如何在软件供应链中验证第三方二进制组件

您是否将第三方软件集成到您的应用程序或产品中？

您是否知道这个第三方软件是否存在已知漏洞？

为了提高上市时间和成本限制，软件开发组织转向第三方软件来增强他们的定制开发。事实上，至少90% 的公司使用第三方软件，他们创建的专有或定制软件应用程序中有95% 包含第三方组件。今天的软件栈包括开源软件，以及专门为应用程序或商业软件(COTS)开发的购买的软件。这种购买的软件通常包含组织不知道的开源组件，因为它是以二进制形式交付的。

这个第三方软件有三个主要来源:

1.开放源代码软件(OSS):使用开放开发过程的软件，并被授权包含源代码。

2.商业软件(COTS):从供应商购买的软件。这些通常不需要定制就可以购买。如果在这个软件中使用了开放源码，被许可方可能不知道。以二进制的形式传递。

3.合同软件: 为特定应用程序或一组应用程序交付的软件，通常由合同供应商根据规范提供。开