-
成分分析的扫描原理是什么,主要识别哪些风险? - 开源治理服务 CodeArts Governance
成分分析的扫描原理是什么,主要识别哪些风险? 对用户提供的软件包/固件进行全面分析,通过解压获取包中所有待分析文件,基于组件特征识别技术以及各种风险检测规则,获得相关被测对象的组件BOM清单和潜在风险清单。主要包括以下几类: 开源软件风险:检测包中的开源软件风险,如已知漏洞、License合规等。
-
成分分析的开源软件风险如何分析? - 开源治理服务 CodeArts Governance
已知漏洞分析,分析已知漏洞是否准确。 通过NVD、CVE、CNVD等社区搜索相关CVE已知漏洞编号,获取漏洞详情 概要分析:查看影响的软件范围,如CVE-2021-3711在NVD社区中的Known Affected Software Configurations,如下图,确认漏洞是否影响当前使用的软件版本,如
-
组件版本为什么没有被识别出来或识别错误? - 开源治理服务 CodeArts Governance
组件版本为什么没有被识别出来或识别错误? 成分分析扫描无法识别组件版本常见原因有: 成分分析特征库不支持该开源软件版本。 用户引用的开源软件修改过源码,或使用时部分引用该软件功能,导致实际编译/发布文件中相关软件特征未达到工具识别阈值,造成开源软件无法识别或版本识别异常。 用户使用的
-
成分分析的信息泄露问题如何分析? - 开源治理服务 CodeArts Governance
成分分析的信息泄露问题如何分析? 成分分析基于静态风险检测,会对用户上传的软件包/固件进行解压并分析其中的文件,识别包中是否存在信息泄露类风险,如敏感IP、GIT/SVN仓、弱口令、硬编码密钥等风险。 针对已识别的信息泄露类风险,可以通过查看导出报告中的告警详情,如PDF报告,可以在结果概览中确认是否
-
二进制成分分析类 - 开源治理服务 CodeArts Governance
成分分析的主要扫描规格有哪些? 成分分析的扫描原理是什么,主要识别哪些风险? 成分分析的开源软件风险如何分析? 成分分析的安全编译选项类问题如何分析? 成分分析的安全配置类问题如何分析? 成分分析的信息泄露问题如何分析? 组件版本为什么没有被识别出来或识别错误? 成分分析的资源包为什么购买失败了? 成分分析的开源漏洞文件路径如何查看?
-
成分分析的安全配置类问题如何分析? - 开源治理服务 CodeArts Governance
不涉及。 安全配置类检查问题分析指导: 导出PDF报告,搜索【安全配置检查概览】关键字,可以看到各检查项的结果,pass表示通过,failed表示未通过,NA表示不涉及(若无操作系统,则针对操作系统配置检查项为不涉及)。搜索【安全配置检查】关键字,可以查看具体每项的检查结果。 检查结果说明:
-
相关术语说明 - 开源治理服务 CodeArts Governance
允许用户直接访问源代码,通过开源许可协议将其复制、修改、再发布的权利向公众开放的计算机软件。 开源组件(open source component) 是开源软件系统中最小可识别且本身不再包含另外组件的、组件信息可在公共网站获取且可独立分发、开发过程中带有版本号并且可组装的软件实体。 开源许可证(open source
-
什么是开源治理服务 - 开源治理服务 CodeArts Governance
加高效地使用开源软件。 检测能力 二进制成分分析 对用户提供的二进制软件包/固件进行全面分析,通过解压获取包中所有待分析文件,基于组件特征识别技术、静态检测技术以及各种风险检测规则,获得相关被测对象的组件BOM清单和潜在风险清单,并输出一份专业的分析报告。
-
返回结果 - 开源治理服务 CodeArts Governance
Content-type”。 对于获取用户Token接口,返回如图1所示的消息头,其中“x-subject-token”就是需要获取的用户Token。有了Token之后,您就可以使用Token认证调用其他API。 图1 获取用户Token响应消息头 响应消息体 响应消息体通常以结
-
如何查看用户组是否具有Tenant Administrator或VSS Administrator权限,及如何对用户组进行授权? - 开源治理服务 CodeArts Governance
