МЕТОДИ ОЦІНЮВАННЯ ГЕОГРАФІЧНОЇ КОНЦЕНТРАЦІЇ ТА СТАБІЛЬНОСТІ РОЗРОБНИКІВ У ПРОЄКТАХ ІЗ ВІДКРИТИМ КОДОМ З OSINT-ПІДХОДОМ

Анотація

В с т у п . Представлено комплексну OSINT-орієнтовану систему для оцінювання ризиків ланцюгів постачання програмного забезпечення у критичній інфраструктурі з відкритим кодом. Після сплеску атак на ланцюги постачання, систематичне оцінювання вразливостей проєктів з відкритим кодом стало необхідністю. Запропоновано багатовимірну методологію оцінювання ризиків, яка інтегрує аналіз географічної концентрації, метрики стабільності розробників (bus factor), методи атрибуції учасників. Система поєднує методи Mining Software Repositories з OSINT-підходами, включаючи аналіз доменів електронної пошти, комітів і публічних профілів.

М е т о д и . Досліджено модель оцінювання ризиків ланцюгів постачання програмного забезпечення з відкритим кодом. Модель географічної концентрації базується на модифікованому індексі Герфіндаля – Гіршмана (HHI) для кількісного оцінювання розподілу внесків розробників за країнами. Модель стійкості супроводжувачів використовує метрику bus factor для визначення мінімальної кількості ключових учасників, втрата яких критично вплине на проєкт. Модель атрибуції учасників поєднує OSINT-методи аналізу доменів електронної пошти, комітів і публічних профілів для географічної ідентифікації розробників.

Р е з у л ь т а т и . Емпірична валідація на п'яти критичних проєктах з відкритим кодом на основі аналізу 1500 комітів кожного проєкту виявила значні варіації у профілях ризиків. Індекс HHI коливався від 1000+ (Django – оптимальна диверсифікація) до 7000+ (Swiper – критична концентрація). Ідентифіковано проєкти з екстремальною географічною залежністю: Tarantool – 81 % внесків із росії, що створює ризики. Встановлено, що географічна концентрація та bus factor є незалежними вимірами ризику, що підтверджує необхідність багатовимірного оцінювання.

В и с н о в к и . Запропонована багатовимірна OSINT-методологія оцінювання ризиків ланцюгів постачання програмного забезпечення з відкритим кодом продемонструвала ефективність у виявленні вразливостей. Емпірична валідація на п'яти проєктах підтвердила, що географічна концентрація та bus factor є незалежними вимірами ризику, що вимагають окремого оцінювання. Ідентифіковано проєкти з критичними профілями: Swiper (bus factor 1, ризик 100 %) повторює передінцидентний патерн XZ Utils, а Tarantool (81 % внесків із росії) створює санкційні ризики. Використання метрик забезпечує комплексне оцінювання вразливостей, що дозволяє приймати обґрунтовані рішення щодо вибору залежностей у критичній інфраструктурі.