色哟哟视频在线观看-色哟哟视频在线-色哟哟欧美15最新在线-色哟哟免费在线观看-国产l精品国产亚洲区在线观看-国产l精品国产亚洲区久久

0
  • 聊天消息
  • 系統消息
  • 評論與回復
登錄后你可以
  • 下載海量資料
  • 學習在線課程
  • 觀看技術視頻
  • 寫文章/發帖/加入社區
會員中心
創作中心

完善資料讓更多小伙伴認識你,還能領取20積分哦,立即完善>

3天內不再提示

漫談軟件成分分析(SCA)安全測試技術

科技怪授 ? 來源:科技怪授 ? 作者:科技怪授 ? 2022-10-13 09:02 ? 次閱讀

1 、什么是SCA

SCA(Software Composition Analysis)軟件成分分析,通俗的理解就是通過分析軟件包含的一些信息和特征來實現對該軟件的識別、管理、追蹤的技術。我們知道在當今軟件開發中,引入開源軟件( 注1 )到你的項目中,避免重復造輪子是大家都再熟悉不過的了,比如開源庫中開源軟件按每年21%速度在增長( 來源Forrester報告 ),開源安全威脅成為企業組織無法回避的話題,而應用SCA技術對應用程序進行安全檢測,實現安全管理是最行之有效的方法之一。

2、基本原理

  1. SCA理論上來說是一種通用的分析方法,可以對任何開發語言對象進行分析,Java、C/C++、Golang、Python、JavaScript等等,它對關注的對象是從文件層面的文件內容,以及文件與文件之間的關聯關系以及彼此組合成目標的過程細節。從SCA 分析的目標程序形式上分,既可以是源代碼也可以是編譯出來的各種類型的二進制文件,分析的數據對象對程序架構,編譯方式都是不敏感的,比如:類名稱、方法/函數名稱、常量字符串等等,不管目標程序運行在x86平臺還是ARM平臺,不管是windows程序還是Linux程序,都是一樣的,簡而言之SCA 是一種跨開發語言的應用程序分析技術。
  2. SCA分析過程:首先對目標源代碼或二進制文件進行解壓,并從文件中提取特征,再對特征進行識別和分析,獲得各個部分的關系,從而獲得應用程序的畫像—–組件名稱+版本號,進而關聯出存在的已知漏洞清單。
  3. 由于SCA分析過程中不需要把目標程序運行起來,因此具有分析過程對外部依賴少,分析全面,快捷、效率高的優點;

3、業界TOP SCA工具分析

根據Forrester最新SCA報告,Forrester通過10個維度(注3)對不同工具進行打分,最后根據綜合得分評選出如下業界TOP 10 SCA工具魔力象限圖):

image.png

image.png

注:圖片和數據引用來自Forrester報告

3.1工具概覽分析

  1. TOP 10 SCA工具中有5款支持軟件包(注2)開源軟件SCA檢查能力(synopsys/Sonatype/Veracode/Jfrog/GitLab),其他工具只支持源代碼SCA檢查能力。
  2. 5款支持軟件包SCA檢查工具中,對C/C++、Java、.Net語言支持的比較好,但對Golang、python、JavaScript語言支持能力偏弱,比如:synopsys支持的組件對象中前面3種語言占大頭90%+,相應的檢測率也高,而Golang語言的組件檢出率則低很多。
  3. SCA已從主要用作對開源軟件的檢測向應用程序的典型編碼問題檢測趨勢擴展,比如Veracode工具,它能提供了對諸如緩沖器溢出、命令行注入、死鎖、重復釋放、整形數溢出、UAF、格式化字符串漏洞,SQL注入等典型編碼問題的檢測能力。

4、影響SCA分析準確性的因素分析

  1. 從SCA原理可以知道影響分析準確性的因素分兩個方面:其一是SCA工具支持組件的數量和檢測算法,其二是應用程序引用開源軟件的方式。
  2. 因為SCA工具是根據樣本組件特征來匹配被測程序中的特征來判斷應用程序是否引用該組件的,因此支持組件的數量越多,那么檢測率也就越高,支持的組件數量越少,越會導致檢測遺漏;另外檢測算法和特征設計是否合理也直接影響到分析的準確性和分析效率,不同SCA工具廠商有不同的解決方案,就好比在手機上識別指紋/人臉一樣,不同廠商識別的靈敏度和準確度都不一樣。
  3. 應用程序在引用開源軟件時,不同的應用程序即使引用同一個組件也存在引用不同的功能,引用功能的多少也各不相同,這樣帶來的結果就是在應用程序中包含該組件的特征數量也是大小不同的,引用功能多包含的特征一般也多,引用的功能少包含的特征也少。而應用程序包含組件特征的多少直接影響到SCA工具的檢測的準確性,組件特征越少SCA工具檢測越困難,因此即使兩個不同應用都引用了相同組件,可能一個應用可以檢測到,另外一個應用則無法檢測出該組件。這種場景對SCA工具檢測二進制文件尤其明顯。
  4. 由于存在上述SCA分析準確性,在極限情況下如果無法檢測出組件,那么也就無法知道應用程序中是否存在該組件的漏洞了。

