01
解决方案基本概述
1. 需求背景
1.1. 信创产业发展， 网络安全是基础
信创是基于国内外发展环境变化和新时代新征程发展战略需要实施的重大战略举措。信创，即信息技术应用创新，是突破“卡脖子”技术，实现科技自立自强和国家网络安全、经济安全的重大举措。
没有网络安全就没有国家安全。从伊朗核电站遭遇病毒攻击，到震惊世界的“棱镜门”事件，人们更深刻地认识到，互联网安全不仅关乎公民人身财产安全，更关乎国家经济发展和国防安全。关键信息基础设施对国家安全、经济安全、社会稳定、公众健康和安全至关重要。2021年7月30日，国务院总理李克强签署中华人民共和国国务院令第745号：《关键信息基础设施安全保护条例》。只有保障关键信息基础设施的供应链安全，才能维护国家安全。
1.2. 数字化和智能化升级，开源软件风险加剧
在各行各业深入开展全面数字化转型的背景下，信创工作和数字化转型工作势必并轨同行，既是机遇，亦是挑战。在新基建的驱动下，各行各业正在开展数字化和智能化升级，实现全面数字化转型的重大战略任务。新基建需要依靠新技术的跨界融合利用，以云计算、大数据、移动互联网、物联网等为代表的新一代信息技术，带来新的架构模式和技术体系，作为开展数字化转型的新技术体系。而软件是新一代信息技术的灵魂，是数字经济发展的基础，是制造强国、网络强国、数字中国建设的关键支撑。
开源技术的应用极大的推动了大数据、云计算等各行业领域的快速发展。2021年3月12日,开源被明确列入《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》,支持数字技术开源社区等创新联合体发展,完善开源知识产权和法律体系,鼓励企业开放软件源代码、硬件设计和应用服务。
但是开源软件的引用不可避免的带来了知识产权、信息安全等方面的问题。据统计，98%的软件开发公司甚至不知道自己软件产品到底使用了哪些第三方开源组件，大部分软件开发者在引入第三方库的时候，并没有关注引入组件是否存在安全隐患或者缺陷。尤其是一些著名开源工程，完全不去做任何安全校验，这就导致产品团队快速交付的产品可能蕴含着巨大风险，这些风险可能导致企业产品受到攻击，严重者由于知识产权方面诉讼可能面临企业经营风险。
随着开源技术的不断广泛应用，更多的安全漏洞被暴露出来，每年超过4000个安全漏洞从开源软件中被报告出来，且不断递增的趋势，而由于开源软件任何人都可以下载和研究代码中的潜在风险，引用了开源软件的产品软件就更容易受到攻击。
1.3. 开源软件供应链安全治理迫在眉睫
随着软件开发过程中开源软件的使用越来越多，开源软件事实上已经成为了软件开发的核心基础设施，开源软件的安全问题应该上升到基础设施安全的高度来对待。开源软件安全作为软件供应链安全的重要环节,面临着安全漏洞、知识产权、软件供应链安全等相关风险。在此背景下,认识和了解开源安全风险情况是至关重要的。
同时安全开发管控在应对行业、国家的安全合规和技术规范的要求上，普遍处于仓促应对层面，缺乏持续性合规应对能力，进而解决合规问题的人力成本和时间成本在持续增加。
因此应高度重视信息安全保障工作，随着公司业务不断地扩大和开发模式的转变，面临的网络风险则更加复杂和严峻，安全问题迫在眉睫。
1.4. 国际软件供应链安全背景
以美国为例，出于对软件供应链的安全性及脆弱性的担忧，早在多年前就开始着手布局国家级软件供应链的安全战略，陆续出台一系列相关政策和重点项目来加强软件供应链的安全管控。近年来随着管理措施的陆续落地和管理范围的扩大，美国软件供应链安全防御体系不断加强。2017 年与 2018 年更是针对关键信息基础设施相关的供应链安全提出了明确的要求，其中包括促进供应链风险态势及相关信息共享、加强供应链风险审查评估、推动相关标准的实施应用等。
