Sonatype：2020年软件供应链状况（英文版）

Sonatype 发布了《2020 年软件供应链状况》报告指出，旨在积极渗透开源软件供应链的下一代网络攻击大规模激增 430%。 这是 Sonatype 发布的第六份年度软件供应链状况报告，此报告分析了超过 1.5 万亿个开源下载请求，24,000 个开源项目和 5,600 个企业开发团队。报告指出，在过去的 12 个月中，其共记录了 929 次下一代软件供应链攻击。相比之下，2015 年 2 月至 2019 年 6 月之间记录的此类攻击则只有 216 起。 对此，Sonatype 首席执行官 Wayne Jackson 表示，“ 在 2017 年臭名昭著的 Equifax 违规事件发生之后，企业大幅地增加了投资，以防止对开源软件供应链的类似攻击。我们的研究表明，商业工程团队应对新的零日漏洞的能力正在提高。因此，当对手将活动转移到“上游”时，下一代供应链攻击增加了 430％ 也就不足为奇了，因为攻击者可以感染单个开源组件，该组件有可能被“下游”分发，并被战略性地、秘密地利用。” 研究发现，企业软件开发团队对开源软件组件中漏洞的响应时间也有所不同。其中，有 51％ 的组织需要一周以上的时