تنوع لغات البرمجة يثير مخاوف أمنية في تطوير البرمجيات

في تقريرها الأخير «حالة سلسلة التوريد البرمجية لعام 2024»، كشفت شركة JFrog، وهي شركة رائدة في مجال توفير منصات سلسلة التوريد البرمجية، عن رؤى رئيسية حول مشهد الصناعة. يجمع التقرير، الذي صدر في 19 مارس، بين البيانات من أكثر من 7000 مؤسسة تستخدم JFrog Artifactory، وتحليل CVE الأصلي من قبل فريق البحث الأمني في JFrog، واستبيان شامل لـ 1200 محترف في مجال التكنولوجيا حول العالم.

الذكاء الاصطناعي وتعلم الآلة في مجال الأمن

يؤكد تقرير JFrog على الاستخدام الواسع لأدوات الذكاء الاصطناعي وتعلم الآلة (ML) لتعزيز تدابير الأمن ضمن سلسلة التوريد البرمجية. ووفقاً للنتائج، استخدم 90% من المستجيبين أدوات مدعومة بالذكاء الاصطناعي/تعلم الآلة لمساعدة عمليات الفحص الأمني ومعالجتها. ومع ذلك، يظل اعتماد الذكاء الاصطناعي التوليدي لكتابة الكود منخفضاً نسبياً، حيث أشار فقط 32% من المحترفين الذين شملهم الاستبيان إلى استخدامه داخل مؤسساتهم.

يشير التباين بين اعتماد الذكاء الاصطناعي/تعلم الآلة للأمن مقابل توليد الكود إلى وجود حذر سائد بين المطورين بشأن الثغرات الأمنية المحتملة الكامنة في الكود المولد بالذكاء الاصطناعي. ويؤكد هذا النهج الحذر على التوازن الحاسم بين الابتكار والأمن ضمن تطوير البرمجيات المؤسسية.

ممارسات الأمن والتحديات

يُسلط التقرير الضوء على ممارسات الأمن المتطورة والتحديات التي تواجهها المؤسسات. ومن الملاحظ أن ما يقرب من نصف المستجيبين (47%) أفادوا باستخدامهم لأربع إلى تسع حلول لأمن التطبيقات، بينما كشف ثلثهم عن استخدامهم لـ 10 حلول أو أكثر. ومع ذلك، وعلى الرغم من هذه الإجراءات الاستباقية، فإن مخاوف الأمن تؤثر بشكل كبير على الإنتاجية.

أشار ما يقرب من 40% من المشاركين في الاستبيان إلى أن الحصول على موافقة لاستخدام حزم أو مكتبات جديدة يستغرق عادةً أسبوعاً أو أكثر، مما يسلط الضوء على العقبات البيروقراطية التي تعيق ممارسات التطوير الرشيقة. وعلاوة على ذلك، يخصص فرق الأمن حوالي 25% من وقتها لمعالجة الثغرات الأمنية، مما يؤكد الطبيعة كثيفة الموارد للحفاظ على سلامة البرمجيات.

تحليل CVE وتنوع لغات البرمجة

كشف تحليل للثغرات الشائعة والكشف عنها (CVE) الذي أجراه فريق البحث الأمني في JFrog عن رؤى مثيرة للاهتمام. برزت هجمات حجب الخدمة (DoS) كقناة تهديد سائدة، حيث تشكل ما يقرب من نصف (48.9%) من CVEs محل التحليل احتمالاً لهجمات من هذا النوع. في المقابل، أظهرت فقط 18.9% من CVEs احتمال تنفيذ الكود عن بُعد، وهو نتيجة مواتية نظراً للأثر الأكثر خطورة المحتمل للثاني.

علاوة على ذلك، يسلط التقرير الضوء على الطبيعة الدقيقة لخطورة CVEs، حيث قام فريق البحث الأمني في JFrog بخفض خطورة 85% من CVEs الحرجة و73% من CVEs عالية الخطورة في المتوسط بعد التحليل. ويؤكد هذا على أهمية التقييمات الشاملة للثغرات الأمنية واستراتيجيات التخفيف في حماية سلامة البرمجيات.

علاوة على ذلك، يؤكد التقرير على زيادة تعقيد بيئات تطوير البرمجيات، حيث تستخدم أكثر من نصف (53%) من المؤسسات أربعاً إلى تسع لغات برمجة. بالإضافة إلى ذلك، أفادت 31% من المؤسسات التي شملها الاستبيان باستخدامها لأكثر من 10 لغات برمجة، مما يعكس المناظر التكنولوجية المتنوعة السائدة في تطوير البرمجيات الحديثة.

يوفر تقرير JFrog «حالة سلسلة التوريد البرمجية لعام 2024» نظرة شاملة حول الاتجاهات والتحديات السائدة التي تشكل مشهد سلسلة التوريد البرمجية. يؤكد التبني الواسع لأدوات الأمان المدعومة بـ الذكاء الاصطناعي وتعلم الآلة التزام الصناعة بتحسين تدابير الأمن السيبراني. ومع ذلك، فإن النهج الحذر تجاه الكود المولد بالذكاء الاصطناعي يسلط الضوء على الحوار المستمر حول تقاطع الابتكار والأمن.

بينما تتنقل المؤسسات في مشهد التهديدات المتطور وتتبنى لغات برمجة متنوعة، تظل ممارسات الأمن الاستباقية وأطر إدارة الثغرات الأمنية القوية أمراً بالغ الأهمية. ومن خلال معالجة هذه التحديات بشكل شامل، يمكن للمؤسسات تحصين سلاسل توريد البرمجيات الخاصة بها وتخفيف المخاطر بفعالية في عالم يزداد رقمنة.