除美国之外，2016 年，英国国家互联网应急中心（CERT-UK）发布供应链网络安全风险白皮书，其中，介绍了各类软件供应链的风险案例和规避建议。2018 年 1 月，英国国家网络安全中心（NCSC）发布供应链安全专题和指导文件，其中包括 12 条安全原则，供应链攻击示例和安全性评估方法以及管理实践。
开源软件作为软件供应链中最重要的一个部分，国际上的头部企业也进行了相关的合作：以 Google 为首的 7 家技术公司在 2017 年合作推出了一个名为 Grafeas 的开源计划，旨在为企业定义统一的方式，审计和管理其使用的开源项目。并且国际上许多知名企业正不断加大针对软件供应链的安全风险治理工作，针对开源软件采用软件成分分析技术（SCA），确保第三方开源组件的安全性；针对软件开发这一过程，微软提出的软件安全开发生命周期（SDL）及Gartner 提出的 DevSecOps 理念，均旨在帮助企业降低在软件开发过程中所面临的安全问题。
为了解决开源和第三方软件供应链中的制品安全问题，SLSA（Supply-chain Levels for Security Artifacts）开源项目于2021年6月由谷歌的安全团队发布。这个框架的灵感来自于谷歌的“Borg二进制授权”，它在这之前已经被使用了近十年。SLSA 被设计成渐进式和可操作的，并在每一步都提供安全优势。一旦一个制品符合最高级别的要求，消费者就可以相信它没有被篡改过，并且可以安全地追溯到源头——这对于今天的大多数软件来说是很难做到的，甚至是不可能做到的。
2022年10月，谷歌公司推出了开源项目GUAC（Graph for Understanding Artifact Composition），GUAC 的目标是解决整个生态系统不断涌现的生成软件构建、安全性和依赖性元数据的需求，旨在通过让每个企业组织（而不仅仅是那些拥有企业级安全和 IT 资金的组织）免费访问和使用这些安全信息，有效提高这些信息的可用性，让企业能够更方便地保护自身的软件供应链安全。
2. 需求分析
2.1. 软件供应链安全分析
其中软供应链攻击常见风险主要包括，组件源头污染、软件开发过程控制不当、运维过程突发0day漏洞事件。
2.2.软件供应链风险环节
要对软件供应链风险进行治理，首先要明确软件供应链体系及风险环节。软件供应链体系及其风险环节主要分为两方面。
1）软件生命周期（SDLC）：SDLC中的风险治理主要着眼于需求分析、研发测试、发布和运营等阶段的全过程风险管控及管理，进而从软件生命周期的源头保障软件供应链安全。
2）软件产品的分发过程：随着采购方混源开发或者至直接采购商业化的产品和技术（Commercial Off-The-Shelf，COTS）以及供应商提供开源软件的趋势逐渐增强，出于软件安全方面的考虑，业内针对软件分发过程提出了软件供应链风险管理。无论是供应商还是采购方都应从软件来源、软件安全合规、软件资产管理、服务支持及安全应急响应等角度对软件分发过程风险进行管理。
2.3.软件供应链重点内容
软件供应过程风险治理，主要包括软件来源管理、软件安全合规性管理、软件资产管理、服务支持及安全应急响应，以提升软件供应链可追溯性和透视性。其中重点的治理内容，包括软件资产的第三方组件威胁审查、软件安全合规性的管理。
02
解决方案总体架构及说明
根据软件供应链需求背景、风险环节、建设重点以及信创系统安全需求现状，悬镜安全凭借多年技术攻关的专利级代码疫苗技术和下一代积极防御框架，并通过“全流程软件供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系及配套的敏捷安全闭环产品体系及软件供应链安全组件化服务， 提出信创开源软件供应链安全治理与运营方案，旨在从信创软件内部建立软件供应链管理制度，确保相关信息化软件系统安全性，以“标准体系”+“关键技术”+“治理平台”并举的方式，从源头治理软件供应链安全问题。