5、總結:

  1. 不管是源代碼文件的SCA檢測工具還是二進制文件的SCA檢測工具,他們是一種互補的關系,各有各的優缺點,比如二進制文件的SCA檢測能發現構建過程中工具鏈引入的安全問題,而源代碼的SCA則不能,SolarWinds事件就很好的說明了這一點。
  2. 目前SCA工具檢測開源軟件的已知漏洞是基于組件名稱+版本號來關聯出已知漏洞的,對部分編譯場景(只有部分組件代碼被編譯到二進制文件中)和patch打補丁場景(漏洞已修復),誤報率高。
  3. SCA工具掃描效率和準確性是一對矛盾體,這是工具廠商需要權衡考慮的地方,而既能提升準確率又不會降低掃描效率的技術永遠是SCA工具廠商研究的課題和追求的目標。

注1:Top 10開源軟件編程語言:JavaScript(51%)、C++(10%)、Java(7%)、Python(7%)、Ruby(%5)、Go(4%)、C(4%)、PHP(4%)、TypeScript(4%)、C#(3%)、Perl(2%)、Shell(1%)

注2:軟件包是指產品用來安裝、運行的發布包,里面包含了產品編譯好的可以運行的二進制文件,比如.so/.jar/.exe/.dll/.pyc
審核編輯:湯梓紅

聲明:本文內容及配圖由入駐作者撰寫或者入駐合作網站授權轉載。文章觀點僅代表作者本人,不代表電子發燒友網立場。文章及其配圖僅供工程師學習之用,如有內容侵權或者其他違規問題,請聯系本站處理。 舉報投訴
  • 軟件
    +關注

    關注

    69

    文章

    4929

    瀏覽量

    87414
  • SCA
    SCA
    +關注

    關注

    1

    文章

    36

    瀏覽量

    11968
  • 代碼
    +關注

    關注

    30

    文章

    4780

    瀏覽量

    68539
收藏 人收藏

    評論

    相關推薦

    使用Phase Lab鎳基動力學數據庫計算多組分合金的成分分布曲線

    鎳基動力學數據庫 計算多組分合金的成分分布曲線 ? ? ?眾所周知,擴散是固體材料中的一個重要現象,是固相中唯一的物質遷移方式,廣泛存在于材料的制備和使用過程中,如熱處理中的相變、動態回復再結晶
    的頭像 發表于 12-13 15:40 ?625次閱讀
    使用Phase Lab鎳基動力學數據庫計算多組分合金的<b class='flag-5'>成分分</b>布曲線

    導航分析儀的技術原理和應用場景

      導航分析儀的技術原理  信號接收與處理:信號接收:導航分析儀能夠接收來自導航衛星、地面導航基站等發射的導航信號。這些信號包含了衛星的位置、時間等信息,以及地面基站的相關導航指引信息。例如
    發表于 11-19 15:13

    LED的TEM分析

    每一項測試結果的準確性和可靠性。不同類型的芯片結構在工藝設計上有所不同,金屬電極與外延各層成分分析與厚度測量常常需要通過TEM分析才能獲得更加精確的信息。電極結構是
    的頭像 發表于 11-15 11:11 ?157次閱讀
    LED的TEM<b class='flag-5'>分析</b>

    Simcenter Testlab測試分析軟件

    SimcenterTestlabSimcenterTestlab是一個將數據采集與測試分析工具相結合的集成式解決方案,能夠有效提高測試效率并提供更可靠的結果。SimcenterTestlab
    的頭像 發表于 11-12 16:10 ?261次閱讀
    Simcenter Testlab<b class='flag-5'>測試</b><b class='flag-5'>分析</b><b class='flag-5'>軟件</b>

    什么是成分分析

    解析成分分析技術成分分析技術涵蓋了多種科學方法,用于精確地鑒定和測量產品或樣本中的組成成分,包括它們的定性與定量
    的頭像 發表于 11-08 12:29 ?251次閱讀
    什么是<b class='flag-5'>成分分析</b>?

