二进制成分分析类-华为云

开源治理服务 CODEARTS GOVERNANCE-组件版本为什么没有被识别出来或识别错误？（旧链接，即将下线）

组件版本为什么没有被识别出来或识别错误？（旧链接，即将下线）成分分析扫描无法识别组件版本常见原因有：成分分析特征库不支持该开源软件版本。用户引用的开源软件修改过源码，或使用时部分引用该软件功能，导致实际编译/发布文件中相关软件特征未达到工具识别阈值，造成开源软件无法识别或版本识别异常。用户使用的开源软件包含被动依赖软件，该依赖软件可能为部分引用，造成软件无法识别或版本识别异常。父主题：二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE 二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE-成分分析的安全编译选项类问题如何分析？

成分分析的安全编译选项类问题如何分析？成分分析会检查用户包中的C/C++、Go文件在构建编译过程中是否添加了保护性的编译选项，来保护文件运行时免受到攻击者的攻击。安全编译选项类问题分析指导：导出Excel报告，查看安全编译选项Sheet页。根据filepath列寻找目标文件在扫描包中位置，确认文件来源。查看目标文件对应的安全编译选项结果。如果对应项结果底色为绿色或结果值为“YES”或“NA”（rpath项禁选结果值为“No”或“NA”），则说明目标文件满足安全编译选项要求，无需处理。对于不满足要求的项，排查目标文件的构建脚本，添加对应的编译选项，其中Ftrapv和FS两项由于可能影响性能，请根据实际情况确认是否添加对应选项。表1 安全编译选项检查项参考说明检查项检查项描述安全编译选项参数 BIND_NOW 立即绑定 -Wl,-z,now NX 堆栈不可执行 -WI,-z,noexecstack PIC 地址无关 -fPIC PIE 随机化 -fPIE或-pie RELRO GOT表保护 -WI,-z,relro SP 栈保护 -fstack-protector-strong或-fstack-protector-all NO Rpath/Runpath 动态库搜索路径（禁选）脚本中删除--rpath FS Fortify Source(缓冲区溢出检查) -D_FORTIFY_SOURCE=2 Ftrapv 整数溢出检查 -ftrapv Strip 删除符号表 -s 父主题：二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE 二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE-成分分析的开源软件风险如何分析？

成分分析的开源软件风险如何分析？成分分析基于静态风险检测，会对用户上传的软件包/固件进行解压并分析其中的文件，识别包中文件包含的开源软件清单，并分析是否存在已知漏洞、License合规等风险。用户扫描完成后，建议按照以下步骤进行分析排查：开源软件分析，分析开源软件是否存在以及软件版本是否准确。基于报告详情页面或导出的报告中开源软件所在文件全路径找到对应文件，然后分析该文件中开源软件是否存在或准确（可由相关文件的开发或提供人员协助分析），如果否，则无需后续分析。已知漏洞分析，分析已知漏洞是否准确。通过NVD、CVE、CNVD等社区搜索相关CVE已知漏洞编号，获取漏洞详情。概要分析：查看影响的软件范围，如CVE-2021-3711在NVD社区中的Known Affected Software Configurations，如下图，确认漏洞是否影响当前使用的软件版本，如果当前使用的软件版本不在影响范围内，则初步说明漏洞可能不涉及/影响。精细化分析：漏洞通常存在于某些函数中，可以通过社区中的漏洞修复补丁确认漏洞详情、涉及函数以及修复方式，如下图，用户可以结合自身软件对于相关开源软件功能的使用是否涉及相关漏洞 License合规分析。基于报告中开源软件及对应的License分析软件是否合规，满足公司或准入要求。风险解决方式：已知漏洞：如果当前使用的软件版本存在漏洞，可通过升级软件版本至社区推荐版本解决。紧急情况下也可以通过社区推荐的patch修复方式临时解决。 License合规：如果使用的软件存在合规风险，则需要寻找相似功能且合规的开源软件进行替代。父主题：二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE 二进制成分分析类

漏洞管理服务-如何查看用户组是否具有Tenant Administrator或VSS Administrator权限，及如何对用户组角色授权？

如何查看用户组是否具有Tenant Administrator或VSS Administrator权限，及如何对用户组角色授权？登录华为云，在右上角单击“控制台”。单击右上角的个人账号下的“ 统一身份认证 ”，进入“统一身份认证服务”页面。选择“用户组”，单击用户组名称即可查看角色授权记录。图1 查看用户组授权记录切换至“用户管理”页签，可以查看该用户组下的所有用户，也可以将其他用户添加至该用户组。如果该用户组缺少相应角色权限，单击“授权”，进入“选择策略”步骤，模糊搜索“Tenant Administrator”或“VSS Administrator”权限的关键字，勾选相应策略。单击“下一步”，设置最小授权范围。图2 设置最小授权范围单击“确定”，即可完成用户组角色授权。父主题：二进制成分分析类

漏洞管理服务二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE-如何解决Roles with READONLY_USER或其他角色权限报错问题？

如何解决Roles with READONLY_USER或其他角色权限报错问题？用户需要具有Tenant Administrator或VSS Administrator权限才能使用二进制成分分析相关业务，请分别联系具有Tenant Administrator或VSS Administrator权限的用户进行授权，可参考如何查看用户组是否具有Tenant Administrator或VSS Administrator权限，及如何对用户组进行授权？查看具有权限的用户。使用具有Tenant Administrator或VSS Administrator权限的账号登录华为云，在右上角单击“控制台”。鼠标移动至右上方的账号名，在下拉列表中选择“统一身份认证”。选择待授权的用户，单击“授权”。进入“选择授权方式”步骤，选择“继承所选用户组的策略”，然后勾选具有Tenant Administrator或VSS Administrator权限的用户组。单击“确定”完成授权。父主题：二进制成分分析类

开源治理服务 CODEARTS GOVERNANCE 二进制成分分析类

漏洞管理服务-成分分析的扫描原理是什么，主要识别哪些风险？

成分分析的扫描原理是什么，主要识别哪些风险？对用户提供的软件包/固件进行全面分析，通过解压获取包中所有待分析文件，基于组件特征识别技术以及各种风险检测规则，获得相关被测对象的组件BOM清单和潜在风险清单。主要包括以下几类：开源软件风险：检测包中的开源软件风险，如已知漏洞、License合规等。安全配置风险：检测包中配置类风险，如硬编码凭证、敏感文件（如密钥、证书、调试工具等）问题、OS认证和访问控制类问题等。信息泄露风险：检测包中信息泄露风险，如IP泄露、硬编码密钥、弱口令、 GIT/SVN仓泄露等风险。安全编译选项：支持检测包中二进制文件编译过程中相关选项是否存在风险。图1 风险项父主题：二进制成分分析类

漏洞管理服务二进制成分分析类

云服务器内容精选

二进制成分分析类

7*24

备案

专业服务

退订

建议反馈

售前咨询热线