上海2022年10月14日 /美通社/ -- 近日,上海安勢(shì)信息技術(shù)有限公司的清源SCA工具在騰訊成功部署。
開(kāi)源軟件在促進(jìn)全球的技術(shù)創(chuàng)新方面發(fā)揮著越來(lái)越重要的作用,企業(yè)越來(lái)越依賴開(kāi)源軟件來(lái)加速開(kāi)發(fā)與創(chuàng)新,根據(jù) Gartner 的調(diào)查報(bào)告,如今超過(guò) 90% 的企業(yè)在其重要的 IT 系統(tǒng)中使用了開(kāi)源軟件。不過(guò)正如2021年底爆發(fā)的Log4j事件對(duì)整個(gè)軟件供應(yīng)鏈造成的影響,開(kāi)源安全問(wèn)題仍然充滿挑戰(zhàn)。通過(guò)SCA (Software Composition Analysis, 軟件成分分析) 工具,可幫助企業(yè)構(gòu)建準(zhǔn)確的 SBOM (Software bill of materials, 軟件物料清單),提供清晰的軟件成分可視性分析,降低和管理應(yīng)用或容器中因使用開(kāi)源軟件和其他第三方代碼(軟件)引入的安全、質(zhì)量與許可證合規(guī)性風(fēng)險(xiǎn)。
在軟件開(kāi)發(fā)過(guò)程中,企業(yè)將不可避免的直接或間接引入開(kāi)源軟件。如在開(kāi)發(fā)階段由開(kāi)發(fā)人員引入的代碼片段,通過(guò)Maven等常用的包管理器引入的依賴等,正是由于開(kāi)源軟件可能通過(guò)多種不同形式引入代碼庫(kù),這就要求SCA工具必須具備不同的探測(cè)技術(shù)來(lái)準(zhǔn)確識(shí)別在各種場(chǎng)景下引入代碼庫(kù)中的開(kāi)源軟件。在這一點(diǎn)上,清源SCA充分覆蓋所有的引入場(chǎng)景:
1. 多維度的探測(cè)技術(shù)
清源 SCA可進(jìn)行代碼片段識(shí)別、文件識(shí)別、組件識(shí)別、依賴識(shí)別和容器鏡像掃描。通過(guò)多種行業(yè)領(lǐng)先的算法打造出安全、合規(guī)、高效、易用的軟件成分分析系統(tǒng),為企業(yè)梳理研發(fā)過(guò)程中的軟件物料清單,提供強(qiáng)大的技術(shù)支持。
SCA工具的挑戰(zhàn)之一是如何完整、準(zhǔn)確的識(shí)別出產(chǎn)品中所引入的開(kāi)源組件,除了多維度的探測(cè)技術(shù)和匹配算法外,同時(shí)必須有一個(gè)強(qiáng)大的數(shù)據(jù)庫(kù),在此基礎(chǔ)上,關(guān)聯(lián)組件版本的許可證、漏洞、加密算法等其他特征數(shù)據(jù)。
2. 強(qiáng)大的數(shù)據(jù)庫(kù)
清源SCA擁有海量數(shù)據(jù)儲(chǔ)備,其中包含24萬(wàn)漏洞數(shù)據(jù)、1億7千萬(wàn)的組件信息、3萬(wàn)億行開(kāi)源代碼、2,000多種許可證類型、1000億文件特征信息等,檢測(cè)范圍覆蓋各大開(kāi)源組件倉(cāng)庫(kù)。清源SCA龐大的數(shù)據(jù)庫(kù)為準(zhǔn)確識(shí)別開(kāi)源組件提供強(qiáng)大的支撐,保證組件識(shí)別的完整性。同時(shí),清源SCA的專家團(tuán)隊(duì)不斷優(yōu)化數(shù)據(jù)庫(kù)匹配算法的效率和性能,保證持續(xù)更新和積累。
