 |
 |
 |
近年來(lái)，為了提高研發(fā)進(jìn)度和生產(chǎn)效率，越來(lái)越多的程序引入第三方開(kāi)源組件，很多單位將軟件功能檢測放在第一位，但針對軟件的安全檢測還未引起重視，尤其對第三方開(kāi)源組件可能存在的漏洞等安全問(wèn)題還未引起足夠足夠警示。很多企事業(yè)單位，對于自身軟件引用了哪些第三方開(kāi)源組件，哪些組件又存在哪些漏洞和風(fēng)險，哪些風(fēng)險會(huì )帶來(lái)哪些不可控因素，漏洞安全以及影響到自身產(chǎn)品發(fā)布等因素并未做到提前布控和規避。從安全的角度來(lái)看，所有軟件，無(wú)論是專(zhuān)有軟件還是開(kāi)放源代碼，都有可能存在安全漏洞。如果少數開(kāi)源漏洞（例如Apache Struts或OpenSSL曾被爆出的高危漏洞）被廣泛利用，將對國家，人民財產(chǎn)以及公共安全帶來(lái)極大不穩定因素。以2014年的OpenSSL曾被爆出的高危心臟出血漏洞舉例說(shuō)明，其攻擊加密程序庫OpenSSL，被廣泛應用于互聯(lián)網(wǎng)通信協(xié)議中。由此給各大電商網(wǎng)站，銀行，證券，政府，研究機構，甚至包括個(gè)人財產(chǎn)等帶來(lái)極大不安全因素。
經(jīng)過(guò)科研人員的不懈努力，東方羲和推出翰飛（HFei）軟件，旨在解決用戶(hù)單位的組件分析及安全問(wèn)題，測試第三方許可協(xié)議，有效監測安裝程序存在的漏洞，且與國家漏洞庫同步更新，擁有極佳的性?xún)r(jià)比，提前將危險扼殺在搖籃里，提前加上一道保險。
現代應用程序很大程度上依托于第三方開(kāi)源代碼。這是被廣泛接受的資源節約開(kāi)發(fā)慣例，其可以免去應用程序中的非核心功能開(kāi)發(fā)任務(wù)。但開(kāi)源軟件不等于免費軟件，使用不當，將面臨侵權訴訟風(fēng)險、負面宣傳、增加開(kāi)發(fā)和支持成本。每一個(gè)第三方開(kāi)源組件均具有相關(guān)許可，這對用戶(hù)自身的應用程序能否發(fā)布和有否被授權都會(huì )產(chǎn)生直接影響。在引用第三方開(kāi)源組件時(shí)，同時(shí)也會(huì )把組件中的漏洞和惡意后門(mén)一同帶入到系統中，第三方代碼可能包含已知的漏洞，其最終會(huì )對用戶(hù)的應用安全產(chǎn)生直接影響。業(yè)內分析人員指出，超過(guò)90％的IT企業(yè)使用開(kāi)源軟件來(lái)處理關(guān)鍵任務(wù)，而且某些應用程序的構成有90%是開(kāi)源組件。盡管開(kāi)源軟件中的漏洞數量少于專(zhuān)有軟件，但僅在2018年就發(fā)現了7,000多個(gè)開(kāi)源漏洞。在過(guò)去的二十多年中，已經(jīng)涌現出至少超過(guò)50,000個(gè)漏洞。根據Gartner統計，目前大多數企業(yè)研發(fā)項目中80%為開(kāi)源框架和組件，開(kāi)源軟件中的漏洞每年以4000個(gè)以上的速度遞增。
截至到目前為止，許多企事業(yè)單位并未正式管理開(kāi)發(fā)人員對開(kāi)放源代碼的使用，很少有公司能夠生成準確、最新的開(kāi)放源代碼組件、許可證、版本及補丁狀態(tài)清單（也稱(chēng)為物料清單或BOM）。這導致企事業(yè)使自己和客戶(hù)面臨雙重風(fēng)險。
翰飛（HFei）對應用程序和固件進(jìn)行掃描，專(zhuān)業(yè)分析包含的開(kāi)源組件，并列出所含代碼和庫文件相關(guān)的軟件許可及對應的已知漏洞。翰飛（HFei）不僅能揭示開(kāi)源的和私有的第三方代碼和庫文件，還能夠枚舉出對應的CVE（Common Vulnerabilities and Exposures通用漏洞披露）標識符以及相關(guān)的軟件許可證。將編譯好的二進(jìn)制文件上傳（不需要源代碼），僅需花費很短時(shí)間就可以揭示出你所需要的軟件內部運行的信息。
翰飛（HFei）專(zhuān)業(yè)識別第三方開(kāi)源代碼以及其漏洞和許可，這對于預防程序被攻擊至關(guān)重要。采用二級制掃描技術(shù)，翰飛提供下列主要功能：
• 識別第三方軟件包和第三方庫文件。
• 在被掃描的應用軟件中，識別用于第三方代碼的綁定軟件許可。
• 找出可能對你的應用軟件造成安全風(fēng)險的第三方組件漏洞。
• 易于操作的界面：只需按下按鈕，即可上傳你的二級制文件。
• 方便快捷：上傳二進(jìn)制文件后，很短時(shí)間內給出測試結果。
上一篇：公司通過(guò)ISO9001認證
下一篇：沒(méi)有了
