Pesquisa sobre o cenário da segurança de código aberto — 2020

A segurança de código aberto é uma paixão da Snyk. Todos os anos, desde 2017, a Snyk publica seu relatório anual sobre o cenário da segurança de código aberto. Nesse relatório, analisamos as tendências atuais em segurança de código aberto e como as organizações gerenciam vulnerabilidades em seus softwares de código aberto e tecnologias nativas da nuvem. Como parte da pesquisa, convidamos a comunidade a compartilhar suas perspectivas por meio da pesquisa sobre o cenário da segurança de código aberto. Lançamos recentemente a edição de 2020 e queremos ouvir você!

Suas respostas nos ajudam a entender melhor os desafios enfrentados pela comunidade e orientam nossa pesquisa. Combinando-as aos dados que coletamos e analisamos em nossas plataformas e nas de nossos parceiros, publicaremos novamente este relatório gratuito para a comunidade. Neste ano, vamos ampliar nosso foco para obter mais detalhes sobre tecnologias nativas da nuvem, como contêineres, ferramentas de orquestração e infraestrutura como código.

Segurança de código aberto em 2019

Em nosso relatório de 2019, analisamos detalhadamente as tendências de diferentes ecossistemas de desenvolvimento e suas implicações para a segurança. Nossa pesquisa revelou muitas conclusões importantes, mas algumas se destacaram. Estes são alguns dos principais achados de 2019 que continuaremos acompanhando no relatório de 2020.

Vulnerabilidades conhecidas

Um dos principais dados analisados em nosso relatório de 2019 foi o volume de vulnerabilidades de segurança relatadas em diversos ecossistemas. Ao analisar bibliotecas de aplicações no PyPi, Golang, npm, Maven Central e PHP Packagist, constatamos que as vulnerabilidades aumentaram quase 88% ao longo dos dois anos de 2017 e 2018. Em particular, o PHP registrou um aumento significativo no ritmo de vulnerabilidades relatadas em 2018.

Ao analisar vulnerabilidades, queremos entender não só a quantidade, mas também a gravidade das que são descobertas. De 2017 a 2018, observamos uma tendência relativamente positiva: a proporção de vulnerabilidades de alta gravidade em relação às de média gravidade mudou, com mais ocorrências de vulnerabilidades de média gravidade, que oferecem menos risco.

Segurança de contêineres

Como parte do relatório de 2019, começamos a analisar algumas das principais tendências de vulnerabilidades em imagens de contêiner. Analisamos vulnerabilidades conhecidas nas bibliotecas de sistema de algumas das imagens mais populares no Docker Hub. Constatamos que a média de vulnerabilidades era bastante alta e que, em particular, as bibliotecas Node.js incluídas nessas imagens costumavam apresentar muitas vulnerabilidades. O lado positivo é que 44% delas poderiam ser corrigidas trocando a imagem base por uma versão menos vulnerável.

Tempo para corrigir

Outro aspecto essencial para entender o estado geral da segurança no ecossistema de código aberto é saber quanto tempo os mantenedores levam para tratar vulnerabilidades relatadas e disponibilizar uma correção. Ao analisar alguns dos pacotes mais populares do npm, constatamos que o tempo para corrigir variava de 289 a mais de 2.000 dias!

Planos para o relatório de 2020

As descobertas de 2019 foram muito interessantes e, em alguns casos, surpreendentes. Para o relatório deste ano, queremos continuar acompanhando as tendências de vários aspectos importantes analisados no relatório de 2019, mas também pretendemos ampliar o escopo. Na pesquisa, estamos fazendo mais perguntas para entender como as organizações promovem uma cultura de DevSecOps e gerenciam a segurança de softwares de código aberto, contêineres e orquestração.

Na pesquisa de dados, vamos aprofundar as lições aprendidas com o relatório de 2019 e coletar ainda mais informações sobre vulnerabilidades nos diferentes ecossistemas. Vamos analisar os dados mais a fundo para responder à pergunta: a segurança de código aberto está melhorando? Combinadas aos resultados da pesquisa, essas informações proporcionarão uma visão abrangente do ecossistema de código aberto e ajudarão tanto os mantenedores quanto as organizações a planejar melhor suas iniciativas de segurança.

Para ajudar, acesse a pesquisa aqui!