開源軟件供應鏈

定　價：￥69.00

作　者：	武延軍等
出版社：	機械工業(yè)出版社
叢編項：
標　簽：	暫缺

購買這本書可以去

當當網(wǎng) (￥51.70)

ISBN：	9787111772552	出版時間：	2024-12-01	包裝：	平裝-膠訂
開本：	16開	頁數(shù)：		字數(shù)：

內(nèi)容簡介

　　開源軟件供應鏈是指開源軟件在開發(fā)和運行過程中涉及的所有開源軟件的上游社區(qū)、源碼包、二進制包、第三方組件分發(fā)市場、應用軟件分發(fā)市場，以及開發(fā)者和維護者、社區(qū)、基金會等，按照依賴、組合等形成的供應關系網(wǎng)絡。相較于傳統(tǒng)軟件供應鏈，開源軟件供應鏈隨著供應層級不斷加深，其規(guī)模不斷擴大，導致針對上游的攻擊將更難被發(fā)現(xiàn)、影響范圍更廣。本書從開源軟件供應鏈的定義開始，逐步講解開源供應鏈模型、開源供應鏈評估體系、關鍵節(jié)點識別與維護等開源軟件供應鏈的關鍵內(nèi)容。開源軟件供應鏈是指開源軟件在開發(fā)和運行過程中涉及的所有開源軟件的上游社區(qū)、源碼包、二進制包、第三方組件分發(fā)市場、應用軟件分發(fā)市場，以及開發(fā)者和維護者、社區(qū)、基金會等，按照依賴、組合等形成的供應關系網(wǎng)絡。相較于傳統(tǒng)軟件供應鏈，開源軟件供應鏈隨著供應層級不斷加深，其規(guī)模不斷擴大，導致針對上游的攻擊將更難被發(fā)現(xiàn)、影響范圍更廣。本書從開源軟件供應鏈的定義開始，逐步講解開源供應鏈模型、開源供應鏈評估體系、關鍵節(jié)點識別與維護等開源軟件供應鏈的關鍵內(nèi)容。本書可以作為開源軟件供應鏈領域的研究人員或者工程技術(shù)人員的參考用書，也可以作為開源愛好者的入門書籍。

作者簡介

　　現(xiàn)任中科院軟件所副所長、總工程師、學術(shù)委員會副主任，研究員、博士生導師。致力于開源軟件發(fā)展，擔任openEuler委員會副主席，OpenHarmony項目技術(shù)指導委員會（TSC）委員，開放原子開源基金會開源安全委員會主席，中國開放指令集（RISC-V）聯(lián)盟開源軟件工作組組長。主持多項基礎軟件領域國家級重大任務。當前主要研究方向是開源軟件供應鏈與RISC-V基礎軟件。