1）“标准体系”：指由从信创系统整个生态，建立软件供应链安全管理体系及配套标准，对各个信创系统下的软件供应链安全提出统一的要求，从而以管理维度，对整体软件供应链安全进行规范。
2）“关键技术”：指具体软件供应链安全治理技术方案，结合信创系统生态安全现状，落地软件供应链安全管控流程、安全工具链等。
3）“治理平台”：指软件供应链安全管控平台，从信创系统软件供应链整体视角统一查看软件资产风险情况、总体治理态势等，管理软件供应链安全建设效果。
悬镜信创开源软件供应链安全治理与运营方案将建立统一的安全评估标准、引入源鉴SCA开源威胁管控工具对存量与增量的软件进行“看的清、摸的着，理的明”的开源组件检测，同时引入悬镜灵脉IAST灰盒安全测试工具、云鲨RASP 自适应威胁免疫平台等工具链对整个生态进行安全测试与上线后的实时安全防护，提高上线安全测试能力与持续化的运营能力。
1）引入悬镜源鉴SCA开源组件风险检测技术工具，对公司内部进行软件系统进行第三方开源组件漏洞、许可证风险进行检测，对现有系统软件进行风险排查，梳理开源组件使用情况。
2）建立定期巡检能力，针对开源组件库进行定时、定期的开源组件安全检测。随着开源组件的安全漏洞不断爆出，开源组件的安全性不是一成不变的，需要对开源组件库中的开源组件进行持续的检测，将存在安全风险的开源组件进行版本迭代更新，保障信息系统在建过程中使用开源组件的安全合规。
3）建立开源组件使用基线、管理体系。通过梳理公司及SBOM清单、依赖关系，在爆出新的开源漏洞或上级单位下发漏洞预警时，可对开源组件漏洞位置、影响信息系统范围进行快速定位，排查受漏洞影响的信息系统后，进行快速修复。
4）梳理公司软件生命周期管理流程，并在开源技术引入、使用、部署、运行环节进行必要的阻断控制手段，将开源组件安全管控能力嵌入软件生命周期，检验是否遵循合规流程，建立供应链攻击防火墙，防止风险组件的引入导致。
5）建立开源组件风险持续运营能力。一方面支持对开源漏洞信息持续收集，保障开源漏洞库的信息齐全。另一方面，支持精确定位开源软件引入的代码位置，并提供详细的修复方案、应急机制，在发现开源隐患后为研发人员提供准确的开源组件修复方案。
03
解决方案功能模块介绍
1.源代码组件及依赖检测
支持主流开发语言如Java、JavaScript、Python、PHP、Golang、Scala、C#、Ruby、Swift、Objective-C、Erlang、Rust、R、Clojure、Groovy、Lua、Kotlin等的检测；
支持组件依赖分析，包括直接依赖和间接依赖，能够识别并标明直接引用的组件以及间接引用的组件，并能够分析出组件的来源，定位组件在项目的引用位置。
2.二进制制品文件检测
支持主流开发语言如C/C++、Swift、Objective-C、Go、Java、Python、PHP、C#等二进制文件的检测分析；
支持不同可执行文件格式如PE文件、ELF文件、JAR包、WAR包、APK包、IPA包、PYC包等的检测以识别存在的安全风险；
支持容器镜像包的检测，对容器镜像包内基础环境及应用进行审查，对开源组件漏洞等安全风险进行检测。
3.应用运行时组件检测
支持在应用运行时的软件成分分析，利用插桩技术在测试环境和运维环境中对已运行的应用进行开源组件安全检测，准确识别漏洞及许可协议风险。结合组件风险情报，快速梳理定位组件位置，并提供热补丁等临时修复方案。
4.SBOM清单输出
支持将检测结果以物料清单形式生成，清单内容包括：①组件信息，如组件发布厂商、组件名称、版本号、所属语言、发布日期、许可证、是否来自官方等；②漏洞信息，如CVE/CNNVD/CNVD等漏洞编号、咯东名称、风险等级、漏洞类型、发布时间、利用难度、漏洞描述及修复建议、影响的组件等信息；③许可证信息，如许可证名称、风险等级、许可证链接、风险说明、使用范围、使用条件、使用限制、兼容性说明等信息。
5.第三方平台对接
