-
什么是开源治理服务 - 开源治理服务 CodeArts Governance
意代码检测等能力,从合法合规、网络安全、供应安全等维度消减开源软件使用风险,助力企业更加安全、更加高效地使用开源软件。 检测能力 二进制成分分析 对用户提供的二进制软件包/固件进行全面分析,通过解压获取包中所有待分析文件,基于组件特征识别技术、静态检测技术以及各种风险检测规则,获
-
相关术语说明 - 开源治理服务 CodeArts Governance
计算机软件。 开源组件(open source component) 是开源软件系统中最小可识别且本身不再包含另外组件的、组件信息可在公共网站获取且可独立分发、开发过程中带有版本号并且可组装的软件实体。 开源许可证(open source license) 开源软件的版权持有人授
-
成分分析的扫描原理是什么,主要识别哪些风险? - 开源治理服务 CodeArts Governance
特征识别技术以及各种风险检测规则,获得相关被测对象的组件BOM清单和潜在风险清单。主要包括以下几类: 开源软件风险:检测包中的开源软件风险,如已知漏洞、License合规等。 安全配置风险:检测包中配置类风险,如硬编码凭证、敏感文件(如密钥、证书、调试工具等)问题、OS认证和访问控制类问题等。
-
产品优势 - 开源治理服务 CodeArts Governance
无源码、无侵入快速检测 只需要上传产品发布包或固件,无需构建运行环境或运行程序。 多语言、多文件格式、多架构平台 支持多语言,多构建场景下的制品检测,场景覆盖不遗漏。 恶意代码检测,确保供应安全 基于AI开源软件恶意代码检测能力,恶意行为早发现。 敏感信息检测防泄露 支持安全配置
-
成分分析的安全配置类问题如何分析? - 开源治理服务 CodeArts Governance
成分分析的安全配置类问题如何分析? 成分分析会检测用户包中一些安全配置项是否合规,主要如下: 用户上传的软件包/固件中存在的敏感文件,如(密钥文件,证书文件,源码文件, 调试工具等)。 用户上传的软件包/固件中操作系统中的用户与组配置、硬编码凭证、认证和访问控制等配置类问题。若不存在操作系统,则不涉及。
-
功能特性 - 开源治理服务 CodeArts Governance
功能特性 开源治理服务提供端到端的专项安全检测能力,功能特性如下: 二进制成分分析 全方位风险检测 对软件包/固件进行全面分析,基于各类检测规则,检测相关被测对象的开源软件漏洞和许可证合规、敏感信息(弱口令、硬编码密码等)、安全配置、安全编译选项等存在的潜在风险。 支持各类应用
-
扫描到恶意代码如何定位? - 开源治理服务 CodeArts Governance
扫描到恶意代码如何定位? 进入报告详情页面,打开恶意软件扫描结果,单击“文件名称”打开恶意代码详情,可以查看告警文件位置和扫描的恶意检测结果,可以通过关键日志定位具体告警位置。 父主题: 二进制成分分析类
-
计费说明 - 开源治理服务 CodeArts Governance
计费说明 开源治理服务(CodeArts Governance)包含多个安全检测原子服务,支持单独购买,按需模式进行计费。 开源治理服务二进制成分分析定价包含以下两种套餐,详细内容请参见表1。 表1 版本说明 套餐 主要功能 规格 量纲 目录价 二进制成分分析1次按需套餐包 针对
-
成分分析的信息泄露问题如何分析? - 开源治理服务 CodeArts Governance
成分分析的信息泄露问题如何分析? 成分分析基于静态风险检测,会对用户上传的软件包/固件进行解压并分析其中的文件,识别包中是否存在信息泄露类风险,如敏感IP、GIT/SVN仓、弱口令、硬编码密钥等风险。 针对已识别的信息泄露类风险,可以通过查看导出报告中的告警详情,如PDF报告,可
-
控制台总览 - 开源治理服务 CodeArts Governance
