管理 EOL 开放源码软件的最佳实践

执行摘要

随着企业越来越多地依赖开放源码软件（OSS）来支持其运营，管理达到报废（EOL）阶段的软件变得至关重要。废弃的开源软件不再接受更新，包括重要的安全补丁，这可能导致重大漏洞和合规风险。本白皮书 "报废宣言：管理 EOL 开放源码软件的最佳实践》为有效管理 EOL 开放源码软件提供了全面指导，以确保安全性、合规性和兼容性。

‍

此外，这里还概述了与 EOL 软件相关的主要挑战，包括安全风险、合规问题和运行中断。还包括应对这些挑战的最佳实践，如库存管理、风险评估和制定结构化过渡计划。此外，还强调了与利益相关者进行透明沟通、探索扩展支持选项以及保持稳健安全做法的重要性。

‍

白皮书强调了 HeroDevs 通过其 "Never-Ending Support (NES) 产品线管理 EOL 开放源码软件的独特方法，为寻求在官方支持期结束后保持安全性和合规性的企业提供了强大的解决方案。白皮书最后通过业界公认的方法和实际案例，强调了积极主动的 EOL 管理的重要性。

‍

1. 引言

理解开源软件中生命周期结束（EOL）管理的需求

目的

《生命周期终止宣言》旨在为各组织提供一份关于管理已达到生命周期终止（EOL）的开源软件的全面指南。当软件达到生命周期终止时，将不再获得更新，包括关键的安全补丁和错误修复。本白皮书提供了开源软件达到生命周期终止时的最佳实践，以减轻相关风险，并确保运营连续性和合规性。

‍

重要性

由于以下几个因素，对已达到生命周期末期（EOL）的开源软件进行有效管理至关重要：

• 安全漏洞：已停止支持的软件容易面临安全风险，因为针对其已知漏洞的补丁将不再发布。例如，ApacheStruts CVE-2017-5638 就是利用了一个已停止支持的版本，导致了严重的数据泄露事件（国家漏洞数据库）。
• 合规问题：未打补丁的软件可能导致无法符合《通用数据保护条例》（GDPR）、《健康保险流通与责任法案》（HIPAA）或《支付卡行业数据安全标准》（PCI-DSS）等监管标准。组织必须确保其系统已更新，以满足法律要求（OpenJS Foundation，2023）。

‍

2. 了解产品生命周期结束（EOL）

EOL的定义及其对软件生命周期的影响

‍

定义

“生命周期结束”（EOL）是指软件不再获得开发者支持或维护的时点。在生命周期结束时，该软件将不再获得更新、安全补丁或技术支持。例如Node.js 16.x 于 2023 年 9 月 11 日达到生命周期结束，这意味着该版本在该日期之后将不再获得更新或补丁（Node.js，2024）。

‍

产品生命周期结束（EOL）

开源软件（OSS）的生命周期通常包括：

• 发布：该软件携初始功能正式上市。
• 积极开发：该软件正在持续更新并不断增强功能。
• 维护 / 长期支持 (LTS)：该软件将获得错误修复、安全更新和次要更新，但不会推出重大新功能。
• 产品生命周期结束：将停止提供安全更新、漏洞修复及所有更新，该软件将不再获得支持。

‍

影响

EOL 软件的影响可能非常严重：

• 安全风险：如果不再进行更新，已停止支持的软件容易受到新发现的漏洞攻击。例如，导致“Heartbleed”漏洞的 OpenSSL 漏洞影响了众多应用程序，需要立即采取应对措施（Heartbleed，2024）。
• 运营挑战：由于软件不再受支持，组织可能会面临运营中断，从而导致系统故障或集成问题。

‍

3. 管理已达到生命周期末期的开源软件的最佳实践

开源软件（OSS）中有效的产品生命周期末期（EOL）管理策略

‍

评估与规划

• 库存管理：维护一份组织内所有开源软件的全面清单，包括其支持状态。Black Duck 和 Snyk 等工具可自动跟踪软件版本及其支持时间表。
• 自动依赖项更新：利用 Mend Renovate 等工具，自动完成开源依赖项的更新过程。这可确保您始终使用软件组件的最新受支持版本，从而降低因过时或不受支持的库而导致的漏洞风险。
• 风险评估：评估继续使用已停止维护（EOL）软件所带来的风险。Log4j 漏洞充分说明了及时解决已停止维护软件中的安全风险的重要性，因为该漏洞由于其广泛使用以及缺乏补丁，遭到了大规模利用（Apache，2024）。
• 过渡规划：制定一份结构化的过渡计划，内容应包括确定替代方案、迁移数据以及更新流程。该计划应概述将已达到生命周期终止（EOL）的软件替换为受支持的替代方案或替代库所需的步骤，并解决任何相关挑战。