圖書目錄

前言
第1章　什么是開源軟件供應鏈　　/ 1
1.1　關注開源軟件供應鏈的原因　　/ 1
1.2　開源軟件供應鏈的基礎知識　　/ 8
1.2.1　開源軟件供應鏈的定義　　/ 8
1.2.2　開源軟件供應鏈的特征　　/ 10
1.2.3　開源軟件供應鏈面臨的風險　　/ 16
1.2.4　開源軟件供應鏈的法律政策　　/ 25
1.3　本書的組織框架　　/ 28
1.4　本章小結(jié)　　/ 29
第2章　開源軟件供應鏈的國際形勢　　/ 30
2.1　具有影響力的開放組織　　/ 30
2.1.1　OpenSSF　　/ 30
2.1.2　OWASP　　/ 35
2.1.3　SPDX　　/ 36
2.1.4　OpenChain　　/ 37
2.1.5　Openwall　　/ 37
2.1.6　中國計算機學會開源發(fā)展委員會　　/ 38
2.1.7　開放原子基金會開源安全委員會　　/ 38
2.2　關注開源軟件供應鏈安全的企業(yè)　　/ 39
2.2.1　Sonatype　　/ 39
2.2.2　Synopsys　　/ 40
2.2.3　科技巨頭　　/ 41
2.3　各國對開源軟件供應鏈安全的態(tài)度　　/ 41
2.3.1　國外　　/ 41
2.3.2　國內(nèi)　　/ 45
2.4　本章小結(jié)　　/ 46
第3章　開源軟件供應鏈的研究基礎　　/ 47
3.1　供應鏈的相關研究　　/ 47
3.1.1　供應鏈定義及管理研究概述　　/ 47
3.1.2　供應鏈網(wǎng)絡研究概述　　/ 50
3.2　軟件供應鏈的相關研究　　/ 53
3.2.1　傳統(tǒng)軟件供應鏈研究概述　　/ 53
3.2.2　開源軟件供應鏈研究概述　　/ 54
3.2.3　供應鏈中關鍵軟件識別研究概述　　/ 57
3.3　軟件供應鏈建模的相關研究　　/ 59
3.3.1　軟件倉庫挖掘研究概述　　/ 59
3.3.2　軟件工程領域的知識圖譜研究概述　　/ 62
3.4　本章小結(jié)　　/ 64
第4章　開源軟件供應鏈模型　　/ 65
4.1　面向主要環(huán)節(jié)的供應鏈模型　　/ 65
4.2　開源軟件供應鏈的形式化模型　　/ 67
4.2.1　自動機構(gòu)建　　/ 68
4.2.2　自動機驗證　　/ 73
4.3　開源軟件供應鏈的知識化模型　　/ 77
4.3.1　本體設計　　/ 77
4.3.2　知識抽取　　/ 83
4.3.3　知識融合　　/ 88
4.3.4　知識更新　　/ 89
4.4　工業(yè)界常用的供應鏈模型——軟件物料清單　　/ 90
4.4.1　背景　　/ 90
4.4.2　技術(shù)組成　　/ 91
4.4.3　已有的產(chǎn)品及分類　　/ 95
4.4.4　技術(shù)應用現(xiàn)狀　　/ 97
4.4.5　挑戰(zhàn)　　/ 100
4.5　本章小結(jié)　　/ 102
第5章　開源軟件供應鏈的風險評估體系　　/ 103
5.1　面向供應鏈主要環(huán)節(jié)的風險防控體系　　/ 103
5.1.1　風險模型　　/ 104
5.1.2　開源軟件供應鏈中第三方組件的風險識別　　/ 105
5.1.3　開源軟件供應鏈視角下的應用軟件風險識別　　/ 117
5.1.4　協(xié)作開發(fā)的風險識別　　/ 127
5.1.5　下載更新過程的風險識別　　/ 130
5.1.6　風險應對策略　　/ 131
5.2　基于知識化模型的風險防控體系　　/ 141
5.2.1　風險模型　　/ 143
5.2.2　面向安全性風險的管控方法　　/ 144
5.2.3　面向合規(guī)性風險的管控方法　　/ 146
5.2.4　面向維護性風險的管控方法　　/ 149
5.2.5　風險應對策略　　/ 154
5.3　本章小結(jié)　　/ 156
第6章　開源軟件供應鏈的關鍵節(jié)點識別與維護　　/ 157
6.1　開源軟件供應鏈的關鍵節(jié)點　　/ 157
6.2　關鍵節(jié)點識別方法　　/ 159
6.2.1　Criticality score　　/ 159
6.2.2　Gitee指數(shù)　　/ 161
6.2.3　CriticalityRank　　/ 164
6.3　本章小結(jié)　　/ 173
第7章　供應鏈軟件評估和篩選　　/ 174
7.1　供應鏈軟件　　/ 174
7.2　供應鏈軟件評估需要解決的問題　　/ 176
7.3　供應鏈軟件評估指標體系　　/ 177
7.3.1　評估屬性定義　　/ 178
7.3.2　評估屬性度量　　/ 180
7.4　供應鏈軟件評估方案　　/ 182
7.4.1　指標權(quán)重設計　　/ 183
7.4.2　評估結(jié)果計算　　/ 185
7.5　供應鏈軟件評估模型評價　　/ 189
7.6　面臨的問題與挑戰(zhàn)　　/ 191
7.6.1　研究難點與挑戰(zhàn)　　/ 191
7.6.2　未來研究方向　　/ 193
7.7　本章小結(jié)　　/ 198
第8章　開源軟件供應鏈基礎設施的建設　　/ 199
8.1　需求分析　　/ 199
8.1.1　開源軟件供應鏈基礎設施的功能性需求　　/ 200
8.1.2　開源軟件供應鏈基礎設施的非功能性需求　　/ 202
8.1.3　開源軟件供應鏈基礎設施的目標用戶　　/ 203
8.2　基礎設施設計　　/ 205
8.2.1　總體設計　　/ 206
8.2.2　數(shù)據(jù)基礎設施　　/ 210
8.2.3　一體化服務基礎設施　　/ 212
8.3　本章小結(jié)　　/ 215
第9章　開源軟件供應鏈的呈現(xiàn)與應用　　/ 216
9.1　供應鏈管理的可視化呈現(xiàn)　　/ 216
9.1.1　知識圖譜的可視化表示技術(shù)　　/ 218
9.1.2　大規(guī)模知識圖譜的可視化技術(shù)　　/ 218
9.1.3　知識圖譜的可視化查詢　　/ 219
9.1.4　開源軟件供應鏈管理的可視化呈現(xiàn)　　/ 223
9.2　典型應用案例　　/ 225
9.2.1　在openEuler開源社區(qū)的應用　　/ 225
9.2.2　在PyPI開源制品倉庫的應用　　/ 232
9.2.3　開源軟件供應鏈點亮計劃　　/ 236
9.3　本章小結(jié)　　/ 241
參考文獻　　/ 242