幫助企業(yè)在軟件供應鏈體系中檢測安全漏洞、許可證合規(guī)和開發(fā)運維風險。

產(chǎn)品介紹

 

軟安源兮SCA是一款開源軟件成分分析工具，通過多種檢測技術(shù)，利用自主可控的分析引擎和強大的基因庫，提供開源軟件資產(chǎn)識別(SBOM）、安全風險檢測、許可合規(guī)分析、漏洞監(jiān)控告警及開源軟件安全管理等功能，幫助企業(yè)緩解開源軟件安全、合規(guī)和運維風險，助力構(gòu)建軟件供應鏈安全保障體系。

 

 

無論您是汽車、消費電子、金融、制造、能源、政府、軍工、醫(yī)療行業(yè)公司、測評/監(jiān)管機構(gòu)

 

無論您需要標準法規(guī)認證、供應鏈外包驗收、企業(yè)內(nèi)部研發(fā)安全管理、并購/出海合規(guī)風險審計軟安SCA都能幫您應對軟件供應鏈安全合規(guī)挑戰(zhàn)！

 

應用場景

 

符合標準法規(guī)及認證要求

——

UN R155/156 汽車信息安全及軟件升級要求

 

GB 44495/44496 汽車整車信息安全技術(shù)要求

 

ISO/SAE 21434 道路車輛-信息安全管理

 

ETSI EN 303 645消費型物聯(lián)網(wǎng)產(chǎn)品信息安全標準

 

Cyber Resilience Act網(wǎng)絡彈性法案

 

loT Device Security Specification物聯(lián)網(wǎng)設(shè)備安全規(guī)范

 

金融/關(guān)基等行業(yè)開源治理檢查要求

 

 

 

覆蓋供應鏈上下游檢查基線

——

國內(nèi)/外供應鏈廠商安全合規(guī)檢查

 

SBOM（SPDX、CycloneDX、SWID、CPE）

 

Notice（License、CopyRight）

 

不可含6個月以上已知高危漏洞

 

不可含黑名單組件

 

需提交合規(guī)使用開源軟件證明

 

 

 

維護對外開源領(lǐng)先競爭力

——

開源前成分溯源檢查

 

開源合規(guī)風險模型-處置建議-案例知識庫 高風險開源許可遵守指南

 

安全風險檢測和威脅情報推送

 

維護企業(yè)和社區(qū)正面領(lǐng)先形象

 

 

開展信創(chuàng)認證及生態(tài)建設(shè)

——

自主源代碼溯源

 

自主可控認證

 

開源軟件信創(chuàng)評估模型

 

軟件相似度評估

 

 

實施企業(yè)內(nèi)部安全管控

——

漏洞持續(xù)降噪

 

結(jié)合環(huán)境因素分析漏洞真實影響

 

函數(shù)級漏洞數(shù)據(jù)

 

漏洞可達檢測

 

研發(fā)體系集成服務

 

集成商業(yè)漏洞庫

 

 

 

運營安全可靠軟件供應鏈

——

統(tǒng)一資產(chǎn)識別

 

軟件質(zhì)量評估

 

供應商綜合評估

 

運行時風險態(tài)勢感知

 

企業(yè)軟件駕駛艙

 

 

 

支撐HVV安全自查及防護

——

小時級漏洞輿情

 

漏洞POC/EXP/RCE分析

 

可補充NVD的漏洞真實影響范圍分析

 

多方案的漏洞緩解措施

 

 

產(chǎn)品優(yōu)勢

 

【更全面】基因庫（KB）規(guī)模

 

1100萬+ 項目組件

 

2.6億+ 開源組件版本

 

2600+ 許可證類型

 

60萬+ 安全漏洞數(shù)

 

軟安自運營的 AI KB 是業(yè)內(nèi)較為豐富、全面且精準的開源軟件成分數(shù)據(jù)庫，圍繞開源軟件、安全漏洞、開源許可等提供超過百種數(shù)據(jù)字段，涵蓋基礎(chǔ)模塊、業(yè)務檢測、安全合規(guī)風險及處置建議等模塊；同時，提供全面的通用漏洞庫、商業(yè)漏洞庫、官網(wǎng)漏洞庫、社區(qū)漏洞庫及定向行業(yè)漏洞庫等上千威脅數(shù)據(jù)來源的實時監(jiān)測，為企業(yè)級和行業(yè)級漏洞庫提供自定義與集成入口，有效提升漏洞檢測的及時性與準確度，降低人工審計成本，全面維護軟件安全。

 

 

【更精確】檢測準確度

包括C/C++、Java在內(nèi)的數(shù)十項開發(fā)語言的精準構(gòu)建分析，自動化識別軟件動態(tài)依賴， 提供最貼近軟件運行狀態(tài)的依賴組件清單。

 

 

【更快捷】檢測速度

平均每個組件檢測速度達200ms，常規(guī)項目分鐘級檢測完成， 百G以上超大項目穩(wěn)定檢測、風險預警不遺漏。

 

 

【更多樣】檢測類型

構(gòu)建/編譯依賴檢測

文件目錄分析

代碼片段檢測

無構(gòu)建依賴檢測

 

 

【更合規(guī)】合規(guī)能力

開源合規(guī)沖突性/兼容性

深度許可/版權(quán)

開源合規(guī)建議

敏感加密檢測技術(shù)