关于有漏洞的依赖项的暴露
如果要防止以下情况，评估有漏洞的依赖项的暴露情况至关重要：
-
供应链泄露****。 攻击者可以利用开源或第三方依赖项中的漏洞来注入恶意代码、提升特权或获得对系统未经授权的访问。 泄露的依赖项可以作为恶意参与者的间接入口点，从而导致大范围的安全事件。
-
风险的广泛传播****。 有漏洞的依赖项通常跨多个应用程序和服务重复使用，这意味着单个缺陷可以在整个组织中传播，从而加剧漏洞利用的风险和影响。
-
计划外停机和操作中断****。 利用依赖项漏洞可能会导致应用程序服务中断、服务质量下降或关键系统中出现级联故障，从而中断业务运营。
-
法规和许可问题****。 许多法规和行业标准要求组织主动解决软件供应链中的已知漏洞。 未能修正有漏洞的依赖项可能会导致不合规、受到审计和法律处罚或违反开源许可证义务。
-
修正成本提高****。 有漏洞的依赖项未解决的时间越长，解决的难度和开销就越高，尤其是在它们深度集成或事件发生时。 及早检测和修正可降低成本高昂的事件响应、紧急修补和信誉损害的风险。
定期评估依赖项漏洞的暴露情况是一个很好的做法，有助于尽早识别风险，实施有效的修正策略并维护可复原、可信的软件。
Dependabot 会自动监视项目的依赖项是否存在漏洞和过时的包。 当它检测到安全问题或新版本时，它会创建拉取请求来更新受影响的依赖项，帮助你快速解决安全风险并使软件保持最新。 这样可以减少手动工作，并帮助确保项目保持安全。 请参阅“Dependabot 快速入门指南”。
GitHub 提供了一组全面的 Dependabot 指标，可帮助你监视组织的所有存储库中的这些风险，然后确定其优先级并进行修正。 请参阅“查看 Dependabot 警报的指标”。
AppSec 经理的关键任务
1.监视漏洞指标
使用 Dependabot 的指标概述，了解组织的依赖项漏洞的当前状态。 请参阅“查看 Dependabot 警报的指标”。
- 警报优先级排序****：查看未解决的 Dependabot alerts 的数量，并使用筛选器（如 CVSS 严重性、EPSS 漏洞攻击可能性、补丁可用性以及有漏洞的依赖项是否实际用于已部署的工件）。 请参阅 Dependabot 仪表板视图筛选器。
- 存储库级细分****：确定哪些存储库具有最高数量的严重漏洞或可利用的漏洞。
- 修正跟踪****：跟踪一段时间内修复的警报的数量和百分比，以衡量漏洞管理计划的有效性。
2.确定修正工作的优先级
侧重处理为组织带来最高风险的漏洞。
- 优先处理具有高或严重级别严重性、高 EPSS 分数和可用补丁的警报。
- 使用存储库细分将修正工作指向风险最大的项目。
- 鼓励开发团队通过存储库自定义属性解决在部署的工件中实际使用的漏洞。
3.传达风险和进度
- 使用 Dependabot 指标页向利益干系人传达关键风险因素和修正进度。
- 定期更新趋势，例如未解决的严重漏洞数减少或修正率提高。
- 突出显示需要额外支持或关注的存储库或团队。
4.制定并实施策略
- 设置组织范围的策略，要求对所有存储库进行依赖项评审和 Dependabot alerts。 请参阅“关于依赖项评审”和“关于 Dependabot 警报”。
- 确保在依赖项监视中自动注册新存储库。
- 与存储库管理员协作，尽可能启用自动安全更新。 请参阅“关于 Dependabot 安全更新”。
5.评估 Dependabot alerts 的影响
- 定期审查 Dependabot alerts 如何帮助阻止安全漏洞进入代码库。
- 使用历史数据来演示主动依赖项管理的价值。