安全419業界:酷德啄木鳥釋出“析微”SCA軟體成分分析系統

11月30日,開發安全廠商酷德啄木鳥在北京舉行新品釋出會,正式釋出旗下新品——“析微”SCA軟體成分分析系統。

酷德啄木鳥總經理楊臨慶談到,隨著數字化、資訊化的不斷深入,軟體已進入大眾日常生活的方方面面。軟體研發需求不斷攀升,軟體開發量也呈幾何基數增長。為了降低軟體的開發成本和週期,企業的研發團隊開始大量的利用開源軟體元件以加快軟體的開發速度。

從2012年起,已有超過80%的商業軟體是在開源軟體的基礎上二次開發而形成的。Gartner也在一份報告中指出,現代軟體大多數是被“組裝”出來的,而不是被“開發”出來的。

開原始碼的使用大幅度提高了軟體研發效率、降低開發成本。但開源軟體中存在的大量缺陷、甚至安全漏洞也一併進入了軟體部署包,為軟體帶來巨大的安全風險。據業內統計,當前98%的程式碼庫包含開原始碼,每個程式碼庫平均有528個元件,84%的程式碼庫至少存在一個漏洞(比2019年的75%增加了9%。包含高風險漏洞的程式碼庫的百分比在2020年增加到60%,比2019年審計的49%增加了11%。

安全419業界:酷德啄木鳥釋出“析微”SCA軟體成分分析系統

楊臨慶表示,除了軟體供應鏈帶來的攻擊風險外,企業還面臨著開源軟體所帶來的使用許可風險,開源元件受具有不同義務和限制級別的許可約束,這一點往往會被開發人員所忽略,如果不遵守開源許可,將會使企業面臨訴訟甚至產品智慧財產權受到威脅,其給企業帶來的風險甚至不亞於安全漏洞。

面對開源生態下越發嚴峻的安全威脅形勢,網路安全業界廠商開始積極探索軟體成分分析SCA(Software Composition Analysis)技術,試圖尋找到一條對軟體中的風險開源元件進行高效識別和管理的解決路徑,而酷德啄木鳥自主研發的CodePecker軟體成分分析系統“析微”也同樣在這樣的背景下應運而生。

楊臨慶介紹,“析微”軟體成分分析系統旨在幫助開發人員在整合第三方軟體時,處理潛在的安全問題。系統透過分析應用軟體包中的成分,包括軟體來源、授權許可方式、版本號等資訊,並對比漏洞庫,判斷檢測包是否包含已知漏洞。幫助使用者掌握開源軟體資產資訊,及時獲取開源軟體漏洞情報,降低由開源軟體帶來的安全風險,保障企業交付更安全的軟體。

在具體功能實現方面,“析微”軟體成分分析系統重點為使用者提供包括軟體成分組成分析、軟體依賴元件合規檢測、軟體依賴元件漏洞識別、軟體成分分析專案管理以及軟體成分統計分析等多重安全管理功能,幫助使用者識別應用中的開源元件的協議,檢查元件的授權許可,並甄別元件是否存在安全缺陷,識別可能存在安全漏洞的開源元件,從多個視角深刻反映軟體應用構成的整體安全狀況,以幫助使用者在軟體開發階段介入開源元件管理手段,從程式碼源頭解決安全問題。

楊臨慶表示:“傳統安全防禦模式是救火隊式的被動防禦,通常都是在軟體上線後才開始做的,酷德啄木鳥則提出了‘固本清源’的理念,希望能夠打破傳統安全的壁壘,從源頭和程式碼最底層解決安全問題,提早發現軟體程式碼的安全缺陷,將漏洞在萌芽時期修復,以基因檢測式的主動防禦幫助使用者解決安全威脅。”

安全419業界:酷德啄木鳥釋出“析微”SCA軟體成分分析系統

在最後的圓桌環節中,酷德啄木鳥總經理楊臨慶、數世諮詢CEO李少鵬、聯通智慧安全科技CTO周凱三位嘉賓還就當前軟體開發安全普遍存在的安全痛點,圍繞開發安全建設應從何處入手、在開發安全建設過程中如何找到安全與業務發展的平衡點、如何選用適用自身發展階段的開發安全產品、如何選擇適合自身企業的開發安全供應商等多個實際問題進行了深度探討,從多個視角為觀眾帶來了專業的解讀。

安全419關注到,作為一家成立於2013年的成熟型開發安全廠商,酷德啄木鳥已陸續推出了旗下的原始碼缺陷分析系統-補闕(SAST)、動態測試工具-參透(DAST)、互動式安全檢測系統-如影(IAST)、執行時應用自保護系統-關楗(RASP),隨著軟體成分分析系統“析微”(SCA)的釋出,其DevSecOps全系工具鏈已逐漸趨於完備。

常言“工欲善其事,必先利其器”,在DevSecOps關注度水漲船高的當下,酷德啄木鳥註定將迎來一個快速發展的機遇期。

頂部