    陸地移動無線電調制分析儀的技術原理和應用場景

    系統中的傳輸情況,確保列車之間的通信安全。 現場維護和技術支持:對于數字集群通信(LMR)和專業移動射頻(PMR)技術人員來說,陸地移動無線電調制分析儀是現場維護和
    發表于 11-05 14:28

    參數分析儀的技術原理和應用場景

    儀,如硬度測試儀,通過施加一定的壓力于樣品表面,然后測量樣品的變形或恢復程度來評估其力學性能。這種測試通常基于壓入法或劃痕法等測量技術。 傳感器技術: 現代參數
    發表于 10-17 14:42

    鑒源論壇丨軌交軟件測試技術詳述

    作者 |劉艷青 上海控安安全測評部測試經理 版塊 |鑒源論壇 · 觀通 社群 |添加微信號“TICPShanghai”加入“上海控安51fusa安全社區” 01 集成測試
    的頭像 發表于 05-14 16:38 ?337次閱讀
    鑒源論壇丨軌交<b class='flag-5'>軟件</b><b class='flag-5'>測試</b><b class='flag-5'>技術</b>詳述

    首樣免費掃描電鏡SEM-EDS測試分析【博仕檢測】

    ?形貌觀察,鍍層厚度測量,錫須長度測量等; 材料微觀結構觀察,如金屬材料的晶粒及晶界分析, 鑄鐵材料石墨形態分析、鋼鐵材料的金相觀察, 納米材料分析等; 區成分分析,利用電子束與物質作
    發表于 03-01 18:59

    知語云全景監測技術:現代安全防護的全面解決方案

    是一種先進的安全防護手段,它集成了大數據分析、人工智能、云計算等尖端技術,能夠實時監測網絡環境中的各種安全風險,為企業和個人的數據安全提供堅
    發表于 02-23 16:40

    Helix QAC—軟件靜態測試工具

    Helix QAC是Perforce公司(原PRQA公司)產品,主要用于C/C++代碼的自動化靜態分析工作,可以提供編碼規則以及信息安全相關檢查、代碼質量度量、軟件結構分析
    的頭像 發表于 01-10 17:35 ?658次閱讀
    Helix QAC—<b class='flag-5'>軟件</b>靜態<b class='flag-5'>測試</b>工具

    軟件測試活動有哪些?

    第三方軟件測試是一種軟件測試活動,旨在確保軟件的質量、功能、性能和安全性等方面符合預期要求。 一
    發表于 01-08 11:11

    基于功能安全的汽車嵌入式軟件單元驗證技術研究

    ,對滿足功能安全ASIL等級的汽車嵌入式軟件單元驗證技術進行詳細介紹,從而提高軟件質量,減少軟件安全
    的頭像 發表于 01-07 11:27 ?1049次閱讀
    基于功能<b class='flag-5'>安全</b>的汽車嵌入式<b class='flag-5'>軟件</b>單元驗證<b class='flag-5'>技術</b>研究

    人工智能在軟件測試中的應用

    測試中的應用。 人工智能在軟件測試中的應用可以有效地提高測試的效率和準確性。通過機器學習、自然語言處理、模式識別等人工智能技術
    的頭像 發表于 12-26 11:02 ?622次閱讀
    主站蜘蛛池模板: 电影日本妻子| ai换脸在线全集观看| 伊人久久五月丁婷婷| 伊人久久大香线蕉综合电影网| 一二三四在线观看高清电视剧| 成人免费视频网站www| 小柔的性放荡羞辱日记| 亚洲一区自拍高清亚洲精品| 亚洲a免费| 原神美女被超污app| av狼新人开放注册区| 俄罗斯6一9泑女网站| 国产网红主播精品福利大秀专区| 九九热最新视频| 蜜桃久久久亚洲精品成人| 日本高清免费一本视频在线观看| 偷窥 亚洲 色 国产 日韩| 亚洲视频在线看| 98色精品视频在线| 国产精品久久久久久精品...| 好吊日视频在线| 免费视频国产在线观看网站| 色爱AV综合区| 亚洲成人一区二区| 97色伦图片97色伦图影院久久| 成人欧美一区二区三区白人| 国产在线精品亚洲第一区| 麻豆精品无码久久久久久久久| 三级色视频| 在线少女漫画| 国产对白精品刺激一区二区| 久久青草在线视频精品| 日韩亚洲欧美中文高清在线| 亚洲三级视频在线| 扒开校花粉嫩小泬喷潮漫画| 好湿好紧水多AAAAA片秀人网| 欧美精品AV无码一区二区| 亚洲精品久久久WWW游戏好玩| 99re8在线视频精品| 国产人妻人伦精品无码.麻豆| 麻花传媒MD0044视频|