立即咨询

电话咨询

微信咨询

立即试用
商务合作

开源网安SourceCheck开源组件管理平台

开源网安SourceCheck开源组件管理平台是开源网安提供的软件成分分析SCA产品，用于第三方组件安全管控，包括企业组件使用管理，组件使用合规性审计，新漏洞感知预警，开源代码知识产权审计等，支持对源码及发布包检测，是 OWASP Top 10中“使用含有已知漏洞的组件”安全风险的最佳解决方案。
立即咨询
数字化产品代码安全合规开源网安SourceCheck开源组件管理平台
icon风险分析 - 开源组件主要安全因素icon

 

icon开源知识产权风险icon
01 知识产权侵犯
不正当使用开源软件造成知识产权侵权风险
02 代码开放风险
使用GPL等许可协议，使得公司投入研发的软件被“传染”，强制开源，而带来公司技术秘密公开的风险
03 兼容冲突风险
多个开源许可协议不兼容的风险
04 合同违约风险
不遵守许可协议造成的合同违约风险
 
icon开源组件安全风险icon
漏洞风险
软件都是人写的，而人都会犯错，开源软件中必然存在bug，存在安全性或功能性漏洞。
供应链风险
开源软件涉及源代码共享，很多配置信息中会涉及账号密码等敏感信息，如果不对代码进行审核检查，可能会造成大量敏感信息与数据随着代码的共享而泄露。
icon开源组件的好处及存在的问题icon
优势 - 使用成本低、社区支持、商业应用
•  减少成本、开源软件及源代码可以免费获取，加快项目进度
•  品质保证、大多都有开源社区支持，可一定程度上保证软件质量
•  商业价值、企业可借其实现商业目的，如直接盈利、占领市场等
存在的问题 - License及安全、专利权、采购、维护及保障
•  许可滥用、不遵守License会被投诉甚至起诉，且易引入安全漏洞
•  知识产权、此领域专利和版权相关纠纷频频发生
•  传递风险、产品外购软件可能存在违规使用开源软件的风险
•  自行修改、形成“私有开源代码”，需自行维护全部开源代码
•  及时更新、需有外部或内部团队掌握相关关键技术及获取社区支持
icon客户痛点icon
01 资产情况不明
企业不清楚组件的使用情况，
无法有效梳理及建立内部资产清单
02 安全风险无法掌握
使用的开源组件风险情况不明，
无法精准判断是否存在漏洞及合规问题
03 漏洞预警不及时
面对层出不穷的新漏洞威胁，
企业无法在最快时间得到信息反馈
04 问题修复不清晰
面对开源组件安全问题，
缺少有效的处理方案，无法快速定位处理
05 缺少管控手段
企业缺少对问题组件的管控手段，
无法实现有效管控来保障安全
06 应急分析响应慢
面对组件安全应急事件，
无法通过有效途径，快速定位影响范
icon业务场景icon
NO.1 代码合规性审计
开源软件引入时，对其许可证传染性、兼容性、其他违规风险进行合规性审计，是否违规侵权，商业闭源的注意事项等。
NO.2 安全漏洞修复
开源软件的漏洞检测、识别记录、漏洞修复及风险管理，包括后续新漏洞的感知预警，明确对自身业务影响。
NO.3 软件资产管控
规范开源软件的引入流程，明确安全评估责任机制，建立安全的企业内部开源库。
NO.4 合作责任明确
企业合作，需要出示安全检测报告，证明软件没有合规性和安全性问题，形成问责追踪机制。企业兼并对第三方代码评估审计等。
NO.5 监管政策响应
国家项目里对自主知识产权的要求，开源成分不能超过30%，金融、央企等加强风险防控等，相关领域软件知识产权纠纷司法鉴定等
icon产品功能icon
软件资产分析及可视化