隨著近年DevOps的應(yīng)用與發(fā)展,SCA工具作為工具鏈當(dāng)中的一環(huán),集成與接入能力顯得尤為重要;其次,作為一款成熟的企業(yè)級(jí)的SCA工具,必須經(jīng)過(guò)大型企業(yè)的落地實(shí)踐檢驗(yàn),產(chǎn)品性能需要滿足大型企業(yè)的高標(biāo)準(zhǔn)的要求,工具絕不能成為影響研發(fā)效率的卡點(diǎn)。通常大型企業(yè)的業(yè)務(wù)場(chǎng)景、組織架構(gòu)比較復(fù)雜,所以一款企業(yè)級(jí)SCA工具必須具備負(fù)載均衡等靈活的方式來(lái)滿足企業(yè)復(fù)雜的需求場(chǎng)景。
3. 企業(yè)級(jí)的解決方案
清源SCA作為一款已在大型互聯(lián)網(wǎng)企業(yè)落地實(shí)踐的SCA工具,具備以下特點(diǎn):
清源(CleanSource) SCA憑借突出的產(chǎn)品性能,可通過(guò)負(fù)載均衡等方式滿足高并發(fā)的需求。同具有極強(qiáng)的可擴(kuò)展性、可滿足數(shù)據(jù)隔離,來(lái)達(dá)到資源的合理分配和最大化利用。
為滿足企業(yè)的數(shù)據(jù)安全合規(guī)需求,清源SCA同時(shí)支持私有云和公有云部署。作為一款軟件成分分析的工具,在提供本地部署的同時(shí)兼顧數(shù)據(jù)庫(kù)快速、高效更新。
4. 靈活的部署和更新
清源SCA引擎和KB庫(kù)均支持本地部署,支持掃描、代碼比對(duì)等全部離線掃描分析能力,掃描過(guò)程無(wú)需連接外網(wǎng);并且代碼進(jìn)行不可逆加密后識(shí)別,無(wú)代碼泄露風(fēng)險(xiǎn)。KB庫(kù)支持增量更新,多種方式滿足客戶在不影響業(yè)務(wù)的前提下快速、高效的完成更新。
多維度的探測(cè)技術(shù)、強(qiáng)大的數(shù)據(jù)庫(kù)、企業(yè)級(jí)的解決方案以及靈活的部署和更新方式構(gòu)成了清源SCA的強(qiáng)大產(chǎn)品優(yōu)勢(shì),同時(shí),此次在騰訊的成功部署,體現(xiàn)了安勢(shì)信息對(duì)大型企業(yè)強(qiáng)大的技術(shù)支持能力。
作為開(kāi)源領(lǐng)域的"資深玩家",騰訊很早就開(kāi)始接觸和使用SCA工具來(lái)推動(dòng)內(nèi)部開(kāi)源安全和合規(guī)治理。面對(duì)規(guī)模愈趨龐大、復(fù)雜的開(kāi)源組件,一款兼具掃描準(zhǔn)確與高性能的企業(yè)級(jí)SCA工具顯得尤為重要。清源(CleanSource) SCA工具,經(jīng)過(guò)多輪PoC測(cè)試,從眾多國(guó)內(nèi)外競(jìng)品中脫穎而出,滿足了騰訊對(duì)SCA工具的高標(biāo)準(zhǔn)要求:掃描速度快、掃描結(jié)果準(zhǔn)確、及合規(guī)性掃描能力、知識(shí)庫(kù)全面,達(dá)到提升內(nèi)部安全與合規(guī)管控的目的。
隨著國(guó)家數(shù)字化轉(zhuǎn)型不斷加速和開(kāi)源產(chǎn)業(yè)的持續(xù)發(fā)展,多項(xiàng)發(fā)布的政策把開(kāi)源上升到國(guó)家政策層面,肯定了開(kāi)源模式對(duì)信息技術(shù)創(chuàng)新和軟件產(chǎn)業(yè)發(fā)展的重要性。同時(shí),頻繁的開(kāi)源軟件安全漏洞使開(kāi)源軟件的安全與合規(guī)風(fēng)險(xiǎn)受到空前重視,安勢(shì)信息十分肯定SCA軟件成分分析技術(shù)將得到更加廣泛的應(yīng)用。未來(lái),安勢(shì)信息會(huì)繼續(xù)加大對(duì)產(chǎn)品研發(fā)的投入,不斷進(jìn)行技術(shù)創(chuàng)新,助力提升中國(guó)軟件供應(yīng)鏈安全。