浅谈软件供应链安全治理与DevSecOps落地实践

01 背景介绍

近几年，供应链安全事件频发，给安全行业带来了巨大影响，包括大家熟知的log4j远程代码执行漏洞等。Gartner表示，现代软件大多数是被“组装”出来的，不是被“开发”出来的，在软件开发过程中，大量代码来源于开源代码或开源组件，且大量开源组件被复用。

此外，据Sonatype《2021年开源安全和风险分析》报告显示，98%的代码库包含开源代码，全球开放源代码供应年环比增长20%，开发者下载的开源组件同比增长73%。《开源产业白皮书》显示，67%的代码库包含某种形式的开源代码许可证冲突，33%的代码库包含没有可识别许可证的开源组件。

02 开源组件发展现状与趋势

相关报告显示，2021 年 Gitee 上托管的代码仓库超过了 2000 万，Gitee ⽤户总量超过 800 万。开源组织数量已超过了 25 万个，OpenHarmony 作为国内话题性最高的国产开源项目，在 2021 年也获得了广泛关注，随着 OpenHarmony 2.0 的发布，其受关注再创新高，OpenHarmony 组织的关注总数也超过了 3 万。

Java 作为国内目前应用最广泛的语言，在 2021 年仍保持着强大的竞争力，仓库数量在极高存量的情况下仍有不错的增长态势，使用 Java 的仓库数量占比超越了 2020 年的 37%，此外js代码仓库数量超越了2020年的43%而在开源软件漏洞方面，整体呈增长趋势，2020 年增长率略有下降。CVE 官方未收录的开源软件漏洞数逐年递增，且在近 4 年，高危及以上开源漏洞占比均超 40%。同时，开源组件生态中的漏洞数呈上涨趋势，2020 年环比增长 40%。