【環(huán)球新要聞】墨菲安全成功舉辦首屆 OSCS 軟件供應鏈安全技術論壇

2022-11-01 19:38:33來源：中關村在線

10 月 29 日墨菲安全作為 OSCS 社區(qū)創(chuàng)始成員發(fā)起首屆 OSCS 技術論壇于北京中關村創(chuàng)業(yè)大街圓滿舉辦。本次論壇聯(lián)合思否、CSDN、OSChina、51CTO、InfoQ、IT168 等媒體及社區(qū)深度合作，共吸引了 3 萬余名觀眾觀看，會上中國信通院、知名開源專家譚中意、螞蟻、快手的安全專家與墨菲安全技術專家圍繞開源項目安全治理、軟件供應鏈安全體系建設、企業(yè)軟件供應鏈安全最佳實踐進行了精彩分享。本次大會圓滿舉辦，感謝多方媒體、企業(yè)、開源社區(qū)等合作伙伴，以及關注 OSCS 的每一個小伙伴的大力支持。

(相關資料圖)

一、開場致辭

墨菲安全創(chuàng)始人，OSCS 開源社區(qū)發(fā)起人章華鵬在致辭中帶大家深入淺出的了解了軟件供應鏈安全的概念及背景、面臨的風險?；谄涫嗄臧踩ㄔO相關經(jīng)驗，剖析了軟件供應鏈安全現(xiàn)狀，以及企業(yè)面臨的問題、痛點。通過實踐案例生動的講述了供應鏈安全的普遍應用以及價值。OSCS 在軟件供應鏈的這條長鏈路上倡導讓每一個開源項目更安全，也希望能讓每一個開發(fā)者能夠更安全地去使用每一個開源項目，共同期待更健康、安全的開源生態(tài)。

章華鵬，墨菲安全創(chuàng)始人，OSCS 開源安全社區(qū)發(fā)起人

二、議題回顧

中國信通院云大所開源和軟件安全部副主任郭雪老師本次分享其團隊對于軟件供應鏈安全研究背景的研究及軟件供應鏈安全標準體系化建設的相關工作內容，對于軟件供應鏈安全生態(tài)建設針對行業(yè)治理現(xiàn)狀給出了獨特的見解與分析。

郭雪，中國信通院云大所開源和軟件安全部副主任（主持工作）

譚中意老師從國際角度介紹了開源供應鏈相關的背景知識及具體案例，講解了目前國際環(huán)境下開源供應鏈所面臨的風險與挑戰(zhàn)以及我們如何根據(jù)國際標準 OpenChain 來構建安全的軟件供應鏈。

譚中意，第四范式架構師，開源專家，OpenChain中國工作組聯(lián)合創(chuàng)始人

邊立忠老師為大家?guī)韽牧鞒坦芸?、研發(fā)生命周期、風險檢測、縱深防御等多個維度多視角介紹了螞蟻集團在軟件供應鏈安全建設、解決供應鏈的安全風險方面的實踐以及對于 Log4j 漏洞處置的經(jīng)典案例剖析。

邊立忠，螞蟻集團高級安全專家，螞蟻集團應用安全產(chǎn)品中臺負責人

來自墨菲安全的歐陽強斌老師帶大家從供應鏈到軟件供應鏈了解當下安全風險現(xiàn)狀，淺談軟件供應鏈安全的過去、現(xiàn)在和將來，分享墨菲安全是如何打造最實用的軟件供應鏈安全產(chǎn)品。深入淺出的剖析軟件供應鏈安全核心技術原理和解決方案，介紹相關企業(yè)風險治理實踐的思路。

歐陽強斌，墨菲安全聯(lián)合創(chuàng)始人、墨菲安全實驗室負責人

來自快手安全團隊的吳圣老師通過快手安全團隊的真實實踐經(jīng)驗，介紹了如何進行第三方軟件的資產(chǎn)識別，帶領我們學習如何對于第三方軟件的來源、實現(xiàn)進行安全性評估以及對部署分發(fā)的過程進行管控，全方位的介紹如何通過對運行維護過程中的進行監(jiān)控等方式提升第三方軟件的安全性。

吳圣，快手基礎安全負責人

三、論壇分享

論壇由章華鵬進行主持，邀請李孟，仙翁科技大數(shù)據(jù)架構師，Apache Linkis Committer；程巖，螞蟻集團資深安全專家；王書魁，小米信息安全與隱私部負責人（順序由左至右）參與本次論壇。我們知道當前軟件供應鏈安全是一個很大的話題，國內大家更多在提SCA、開源安全治理，海外也在提一些更前沿的概念，比如基于 sigstore 技術實現(xiàn)的軟件持續(xù)安全驗證的產(chǎn)品Chainguard；軟件供應鏈也是近兩年突然被關注，包括近期歐美也出臺了軟件供應鏈安全相關的法規(guī)，美國白宮的備忘錄要求供應商自證安全、歐盟要求產(chǎn)品提供sbom，否則最高可以處罰1500萬歐元或全球營收2.5%，大家以不同角色視角共同探討了上述問題及全球軟件供應鏈安全治理方向、未來發(fā)展趨勢。

章華鵬，墨菲安全創(chuàng)始人，OSCS 開源安全社區(qū)發(fā)起人（左一）

李孟，仙翁科技大數(shù)據(jù)架構師，Apache Linkis Committer（左二）

程巖，螞蟻集團資深安全專家（左三）

王書魁，小米信息安全與隱私部負責人（右一）

關于OSCS

OSCS 技術能力由墨菲安全技術支持，墨菲安全免費為開發(fā)者、開源項目等提供三方組件的安全檢測、許可證合規(guī)評估等能力，提供客戶端、GitHub、IDEA 插件等多種檢測方式。目前客戶端工具（murphysec）已在 GitHub 上開源，同時支持快速便捷的與 Gitlab、Jenkins CICD 流程進行集成，目前已支持 Java、JavaScript、Golang、Python、PHP、C#、Ruby、Objective-C、.NET 等語言項目的檢測。

OSCS社區(qū)致力于聯(lián)合社區(qū)安全白帽子幫助每一個開源項目變的更安全，也讓每一個開發(fā)者更安心的使用開源項目。OSCS 提供及時發(fā)現(xiàn)開源社區(qū)安全風險以及一鍵pr的能力，希望更多更多的開發(fā)者能夠加入開源安全的行列，共筑安全可持續(xù)的開源生態(tài)！歡迎大家加入 OSCS，一起為開源安全貢獻一份力量！

標簽：新聞資訊