Разнообразие языков программирования вызывает опасения по поводу безопасности в разработке программного обеспечения
- ИИ усиливает безопасность, но разработчики опасаются кода, созданного ИИ.
- Практики безопасности развиваются, однако бюрократические препятствия сохраняются.
- Анализ уязвимостей выявляет угрозы DoS на фоне сложности языков.
В своем недавно опубликованном отчете «Software Supply Chain State of the Union 2024» JFrog, ведущий поставщик платформы цепочки поставок программного обеспечения, раскрыл ключевые идеи о ландшафте отрасли. Отчет, выпущенный 19 марта, объединяет данные более чем от 7000 организаций, использующих JFrog Artifactory, оригинальный анализ CVE командой исследований безопасности JFrog и всеобъемлющий опрос 1200 технологических специалистов по всему миру.
ИИ и машинное обучение в безопасности
Отчет JFrog подчеркивает повсеместное использование инструментов ИИ и машинного обучения (ML) для укрепления мер безопасности в цепочке поставок программного обеспечения. Согласно выводам, 90% респондентов использовали инструменты на базе ИИ/ML для помощи в сканировании безопасности и устранении уязвимостей. Однако внедрение генеративного ИИ для написания кода остается относительно низким, только 32% опрошенных специалистов указали на его использование в своих организациях.
Разрыв между внедрением ИИ/ML для безопасности и генерацией кода предполагает преобладающую осторожность среди разработчиков относительно потенциальных уязвимостей, присущих коду, сгенерированному ИИ. Этот осторожный подход подчеркивает критический баланс между инновациями и безопасностью в корпоративной разработке программного обеспечения.
Практики безопасности и проблемы
Отчет проливает свет на эволюционирующие практики безопасности и проблемы, с которыми сталкиваются организации. Примечательно, что почти половина респондентов (47%) сообщили о использовании четырех-девяти решений для безопасности приложений, в то время как треть раскрыла использование 10 или более таких решений. Однако, несмотря на эти проактивные меры, проблемы безопасности значительно влияют на производительность.
Примерно 40% участников опроса указали, что получение разрешения на использование новых пакетов или библиотек обычно занимает неделю или больше, что подчеркивает бюрократические барьеры, препятствующие внедрению гибких практик разработки. Кроме того, команды безопасности тратят около 25% своего времени на устранение уязвимостей, что свидетельствует о высокой ресурсоемкости поддержания целостности программного обеспечения.
Анализ CVE и разнообразие языков программирования
Анализ общих уязвимостей и эксплойтов (CVE), проведенный командой исследователей безопасности JFrog, выявил интересные закономерности. Атаки типа «отказ в обслуживании» (DoS) оказались основным вектором угроз: почти половина (48,9%) проанализированных CVE потенциально позволяла реализовать такие атаки. Напротив, лишь 18,9% CVE содержали потенциал для удаленного выполнения кода, что является благоприятным признаком, учитывая потенциально более серьезные последствия последнего.
Кроме того, в отчете подчеркивается сложность классификации серьезности CVE: команда исследователей безопасности JFrog в среднем снизила уровень серьезности 85% критических CVE и 73% уязвимостей высокого уровня после проведения анализа. Это подчеркивает важность комплексных оценок уязвимостей и стратегий смягчения последствий для защиты целостности программного обеспечения.
Кроме того, отчет подчеркивает растущую сложность сред разработки программного обеспечения: более половины (53%) организаций используют от четырех до девяти языков программирования. Кроме того, 31% опрошенных организаций сообщили об использовании более 10 языков программирования, что отражает разнообразие технологических ландшафтов, характерных для современной разработки программного обеспечения.
Отчет JFrog «Software Supply Chain State of the Union 2024» предоставляет всеобъемлющий обзор преобладающих тенденций и проблем, формирующих ландшафт цепочки поставок программного обеспечения. Широкое внедрение ИИ и инструментов безопасности на базе машинного обучения подчеркивает приверженность отрасли улучшению мер кибербезопасности. Однако осторожный подход к коду, сгенерированному ИИ, подчеркивает продолжающийся диалог вокруг пересечения инноваций и безопасности.
По мере того как организации осваивают меняющийся ландшафт угроз и внедряют разнообразные языки программирования, проактивные практики безопасности и надежные системы управления уязвимостями остаются первостепенными. Решая эти проблемы комплексно, организации могут укрепить свои цепочки поставок программного обеспечения и эффективно снижать риски в мире, все больше цифровизирующемся.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Джеймс Киноти
Энтузиаст криптовалют Джеймс получает удовольствие от обмена знаниями в области финтеха, криптовалют, блокчейна и передовых технологий. Его главная страсть — новейшие инновации в криптоиндустрии, криптогейминг, искусственный интеллект, технологии блокчейна и другие смежные направления. Его миссия: быть в курсе трансформационных приложений в различных отраслях.
