张文凯-研发体系下开源安全风险发现与治理

来自软件供应链安全的挑战

• 软件供应链安全趋势：行业监管与政策持续加强，国家级攻防演练中60%+失陷案例与软件供应链安全相关，国家将供应链安全列为重点关注领域。
• 建设必要性及价值：建立体系规范、安全左移、准入管理，从源头把控安全。
• 监管政策：《关键信息基础设施安全保护条例》《关于供应链安全风险提示》等政策要求企业加强供应链安全管理。
• 开源组件风险案例：
  • 漏洞风险："太阳风暴"攻击利用SolarWinds漏洞，影响18000多个用户；Spring框架漏洞可远程执行命令；Apache Log4j2漏洞影响超6万开源软件；XZ后门事件发现恶意后门。
  • 许可证风险：罗盒公司状告风灵公司侵权获赔50万元，中国首个明确GPL3.0许可证法律效力的案例；抖音海外版TikTok因违反GPL许可证下架。
• 开源组件挑战：供应商制品成分未知、开发代码中引入未知组件、开源组件漏洞/投毒/许可证风险未知。

企业在开源组件治理上的痛点

• 能力建设缺乏：缺乏SCA能力体系建设、开源风险预警能力、制品准入能力建设。
• 检测覆盖不足：SCA能力未全覆盖，源码/制品SCA能力接入不足，分析能力受限。
• 风险修复困难：组件/漏洞修复复杂，升级版本选择困难，修复方案缺乏。
• SBOM台账风险运营：建立企业级SBOM、台账运营、风险快速定位、数据长期维护困难。

软件成分分析（SCA）

• 研发角度看软件供应链安全问题：开源组件问题突出，SCA工具引入是首要优先级。
• SCA核心挑战：组件检出能力覆盖、检出准确度保证（版本/识别）、漏洞知识库修正、多数据源数据汇聚、开源组件许可证监控。

软件成分分析工具引入思路

• 在软件供应链准入场景下应用：
  • 包归档、元信息提取、二进制SCA（解包能力强、兼容性高）、系统采集能力。
  • 制品包验证机制、服务器系统级采集机制、可信SCA成分分析、恶意样本特征检测。
  • 复杂包格式解析、数据归档、常态化回扫、业务包拆分。
• 在开源组件治理场景下的流程：
  • 自动化检测分析、人工验证分析、供应链包准入。