10개 오픈 소스 프로젝트의 보안 개선을 목표로 하는 Alpha-Omega 이니셔티브

OpenSSF(오픈 소스 보안 재단)는 오픈 소스 소프트웨어의 보안 향상을 목표로 하는 Alpha-Omega 프로젝트를 도입했습니다. 5만 달러 규모의 프로젝트 개발을 위한 초기 투자와 이니셔티브 실행을 위한 인력은 Google과 Microsoft에서 제공됩니다. 다른 조직도 엔지니어링 인재 제공과 자금 지원을 통해 참여하도록 권장되며, 이는 이니셔티브에서 다룰 오픈 소스 프로젝트의 수를 확장하는 데 도움이 될 것입니다. 또한 작년 말 OpenSSF 재단의 작업을 위해 10만 달러가 할당되었지만 이 자금이 Alpha-Omega 이니셔티브에 사용될지 여부는 지정되지 않았습니다.

Alpha-Omega 프로젝트는 두 가지 구성 요소로 구성됩니다.

• Alpha의 일부에는 널리 사용되는 200개의 오픈 소스 프로젝트에 대한 수동 보안 감사를 수행하는 작업이 포함되며, 이는 종속성 또는 인프라 요소의 형태로 가장 많이 사용됩니다. 이 작업은 관리자와 협력하여 수행되며, 새로운 취약점을 식별하고 신속하게 수정하기 위한 체계적인 코드 분석이 포함됩니다.
• Omega의 일부는 가장 인기 있는 10개의 오픈 소스 프로젝트에 대한 자동화된 테스트를 수행하는 데 중점을 두고 있습니다. 테스트를 수행하고, 사용된 방법을 개선하고, 테스트 결과를 분석하고, 프로젝트 개발자에게 정보를 전달하고, 중요한 문제를 해결하기 위해 협업을 조정하기 위해 별도의 엔지니어 팀이 구성됩니다. 이 팀의 주요 임무는 오탐지를 거부하고 자동 보고서에서 실제 취약점을 식별하는 것입니다.

알파 단계에서 수동 감사가 필요한 이유는 자동화된 테스트 중에 식별하기 어려운 숨겨진 문제를 식별해야 하기 때문입니다. 이러한 문제의 예로 최근 다수의 대기업의 인프라를 위협하는 Log4j의 심각한 취약점이 언급되었습니다. 감사할 프로젝트는 전문가 커뮤니티의 권장 사항과 이전에 생성된 중요 점수 및 인구 조사 등급의 데이터를 고려하여 선택됩니다.

OpenSSF는 Linux Foundation의 후원으로 만들어졌으며 공동 취약성 공개, 패치 ​​배포, 보안 도구 개발, 보안 개발을 위한 모범 사례 게시, 공개적으로 보안 관련 위협 식별과 같은 분야의 작업에 중점을 두고 있습니다. 소프트웨어, 감사 작업을 수행하고 중요한 오픈 소스 프로젝트의 보안을 강화하며 개발자의 신원을 확인하는 도구를 만듭니다. OpenSSF는 핵심 인프라 이니셔티브 및 오픈 소스 보안 연합과 같은 이니셔티브를 계속 개발하고 프로젝트에 참여한 회사가 수행한 기타 보안 관련 작업도 통합합니다. OpenSSF의 창립 회사로는 Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk 및 VMware가 있습니다.

출처 : opennet.ru