切换至“用户管理”页签,可以查看该用户组下的所有用户,也可以将其他用户添加至该用户组。 如果该用户组缺少相应角色权限,单击“授权”,进入“选择策略”步骤,模糊搜索“Tenant Administrator”或“VSS Administrator”权限的关键字,勾选相应策略。 单击“下一步”,设置最小
-
成分分析的安全编译选项类问题如何分析? - 开源治理服务 CodeArts Governance
栈保护 -fstack-protector-strong或-fstack-protector-all NO Rpath/Runpath 动态库搜索路径(禁选) 脚本中删除--rpath FS Fortify Source(缓冲区溢出检查) -D_FORTIFY_SOURCE=2 Ftrapv
-
下载二进制成分分析扫描报告 - 开源治理服务 CodeArts Governance
您可以参考每个组件扫描出的漏洞详细信息修复漏洞。 图7 查看漏洞列表信息 信息泄露问题列表 图8 查看信息泄露问题 安全编译选项问题列表 图9 查看安全编译选项问题列表 安全配置检查列表 图10 查看安全配置检查列表 恶意软件扫描问题列表 图11 查看恶意软件扫描问题 父主题: 二进制成分分析
-
如何查看审计日志 - 开源治理服务 CodeArts Governance
选择查询条件后,单击“查询”。 在需要查看的事件左侧,单击展开该记录的详细信息,如图1所示。 图1 展开记录 在需要查看的记录右侧,单击“查看事件”,弹出一个窗口,如图2所示,显示该操作事件结构的详细信息。 图2 查看事件 父主题: 审计
-
查看二进制成分分析扫描详情 - 开源治理服务 CodeArts Governance
在“密钥和信息泄露”页签查看对应检测项目的检测结果。 图2 密钥和信息泄露检测结果 在“安全编译选项”页签查看编译选项对应检测项目的检测结果。 图3 安全编译选项检测结果 在“安全配置”页签查看凭据管理、认证问题和会话管理对应检测项目的检测结果。 图4 安全配置检查结果 在“恶意软件扫描”页
-
控制台总览 - 开源治理服务 CodeArts Governance
、更加高效地使用开源软件。 本节为您介绍开源治理服务控制台登录方式及菜单页。 登录方式 登录华为云官网,单击页面右上角“控制台”,如图1所示。 图1 华为云官网 将鼠标移至页面左上角,在滑出的服务列表中选择“开源治理服务”,即可进入开源治理服务控制台。 总览页 开源治理服务控制台
-
管理二进制成分分析任务 - 开源治理服务 CodeArts Governance
开源治理服务”,进入开源治理服务管理控制台。 在左侧导航栏,单击“二进制成分分析”。 在“二进制成分分析”页面,查看成分分析任务列表,相关参数说明如图1所示。 图1 成分分析任务列表 表1 成分分析任务列表参数说明 参数 参数说明 任务名称 二进制成分分析任务的名称。 任务描述 自定义描述。 任务状态
-
成分分析的开源漏洞文件路径如何查看? - 开源治理服务 CodeArts Governance
确。 若文件有多个层级,则表示服务对父层级文件进行解析,进而分析子层级文件是否引用开源软件。对于方式一,多层级效果以换行缩进形式呈现,如下图所示;对于方式二或方式三,多层级路径以“:”连接展示。 父主题: 二进制成分分析类
-
获取项目ID - 开源治理服务 CodeArts Governance
登录管理控制台。 鼠标悬停在右上角的用户名,在下拉列表中单击“我的凭证”。 进入“我的凭证 > API凭证”页面,在项目列表中查看项目ID。 图1 查看项目ID 多项目时,展开“所属区域”,从“项目ID”列获取子项目ID。 父主题: 附录
-
构造请求 - 开源治理服务 CodeArts Governance
接起来如下所示。 https://iam.cn-north-4.myhuaweicloud.com/v3/auth/tokens 图1 URI示意图 为查看方便,在每个具体API的URI部分,只给出resource-path部分,并将请求方法写在一起。这是因为URI-scheme