什么是开源审计？
开源审计是对软件应用程序中使用的所有开源组件进行的全面审查。
其主要目的是识别和评估与第三方开源代码相关的潜在许可证合规性问题、安全漏洞和操作风险。
开源审计有助于保护您的代码库和业务。它检查软件中的所有开源部分，以确保它们遵循许可证规则，不会引发法律或安全问题。
如今，大多数软件使用大量开源代码，有时高达70-90%。开源审计帮助团队了解软件中包含的内容、许可证的工作方式以及是否安全使用。
为什么开源审计很重要
开源库是加速开发和降低成本的强大工具。然而，它们也可能带来过时库、安全问题和许可证冲突等风险。
如果不进行定期审计，公司可能会在不知情的情况下：
- 使用攻击者可以利用的漏洞组件。
- 违反开源许可证（如GPL或Apache 2.0），这可能导致法律问题。
- 发布包含过时或未维护依赖项的软件
适当的开源审计帮助团队确保合规性、提高可见性并改善安全性。
开源审计如何工作
1. 清单和识别
开源审计过程扫描整个代码库，以查找所有开源库、框架和依赖项。
2. 许可证审查
每个部分的许可证，如 MIT、GPL 或 Apache 2.0，都经过检查以确保符合公司或客户的规定。
3. 安全漏洞检查
审计通过检查国家漏洞数据库 (NVD) 或 CVE 列表等公共数据库来查找安全问题。
4. 合规性和风险分析
审计总结了潜在的法律问题和安全风险，并建议缓解措施，例如：升级到更安全的版本或替换存在漏洞的特定组件。
5. 报告和补救
详细的报告将为您提供所有关于发现的信息。它将帮助您的团队决定需要修复、替换或继续使用的内容。
开源审计实例
在一次收购前审计中，一家公司发现其一款旗舰应用程序中混入了一个 GPL 许可的库，与 专有代码库混合在一起。
这构成了重大 法律合规风险，因为 GPL 要求如果分发则必须公开源代码。
审计帮助公司：
- 识别出有问题的库，
- 用 MIT 许可的替代品替换它，
- 在没有法律纠纷的情况下继续进行收购。
这个例子展示了开源审计如何保护企业免受合规问题的影响，并加强尽职调查过程中的信任。
进行开源审计的好处
- 通过检测易受攻击的库和组件来提高应用程序安全性。
- 确保许可证合规性并防止法律冲突。
- 提供对第三方使用的可见性。
- 在合作、采购或并购期间建立信任。
- 支持跨团队的治理和政策执行。
相关术语
- SCA（软件组成分析）
- CVE（常见漏洞和暴露）
- 开源许可证
- 依赖管理
- 漏洞管理
常见问题：开源审计
1. 开源审计与软件组成分析（SCA）是一样的吗？
不完全一样。SCA 工具执行持续的自动扫描，而开源审计通常是一个全面的人工审查，通常在发布或收购前进行，以进行全面验证。
2. 公司应该多久进行一次开源审计？
这取决于软件的生命周期。大多数组织在每次重大发布前或在并购或合规审查期间进行审计。
3. 开源审计使用哪些工具？
常用工具包括 Black Duck、FOSSA、Snyk 和 Plexicus ASPM，这些工具可以自动检测许可证和漏洞。
4. 如果发现许可证违规会发生什么？
公司必须要么替换组件，要么获得适当的许可证，或者如果许可证（如 GPL）要求的话，开源他们自己的代码。