如果并購(gòu)交易涉及到軟件，那在目標(biāo)代碼庫(kù)中識(shí)別開(kāi)源組件就至關(guān)重要。并購(gòu)交易運(yùn)作過(guò)程中，代碼所含內(nèi)容至關(guān)重要。應(yīng)用中未被發(fā)現(xiàn)的開(kāi)源可能導(dǎo)致代價(jià)高昂的許可證違規(guī)。這些以及專(zhuān)有、開(kāi)源和其他第三方軟件中的安全漏洞可能會(huì)對(duì)軟件資產(chǎn)的價(jià)值產(chǎn)生重大負(fù)面影響。在滿(mǎn)足并購(gòu)盡職調(diào)查要求方面，光靠軟件組成分析(SCA)還不夠，開(kāi)源審計(jì)能提供更多保障。

開(kāi)源無(wú)處不在。多年來(lái)研究人員一直關(guān)注開(kāi)源使用的增長(zhǎng)，但由于現(xiàn)在開(kāi)源十分普遍，他們對(duì)建立在開(kāi)源組件基礎(chǔ)上的應(yīng)用安全愈發(fā)擔(dān)憂(yōu)。使用開(kāi)源組件需要遵循開(kāi)源許可，許多公司已經(jīng)深刻意識(shí)到如果不滿(mǎn)足這些規(guī)則要求，則會(huì)面臨法律的風(fēng)險(xiǎn)。因此，在涉及技術(shù)并購(gòu)的交易中，開(kāi)源安全性和許可證合規(guī)性是收購(gòu)方和目標(biāo)公司的主要關(guān)注點(diǎn)之一。

這些公司可以通過(guò)執(zhí)行軟件組成分析(SCA)來(lái)追蹤他們使用的開(kāi)源。SCA是一種可識(shí)別應(yīng)用中使用的第三方代碼的自動(dòng)化流程，能夠發(fā)現(xiàn)在代碼庫(kù)中與開(kāi)源相關(guān)的未修補(bǔ)的代碼、許可證和潛在的安全漏洞。然而，在涉及軟件的并購(gòu)交易中，利益相關(guān)者們需要對(duì)代碼庫(kù)中的開(kāi)源進(jìn)行更為嚴(yán)格和快捷的評(píng)估，而這光依靠SCA工具是無(wú)法做到的。

為什么SCA還不足以用來(lái)評(píng)估并購(gòu)過(guò)程中的開(kāi)源?

自動(dòng)化的SCA工具有助于單個(gè)公司監(jiān)測(cè)和識(shí)別自用的開(kāi)源組件和框架結(jié)構(gòu)。調(diào)研機(jī)構(gòu)451 Research有一篇報(bào)告詳細(xì)闡述了并購(gòu)交易中SCA的使用案例。成立不久的公司往往會(huì)將新的應(yīng)用快速推向市場(chǎng)，因此他們?cè)絹?lái)越多地使用開(kāi)源。經(jīng)常使用自動(dòng)化的SCA工具能夠幫助這些公司進(jìn)行漏洞追蹤、補(bǔ)丁管理和確保許可證的合規(guī)性。當(dāng)SCA工具直接集成到開(kāi)發(fā)工作流時(shí)將發(fā)揮最大效用，讓開(kāi)發(fā)團(tuán)隊(duì)不用以犧牲速度為代價(jià)來(lái)減輕開(kāi)源的風(fēng)險(xiǎn)。

但是企業(yè)使用不同的SCA工具，得到的分析結(jié)果也有差異，他們可能會(huì)遺漏一些潛藏的代碼。依賴(lài)項(xiàng)掃描可以很好地發(fā)現(xiàn)已公開(kāi)的開(kāi)源代碼，但是未在軟件包管理器中公布、只是作為部分、或已修改組件引入的開(kāi)源代碼則可能會(huì)完全遺漏。此外，開(kāi)源代碼還可以通過(guò)復(fù)制粘貼開(kāi)源代碼“片段”，將其納入代碼中。盡管這看上去只是整個(gè)代碼庫(kù)的一小部分，該代碼仍需要遵循其來(lái)源組件的許可義務(wù)，同時(shí)，在并購(gòu)盡職調(diào)查中應(yīng)該加以體現(xiàn)。

因此，在并購(gòu)交易中，合規(guī)責(zé)任轉(zhuǎn)移到了收購(gòu)一方，他們需要關(guān)注目標(biāo)公司代碼庫(kù)中知識(shí)產(chǎn)權(quán)所攜帶的潛在開(kāi)源風(fēng)險(xiǎn)。

為什么并購(gòu)交易中的企業(yè)需要開(kāi)源審計(jì)而不是自動(dòng)化的掃描工具?

