儘管軟件供應鏈安全威脅已成為今年安全專家關注的焦點，但RapidFort和ReversingLabs的合作表明，即使沒有已知漏洞的代碼包也可能成為最大的風險。
Red Hat推出了針對應用層依賴的Lightwell；GitLab和GitHub都推出了AI服務，提供更深入的代碼掃描和軟件組成分析（SCA）；Harness繼續明確其在自動化管道安全門控方面的立場，以阻止未經驗證或不受信任的第三方工件；當然，Gartner也會列出這個領域所有有價值的供應商。
在此背景下，專門的軟件供應鏈安全專家RapidFort本週宣佈與文件安全供應商ReversingLabs建立新的合作伙伴關係，推出開源依賴庫（Open Source Dependency Libraries），這是一個包含精選和加固工具的軟件包目錄，並由獨立的第三方驗證提供支持。
開發者需要更橫向地思考供應鏈中可能脆弱的環節，並記住“當今構建中最危險的包可能具有零個常見漏洞和暴露（CVE）”。RapidFort的首席營銷官Mike Wood告訴The New Stack，他強調XZ（一個惡意後門）、Shai-Hulud、Nx、Axios（一個流行的JavaScript HTTP客户端庫）和tj-actions不僅僅是漏洞故事，而是信任鏈的失敗。Wood説：“軟件開發者不應該僅僅為了導入一個庫而成為惡意軟件分析師。這個合作為工程團隊提供了一個安全的默認選擇，使用的是他們已有的包管理器、他們依賴的開源庫，以及在這些包觸及構建管道之前的獨立驗證層。”
為了實現其所謂的嚴格的多階段加固管道服務，RapidFort的開源庫目錄由ReversingLabs進行驗證。該驗證使用“深度二進制惡意軟件檢測”，這是一種依賴神經網絡分析編譯代碼中原始可執行二進制文件結構流的技術，以識別可能與威脅相關的隱藏模式或混淆。Wood解釋説：“包管理器是為分發而構建的，而不是為信任而構建。最近的供應鏈攻擊表明，一個軟件代碼依賴可以看起來合法，安裝乾淨，但仍然竊取憑證、打開後門或污染持續集成管道。RapidFort和ReversingLabs正在將信任決策上移，以便開發者在承受爆炸半徑之前就能處理風險。”
Wood團隊表示，該領域的其他方法需要遷移到專有的包管理器、自定義操作系統發行版或特定供應商的工具鏈。而RapidFort Libraries可以與任何操作系統、任何軟件開發框架和任何應用程序包管理器配合工作，通過團隊已經使用的標準pip、Maven、npm和OS包接口。這些庫是即插即用的替代品，因此無需遷移、中斷或與專有OS發行版相關的麻煩。
Pentest Tools的首席安全研究員Matei Badanoiu告訴The New Stack，“零CVE運動”最近獲得了關注，總體而言，“這是一件好事”，但它仍然遺漏了未知漏洞。他指出，“這裏強調的失敗——XZ、Shai-Hulud、tj-actions——發生在沒有漏洞源監視的層：維護者繼任、被盜的發佈令牌、被污染的CI工作流。”他同意獨立的二進制級別驗證是對匹配清單與CVE列表的真正改進，因為它檢查了工件包含的內容，而不是關於它報告了什麼。“但需要注意的是，即使有上述比較，仍然需要有人區分有效特性、潛在的新型漏洞（有意或無意）或惡意插入的後門。XZ在5.6.0版本之前一直很乾淨。”Badanoiu補充説。
Huntress的高級安全運營分析師Michael Tigges告訴The New Stack，“有保障的開源存儲庫並不是一個新概念”，Google本身也提供自己的有保障的開源軟件（OSS）計劃。此外，像Wiz這樣的供應商為Docker等服務提供了加固/有保障的鏡像基礎。“但重要的是要注意，你仍然在信任信任，即，你不是將信任委託給開源維護者和OSS存儲庫管理員，而是委託給提供保障的組織。這並不會自動使包無惡意軟件；應該將有保障的軟件視為經過審查的發佈和審查過程。”Tigges解釋説，使用有保障軟件源的個人實際上是在為另一個組織對給定開源軟件應用程序的專家意見/檢測庫/分析付費。“在XZ後門案例中，許多用户無疑在它被嘗試納入多個發行版（包括Debian和RHEL）之前就檢查了代碼庫。這應該告訴我們，雖然我們對Google、RapidFort等審查過的包有更高的信任度，但它們也並非無懈可擊。”他同意，總的來説，有保障的開源軟件是好事。“它集中了信任，有助於將風險和責任委託給單個組織。但這樣做的代價是，補丁週期可能會變慢，或者組織本身需要達到極高的標準才能確保他們分發的軟件是安全的。”
考慮到網絡安全行業的最佳努力，以及他們對軟件供應鏈威脅和代碼依賴及服務相互依賴的認識，我們的整體軟件供應鏈將如何演變？謹慎的猜測可能表明，事情會變得更加混亂而不是更清晰，考慮到Kubernetes的興起以及惡意行為者越來越多地入侵開源組件並將威脅嵌入傳統工具無法觸及的容器鏡像深層。公平地説，RapidFort和ReversingLabs已經指出了這個問題。他們説，通過將ReversingLabs的Spectra Assure獨立惡意軟件分析服務引入RapidFort庫目錄中的每個包，企業可以在這些包進入構建管道之前獲得經過嚴格加固和獨立評估為乾淨的開源依賴。然而，管道和供應鏈仍在擴展，所以希望它們能儘可能保持功能完整，並讓我們遠離排污系統。