The GitHub Blog
·
确保开源供应链安全：CVE的关键作用
💡
原文英文，约2300词，阅读约需9分钟。
📝
内容提要
随着安全左移，开发者成为防御漏洞的第一道防线。开源开发者投入更多时间在安全上。GitHub通过CVE计划和安全实验室支持开源安全，帮助识别和管理漏洞。自动化工具如Dependabot协助管理和修复漏洞，提升透明度，确保软件供应链安全。
🎯
关键要点
- 随着安全左移，开发者成为防御漏洞的第一道防线。
- 开源开发者在安全方面投入的时间是几年前的三倍。
- GitHub通过CVE计划和安全实验室支持开源安全，帮助识别和管理漏洞。
- CVE是漏洞的唯一标识符，由MITRE维护，旨在识别和记录公开披露的网络安全漏洞。
- GitHub自2019年起管理两个CVE编号机构，发布了大量CVE数据。
- CVE列表是行业内重要的漏洞信息来源，支持自动化漏洞管理工具。
- 漏洞数据的增加带来了信息过载，但也提高了透明度和安全意识。
- 新类型的漏洞和其在软件供应链中的影响正在增加。
- 开源维护者在安全领域的参与度显著提高，成为重要的数据来源。
- 自动化工具如Dependabot帮助管理和修复漏洞，提升透明度，确保软件供应链安全。
- 软件材料清单(SBOM)格式帮助用户创建项目依赖的机器可读清单，降低供应链风险。
- GitHub致力于通过工具、指导和教育资源支持开源安全。
➡️