收購(gòu)公司無(wú)法輕易對(duì)目標(biāo)公司的代碼庫(kù)進(jìn)行自動(dòng)化SCA掃描。首先，并購(gòu)交易尚未完成前，目標(biāo)公司不會(huì)將其源代碼移交給收購(gòu)方;其次，自動(dòng)化SCA掃描集成到開(kāi)發(fā)工作流中時(shí)才能發(fā)揮最大效用，從而使得企業(yè)能夠監(jiān)測(cè)軟件構(gòu)建的過(guò)程;最后，以完成并購(gòu)交易為目的而對(duì)掃描結(jié)果進(jìn)行的評(píng)估和研究需要更多時(shí)間和更高專(zhuān)業(yè)性，這可能是并購(gòu)團(tuán)隊(duì)無(wú)法做到的。

想要?jiǎng)?chuàng)建一個(gè)高度精準(zhǔn)和詳盡的、包含代碼庫(kù)中所有開(kāi)源的軟件物料清單(BoM)，并且在交易的時(shí)間表內(nèi)完成，最佳的辦法是借助第三方來(lái)進(jìn)行開(kāi)源審計(jì)。

一個(gè)典型的代碼庫(kù)包含多少開(kāi)源組件?

新思科技公司近日發(fā)布了《2020年開(kāi)源安全和風(fēng)險(xiǎn)分析》報(bào)告(OSSRA)。該報(bào)告研究了由Black Duck審計(jì)服務(wù)團(tuán)隊(duì)執(zhí)行的對(duì)超過(guò)1,250個(gè)商業(yè)代碼庫(kù)的審計(jì)結(jié)果。其中開(kāi)源占所有代碼的70%。這意味著我們掃描的每個(gè)代碼庫(kù)中平均有三分之二以上包含開(kāi)源組件。

需要特別注意的是，Black Duck審計(jì)的一個(gè)主要用處就是并購(gòu)盡職調(diào)查，OSSRA報(bào)告中的數(shù)據(jù)可以作為并購(gòu)交易中體現(xiàn)開(kāi)源趨勢(shì)的一項(xiàng)指標(biāo)。

為什么企業(yè)使用這么多開(kāi)源?

正如451 Research報(bào)告所述，更快速、更頻繁的應(yīng)用軟件交付趨勢(shì)不會(huì)在短期內(nèi)消失：“在這些應(yīng)用程序中使用開(kāi)源組件已不再是一個(gè)新奇的想法?，F(xiàn)在有很多開(kāi)發(fā)人員使用由第三方編寫(xiě)的免費(fèi)代碼，這也是客戶(hù)的交付需求促使的?！?

新思科技OSSRA報(bào)告闡明了開(kāi)源審計(jì)所揭露的相關(guān)風(fēng)險(xiǎn)：

· 掃描的代碼庫(kù)中超過(guò)99%都包含開(kāi)源，平均每個(gè)代碼庫(kù)有445個(gè)開(kāi)源組件

· 67%的代碼庫(kù)包含某種形式的開(kāi)源代碼許可證沖突，33%的代碼庫(kù)包含沒(méi)有可識(shí)別許可證的開(kāi)源組件。

· 75%的代碼庫(kù)包含至少一個(gè)開(kāi)源代碼漏洞，而 49%的代碼庫(kù)包含高風(fēng)險(xiǎn)漏洞

在并購(gòu)中若不進(jìn)行開(kāi)源評(píng)估，將會(huì)面臨哪些風(fēng)險(xiǎn)?

在并購(gòu)交易中，開(kāi)源采用率增加的趨勢(shì)會(huì)引起兩個(gè)主要問(wèn)題：首先，企業(yè)必須了解他們將獲得的軟件中開(kāi)源的內(nèi)容和數(shù)量，以評(píng)估其新收購(gòu)的知識(shí)產(chǎn)權(quán)的潛在風(fēng)險(xiǎn);其次，他們必須在交易之前了解這樣的風(fēng)險(xiǎn)情況，以把控他們的投資回報(bào)率，并對(duì)交易后所需要的補(bǔ)救成本進(jìn)行規(guī)劃。

不了解這些風(fēng)險(xiǎn)可能會(huì)付出高昂的代價(jià)。假設(shè)您正在收購(gòu)Equifax，但沒(méi)有執(zhí)行開(kāi)源工作。那會(huì)發(fā)生什么?眾所周知，在2017年導(dǎo)致超過(guò)1.4億人的個(gè)人數(shù)據(jù)泄露的安全事件，正是由Apache Struts框架中一個(gè)未修補(bǔ)的開(kāi)源漏洞引起的。Equifax 至今已付出了14億美元的高昂代價(jià)，而因該漏洞造成的影響遠(yuǎn)不止在金錢(qián)方面。

事實(shí)上，Equifax處理Apache Struts漏洞修復(fù)的速度遠(yuǎn)遠(yuǎn)快于平均水平。2014年，新思科技揭露了Heartbleed漏洞，而這個(gè)漏洞目前仍然是一個(gè)全球性的安全問(wèn)題。

結(jié)合OSSRA報(bào)告和451 Research報(bào)告不難發(fā)現(xiàn)：開(kāi)源采用率的增長(zhǎng)不會(huì)在短期內(nèi)放緩，因此涉及軟件的并購(gòu)風(fēng)險(xiǎn)越來(lái)越高。并購(gòu)專(zhuān)業(yè)人士必須了解所購(gòu)軟件的全部風(fēng)險(xiǎn)狀況。