«Лаборатория Касперского» представила сервис для выявления закладок в ПО с открытым исходным кодом

Компания «Лабораторией Касперского», работающая в сфере информационной безопасности, представила на рынок цифровых средств сервисную программу, которая представляет собой поток данных об угрозах для программ с открытым доступом к исходному коду.

OpenSourceSoftwareThreatsDataFeed от Лаборатории Касперского позволяет выявлять опасные закладки в сторонних компонентах. Сервис ведет к минимизации рисков применения открытых источников за счет самых последних данных о пакетах с возможностью нанесения повреждений системы, содержанием вредоносных кодов или не зарегистрированных возможностей.

Использование сервиса уже позволило обнаружить около трех тысяч вредоносных вложений, размещенных в популярных базах для хранения и поддержки каких-либо данных. Были зафиксированы десятки ресурсов с неуказанными в декларациях возможностями, включая отображение нежелательной информации политического характера.

А ведь некоторые из негативных компонентов пользователи успели загрузить не один десяток тысяч раз. По экспертным данным, среди вредных включений, обнаруженных в пакетах со свободным доступом, 35% можно причислить к компонентам с высоким уровнем опасности и 10% имеют критический уровень.

Причиной появления OpenSourceSoftwareThreatsDataFeed стал тот факт, что использование готовых пакетов с открытым исходным кодом для решения собственных задач стала довольно распространенной практикой среди разработчиков. Она позволяет им максимально сфокусироваться на индивидуальных требованиях к конкретному программному обеспечению и разгрузить время и ресурсы от создания типовых блоков программ.

Для удобства разработчиков имеются крупные базы готовых пакетов, где они смогут подобрать подходящий под проект компонент, но при этом разработчик вместе с ним может подцепить случайные или намеренно внедренные вредоносные коды.

Иногда создатели пакетов со свободным кодом специально приводят его к виду, когда функциональность программы как бы сохраняется, но анализ, понимание алгоритмов и внесение изменений при переводе исходника на язык высокого уровня крайне затруднены.

После установки нового потока данных об угрозах от Лаборатории Касперского, разработчики сумеют выявить и избежать уязвимые и скомпрометировавшие себя пакеты типовых блоков, включая компоненты с наличием политических лозунгов или меняющих свои функциональные свойства, например, блокируют их работу на территории нашей страны.

Предоставляется сервис в формате JSON – наиболее простом и удобном для чтения и написания человеком и компьютером формате обмена данными.