OpenSSF Scorecard - Метрики безопасности для открытого исходного кода
Мы создали Scorecard, чтобы помочь мейнтейнерам открытого исходного кода улучшить их лучшие практики безопасности и помочь потребителям открытого исходного кода судить о том, безопасны ли их зависимости.
Scorecard — это автоматизированный инструмент, который оценивает ряд важных эвристик ("проверок"), связанных с безопасностью программного обеспечения, и присваивает каждой проверке оценку от 0 до 10. Вы можете использовать эти оценки, чтобы понять конкретные области для улучшения, чтобы укрепить безопасность вашего проекта. Вы также можете оценить риски, которые вносят зависимости, и принимать обоснованные решения о принятии этих рисков, оценке альтернативных решений или работе с мейнтейнерами для внесения улучшений.
Вдохновение для логотипа Scorecard: "You passed! All D's ... and an A!"
Автоматизировать анализ и решения о доверии к безопасности открытых исходных проектов.
Использовать эти данные для проактивного улучшения безопасности критических проектов, от которых зависит мир.
Действовать как инструмент измерения для существующих политик
Если потребителям OSS требуются определённые модели поведения от их зависимостей,
Scorecard можно использовать для их измерения. В выпуске V5 мы рассматриваем
структурированные результаты как способ сделать это при наличии поддерживаемого анализа.
Вместо того чтобы полагаться на агрегированную оценку X/10 или оценку Maintained
Y/10, потребитель OSS может захотеть убедиться, что репозиторий, от которого он зависит,
не архивирован (это покрывается проверкой archived). OpenSSF
применяет этот подход в своей собственной Security Baseline для проектов.
Быть окончательным отчётом или требованием, которому должны следовать все проекты.
Scorecard не задуман как универсальное решение. Каждый шаг формирования наших результатов субъективен: какие проверки включаются или исключаются, важность каждой проверки и то, как рассчитываются оценки. Сами проверки являются эвристиками; бывают ложноположительные и ложноотрицательные срабатывания.
Будь то из-за применимости, осуществимости или вопроса мнения, то, что включается или исключается из результатов Scorecard, порождает много обсуждений. Невозможно создать Scorecard, который удовлетворит всех, поскольку разные аудитории будут заботиться о разных подмножествах поведения.
В частности, агрегированные оценки ничего не говорят о том, какие отдельные модели поведения репозиторий выполняет, а какие нет. Многие оценки проверок агрегируются в единую оценку, и существует несколько способов прийти к одной и той же оценке. Эти оценки меняются по мере добавления новых эвристик или уточнения существующих.
Scorecard запускался на тысячах проектов для мониторинга и отслеживания метрик безопасности. Известные проекты, использующие Scorecard, включают:
Чтобы увидеть оценки для проектов, регулярно сканируемых Scorecard, перейдите в webviewer. Вы также можете заменить текст-заполнитель (платформа, пользователь/организация и имя репозитория) в следующем шаблоне ссылки, чтобы сгенерировать пользовательскую ссылку Scorecard для репозитория:
https://scorecard.dev/viewer/?uri=<github_or_gitlab>.com/<user_name_or_org>/<repository_name>
Например:
Чтобы просмотреть оценки для проектов, не включённых в webviewer, используйте Scorecard CLI.
Scorecard сканирует более 1,3 миллиона репозиториев каждую неделю из
ossf/scorecard-infra. Результаты
доступны через REST API. Публичный набор данных BigQuery
больше не доступен; подробности см. в
Scorecard Infrastructure Changes.
Чтобы добавить проект в еженедельное сканирование, следуйте инструкциям в
руководстве по участию ossf/scorecard-infra.