支持与Git、GitLab、GitHub、Gitee、Gerrit、SVN、Maven、Jenkins等进行集成，在流水线相应环节对开源组件风险进行检测；支持编码阶段的开源安全检测，通过在IDEA、Eclipse、Pycharm等开发工具中安装IDE插件；支持与Nexus等私服仓库对接集成，可对私服仓库定期/即时进行开源组件安全检查。
支持与Jira、禅道等缺陷管理系统集成，可将检出的漏洞一键分享至相应缺陷管理系统
6.上线前应用安全检测
除了对组件风险进行管控外，在应用上线、发布过程中，对应用系统进行应用安全测试，发现存在的应用漏洞威胁，从测试阶段发现应用的风险，防止应用“带病上线”。
7.上线后应用免疫能力
基于RASP的应用运行时自免疫技术，将代码疫苗注入的线上运行的业务应用中，提供针对应用漏洞的精准免疫和入侵检测能力。作为软件供应链安全治理体系中持续运营环节的关键工具，除了提供的持续应用威胁免疫能力，也能够分析应用间东西向流量、微服务关联性、攻击流向、敏感数据泄漏等。
04
解决方案实施效果
1.基于SBOM格式统一安全评估标准
SBOM（Software Bill of Material，软件物料清单）的概念源自制造业，其中物料清单 BOM 是用来详细说明产品中包含的所有项目的清单。例如在汽车行业，制造商为每辆车提供一份详细的物料清单，列出原始设备制造商制造的部件以及来自第三方供应商的部件。当发现有缺陷的部件时，汽车制造商可以准确地知道哪些车辆受到影响，进而通知车主维修或更换。
SBOM作为软件供应链安全关键的落地治理条件之一，能够统一软件信息接口，对采购软件和自研软件风险评判进行标准统一。SBOM常规包含内容如下：
关于SBOM信息数据的组成，可通过安全检测工具链接实现，因此可引入悬镜源鉴SCA工具和悬镜SAST工具，支持管理过程中必要的技术控制卡点和SBOM输出。
2.引入SCA工具进行存量、增量检测
SCA软件成分分析技术作为软件供应链安全治理关键技术，可以实现软件组成清单、组件风险、许可协议风险进行检测。悬镜源鉴SCA提供的源码SCA、二进制SCA、运行时SCA能力，可有效覆代码仓库（Git、SVN等）、制品仓库（Nexus、Jfrog、Docker等）、已运行系统等应用，帮助企业检测当前存量的组件或软件（jar、war、tar、zip、gz、exe、so、apk、ipa等）的已知风险，并同步梳理SBOM（软件物料清单）或组件清单。在满足当前解决已知风险的同时，建立后续方便排查和梳理的软件资产清单。
将SCA能力接入CI/CD流程，可配合Jekins、DevOps等流程控制，在IDEA编码阶段、Maven编译构建阶段、打包docker镜像阶段、发布运行测试阶段介入，检测应用开发发布过程中，是否引入新的风险组件，控制增量风险。
3.引入IAST工具进行上线应用安全测试
从软件供应链安全角度，除了需要组件成分风险外，其中软件本身应用风险仍然需要关注。IAST交互式应用安全测试工具，通过接入应用上线前安全测试阶段，在不影响研发本身的工作量的前提下，对上线应用进行质量审核，确保消除90%高危漏洞。并且基于悬镜IAST特有的All in One运行时插桩，可实现应用运行时SCA检测，并提供漏洞风险热修复和自免疫能力。
其IAST应用特点及价值如下：
1）上线前应用安全测试：嵌入应用开发发布前，进行上线前应用安全测试，整体评估发布应用安全性，提前消减大部分已知风险。在规范软件生产链同时，建立安全质量控制，确保发布安全软件制品。
2）漏洞风险热修复、闭环流程：在精准发现漏洞的同时，除了提供漏洞修复的方案、SDK、编码规范外，提供插桩热补丁进行漏洞修复。弥补以往漏洞修复闭环难的问题。
4.围绕SBOM建立安全管理流程
围绕统一的SBOM安全评估标准，围绕软件生命周期建立，制定卡口。建立统一标准的信创系统开源软件供应链安全管理流程，并对信创软件供应链进行安全测试，输出评估结果。其管理流程如下：
