检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
选择需要扫描的软件包/固件，在弹出的配置框中，导入扫描对象。 图1 添加任务 表1 参数说明 参数 参数说明 扫描对象 待扫描的软件包/固件。 任务名称 扫描文件的名称。 任务描述 对任务信息进行说明。 是否将本次扫描升级为正式版规格 打开开关，可以将本次扫描升级为正式版规格。
际情况选择扫描文件或代码仓。 文件扫描 图1 添加文件扫描任务 参数 参数说明 任务名称 源码成分分析任务的名称。 扫描类型 待扫描的源码类型，包括文件和代码仓。 扫描对象 待扫描的源码文件。 任务描述 对当前源码成分分析任务的说明。 代码仓扫描 图2 添加代码仓扫描任务 参数 参数说明
提供软件包/固件全面分析功能，基于各类检测规则，获得相关被测对象的开源软件、信息泄露、安全配置、安全编译选项等存在的潜在风险。 用户只需上传产品软件包或固件文件提交扫描任务，服务即可输出详尽专业的测试报告。 前提条件 已获取管理控制台的登录账号与密码。 本地已准备好待扫描的二进制软件包。
图2 最近一次二进制成分分析扫描 表2 二进制成分分析扫描参数说明 参数 说明 扫描对象 被扫描的软件包/固件，单击可进入本次任务的扫描详情。 文件大小 被扫描的文件的大小。 开始时间 开始扫描的时间。 扫描耗时 扫描耗费的时长。 任务状态 任务扫描状态，包括：等待中、进行中、已完成、已停止、已失败。
开源元数据中心 提供已治理（元数据完整性、依赖信息、恶意软件扫描等）的开源数据资产信息，包含元数据信息、漏洞信息、依赖信息等内容。 二进制成分分析 全方位风险检测 对软件包/固件进行全面分析，基于各类检测规则，检测相关被测对象的开源软件漏洞和许可证合规、敏感信息（弱口令、硬编码密码等）、安全配置、安全编译选项等存在的潜在风险。
组件版本为什么没有被识别出来或识别错误？ 成分分析的资源包为什么购买失败了？ 成分分析的开源漏洞文件路径如何查看？ 成分分析的任务扫描失败怎么办？ 扫描到恶意代码如何定位？ 如何解决Roles with READONLY_USER或其他角色权限报错问题？ 如何查看用户组是否具有Tenant Administrator或VSS
需开通CodeArts服务方可使用。 与漏洞管理服务的关系 开源治理服务中的主机和Web漏洞扫描功能由独立的漏洞管理（CodeArts Inspector）云服务提供，用户可以通过超链接跳转至漏洞管理服务页面执行相关主机和Web的漏洞扫描。 与制品仓库服务的关系 开源治理服务中的
图4 漏洞信息 表3 漏洞信息参数说明 参数 参数说明 CVE 漏洞的CVE名称。 发布时间 该漏洞的发布时间。 CVSS版本 该漏洞的分数版本。 CVSS 该漏洞的分数。 漏洞等级 该漏洞分数对应的漏洞等级。 单击“CVE”字段，查看漏洞的详细信息。 图5 漏洞详细信息
查看报告PDF状态 下载报告PDF 创建报告Excel 查看报告Excel状态 下载报告Excel 获取组件漏洞映射表 获取漏洞信息对外接口 列出漏洞信息对外接口 列出漏洞信息对外接口 获取用户信息 获取套餐额度信息 父主题： API
二进制成分分析1次按需套餐包 按需套餐包 针对Linux软件包、安卓部署包、鸿蒙部署包、Windows安装包、IoT固件包的安全检测。 支持开源组件漏洞分析和开源许可证分析能力。 支持敏感信息、安全配置、安全编译选项检查。 1次 个 3000元 二进制成分分析20次按需套餐包 按需套餐包 20次 个
