Анонсът на технологичния гигант подчертава недостатъчността на съществуващите практики за сигурност на софтуерната верига за доставки в компаниите.
Центърът на IBM за откриване на уязвимости е открил и коригирал повече от 400 уязвимости в популярни Java библиотеки, съобщи компанията във вторник.
Центърът Lightwell вече е общодостъпен, заявиха от IBM, което означава, че клиентите могат да заявяват приоритетни прегледи за сигурност на конкретни уязвимости в софтуер с отворен код.
Тъй като изкуственият интелект улесни откриването и експлоатирането на уязвимости, общността по киберсигурност започна да обръща повече внимание на рисковете, свързани със наследен софтуер и софтуер с отворен код, който изобилства от неразкрити дефекти. Няколко организации с нестопанска цел и доставчици създадоха такива центрове, включително Lightwell на IBM, Akrites на Linux Foundation и Athena на Chainguard. Правителството на САЩ също стартира подобна програма.
Екосистемата Java, която Lightwell е анализирал, е особено опасна — и това е така от много години. Почти 6 от 10 Java услуги съдържат поне една уязвимост, която може да бъде експлоатирана, съобщава компанията за сигурност Datadog в доклад, публикуван през февруари. Докладът също така установява, че базираните на Java приложения разчитат на пакети от трети страни, които са изостанали медианно с почти 500 дни от най-новата си основна версия, което показва, че софтуерът на базата на Java зависи силно от остарял и вероятно несвободен от рискове код.
Откриването от Lightwell на стотици широкоразпространени Java уязвимости е поразителен индикатор за несигурността на софтуерните вериги за доставки. То също така посочва неадекватността на съществуващите механизми за надзор и прозрачност — проблем, за чието решаване правителството призовава компаниите през последното десетилетие.
„Дори зрелите кодови бази изискват непрекъснато внимание с еволюцията на заплахите“, заявяват от IBM в официално съобщение.
Lightwell и останалите платформи използват изкуствен интелект, за да помогнат на служителите бързо да преглеждат големи кодови бази и да маркират потенциални уязвимости. В случая на Lightwell IBM заяви, че „мощният двигател на системата бързо разработва специфични за съответната версия корекции за сигурност за софтуерни зависимости с отворен код в производствени системи“ и ги доставя на клиентите чрез сигурно поддържани хранилища.
Ръководителите на IBM подчертаха значението на сигурното внедряване на корекции за сигурност, което не изисква от клиентите да извеждат засегнатите системи офлайн.
„Откриването на тези грешки е само половината от битката: истинската работа е пренасянето на корекции за сигурност директно в активни производствени приложения, така че клиентите да не трябва да избират между сигурността и непрекъснатостта на работата“, заяви Гунар Хелексън, вицепрезидент и генерален мениджър на Lightwell в дивизията Red Hat на IBM.