Google发布面向开发者的安全工具AllStars

　　面对日益增多的针对开源软件的攻击，大公司正在介入，用免费的服务和工具帮助开发者提高网络安全。Google 为开发者发布了一个新的工具，该工具可以自动保护项目的过程，并验证属性，以确保项目的安全性没有受到影响。这个新的安全工具被称为 AllStars，旨在运行测试以确定关键方面是否被改变。

　　Google AllStars 工程负责人 Jeff Mendoza 表示，AllStars 与另一个名为 Scorecard 的 Google 工具相结合，为项目维护者提供了保护。如果开发者愿意，他们可以使用 Scorecard 来评估他们的情况，然后用 AllStars 自动执行适当的政策。

　　根据 18 个不同的标准，Scorecard 对项目进行评估，例如它们是否自动更新依赖关系，是否积极维护，以及是否采用自动漏洞发现方法来识别容易发现的缺陷。

　　根据 OpenSSF 的公告，Google 在周一提供了这个工具，作为维护一个任何人都可以使用的 AllStar 实例的努力的一部分。该软件跟踪 GitHub 仓库并检查项目，以确保没有不需要的改动。配置设置与项目的安全策略进行比较，如果不匹配，可以采取应对措施。

　　Mendoza 说：”随着开源的巨大普及，攻击者将被破坏的开发中的项目视为渗透到封闭和开放系统的一种方式。由于很少有实时运行的开源安全系统，在攻击面向供应链方面的时候就会变得非常凶险：要么代码库容易被破坏，要么在代码和项目会被建立并在其他系统上使用的地方注入一个破坏性因素。

　　了解更多：

　　https://openssf.org/blog/2021/08/11/introducing-the-allstar-github-app/