源码成分分析任务的名称。 扫描对象 被扫描的对象，包含文件和代码仓。 任务状态 “等待中” 导入扫描对象后开始等待扫描。 “进行中” 任务正在进行扫描。 “已完成” 任务已完成扫描。 “已停止” 任务扫描中单击了操作栏的“停止”。 “已失败” 任务扫描失败。 安全漏洞 成分分析扫描出的漏洞分布情况。
二进制成分分析 提供软件包/固件全面分析功能，基于各类检测规则，获得相关被测对象的开源软件、信息泄露、安全配置、安全编译选项等存在的潜在风险。 支持区域： 华北-北京四 添加二进制成分分析任务 管理二进制成分分析任务 查看二进制成分分析扫描详情 下载二进制成分分析扫描报告 源码成分分析
Governance移动应用安全按需套餐包（10次、1次）规格进行停售。 停售范围 停售区域：中国站所有区域 停售影响 正式停售后，用户无法新购，已购买移动应用安全相关规格的用户不受影响，可继续使用至套餐包到期。 如您需要继续使用同款产品，请在漏洞管理服务CodeArts Inspector中重新购买使用。
自定义描述。 任务状态 “等待中” 导入扫描对象后开始等待扫描。 “进行中” 任务正在进行扫描。 “已完成” 任务已完成扫描。 “已停止” 任务扫描中单击了操作栏的“停止”。 “已失败” 任务扫描失败。 创建人 此任务的创建者。 安全漏洞 成分分析扫描出的漏洞分布情况。 开始时间 成分分析开始的时间。
组件版本为什么没有被识别出来或识别错误？ 成分分析扫描无法识别组件版本常见原因有： 成分分析特征库不支持该开源软件版本。 用户引用的开源软件修改过源码，或使用时部分引用该软件功能，导致实际编译/发布文件中相关软件特征未达到工具识别阈值，造成开源软件无法识别或版本识别异常。 用户使
成分分析的安全编译选项类问题如何分析？ 成分分析会检查用户包中的C/C++、Go文件在构建编译过程中是否添加了保护性的编译选项，来保护文件运行时免受到攻击者的攻击。 安全编译选项类问题分析指导： 导出Excel报告，查看安全编译选项Sheet页。 根据filepath列寻找目标文件在扫描包中位置，确认文件来源。 查看目标文件对应的安全编译选项结果。
Exposures) 又称通用漏洞披露、常见漏洞与披露，是一个与信息安全有关的数据库，收集各种信息安全弱点及漏洞并给予编号以便于公众查阅。 CVSS(Common Vulnerability Scoring System) 通用漏洞评分系统，是一个行业公开标准，其被设计用来评测漏洞的严重程度，并
明细，每个告警都会包含以下几个说明，针对工具扫描出的风险清单，用户可以基于自身实际使用情况判断是否有信息泄露风险，如存在，则采取不同措施屏蔽或修改即可。 问题类型：IP泄露/硬编码密码/Git地址泄露等。 文件路径：发现信息泄露的文件在包中的全路径。 上下文内容：发现风险的文本行内容，包含风险内容和上下文内容。
源码成分分析 代码克隆检测 提供代码片段级别的代码克隆（TYPE1、TYPE2）检测分析服务，发现潜在的开源软件使用合规风险。 漏洞风险检测 提供已知漏洞安全检测分析服务，发现潜在的开源软件安全风险。 许可证合规检测 提供开源软件许可证风险等级评估体系，发现潜在的开源软件兼容性以及篡改等风险。
成分分析的安全配置类问题如何分析？ 成分分析会检测用户包中一些安全配置项是否合规，主要如下： 用户上传的软件包/固件中存在的敏感文件，如（密钥文件，证书文件，源码文件，调试工具等）。 用户上传的软件包/固件中操作系统中的用户与组配置、硬编码凭证、认证和访问控制等配置类问题。若不存在操作系统，则不涉及。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