l建立基线：根据已清点的资产，进行《白名单、黑名单组件基线》建立，指导后续组件选用。
l安全设计评估：在项目进行需求设计时、安全评审阶段，对选用的第三方组件进行风险评估，并依据《白名单、黑名单组件基线》选用安全组件。
l应用安全测试：除了对组件风险进行管控外，在应用上线、发布过程中，对应用系统进行应用安全测试，发现存在的应用漏洞威胁。
lCI/CD缺陷修复&跟踪：将发现的风险接入CI/CD缺陷修复&跟踪平台，如Jira、禅道等，提前修复缺陷并更新SBOM中应用漏洞风险信息。
l产品制品发布：发布产品制品时，同时生成SBOM。经过安全管理流程对软件和软件SBOM安全测试，出具安全测试报告。
5.延伸RASP持续化运营能力
RASP应用运行时自免疫技术，将代码疫苗注入的线上运行的业务应用中，提供针对应用漏洞的精准免疫和入侵检测能力，所有攻击手段最终都可以归为敏感命令执行、敏感文件读写、敏感数据库操作。所以，无论漏洞隐藏在自研代码、第三方组件或者是 Web 容器，RASP技术都能提最终的保护，为漏洞修复争取宝贵的时间，从而保障持续运营过程中企业拥有足够的威胁免疫和供应链攻击应急响应能力。
RASP作为软件供应链安全治理体系中持续运营环节的关键工具，除了提供的持续应用威胁免疫能力，也能够分析应用间东西向流量、微服务关联性、攻击流向、敏感数据泄漏等。为企业在HVV期间提供针对0day漏洞攻击免疫和攻击行为监控手段。
6.建立软件供应链安全治理体系
针对软件供应链安全治理的建设成果，参考信通院《软件供软件供应链安全系列体系标准架构》和《可信研发运营安全能力成熟度模型》梳理制定适合自身的体系标准或架构模型。
并对信创系统应用进行成熟度评估，出具响应评估结果或认证，从而建立信创生态内部通用性的体系标准、评估体系。
7.软件供应商管理评估模型
供应商风险评估是指企业通过对供应商的产品分析及企业过程的诊断，用于了解和降低与产品或服务的第三方供应商合作所带来的风险。在购买或与第三方供应商合作时，组织容易受到各种风险的影响，例如安全漏洞，业务中断，供应商不遵守法规和行业标准而造成的声誉损害等。为了防止这些情况发生，企业应对其进行评估，对潜在风险进行识别、衡量和确定优先级，以确定潜在风险带来的影响。
相较于SBOM建设、引入SCA工具进行存量和增量检测、IAST、RASP等工具链体系建设，更重要的是建设引入软件供应商管理体系，结合成熟度标准，对供应商进行成熟度认证和周期评估管理，不断优化供应商管理规范，保障整体软件软件供应链安全风险。
8.建立软件供应链安全管理平台
根据体系管理内容，建立软件供应链安全管理平台，具备针对整个软件供应链体系的安全管理和评估分析能力，建立信创系统开源软件供应链安全风险展示大屏。整个平台可按照软件供应链上游、生产链、下游相关风险进行统一管理，统一管理信创系统开源软件资产风险情况，并及时同步SBOM最新信息和下达供应链安全事件整改通报。
9.方案完善及标准化输出
将解决方案进行完善并实现标准化，配套对相应的业务部门进行方案实训，实现软件供应链安全解决方案的对外商业化输出。在产生收益的同时，推动行业软件供应链安全实践落地。
05
解决方案应用案例
伴随着金融行业数字化转型需求的激增，该金融企业大量引入开源组件为其开发赋能，并享受其带来的功能丰富、迭代快速等好处。但同时，开源软件的安全性、可靠性、可维护性以及许可证合规性等也给该金融企业的科技建设带来新的挑战：
存在过时或废弃的开源组件，由于未能及时更新版本或修复补丁，一旦发生新的漏洞，将会给企业业务带来经济损失。
缺乏开源漏洞知识库，由于缺少漏洞信息跟踪能力，使得漏洞修复具有滞后性，增加了软件被攻击的风险，为软件供应链安全管控增加了难度。
各开源组件之间关联依赖关系复杂，无论是直接依赖关系还是间接依赖关系，都会导致在组件之间存在漏洞传播风险。
