開放或封閉的安全之刃

簡報說明

逐頁文字

1. 1

   開放或封閉的安全之刃
   開源不安，閉源心安？讓我們來談談這個有趣的資安議題。

   耀達電腦 / 鄭郁霖 Jason Cheng

2. 2

   • 安全問題
   • 開源軟體
   • 閉源軟體
   • 如何選擇
   • 協助工具

3. 3

   安全問題

4. 4

   開源，安全？

5. 5

   品質與安全令人頭痛？

6. 6

   試試二分法

7. 7

   程式碼看的
   不安全

   1 較安全
   程式碼看不

8. 8

   多由社群維護
   不安全

   2 較安全
   大多由企業維護

9. 9

   修復漏洞較慢
   不安全

   3 較安全
   修復漏洞較快

10. 10

    開源軟體

11. 11

    開源軟體
    自由軟體

12. 12

    錢能解決的問題都不是問題

    「問題是沒有錢」

13. 13

    節約支出成本

14. 14

    避免重複開發

15. 15

    介接擴充彈性

16. 16

    動手修改

17. 17

    （本頁無文字）

18. 18

    看到原始碼的風險

19. 19

    引用帶來的風險

20. 20

    漏洞修復速度

21. 21

    版本升級問題

22. 22

    貢獻惡意程式

23. 23

    閉源軟體

24. 24

    閉源軟體
    專有軟體
    商業軟體

25. 25

    商業技術支援

26. 26

    保護原始碼

27. 27

    服務與責任

28. 28

    （本頁無文字）

29. 29

    Spring Framework存在安全漏洞（CVE-2018-1258與CVE-2018-1260）•允許攻擊者繞過認證存取系統上
    漏洞公告

30. 30

    難以自行修復

31. 31

    不易查核問題

32. 32

    驗證修復結果較難

33. 33

    且，

34. 34

    96%
    應用程式檢測
    計有 96% 採用開源套件

    [1] Black Duck 2018 Open Source Security and Risk Analysis

35. 35

    257
    平均每個應
    使 257 個開源套件

    [1] Black Duck 2018 Open Source Security and Risk Analysis

36. 36

    程式庫平均
    57％ 2017 開源碼佔 36%
    2018 開源碼佔 57%

    半!
    超過一
    [1] Black Duck 2018 Open Source Security and Risk Analysis

37. 37

    開源碼成長
    75％ 從 2017 2018 年期間
    程式庫的開源套件數量增
    加約 75%

    [1] Black Duck 2018 Open Source Security and Risk Analysis

38. 38

    年內，近五億

    [2] SourceClear The Busy Managers' Guide to Open-Source Security

39. 39

    勢所趨
    結合開源正在改變

40. 40

    有可為
    融入開源正在進

41. 41

    如何選擇

42. 42

    史上第一勒索蠕蟲WannaCry
    5月13日大肆侵襲全球的新一代變種勒索蠕蟲，利用微軟作業系統的檔案
    分享協定的漏洞，快速感染電腦，對全球150個國家造成龐大的威脅，超
    過30萬臺電腦已經淪陷，而攻擊方式也持續在改變中。
    按讀加入iThome粉絲團
    卡巴斯基：鎖定SambaCry漏洞的攻擊現身了，被用來開採
    Monero
    卡巴斯基透過誘捕系統發現首個針對SambaCry的攻擊程式，但並非像WannaCry用來散佈勒索軟
    體，這支攻擊程式被用來植入虛擬貨幣Monero採礦工具，一個月來為駭客賺進98個Monero，約
    5500美元。
    文/陳曉莉 | 2017-06-12 發表

43. 43

    （本頁無文字）

44. 44

    重點不在開源或閉源

45. 45

    軟體是人寫的。

46. 46

    策略
    建立管理制度。

47. 47

    開源套件選擇

48. 48

    提交時間 更新速度

49. 49

    Business
    Explore Marketplace
    Pricing
    Sign in or Sign up
    LibreNMS Project
    librenms
    Welcome to LibreNMS, afully featured network
    monitoring system that provides a wealth of
    features and device support.
    LibreNMS is an autodiscovering
    PHP/MySQL-based network monitoring
    system.
    1.41-18-93388741 - Wed Jul 11 2018 04:41:24 GMT+0800

50. 50

    版本控制 問題追蹤

51. 51

    i7 Pull requests 38
    Tags
    12 days ago
    on 30 Apr
    1.38-full

52. 52

    librenms / librenms
    12 days
    © Spamtitan appliance
    ① New Device: Sinetica Eagle-i Environmental Monitor Device
    ⑨ Enabling client count on a Ruckus standalone AP Device
    ① Cisco RV345 Gigabit Dual WAN VPN Router Device

53. 53

    求不要更新了，老子学不动了 #25
    求不要更新了，老子学不动了
    vo iamzfj007 changed the title from 不要更新了，老子学不动了to 求不要更新了，老子学不动了

54. 54

    活躍程度

55. 55

    librenms/librenms
    Y Fork
    Projects 2
    山 Insights
    40
    Community
    Microsoft /vscode
    54,875
    © Issues 5,000+
    i7 Pull requests 144
    山 Insights
    Community

56. 56

    口 librenms/librenms
    Microsoft / vscode
    山 Insights
    June 10, 2018- July 10,2018
    Code frequency
    2,657 Active Issues
    Excluding merges, 47 authors have pushed
    1,252 commits to master and 1,355 commits to
    all branches. On master, 1,029 files have
    changed and there have been 46,545 additions
    and 26,833 deletions.

57. 57

    安全檢測

58. 58

    商業支援

59. 59

    Business
    Explore
    Marketplace
    Pricing
    Sign in or Sign up
    Mattermost
    C Mattermost
    Pinned repo
    Securely message
    AAzure
    teams, anywhere

60. 60

    P L AG P L BSD

    留意：授權問題

    MIT LG P L A p a che

61. 61

    原始碼完全開放

62. 62

    分享 公益 成就 信

63. 63

    協助 具

64. 64

    開源工具

65. 65

    OpenVAS

66. 66

    OpenVAS

67. 67

    OWASP ZAP

68. 68

    OWASP ZAP

69. 69

    w3af

70. 70

    w3af

71. 71

    sqlmap

72. 72

    sqlmap

73. 73

    MobSF

74. 74

    MobSF

75. 75

    Security Code Scan

76. 76

    Security Code Scan

77. 77

    SonarQube
    243天◎

78. 78

    SonarQube
    243天◎

79. 79

    商業工具

80. 80

    Qualys SSL Labs

81. 81

    Qualys SSL Labs

82. 82

    SourceClear

83. 83

    SourceClear

84. 84

    Black Duck Open Hub

85. 85

    Black Duck Open Hub

86. 86

    Coverity Scan

87. 87

    Coverity Scan

88. 88

    OWASP Source Code Analysis Tools

    OWASP Vulnerability Scanning Tools

89. 89

    Black Duck
    2018 Open Source Security and Risk Analysis Report
    https://www.blackducksoftware.com/open-source-security-risk-analysis-2018

    SourceClear
    The Busy Managers' Guide to Open-Source Security
    https://www.sourceclear.com/resources/the-busy-managers-guide-to-open-source-security/chapter1/

90. 90

    謝謝