SOFAStack软件供应链安全产品解析——SCA软件成分分析

近年来，软件供应链安全相关攻击事件呈快速增长态势，造成的危害也越来越严重，为了保障软件供应链安全，各行业主管单位也出台了诸多政策及技术标准。基于内部多年的实践，蚂蚁数科金融级云原生PaaS平台SOFAStack发布完整的软件供应链安全产品及解决方案，包括静态代码扫描Pinpoint，软件成分分析SCA，交互式安全测试IAST，运行时防护RASP，安全洞察Appinsight等，帮助客户应用软件实现“发布前检测，运行时免疫”。

本文将着重介绍针对开源组件风险发现场景的软件供应链安全产品——SCA软件成分分析。

开源组件安全的挑战

为提高开发效率、节约开发成本，企业在软件开发过程中引入的开源组件比例越来越高，而因此存在的开源组件安全隐患却未被重点关注。因此从开源软件治理层面出发，开源组件安全面临的挑战包括：

• 组件通用漏洞风险急剧上升。黑客组织逐渐将目标转移在开源软件上，可以轻易找到源代码漏洞从而入侵和攻击，危及响应系统或数据的完整性和机密性。据Synopsis相关数据统计，开源代码仓库中至少存在一个漏洞的仓库占整体开原仓库的比例已上升到了84%。
• 开源软件许可证繁多且复杂。开发人员使用的开源软件许可证繁多难以一一维护，并且存在误使用黑客冒充的合法开源或系统组件名称的组件致使开发者无法识别，另外，违规使用开源软件也会造成许可证合规性风险。
• 组件过维护期或未更新。由于开发人员更侧重业务自身规划和版本改动频繁易引起兼容性问题，从而导致对于其使用的运行时版