Black Duck Software创建产品以保护和管理应用程序和容器中的开源，消除与开源安全漏洞和许可证合规性相关的痛苦。他们在2016年进行的第十届开源调查年度未来，提供了证明我们已经知道的许多关于开源的事情的数字。

首先，“每个人”都在使用开源，或者作为调查结果状态......

“无处不在的全球开源软件开发是常规。”

该调查还显示，使用开源的主要驱动力是免于供应商锁定。这也是JFrog的主要驱动因素之一，也是我们创造的一切都是通用的原因：

Artifactory，通用工件存储库管理器

Bintray，通用软件分发平台，

Xray，用于通用工件分析，

Mission Control，通用仓库管理。

大多数组织盲目使用开源

但调查还显示，大多数组织缺乏对开源软件的可见性和控制力。开源通过许多已知和未知的来源（包括开发人员，供应商和外部承包商）在组织的应用程序代码中输入和传播。 Black Duck On-Demand服务进行的开源审计发现，平均而言，公司使用的开源数量是之前所知的两倍，而67％的应用程序包含已知的开源漏洞。

你需要一个过程才能看到光明

为了解除开源使用的“迷雾”，组织需要一些自动化且可重复的过程，在大多数情况下，这些过程不存在。这些包括：

• 在进入代码流时检测和批准新的开源
• 盘点并跟踪其代码库和Docker容器中开源软件的使用情况
• 识别或监控与他们使用的开源软件相关的已知开源漏洞（如Heartbleed，ShellShock等）
• 随着时间的推移，协调或跟踪风险补救工作
• 评估使用具有不兼容许可条款的开源软件可能产生的诉讼和知识产权（IP）风险。
• 审核和实施开源安全策略和许可证合规性。

所有这些过程现在都更容易实现，Black Duck Hub集成到JFrog Xray和Black Duck的二进制存储库集成插件中，用于JFrog Artifactory

Xray通过Black Duck Hub点亮前进的道路

Xray的深度递归扫描会将Artifactory存储库中的包和深入到最深层次，以识别您正在使用的所有开源依赖项。 Xray通过其漏洞的全局数据库交叉引用这些依赖关系，这些漏洞汇集自不同的来源。

Black Duck Hub在整个软件开发生命周期（SDLC）中为组织提供开源风险管理 - 包括IDE，SCM，构建，CI，二进制存储库和Docker容器。

通过Xray与Black Duck Hub的集成，您可以大大扩展漏洞数据库，包括Black Duck全面的KnowledgeBase（™），包括2,000,000多个开源项目和150,000个漏洞。 您需要做的就是在Xray的集成模块中输入您的Black Duck凭证。

Black Duck与JFrog Artifactory和Xray的集成允许组织在SDLC中的不同级别管理构建输出扫描和存储库检查。在使用Artifactory Pro的存储库级别或在Xray的正式SDLC过程之外。例如，构建输出扫描程序插件可以在开发过程中更早地监视构建并提供风险信息，例如，当需要监视开发人员构建时。当企业拥有多个不同的SDLC工具集并且无法在所有工具集中进行统一集成时，存储库检查器插件提供了监视工件的功能。将Black Duck Hub集成到Xray中也可以通过Xray提供类似的功能。 Xray根据您定义的Watches扫描存储库中的构建和工件，使用其全局数据库与Black Duck KnowledgeBase交叉引用这些工件以识别问题和漏洞，然后它可以生成相应的警报以进行补救。

将JFrog Xray和JFrog Artifactory的强大功能与Black Duck Hub相结合，使组织能够消除开源安全漏洞，满足许可证合规性义务并限制操作风险。

识别组件和开源安全风险

Xray会自动跟踪Artifactory存储库中组件和Docker镜像使用的开源。它将这些组件映射到其全局数据库和Black Duck的KnowledgeBase中报告的已知开源安全漏洞的组件，并监视许可证和组件质量风险。

自动化补救和政策执行

使用Watches中定义的许可过滤器轻松实施开源许可策略，并通过在构建中检测到漏洞的早期干预自动CI过程来简化实施。

持续监控新漏洞的应用程序

Xray的全球数据库和Black Duck的KnowledgeBase都聚合了多个漏洞数据源，因此您可以获得生产应用中检测到的新漏洞的当天警报。通知可以通过Xray UI，通过电子邮件或调用webhooks发布

随着Xray和Black Duck守卫你的大门，你对开源软件的使用受到了关注。您完全了解组织使用的所有开源组件，可以在SDLC的早期检测和修复漏洞，当检测到生产系统中可能潜伏的新漏洞并使用开源时，您会立即收到通知不仅无处不在，而且也是安全的。

原文：https://jfrog.com/blog/frogs-and-ducks-your-sentinels-for-open-source-security/

本文：http://pub.intelligentx.net/node/426

讨论：加入知识星球【首席架构师圈】