T- Sec软件成分分析(SCA)软件供应链安全解决方案

01 软件供应链安全建设的挑战

• 软件供应链安全建设面临挑战：如何统计软件资产、确定组件风险、发现潜在攻击链、确认开源许可证风险及漏洞修复难度。
• 软件供应链安全能力建设的趋势、必要性和监管要求：
  • 定义：软件设计与开发各阶段的安全，包括编码过程、工具、设备及上游代码、模块和服务的安全，以及软件交付渠道和使用安全。
  • 风险：泄密、劫持、更新时感染病毒。
  • 行业监管与政策：
    • 国家级攻防演练2022-2023防守单位失陷案例60%+与软件供应链安全相关。
    • 国家级攻防演练Top5攻击技战法及持续供应链安全专项。
    • 政策：《关键信息基础设施安全保护条例》《关于供应链安全风险提示》《关于规范金融业开源技术应用与发展的意见》等。
    • 标准：《软件成分分析系统安全技术要求与测试评价方法》。

02 T-Sec软件成分分析解决方案

• 腾讯科恩软件供应链安全解决方案：T-Sec软件成分分析，以源码/二进制软件成分分析为核心，检测开源组件风险，建立软件物料清单（SBOM），解决开源安全及合规问题。
• T-Sec软件成分分析能力：
  • AI算法、知识库和安全运营优势：
    • 数据全面丰富：漏洞数据（30W+）、许可证数据（2K+）、组件数据（690W+）。
    • 检测精准：漏洞可达性评估、代码级特征匹配。
    • 安全运营体系高适配度与稳定性：研发体系、腾讯发布体系、灵活布署方式。
  • 分析能力优势：
    • 动静态依赖分析、文件级分析、片段级分析、代码片段分析能力。
    • 漏洞存在性、漏洞触发性、漏洞可达性。
    • 二进制特征检测、二进制依赖特征检测。
  • 管理能力优势：
    • SBOM管控、多种策略系统与数据分析能力。
    • 组件治理视角、组件运营视角、研发团队视角。
• 客户典型应用场景：
  • 开发接入场景：开发阶段质量控制、发布阶段制品晋级、多阶段解决方案。
  • 软件供应链准入场景：包解析与归档、自动化检测分析、业务包拆分。
  • 开源组件治理场景。
• 关键技术点：
  • 二进制SCA优势：解包能力强、兼容性高。
  • 系统采集能力：完整采集运行时数据，综合SCA分析。
  • 灵活审核策略、管控策略、SBOM归属权设计。