隨著軟體供應鏈攻擊的顯著增加，以及 Log4j 漏洞帶來的災難性后果和影響，軟體供應鏈面臨的風險已經成為網路安全生態系統共同關注的最重要話題之一，根據業內權威機構 Sonatype 發布的2022軟體供應鏈現狀報告，在過去三年中，針對上游開源代碼存盤庫的惡意活動，旨在將惡意軟體植入軟體組件的攻擊數量增加了742%，
幸運的是大家逐漸開始意識到軟體供應鏈攻擊的巨大風險，這也促使各企業積極采取一系列避免或緩解軟體供應鏈安全風險的行動，例如美國政府就應對軟體供應鏈安全風險發布了網路安全行政命令，除此以外，許多大公司開始共同推出有助于打擊針對軟體供應鏈的惡意行為者日益增長的威脅的措施，
2022 年 10 月，Google 宣布了一個新的開源專案，稱為 Graph for Understanding Artifact Composition（簡稱 GUAC），該計劃尚處于早期階段，但有望改變行業對軟體供應鏈的理解，GUAC 的目標是解決整個生態系統不斷涌現的生成軟體構建、安全性和依賴性元資料的需求，旨在通過讓每個企業組織（而不僅僅是那些擁有企業級安全和 IT 資金的組織）免費訪問和使用這些安全資訊，有效提高這些資訊的可用性，
GUAC 的目標
作為一個組織，Google 的核心使命是整合全球資訊，使人人都可以訪問并從中受益，就網路安全世界而言，GUAC 符合該使命，GUAC 的目標是為所有組織提供頂級安全資訊，包括那些沒有 IT 預算或企業級安全基礎設施來為自己獲取此資訊的組織，GUAC 是一種將有價值的軟體安全元資料聚合到高保真圖形資料庫中的嘗試，該資料庫不僅包括不同軟體物體的標識，還將詳細說明它們之間的標準關系，
不同團體之間的社區協作產生了軟體物料清單(SBOM) 等政策檔案、詳細說明軟體構建方式的簽名證明（例如SLSA）以及可以更輕松地發現和消除漏洞的資料庫，例如 Global Security資料庫（GSD），GUAC 將幫助組合和綜合所有這些資料庫中可用的資訊，并將這些資訊組織成更全面的格式，這樣任何人都可以找到有關他們打算使用的任何軟體資產的高級安全問題所需的答案，
圖片來源：Google
GUAC 四大功能
GUAC 有四個主要功能：
1. 收集資訊
GUAC 可以配置為連接到各種軟體安全元資料源，一些資料來源可能是公開的（例如，OSV）；有些可能是企業自有的（例如，企業的內部存盤庫）；有些可能是專有的第三方（例如，來自資料供應商），
2. 匯入資訊
GUAC 從其上游資料源匯入有關工件、專案、資源、漏洞、存盤庫甚至開發人員的資料，
3. 整理資訊
從不同的上游來源獲取原始元資料后，GUAC 通過規范化物體識別符號、遍歷依賴樹和具體化隱式物體關系（例如，專案→開發人員）將其組裝成一個連貫的圖；漏洞→軟體版本；artifact → source repo，等等，
4. 查詢資訊
針對組合圖，可以查詢附加到圖中物體或與物體相關的元資料，查詢給定的工件，反饋其 SBOM、出處、構建鏈、專案記分卡、漏洞和最近的生命周期事件——以及其傳遞依賴項等，
圖片來源：Google
GUAC 涵蓋的三個階段
GUAC 是一個免費的開源平臺，它將軟體安全元資料的不同來源聚合到一個來源中，作為一種安全工具，GUAC 將在保護其軟體基礎架構免受供應鏈攻擊的三個階段中對組織有用，以下是它對每個階段的用處：
第一階段：主動階段
主動階段是企業采取措施以防止發生大規模軟體危害的階段，在此階段，用戶往往想知道他們最常使用的軟體供應鏈生態系統的關鍵組件，而 GUAC 將使用戶更容易識別它們，使用 GUAC，用戶可以識別整體安全基礎架構中的弱點，包括暴露于風險依賴項的區域，這樣，就可以更好地在攻擊發生之前阻止它們，
第二階段：運營階段
運營階段是預防階段，用戶可以在其中確定要使用或部署的軟體是否符合供應鏈風險防范措施的所有正確要求，使用 GUAC，用戶可以驗證軟體是否符合要求的政策標準，或者生產中的所有二進制檔案是否都能夠追溯到安全存盤庫，
第三階段：反應階段
盡管采取了所有措施，軟體供應鏈漏洞仍可能發生，反應階段是用戶決定在發現違規時要采取什么措施的階段，借助 GUAC，受影響的企業可以查明其庫存的哪一部分受到漏洞的影響、受影響的嚴重程度以及風險是什么，此資訊將有助于減輕攻擊并防止將來再次發生，
GUAC 對企業來說意味什么？
那么， GUAC 對企業來說意味著什么？由于該專案仍處于開發階段，用戶可以通過多種方式以個人或組織的身份參與，
- 根據一項針對約 1,000 名 CIO 的調查統計資料顯示，高達 82% 的受訪者認為他們所在的企業容易受到網路攻擊，這意味著，如果沒有采取任何措施來保護軟體基礎設施，那么現在需要立刻行動起來了，谷歌的這一舉措再次敲響了警鐘，提醒人們需要采取更多行動更加重視軟體供應鏈安全，
- 其次，呼吁大家積極貢獻，GUAC 目前是 Github 上的一個開源專案，現在它只是一個概念證明，它聚合了 SLSA、SBOM 和記分卡檔案以支持對軟體元資料的簡單搜索，該專案歡迎貢獻者將元資料添加到 GUAC 以及代表最終用戶需求的顧問，
- GUAC 是SLSA 框架的新配對，安全框架——各種網路安全利益相關者之間的協作——是一組商定的行業標準，企業和個人開發人員可以采用這些標準來在構建軟體時做出明智的安全域策，結合起來，這兩個政策檔案將有助于在軟體安全方面取得更好的成果，
- GUAC 還證明了軟體物料清單(SBOM) 日益增長的重要性，這個軟體中使用的所有工件的正式串列降低了用戶安全漏洞的風險，還幫助他們知道如何采取行動以及在發生漏洞時在哪里尋找漏洞，
- 最后需要明確的是，保證軟體的所有第三方組件完整性的唯一方法是確保所有不是企業開發人員自己撰寫的代碼都得到充分說明、未被篡改并且沒有任何惡意代碼，
參考鏈接：
https://www.nist.gov/itl/executive-order-14028-improving-nations-cybersecurity
https://security.googleblog.com/2022/10/announcing-guac-great-pairing-with-slsa.html
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/539646.html
標籤：其他