIST National Vulnerability Database (NVD), GitHub Security Advisory (GHSA), Open Source Vulnerabilities (OSV) и Sonatype OSSIndex. Интеграция с «Лабораторией Касперского» дает возможность получать больше информации об открытых пакетах и настраивать более эффективные политики безопасности.
На октябрь 2023 года Kaspersky Open Source Software Threats Data Feed содержит информацию примерно о 42 тысячах уязвимостях в более чем 10 тысячах пакетов, и 11 тысячах вредоносных или содержащих потенциально опасные хакерские утилиты пакетов с открытым исходным кодом, которые размещены в популярных репозиториях. Фид содержит информацию о вредоносных и уязвимых пакетах, которые были обнаружены в популярных репозиториях. При этом вредоносные компоненты чаще всего встречались в репозиториях Npm и PyPi.
 | Безопасность пользователей – приоритет для нашей компании. В последнее время бизнес активно внедряет решения, при разработке которых использовалось ПО с открытым исходным кодом. Мы признательны Profiscope за интеграцию нашего сервиса в решение CodeScoring. В результате пользователи получили полнофункциональное решение композиционного анализа, усиленное 25-летней экспертизой "Лаборатории Касперского" в области кибербезопасности. Это оказывает позитивное влияние на повышение уровня защищенности продуктов и систем заказчиков, — подчеркнул Олег Шабуров, менеджер по развитию бизнеса Kaspersky Threat Intelligence. |  |
| | Сотрудничество с "Лабораторией Касперского" — серьезный шаг для нашего общего дела в сфере отечественной кибербезопасности, — отметил Алексей Смирнов, основатель и генеральный директор Profiscope. — «Лаборатория Касперского» обладает глубокой экспертизой в выявлении вредоносных программ и работе с уязвимыми компонентами. Наша интеграция дает разработчикам исчерпывающую информацию о безопасности Open Source-компонентов, важную для российских компаний особенно в сложных условиях. Она позволяет усилить механизмы защиты цепочки поставки от попадания вредоносных компонентов в контур разработки, предоставлять дополнительную информацию по уязвимым компонентам нашим клиентам и в конечном счете создавать безопасные ИТ-продукты, укрепляющие национальный технологический суверенитет. | |
2022: Анонс продукта
В декабре 2022 года «Лаборатория Касперского» представила бесплатный сервис для выявления закладок в программном обеспечении с открытым исходным кодом. В компании утверждают, что это первая в своем роде платформа в России. Она получила название Kaspersky Open Source Software Threats Data Feed.
Разработчики часто используют готовые пакеты с открытым исходным кодом при выполнении своих задач. Существует несколько крупных репозиториев, где специалисты могут найти подходящий под свой проект компонент. Однако в подобных пакетах могут содержаться случайные или намеренные уязвимости, а также вредоносный код. Более того, иногда создатели пакета намеренно приводят исполняемый код программы к виду, сохраняющему её фун
С потоком данных Kaspersky Open Source Software Threats Data Feed разработчики смогут избежать уязвимых и скомпрометированных пакетов. Это в том числе пакеты, которые содержат политические лозунги либо изменяют свою функциональность в определённых регионах (например, блокируют функциональность в РФ). Фид предоставляется в формате JSON.
К декабрю 2022 года в Kaspersky Open Source Software Threats Data Feed уже содержится информация примерно о трёх тысячах уязвимых и вредоносных пакетов, размещённых в популярных репозиториях. В десятках пакетов были зафиксированы недекларированные возможности, в том числе отображение нежелательной информации политической направленности. Некоторые из скомпрометированных компонентов были загружены пользователями десятки тысяч раз. По данным «Лаборатории Касперского», среди уязвимостей, обнаруженных в Open Source пакетах, около 35% имеют высокий уровень опасности (High) и около 10% — критический (Critical).