‍

沟通与透明度

• 利益相关方沟通：及时向利益相关方通报软件的停用状态及计划中的过渡安排。此类沟通应清晰且定期进行，以管理各方预期并最大限度地减少干扰。
• 公告：订阅有关软件生命周期结束（EOL）状态的公告，您可以及时了解生命周期结束日期。例如，OpenJS 基金会会定期更新其项目的生命周期结束状态（OpenJS 基金会，2024）。

‍

支持与维护

• 第三方咨询：Tidelift 与开源开发者和顾问合作，为关键的开源项目提供支持，确保版本发布的稳定性及安全基础设施的稳健性。
• 自定义补丁：如果迁移尚未完成，请部署自定义补丁以解决关键漏洞。这需要具备技术专长，并需与安全专家协作，以确保补丁既有效又安全。
• HeroDevs 支持：与专注于开源长期支持的 HeroDevs 公司合作，共同管理已停止支持（EOL）的软件。凭借其专业知识，可在过渡期间帮助维护系统稳定性并解决安全问题。

‍

合规与安全

• 安全注意事项：应利用安全工具和框架，定期评估并解决已停止维护（EOL）软件中的漏洞。OWASP 等组织提供的工具可帮助管理和缓解安全风险（OWASP，2024）。
• 数据保护：通过采用加密技术及安全的数据管理措施，确保在数据传输过程中安全处理数据。这既能保护敏感信息，又能确保符合数据保护法规的要求。

‍

4. HeroDevs 对产品生命周期结束（EOL）的处理方式

利用 HeroDevs 的解决方案实现安全的 EOL 管理

‍

HeroDevs 通过其Never-Ending Support (NES) 提供了一套强大的 EOL 管理解决方案，确保已弃用的开源软件（OSS）能够持续获得安全更新。

‍

主要服务

Never-Ending Support (NES)

• 为已弃用的软件提供即插即用的替代方案，同时确保安全性和合规性。
• 确保与现有平台以及（如适用）第三方库的兼容性。

全面的开源软件支持

• 支持多种技术，包括AngularJS、Vue 2、Spring 和Drupal 。
• 与最初的核心贡献者和创建者合作，以确保支持服务的稳定性。
• 聘请安全专家主动查找并修复已弃用的开源软件（OSS）中的漏洞。作为认证编号机构（CNA），HeroDevs 有权分配和修正 CVE 编号，确保关键安全问题能够被迅速识别并得到修复。

按您的方式进行迁移

• 延长开源软件（OSS）的使用寿命，使团队能够根据您的业务需求规划迁移或升级。
• 使开发团队能够专注于构建应用程序，而不是维护已弃用的开源软件（OSS）的安全性。

‍

5. 行业认可与合作伙伴关系

通过关键合作伙伴关系建立公信力

‍

与领先机构的合作

HeroDevs 已与多家主要机构建立了重要合作伙伴关系，从而提升了其 NES 产品的公信力和可靠性。 作为Drupal Drupal 延长长期支持计划”和 OpenJS 基金会“生态系统可持续性计划”的双重合作伙伴，HeroDevs 确保那些无法在技术生命周期结束前完成迁移的团队，能够依靠 HeroDevsNever-Ending Support (NES) 需要的时间Never-Ending Support (NES) 其系统安全并获得技术支持。 此外，HeroDevs 还与 GoogleAngular 、Evan You（Vue 创建者）以及众多开源软件（OSS）领域的领军人物和贡献者展开合作，以维护这些技术的原始稳定性，并将部分收益回馈给他们，以支持进一步的创新。

‍

现实生活中的例子

jQuery WebjQuery 广泛应用，使其成为攻击者试图利用漏洞的首要目标。近年来发生的几起备受瞩目的事件，充分说明了使用不受支持或实现不当的jQuery 所带来的风险。

