开源治理服务 CODEARTS GOVERNANCE-基本概念:扫描报告

时间:2025-03-06 11:03:20

扫描报告

开源治理服务中二进制成分分析对用户制品扫描以后生成的扫描结果,用户需要关注如下几种类型的风险结果:

  • 开源软件漏洞:用户制品文件中包含的开源软件清单以及相关开源软件版本对应的漏洞信息,用户需要分析是否存在风险以及通过打补丁或升级软件方式进行风险处理。
  • 密钥和信息泄露:用户制品文件中包含的疑似敏感信息,如弱口令、硬编码密钥、IP等信息,用户需要结合上下文信息分析是否存在风险。
  • 安全编译选项:用户制品文件中编译型语言(如C/C++、Go)的构建产物是否在构建过程中添加对应的保护性编译选项以避免程序运行时受到攻击(如缓冲区溢出攻击等),用户需要结合报告分析有风险文件的构建/编译脚本,添加对应的安全编译选项。
  • 安全配置:检测用户制品包中是否存在配置类风险,如凭据类风险、认证问题风险等,用户可基于报告详情中的问题描述和修复指导进行分析处理。
  • 许可证信息:用户制品中开源软件包含的许可证清单,部分许可证存在开源风险,而许可证之间也可能会存在兼容性问题,同时引用互斥许可证软件会导致违反开源协议,需用户关注。
support.huaweicloud.com/productdesc-devsecurity/devsecurity_01_0018.html