任务状态 任务扫描状态,包括:排队中、分析中、完成、失败。 检测结果风险统计 显示各检查项的检测项目风险文件总数。 安全漏洞风险项 显示不同风险等级的漏洞个数,风险等级包括:超危、高危、中危、低危。 检测项目合规统计 显示各检查项的检测项目的合规合规占比。 许可协议 TOP6 显示数量排名前六的开源软件使用许可。
-
添加二进制成分分析任务 - 开源治理服务 CodeArts Governance
添加二进制成分分析任务 提供软件包/固件全面分析功能,基于各类检测规则,获得相关被测对象的开源软件、信息泄露、安全配置、安全编译选项等存在的潜在风险。 用户只需上传产品软件包或固件文件提交扫描任务,服务即可输出详尽专业的测试报告。 前提条件 已获取管理控制台的登录账号与密码。 本地已准备好待扫描的二进制软件包。
-
成分分析的开源软件风险如何分析? - 开源治理服务 CodeArts Governance
成分分析的开源软件风险如何分析? 成分分析基于静态风险检测,会对用户上传的软件包/固件进行解压并分析其中的文件,识别包中文件包含的开源软件清单,并分析是否存在已知漏洞、License合规等风险。用户扫描完成后,建议按照以下步骤进行分析排查: 开源软件分析,分析开源软件是否存在以及软件版本是否准确。
-
概述 - 开源治理服务 CodeArts Governance
Governance)是针对软件研发提供的一站式开源软件治理服务,凝聚华为在开源治理上的优秀实践经验,提供开源软件元数据及软件成分分析、恶意代码检测等能力,从合法合规、网络安全、供应安全等维度消减开源软件使用风险,助力企业更加安全、更加高效地使用开源软件。 您可以使用本文档提供的API
-
快速创建一个二进制成分分析任务 - 开源治理服务 CodeArts Governance
Governance)是针对软件研发提供的一站式开源软件治理服务,凝聚华为在开源治理上的优秀实践经验,提供开源软件元数据及软件成分分析、恶意代码检测等能力,从合法合规、网络安全、供应安全等维度消减开源软件使用风险,助力企业更加安全、更加高效地使用开源软件。 本文以创建二进制成分分析任务
-
组件版本为什么没有被识别出来或识别错误? - 开源治理服务 CodeArts Governance
成分分析特征库不支持该开源软件版本。 用户引用的开源软件修改过源码,或使用时部分引用该软件功能,导致实际编译/发布文件中相关软件特征未达到工具识别阈值,造成开源软件无法识别或版本识别异常。 用户使用的开源软件包含被动依赖软件,该依赖软件可能为部分引用,造成软件无法识别或版本识别异常。
-
查看二进制成分分析扫描详情 - 开源治理服务 CodeArts Governance
密钥和信息泄露检测结果 在“安全编译选项”页签查看编译选项对应检测项目的检测结果。 图3 安全编译选项检测结果 在“安全配置”页签查看凭据管理、认证问题和会话管理对应检测项目的检测结果。 图4 安全配置检查结果 在“恶意软件扫描”页签查看病毒扫描和恶意代码扫描的检测结果。 父主题:
-
成分分析的主要扫描规格有哪些? - 开源治理服务 CodeArts Governance
平均扫描时间预估:根据不同的压缩格式或者文件类型扫描时长会有一定的差异,平均100MB/6min。 服务采用基于软件版本的方式检测漏洞,不支持补丁修复漏洞场景的检测。 父主题: 二进制成分分析类
-
约束与限制 - 开源治理服务 CodeArts Governance
二进制成分分析使用限制说明 指标类别 指标项 限制说明 任务管理 语言类型 支持C、C++、Java、Go、Python、JS等语言开源软件已知漏洞检测。 扫描包格式 支持.7z、.arj、.cpio、.phar、.rar、.tar、.xar、.zip、.jar、.apk、.war等格式文件,以及Android