开源的优势、风险与未来

任何事情都要计算成本的世界里,寻求经济高效的方案来解决业务问题再正常不过。现实世界中,这意味着“免费”,数字市场上,那就是“开源”。

开源软件别名“免费软件”

自互联网早期时代开始,开源软件(OSS)就常伴我们左右。不过,那个时候还没有开源软件这一说,大家都叫它们“免费软件”。直到1998年Palo Alto免费软件峰会更名为“开源峰会”,这个术语才被固定下来。

根据OpenSource.com的说法,开源代表着一整套价值观,也就是他们所谓的“开源方法”。OpenSource网站声称,“开源项目、开源产品或开源倡议采纳并颂扬开放交换、协作参与、快速原型、透明、精英管理和面向社区的开发原则”。

开源的优势

使用开源软件的好处显而易见,这也是开源软件广为使用且加速普及的原因所在。我们不得不从最明显的优势开始,那就是:开源是免费的。因为免费,所以对寻求成本控制或削减的任何企业而言都具有吸引力。需要在购买专有软件还是使用免费版软件之间做出选择时,很多小型企业的考虑重点不是功能,而是价格。

开源软件采用精英管理体制开发,任何人都能访问代码,查看应用开发方法和过程,提供功能增强或改善。因此,开源技术的开发过程中可以融入更多协作、创新和改善。可以访问代码同时也意味着,漏洞利用程序或代码缺陷可以被研究人员或开发人员更快地发现。然后项目负责人就可以解决识别出的问题了。如果未解决,那么问题最终会出现在国家漏洞数据库(NVD)中。

开源的风险

优势与风险并存。在触及围绕开源的运营问题之前,我们必须先考虑一个基础问题:因为不叫免费软件,依靠开源软件运营就是可以接受的吗?如果IT主管向董事会解释称自家企业的安全由开源软件管理,董事会或许不会有太大的反应。但如果告诉董事会说公司用的是免费软件,那他们的反应可能就不一样了。如果我们很清楚开源软件都用在什么地方,这就不成问题。但由于开源的形式和规模多样,企业真的了解开源软件所涉及的风险吗?

于是,我们引出开源软件使用方面的第二个问题:控制问题,尤其是许可控制问题。管理传统软件解决方案的部署方式已经够难的了,面对大量的开源软件,如果没有采用一定的管理机制,跟踪记录庞杂的许可就能让企业头痛不已。

房间里的(安全)大象

开源的强大之处在于同好之间协作和分享想法的能力。这些人的想法往往是利他主义和向善的。然而,不可否认的是,网络罪犯也充分意识到了开源软件的普及和人们对开源软件的依赖。网络安全从业者却没对开源软件的使用投以足够的关注,这可能是由于忽视了开源技术或其在企业的使用。

似乎无人提及,但显而易见的一点是:开源软件支持协作和快速原型,但这同样的方法也可被网络犯罪社区用来向应用中注入恶意代码。此外,开源社区广泛识别和公布漏洞利用程序,网络罪犯可以利用这些信息渗透缺乏健壮补丁管理过程的企业。这种情况很普遍,因为开源软件的使用不像专有软件那样控制严格。

风险管理和网络安全从业人员需更加密切地关注这一领域,因为如果没有充分考虑或评估开源软件,他们就会面临发生安全事件和(国际安全标准)违规的风险。

开源的未来

毫无疑问,开源软件还会继续发展下去,这是件好事。知道了上述开源风险后还这么说或许会令人惊讶,但开源软件的粉丝确实很多。不过,了解并考虑与开源软件使用相关的风险也是必要的。希望使用开源应用的企业应该弄清自己为什么要使用开源应用,并考虑其使用过程中涉及到的潜在风险。例如,设计软件、字处理软件等软件应用就比较适合采用开源软件代替,但用于管理或监控整个网络或系统的应用就不建议采用开源软件了。针对后一种情况,最好是实现非开源的监控工具,或者实现出自单一源而非开源的入侵检测或入侵预防工具。

开源不是坏事。事实上,技术无关好坏,但如何使用这些技术就需要我们好好考虑了。

标签: