云服务器内容精选
-
产品优势 二进制成分分析 无源码、无侵入快速检测 只需要上传产品发布包或固件，无需构建运行环境或运行程序。 多语言、多文件格式、多架构平台 支持多语言，多构建场景下的制品检测，场景覆盖不遗漏。 恶意代码检测，确保供应安全 基于AI开源软件恶意代码检测能力，恶意行为早发现。 敏感信息检测防泄露 支持安全配置和密码密钥等敏感信息检测，发现潜在的安全风险。 开源软件中心 安全可靠的开源软件资产 开源软件已通过元数据完整性、依赖信息、恶意软件扫描等方式进行治理，确保开源软件的质量和安全性。 全面的开源软件资产管理 提供全面的开源软件资产，包括开源软件元数据信息、开源软件漏洞信息、开源软件依赖信息等。
-
CodeArts Governance最佳实践汇总 本文汇总了基于开源治理服务（CodeArts Governance）常见应用场景的操作实践，为每个实践提供详细的方案描述和操作指导，帮助用户了解CodeArts Governance的使用方法。 表1 CodeArts Governance最佳实践一览表 最佳实践 说明 使用CodeArts Governance进行二进制成分分析 本实践为您介绍如何使用CodeArts Governance进行二进制成分分析。
-
应用场景 据《2024年中国软件行业全景图谱》统计，2023年国内软件市场规模超12万亿，我国软件行业正处于成长期，市场规模增长较快，预计2029年整体行业的市场规模将超21万亿。据《2023年软件供应链状况报告》指出，过去三年针对软件供应链的攻击平均年增长高达742%。因此，开源/第三方软件引入评估面临以下问题： 针对采购的软件或对外交付的软件产品没有很好的安全检测手段。 产品需要对供应商有基础的安全性认证。 开源漏洞响应与修复效率低，安全风险缺乏管理。 通过二进制成分分析服务提供页面和开放API，提供风险快速评估能力。功能特性如下： 全方位风险检测：对软件包/固件进行全面分析，基于各类检测规则，检测相关被测对象的开源软件漏洞和许可证合规、敏感信息（弱口令、硬编码密码等）、安全配置、安全编译选项等存在的潜在风险。 支持各类应用：支持对桌面应用（Windows和Linux）、移动应用程序（APK、IPA、Hap等）、嵌入式系统固件等的检测。 专业分析指导：提供全面、直观的风险汇总信息，并针对不同的扫描告警提供专业的解决方案和修复建议。 恶意代码检查：提供病毒木马等恶意软件的扫描，支持开源软件中敏感信息外发、木马下载执行、反弹shell、恶意命令执行恶意行为检测。
-
约束与限制 指标类别 指标项 限制说明 任务管理 语言类型 支持C/C++/Java/Go/JavaScript/Python/Rust/Swift/C#/PHP等语言开源软件已知漏洞检测。 扫描包格式 支持.7z、.arj、.cpio、.phar、.rar、.tar、.xar、.zip、.jar、.apk、.war等格式文件，以及Android OTA Images、Android sparse、Intel HEX、RockChip、U-Boot等固件。 扫描包上传大小限制 5GB。
-
实施步骤 登录开源治理服务控制台。 在左侧导航栏，单击“二进制成分分析”。 在“二进制成分分析”页面，单击“添加任务”，弹出“添加任务”对话框，单击“扫描对象”旁的文件框，选择本地的软件包，导入扫描对象。 文件上传成功后，单击“确定”，等待扫描任务完成。 单击任务名称，也可以单击任务列表操作列的“查看报告”，进入扫描报告页面。扫描报告页面说明如表1所示。 表1 详情总览说明 栏目 说明 任务概况 显示目标任务的基本信息，包括：文件名、文件大小、特征库版本、平台版本等基本信息。 显示目标任务的组件检测、安全漏洞、安全配置、许可协议、信息泄露、安全编译选项、恶意软件扫描检测概况，包括： 组件检测：展示被扫描的软件包所有的组件数量，有漏洞、未知版本和无漏洞组件数量占比。 安全漏洞：展示超危、高危、中危、低危各个级别漏洞数量占比。 安全配置：展示通过、失败、不涉及的检测结果数量占比。 许可协议：展示高风险、中风险、低风险各个级别许可协议的统计信息。 信息泄露：展示信息泄露各检测项结果分布。 安全编译选项：展示安全编译各检测项结果分布。 恶意软件扫描：展示病毒和恶意代码扫描结果分布。 开源软件漏洞 显示扫描任务中每个组件的组件名称、组件版本、许可协议、包含文件数以及存在漏洞数。 组件名称、组件版本和文件数可按升降序查看。 可按许可协议对组件列表进行筛选查看。 License详情 显示开源软件的License检测结果，包括License使用的风险等级和License间的兼容性风险。 License信息：二进制文件包License检测结果，包含License名称、风险等级、涉及组件和License描述和风险分析。 License兼容性：二进制文件包中各目录的License间兼容性风险检测。 密钥和信息泄露 显示Git地址、IP、硬编码密码、弱口令、硬编码密钥和SVN地址的检测结果。 安全编译选项 显示BIND_NOW、NX、PIC等检测项目的描述、检测结果、不符合文件数。 安全配置 显示凭据管理、认证问题和会话管理的检测项目、级别、检测结果。 恶意软件扫描 显示病毒扫描和恶意代码扫描的结果。 在“开源软件漏洞”页签可查看软件包各个组件的漏洞。 如果检测结果存在漏洞或者风险，可单击“组件名称”列，查看详细信息。 单击“对象路径”，可以查看文件对象路径详细信息。 单击“CVE”漏洞名称可以查看相应漏洞的“漏洞详情”、“漏洞简介”、“解决方案”、“漏洞修复参考”、“参考链接”。 图1 开源软件漏洞检测结果 在“密钥和信息泄露”页签查看对应检测项目的检测结果。 图2 密钥和信息泄露检测结果 在“安全编译选项”页签查看编译选项对应检测项目的检测结果。 图3 安全编译选项检测结果 在“恶意软件扫描”页签查看病毒扫描和恶意代码扫描的检测结果。 图4 病毒扫描和恶意代码扫描的检测结果
-
操作步骤 登录开源治理服务控制台。 在左侧导航栏，单击“开源软件中心”。 单击“开源软件中心”页面搜索框左侧，在下拉框中选择“软件”或“组件”，在搜索框中输入对应名称，支持模糊搜索，单击“查询”，显示查询到的所有软件或组件信息，页面右侧显示当前库中软件和组件的统计图表，相关参数说明如表1所示。 图1 开源软件中心总览 表1 汇总信息参数说明 参数 参数说明 软件/组件名称 开源软件或组件的完整名称。 版本数量 该开源软件或组件在库中的版本数量。 编程语言 该开源软件或组件的主要编码语言。 描述说明 该开源软件或组件的描述。 单击软件或组件名称，进入版本列表，显示所选择的软件或组件的所有版本信息，相关参数说明如表2所示。 图2 所有版本信息列表 表2 版本信息参数说明 参数 参数说明 版本 该开源软件或组件的版本号。 漏洞数 该版本下的具体漏洞数量，从左到右依次是超危、高危、中危、低危。 发布时间 该版本的发布时间。 许可协议 该版本的许可协议信息。 单击软件或组件版本号，进入版本详情，显示版本的详细信息。 图3 版本信息 单击“漏洞信息”页签，查看漏洞列表，相关参数说明如表3所示。 图4 漏洞信息 表3 漏洞信息参数说明 参数 参数说明 CVE 漏洞的CVE名称。 发布时间 该漏洞的发布时间。 CVSS版本 该漏洞的分数版本。 CVSS 该漏洞的分数。 漏洞等级 该漏洞分数对应的漏洞等级。 单击“CVE”字段，查看漏洞的详细信息。 图5 漏洞详细信息
-
操作步骤 登录开源治理服务控制台。 在左侧导航栏，单击“二进制成分分析”。 在“二进制成分分析”页面，单击“添加任务”，弹出“添加任务”对话框，单击“扫描对象”旁的文件框，选择本地的软件包，导入扫描对象。 图1 添加任务 支持上传.7z、.arj、.cpio、.phar、.rar、.tar、.xar、.zip、.jar、.apk、.war等格式文件，及Android OTA Images、Android sparse、Intel HEX、RockChip、U-Boot等固件。 当前仅提供正式版按需套餐扫描计费模式。 文件上传成功后，单击“确定”，开始扫描。
-
单服务页面 单服务包括：二进制成分分析、开源软件中心、License管理和专家咨询服务，其中，专家咨询服务包括研发安全SDL培训、隐私合规咨询和移动应用安全专家服务。 表2 单服务页面列表 服务名称 说明 二进制成分分析 添加二进制成分分析任务，上传.zip、.rar、.tar、.tar.gz、.jar、.apk、.hap、.so、.gz、.gzip等格式文件，扫描其中的开源软件、信息泄露、安全配置、安全编译选项等存在的潜在风险，了解更多。 开源软件中心 提供已治理的开源软件数据资产信息，包含元数据信息、漏洞信息、依赖信息等内容。 License管理 根据企业开源软件使用要求，管理和设置开源许可证的风险等级。 专家咨询服务 研发安全SDL培训 SDL（Security Development Lifecycle，安全开发生命周期）是为了应对愈发严峻的网络安全挑战而建立、发展的一系列方法论与最佳实践。华为SDL更是与IPD紧密结合，从公司政策、组织、流程、供应链、服务等方面建立和完善可持续、可信赖的覆盖产品研发全流程的安全保障体系。华为研发安全SDL实践高研班已上线云商店，面向研发高管，提供华为研发安全SDL概述、R&D安全保障体系、网络安全技术能力建设等培训课程。 隐私合规咨询 隐私合规咨询，针对于欧盟GDPR、中国隐私保护法、数据安全法的法律法规咨询，以及如何落地研发流程的咨询服务能力。 移动应用安全专家服务 移动应用安全咨询，针对于安卓、鸿蒙应用的移动应用安全检测咨询服务，提供人工检测、修复指导和复测服务，可满足中国四部委针对于移动应用隐私合规的强制性标准要求。 全面覆盖安全合规业务范畴，包含各个环节的指导、落实、督查、整改。 确保合规落实有效，囊括所有安全合规要求，以及落实这些要求对应的实施措施、检查方法。 快速准确直观地展示安全合规问题，并寻找对应解决方案，使安全合规工作标准化、专业化。
-
总览页 开源治理服务控制台总览页主要展示：资产信息和最近一次检测情况。 我的资产 展示最近30天被扫描的软件包个数，以及有风险和未完成的软件包个数。 风险信息 TOP5 展示前五项组件风险信息，可查看组件名称、组件版本、语言类型、版本时间、漏洞数、高危漏洞数、License风险等级和引用数量。 最近一次二进制成分分析扫描 展示最近一次扫描详细情况，如所示，参数说明如所示。 图2 最近一次二进制成分分析扫描 表1 二进制成分分析扫描参数说明 参数 说明 扫描对象 被扫描的软件包/固件，单击可进入本次任务的扫描详情。 文件大小 被扫描的文件的大小。 开始时间 开始扫描的时间。 扫描耗时 扫描耗费的时长。 任务状态 任务扫描状态，包括：排队中、分析中、完成、失败。 检测结果风险统计 显示各检查项的检测项目风险文件总数。 安全漏洞风险项 显示不同风险等级的漏洞个数，风险等级包括：超危、高危、中危、低危。 检测项目合规统计 显示各检查项的检测项目的合规合规占比。 许可协议 TOP6 显示数量排名前六的开源软件使用许可。 恶意软件扫描 显示各检查项的检测项目风险总数。
-
操作步骤 登录开源治理服务控制台。 在左侧导航栏，单击“二进制成分分析”。 在“二进制成分分析”页面，可看到全部添加过的任务。 单击对应任务的任务名称，也可以单击任务列表操作列的“查看报告”，进入扫描报告页面。 单击右上角的“生成PDF报告”或“生成Excel报告”。 图1 生成扫描报告 扫描报告生成完成后，单击右上角的“导出PDF”或“导出Excel”，可以下载扫描报告。 图2 下载扫描报告 生成的扫描报告会在12小时后过期。过期后，若需要下载扫描报告，请再次单击“生成PDF报告”或“生成Excel报告”，重新生成扫描报告。
-
二进制成分分析扫描报告模板说明 下载扫描报告后，您可以根据扫描结果，对漏洞进行修复，报告模板主要内容说明如下：（以下截图中的数据仅供参考，请以实际扫描报告为准） 概览 查看目标软件包的扫描漏洞数。 图3 查看任务概览信息 结果概览 统计漏洞类型及分布情况。 图4 查看结果概览信息 组件列表 查看软件的所有组件信息。 图5 查看组件列表信息 漏洞列表 您可以参考每个组件扫描出的漏洞详细信息修复漏洞。 图6 查看漏洞列表信息 密钥和信息泄露问题列表 图7 查看密钥和信息泄露问题 安全编译选项问题列表 图8 查看安全编译选项问题列表 安全配置检查列表 图9 查看安全配置检查列表 恶意软件扫描问题列表 图10 查看恶意软件扫描问题
-
支持审计日志的操作 表1 云审计 服务支持CodeArts Governance操作列表 操作名称 资源类型 事件名称 创建移动应用安全任务 task createSecappTask 删除移动应用安全任务 task deleteSecappTask 下载移动应用安全报告 report downloadSecappReport 清理移动应用安全资源 resource cleanUpSecappResources
-
查看任务 登录开源治理服务控制台。 在左侧导航栏，单击“二进制成分分析”。 在“二进制成分分析”页面，查看成分分析任务列表，相关参数说明如表1所示。 表1 成分分析任务列表参数说明 参数 参数说明 任务名称 二进制成分分析任务的名称。 任务描述 自定义描述。 任务状态 “等待中” 导入扫描对象后开始等待扫描。 “进行中” 任务正在进行扫描。 “已完成” 任务已完成扫描。 “已停止” 任务扫描中单击了操作栏的“停止”。 “已失败” 任务扫描失败。 创建人 此任务的创建者。 安全漏洞 成分分析扫描出的漏洞分布情况。 开始时间 成分分析开始的时间。 任务时长 成分分析扫描完成、失败或停止的所用时长。 操作 查看报告、停止、删除按钮。 在下拉框下拉选择任务状态，可根据任务状态筛选查看任务。 在输入框中输入任务名称关键字或任务描述，可根据文件名关键字或任务描述筛选查看，可以和任务状态联合使用。 单击刷新任务列表。 （可选）报告比对。 勾选两份任务状态无异常的报告。 单击，进入报告对比详情页面，可查看比对结果。
-
操作步骤 登录开源治理服务控制台。 在左侧导航栏，单击“二进制成分分析”。 在“二进制成分分析”页面，可看到全部添加过的任务。 单击对应任务的任务名称，也可以单击任务列表操作列的“查看报告”，进入扫描报告页面。扫描报告页面说明如表1所示。 表1 详情总览说明 栏目 说明 任务概况 显示目标任务的基本信息，包括：文件名、文件大小、特征库版本、平台版本等基本信息。 显示目标任务的组件检测、安全漏洞、安全配置、许可协议、信息泄露、安全编译选项、恶意软件扫描检测概况，包括： 组件检测：展示被扫描的软件包所有的组件数量，有漏洞、未知版本和无漏洞组件数量占比。 安全漏洞：展示超危、高危、中危、低危各个级别漏洞数量占比。 安全配置：展示通过、失败、不涉及的检测结果数量占比。 许可协议：展示数量排名前六的开源软件使用许可。 信息泄露：展示信息泄露各检测项结果分布。 安全编译选项：展示安全编译各检测项结果分布。 恶意软件扫描：展示病毒和恶意代码扫描结果分布。 开源软件漏洞 显示扫描任务中每个组件的组件名称、组件版本、许可协议、包含文件数以及存在漏洞数。 组件名称、组件版本和文件数可按升降序查看。 可按许可协议对组件列表进行筛选查看。 License详情 显示开源软件的License检测结果，包括License使用的风险等级和License间的兼容性风险。 License信息：二进制文件包License检测结果，包含License名称、风险等级、涉及组件和License描述和风险分析。 License兼容性：二进制文件包中各目录的License间兼容性风险检测。 密钥和信息泄露 显示Git地址、IP、硬编码密码、弱口令、硬编码密钥和SVN地址的检测结果。 安全编译选项 显示BIND_NOW、NX、PIC等检测项目的描述、检测结果、不符合文件数。 安全配置 显示凭据管理、认证问题和会话管理的检测项目、级别、检测结果。 恶意软件扫描 显示病毒扫描和恶意代码扫描的结果。 当扫描任务成功完成后，单击右上角的“下载报告”，选择“生成PDF报告”或“生成Excel报告”，生成扫描报告后，单击右上角的“导出PDF”或“导出Excel”，可以下载报告。 在“开源软件漏洞”页签可查看软件包各个组件的漏洞。 如果检测结果存在漏洞或者风险，可单击“组件名称”列，查看详细信息。 单击“对象路径”，可以查看文件对象路径详细信息。 单击“CVE”漏洞名称可以查看相应漏洞的“漏洞详情”、“漏洞简介”、“解决方案”、“漏洞修复参考”、“参考链接”。 在“密钥和信息泄露”页签查看对应检测项目的检测结果。 图1 密钥和信息泄露检测结果 在“安全编译选项”页签查看编译选项对应检测项目的检测结果。 图2 安全编译选项检测结果 在“安全配置”页签查看凭据管理、认证问题和会话管理对应检测项目的检测结果。 图3 安全配置检查结果 在“恶意软件扫描”页签查看病毒扫描和恶意代码扫描的检测结果。
-
功能特性 开源治理服务提供端到端的专项安全检测能力和开源软件元数据管理能力，功能特性如下： 二进制成分分析 全方位风险检测 对软件包/固件进行全面分析，基于各类检测规则，检测相关被测对象的开源软件漏洞和许可证合规、敏感信息（弱口令、硬编码密码等）、安全配置、安全编译选项等存在的潜在风险。 支持各类应用 支持对桌面应用（Windows和Linux）、移动应用程序（APK、IPA、Hap等）、嵌入式系统固件等的检测。 专业分析指导 提供全面、直观的风险汇总信息，并针对不同的扫描告警提供专业的解决方案和修复建议。 恶意代码检查 提供病毒木马等恶意软件的扫描，支持开源软件中敏感信息外发、木马下载执行、反弹shell、恶意命令执行恶意行为检测。 开源软件中心 开源元数据中心 提供已治理（元数据完整性、依赖信息、恶意软件扫描等）的开源数据资产信息，包含元数据信息、漏洞信息、依赖信息等内容。
更多精彩内容
CDN加速
GaussDB
文字转换成语音
免费的服务器
如何创建网站
域名网站购买
私有云桌面
云主机哪个好
域名怎么备案
手机云电脑
SSL证书申请
云点播服务器
免费OCR是什么
电脑云桌面
域名备案怎么弄
语音转文字
文字图片识别
云桌面是什么
网址安全检测
网站建设搭建
国外CDN加速
SSL免费证书申请
短信批量发送
图片OCR识别
云数据库MySQL
个人域名购买
录音转文字
扫描图片识别文字
OCR图片识别
行驶证识别
虚拟电话号码
电话呼叫中心软件
怎么制作一个网站
Email注册网站
华为VNC
图像文字识别
企业网站制作
个人网站搭建
华为云计算
免费租用云托管
云桌面云服务器
ocr文字识别免费版
HTTPS证书申请
图片文字识别转换
国外域名注册商
使用免费虚拟主机
云电脑主机多少钱
鲲鹏云手机
短信验证码平台
OCR图片文字识别
SSL证书是什么
申请企业邮箱步骤
免费的企业用邮箱
云免流搭建教程
域名价格