•  企业、项目级的资产分布视图展示
•  组件、许可、漏洞清单多维度展示，辅助决策精准、合理的修复方案

开源组件库高覆盖

•  支持 CVE 通用漏洞披露库
•  支持CNNVD、CNVD 安全漏洞库
•  支持自研组件库管理维护
•  提供开源网安自有漏洞库

许可合规检测

•  支持组件知识产权检测，规避风险
•  专业的许可分析
•  支持授权、检查、审计场景

漏洞预警

•  实时发现最新漏洞，持续更新记录
•  提供新漏洞风险预警机制，快速感知

组件管控阻断

•  组件授权管控机制，完善合理
•  管控策略灵活，使用简单

无缝集成

•  IDE:：Eclipse、IntelliJ IDEA、PyCharm 等
•  DevOps：GitLab、Jenkins、Jira、SVN 等
•  标准API，满足企业内部各种集成场景
•  私服防火墙，构建私服安全保障

icon核心优势 - 海量数据，专业可靠icon
语言覆盖广
Java、Js、Python、PHP、.NET、GO、Ruby、Swift、Objective-c、Erlang、Groovy、Scala、Perl等主流语言18种以上
包管理器多
maven、pypi、npm、yarn、gradle、composer、conan、cmake、nuget、golang、rubygems、cocoapods、Bazel、Vcpkg、Clib、rpm、apk、dpkg、apt等20多种包管理器
数据量大
拥有1亿量级知识库（国内No.1）
漏洞信息丰富
兼容CNNVD、CNVD、NVD等权威漏洞库23W+
icon多维检测，全面分析icon

SourceCheck可通过多种类型文件进行分析检测，同时可以从组件级、文件级、代码级维度进行综合分析，

获取当前软件的漏洞、许可、以及自研情况

icon丰富的场景icon
 
私服安全，实现私服扫描及私服防火墙保护
安全左移，研发阶段早发现早处理
持续集成，实现流水线、自动化
安全管控，黑白名单、阻断机制
安全审计，漏洞风险、合规风险
iconSCA与其他安全工具相比有什么突出特点?icon

与目前国内的IAST、SAST等安全工具对比来看，SCA技术具有以下优点：

 

检测准确性
SCA在对组件检测时，准确率能够100%
应急响应
当发生应急事件时，可以快速溯源，准确定位影响范围
软件生命周期
当发生应急事件时，可以快速溯源，准确定位影响范围
自动化
具有很高的自动化介入能力，集成DevOps等平台
修复效率高
基于组件视角，安全问题可通过升级版本进行修复，效率高且操作简单
iconSourceCheck - 安全设计icon
全局搜索
项目前期安全调研必备功能可以通过搜索组件、漏洞、许可，了解引入组件风险，提前规避和指定新的组件，起到安全最前置
iconSourceCheck - 安全管控icon

 

iconSourceCheck - 安全预警icon
预警系统
风险是动态，实时掌握风险舆情变化，了解风险的影响范围，通过预警中心，了解最新安装状态
iconSourceCheck - 私服安全icon

 

iconSourceCheck - 安全左移icon

 

iconSourceCheck - 持续集成icon

 

iconSourceCheck - 第三方集成APIicon

平台支持与常用代码仓库、缺陷管理工具、SDLC、通信系统等集成，同时支持开放API对外

icon金融行业 | 微众银行icon

 

icon保险行业 | 众诚保险icon

 

icon金融行业 | 博时基金icon

 

icon金融行业 | 度小满金融icon

 

icon成功案例icon

 

产品推荐

腾讯云 云游戏PaaS服务
云游戏PaaS服务，依托腾讯多年积累的音视频能力，配合腾讯云丰富的边缘计算节点和灵活的 GPU 虚拟化技术，结合轻量稳定的全端 SDK，以及自定义虚拟按键、自动更新、游戏预启动、游戏加速等个性化功能，为云游戏开发者提供全面的一站式端游+手游 PaaS 方案。
免费试用
查看详情
智思云人才管理云
人才管理云集招聘管理、绩效管理、培训管理等功能一体化，覆盖人才管理全模块，并提供工具和专业分析，包括能力素质模型，360度测评，职能性格测评，人才盘点等，致力于帮助企业提高人才配置与管理效率，激发员工潜能，全面盘点组织人才状况。
免费试用
查看详情
数达安全数据库透明加密系统
数达安全数据库透明加密系统，集成敏感数据加密存储系统与数据防泄漏系统功能。专注数据库数据加密保护，通过透明加密技术实现敏感数据存储加密，在不影响业务的前提下筑牢数据安全防线，有效防范数据泄露风险。适配各类数据库场景，为数据存储安全提供可靠保障，助力企业强化数据防泄漏能力。
免费试用
查看详情
云上铺智慧加油站会员运营解决方案
云上铺智慧加油站会员运营解决方案，融合加油站会员管理系统与加油站收银系统。支持会员积分体系搭建、精准营销活动策划及收银结算一体化，助力加油站提升会员粘性、优化收银效率，实现数字化会员运营与销量增长。
免费试用
查看详情