源鉴SCA与该金融企业的DevOps系统流程集成。
需求阶段，根据所掌握的企业开源组件使用情况建立开源制品库，对开源组件进行统一管理，使用源鉴SCA工具对开源组件进行排查，保证开源组件的可控性和可追溯性。
开发阶段，开发人员对所需要使用的组件，根据源鉴SCA平台知识库给出的信息进行安全评估从而决定是否能使用该组件，整个评测过程标准化，评测文档系统存档。
构建阶段，源鉴SCA自动分析项目中使用的组件情况，若有违反安全策略的，可以阻断项目构建过程。
开源组件运维阶段，通过源鉴SCA能够对相关应用组件以及相关组件库进行定时定期的扫描，确保相关应用以及组件库的安全性，并进行实时监控，建立跟踪表格或者通过工具能够快速定位或查找开源组件，当组件发生风险时，能够快速通知相关人员。
源鉴SCA与该金融企业现有的安全检测工具相结合，保障软件安全，提升业务系统开发质量。
（3）价值成效
附1
相关产品列表介绍
悬镜源鉴开源威胁管控平台（以下简称“源鉴SCA”）基于多源 SCA 开源应用安全缺陷检测技术，结合悬镜独有的应用探针技术，精准识别应用开发过程中软件开发人员引用的第三方开源组件，并通过应用组成分析引擎，多维度提取开源组件特征，计算组件指纹信息，深度挖掘组件中潜藏的各类安全漏洞及开源协议风险。相比于传统的 SCA 检测平台，源鉴 SCA 引擎更加侧重应用系统实际运行过程中动态加载的第三方组件及依赖，在此基础上进行深度且更加有效的威胁分析。同时，本平台通过智能化数据收集引擎在全球范围内获取开源组件信息及其相关漏洞信息，及时获取开源组件漏洞情报，降低由开源组件带来的安全风险，保障软件安全。
灵脉 IAST 灰盒安全测试平台（以下简称“灵脉 IAST”），作为悬镜 DevSecOps 智适应威胁管理体系中 CI/CD 管道的新型威胁发现平台，通过全场景流量分析技术，如运行时应用插桩（含主动及被动）、启发式爬虫、终端流量代理 /VPN 及流量管家（主机流量嗅探、旁路流量镜像）等和原创 AI 渗透启发技术赋能传统 IT 从业人员，在政企用户的组织内部快速建立安全众测模式，使传统安全小白（研发、测试、QA 等）完成应用功能测试的同时即可透明实现深度业务安全测试，有效覆盖 95% 以上中高危漏洞，防止应用带病上线。
l悬镜云鲨RASP
悬镜安全在 RASP 技术原理的基础上，结合自身独有的专利级算法及技术，研发出基于运行时情境感知技术的新一代应用威胁免疫平台——云鲨 RASP 自适应威胁免疫平台。
云鲨 RASP 自适应威胁免疫平台（以下简称“云鲨 RASP”）通过专利级 AI 检测引擎、应用漏洞攻击免疫算法、运行时安全切面调度算法及纵深流量学习算法等关键技术，将主动防御能力“注入”到业务应用中，借助强大的应用上下文情景分析能力，可捕捉并防御各种绕过流量检测的攻击方式，提供兼具业务透视和功能解耦的内生主动安全免疫能力，为业务应用出厂默认安全免疫迎来革新发展。
悬镜软件供应链安全管理平台，作为悬镜DevSecOps智适应威胁管理体系的全流程管理平台，不仅聚焦开发早期需求分析、架构设计阶段的威胁建模，还重点解决当下软件应用漏洞管理中普遍存在的漏洞发现能力孤立、漏洞管理难闭环、开发流程难管控等核心痛点问题。它的核心定位是从开发源头开始将专家团队的安全能力持续赋能给传统IT项目人员，使安全思想注入DevSecOps/SDL全生命周期，帮助企业组织流程化、自动化、持续化地保障业务安全。
悬镜软件供应链安全管理平台内置流程自定义引擎，实现安全开发流程和漏洞管理流程的可自定义配置，同时提供情景式问题分析威胁建模功能，通过常见场景化分类，进而识别安全威胁点，关联相关安全需求、安全设计的消减措施与编码安全规范、测试验证要求，形成安全威胁闭环管理，在系统上线前尽量减少安全威胁输出。
Copyright © 2005-2021 网信安全世界版权所有