‍

2018年，英国航空公司遭遇了一起重大数据泄露事件，约38万名客户的个人和财务信息遭到泄露。 虽然此次攻击的主要途径是Magecart组织注入恶意脚本，但调查人员发现，英国航空jQuery 过时的jQuery 版本使攻击者更容易注入并执行其恶意JavaScript代码。这一事件凸显出，即使是规模庞大、资源雄厚的组织，也可能沦为利用jQuery等常见库进行攻击的受害者。

‍

同年，知名在线零售商Newegg也遭遇了类似的网络攻击，同样被归咎于Magecart组织。攻击者jQuery 一个已不再受jQuery 中的漏洞，导致客户的支付信息遭到泄露。这一案例进一步凸显了及时为所有Web组件（jQuery广泛使用的库）安装最新安全补丁的重要性。

‍

对于仍在使用jQuery 的组织而言，实施健全的安全措施至关重要。这包括定期进行安全审计、及时应用补丁，以及考虑采用 HeroDevs 等公司提供的商业化长期支持服务。通过采取积极主动的安全策略，企业可以降低使用jQuery 这类广泛部署的库所带来的风险jQuery 防范近年来曾影响多家大型企业的各类安全漏洞。

‍

6. 经验教训

• 前瞻性规划：早期识别和规划对于有效的产品生命周期结束（EOL）管理至关重要。应在产品生命周期结束日期之前尽早启动过渡流程，以避免临近截止日期时出现问题。
• 利益相关方参与：与利益相关方保持透明的沟通，可确保过渡更加顺利，并有助于应对潜在的干扰。
• 安全重点：在整个过渡过程中将安全置于首位，以保护系统免受因已弃用的、具有商业长期扩展支持的软件所带来的漏洞影响。
• 协调方面的挑战：组织的去中心化使得漏洞修复工作的协调变得更加复杂（CISA，2020）。
• 缺乏指导方针：许多组织缺乏明确的补丁和配置管理政策，无法在运营层面有效协调漏洞管理（CISA，2020）。

‍

7. 行业标准

• 开源倡议组织（OSI）：遵循 OSI 关于管理开源软件的指南，以确保符合行业标准和惯例（OSI，2024）。
• NIST 网络安全框架：遵循 NIST 关于网络安全管理的指南，以应对并降低与生命周期结束（EOL）软件相关的风险（NIST，2024）。
• 网络安全与基础设施安全局（CISA）：遵循CISA关于漏洞修复的指南，以加强网络安全风险的协调与管理（CISA，2021）。

‍

8. 建议与结论

• 保持库存信息更新：定期更新并跟踪开源软件及其支持状态，以便及时了解产品生命周期结束（EOL）日期和支持情况。
• 制定风险评估和过渡计划：制定全面的计划，以管理从已停止支持（EOL）软件的过渡工作，包括风险评估和时间表。
• 保持透明沟通：向所有利益相关方通报产品生命周期结束（EOL）计划、替代方案以及过渡进展，以最大限度地减少干扰。
• 探索支持方案：在规划全面迁移的同时，可考虑采用扩展支持服务，以解决已不再受支持的开源软件中潜藏的漏洞。
• 注重安全与数据保护：实施强有力的安全措施，确保采用安全的数据处理规范，以保护系统并遵守相关法规。

‍

未来展望

各组织在管理已达到生命周期末期的软件时，应保持主动性和灵活性。及时了解新兴趋势、最佳实践和技术进展，将有助于应对未来挑战，并在开源领域把握新机遇。

‍

9. 参考文献

• Snyk. (2024). 《开源安全管理》。
• Apache。（2024）。Log4j 漏洞信息。
• Tidelift。（2024）。对开源项目的延长支持。
• HeroDevs. (2023). 开源软件支持服务。
• OWASP。（2024）。开放式Web应用程序安全项目。
• Angular. (2024).Angular 。
• 《金融时报》。（2024）。《金融行业中的产品生命周期末期管理》。
• 开源倡议组织（OSI）。（2024）。《OSI指南》。
• 美国国家标准与技术研究院（NIST）。（2024）。《NIST网络安全框架》。
• 网络安全与基础设施安全局。（2020）。《CISA 洞察：修复可访问互联网系统的漏洞》。