美官方为软件供应商提出供应链安全指南
我要评论10月31日 ，美官美国国家安全局（NSA） 、软件网络安全及基础设施安全局（CISA） 、商提国家情报总监办公室（ODNI）携手发布了保护软件供应链的出供实操指南 。该指南内容总共有40页，应链主要提及了软件供应商在供应链中所需要承担的安全责任和改进方法 。指南中提及的指南供应商主要责任包括：
第一，努力识别可能危及组织 、美官软件开发 、软件软件本身和软件交付（即内部部署或SaaS）环境的商提威胁 ，并实施相关的出供缓解措施；第二 ，作为客户和软件开发团队之间的源码库应链联络人 ，需要确保软件在安全环境下开发 ，安全并通过安全渠道交付；第三 ，指南供应商通过合同协议、美官软件发布和更新 、通知和漏洞缓解机制来提供所交付的软件额外的安全功能 。对于软件供应链的安全实践 ，NSA 、CISA与ODNI有着一系列的规划 ，相关规划落实在由NSA及CISA所主导的政企工作小组所开发的“长期安全框架”（Enduring Security Framework，服务器租用ESF）之中 。这一框架将产出指导美国重大网络基础设施的安全指南 ，针对软件供应链总计有3部分 ：首先是今年9月发布、锁定软件开发者的《Securing the Software Supply Chain for Developers》 ，10月31日发布的指南适用于软件供应商 ，下一步则会发布针对软件供应链客户使用者的版本 。
该指南针对软件供应商的供应链安全提出了非常多的建议 ，现将主要要点如下概述 ：
第一 ，该指南敦促软件供应商在软件收发供货过程中保证供应链安全 。模板下载供应商有义务做到确认发货的软件与客户收到的软件是一样的；需要创建一个安全的哈希值来验证文件是否传送正确；需要确保软件传输通信渠道是安全的 。需要通过利用国际公认的标准（如NIST SSDF）对软件进行最终检查 ，这有助于确保在软件发布前满足软件功能和安全要求 。
第二 ，该指南认为供应商应提供一种机制 ，通过在整个软件生命周期内对代码进行数字签名 ，来验证软件发布的云计算完整性 。经过数字签名的代码 ，使代码接收者以及客户能够积极地验证和信任代码的来源和完整性 。
第三 ，该指南要求供应商必须确保本地开发的软件和由第三方供应商提供的任何组件都需要符合安全要求 。由于第三方提供的软件和模块通常会包含在供应商发布的软件产品中 ，为此 ，供应商可以通过召集专家评估第三方提供的软件是否符合适用的香港云服务器安全要求 、与第三方软件提供者签订合同协议来解决潜在的第三方软件问题 。
第四 ，该指南认为供应商应尽一切努力 ，确保提供给客户的任何软件中不存在公开的或容易识别的漏洞。在向客户提供软件之前，需要测试 、了解和消除软件中的漏洞 ，以防止提供容易被破坏的代码 。需要建立一个由架构师 、源码下载开发 、测试人员、密码学家和人为因素工程师组成的漏洞评估小组 ，其任务是识别软件中可利用的弱点 。需实时检查与第三方软件和与软件相关的开放源码组件相关的软件物料清单（SBOM） 。在相关问题公布后 ，建立并遵循企业对嵌入式组件升级的指导 。
该指南下载地址 ：https://media.defense.gov/2022/Oct/31/2003105368/-1/-1/0/SECURING_THE_SOFTWARE_SUPPLY_CHAIN_SUPPLIERS.PDF
相关文章
趋势科技Trend Micro）的研究人员称他们发现了最新的威胁，被称为 “HavanaCrypt”，这是一个赎金软件包，该恶意软件使用开源的.NET混淆器Obfuscar编写，并将自身伪装成谷歌软件2025-12-07
mpv easy player是一款轻便且提供高清播放页面的音视频播放器，一些小伙伴平时喜欢将一些有趣且精彩的视频下载收藏到电脑中进行存放，那么当你需要播放这些视频的时候，我们就2025-12-07
如何解决惠普电脑网络错误无法开机的问题（网络错误导致惠普电脑无法正常启动，快速排除故障的方法）
随着科技的发展，电脑已经成为我们生活中不可或缺的工具之一。然而，有时候我们可能会遇到一些问题，比如惠普电脑因网络错误而无法正常开机。这种情况下，我们需要了解一些快速排除故障的方法，以便能够尽快恢复电脑2025-12-07
potplayer播放器为我们播放视频提供了很多的便利，我们可以通过该播放器进行视频链接的播放，导入音视频文件进行播放，也可以随时更改播放方式和播放的速度，或者是进行关联对象的设置，一些小伙伴想要在p2025-12-07
根据IBM的年度《数据泄露成本报告》，数据泄露的平均成本已上升至488万美元。这意味着，与网络入侵相关的成本同比增长了10%，创下自疫情开始以来最大的涨幅。70%的受泄露组织报告称，数据泄露造成了重大2025-12-07
2345好压是一款压缩软件，可以对各种大文件进行压缩设置，或者是对一些下载的软件程序进行解压等操作，在2345好压中进行文件的压缩的非常快速的，当你需要对指定的文件进行压缩的时候，那么就可以直接将该文2025-12-07
最新评论