2023 年 9 月 14 日，華為云正式發(fā)布 CodeArtsGovernance 開源治理服務(wù)。這是一款針對軟件研發(fā)提供的一站式開源軟件治理服務(wù)，將華為在開源治理上的實踐及經(jīng)驗和能力逐步固化在華為云服務(wù)上，助力企業(yè)更加安全、更加高效的使用開源軟件。

開源軟件的使用在當(dāng)前軟件開發(fā)過程中已經(jīng)成為不可或缺的一部分，根據(jù)最近的一項調(diào)查報告顯示，全球超過 90%的企業(yè)在其軟件開發(fā)過程中使用了開源軟件。

雖然企業(yè)使用開源軟件在創(chuàng)新共享、靈活定制甚至成本效益等方面擁有優(yōu)勢，但開源軟件自身安全狀況持續(xù)下滑，開源軟件的供應(yīng)鏈也攻擊不斷。因此，使用開源軟件時，企業(yè)需要關(guān)注如下三個維度的風(fēng)險：

合法合規(guī)風(fēng)險

開源軟件的使用可能涉及到法律和合規(guī)方面的風(fēng)險。例如，某些開源許可證可能要求將軟件的源代碼公開發(fā)布，而如果企業(yè)沒有遵守這些許可證的條款，則會面臨法律糾紛和版權(quán)問題。

此外，開源軟件可能依賴于其他開源軟件或?qū)Ｓ熊浖绻传@得適當(dāng)?shù)脑S可證或合規(guī)性認(rèn)證，可能會面臨侵權(quán)和法律責(zé)任。

網(wǎng)絡(luò)安全風(fēng)險

由于其開放的特性，開源軟件可能容易受到黑客攻擊和惡意代碼注入。惡意用戶可以利用開源軟件中的漏洞或弱點來入侵系統(tǒng)、竊取數(shù)據(jù)或進行其他攻擊行為。

Log4j2 是一個開源的 Java 日志框架，被廣泛用于 Java 應(yīng)用程序的日志記錄和管理。2021 年 12 月 Log4j2 被爆出遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞被安全專家稱為史“史詩級”漏洞，波及全球 6 萬+開源軟件，影響 70%以上的企業(yè)線上業(yè)務(wù)系統(tǒng)。

供應(yīng)安全風(fēng)險

由于開源軟件通常是通過社區(qū)合作開發(fā)，因此可能存在質(zhì)量不一致、缺乏有責(zé)任感的維護者或過度依賴個別貢獻者的情況。又或是已使用的開源軟件不繼續(xù)演進和維護，開源軟件的更新和支持受到限制或延遲，導(dǎo)致軟件在長期使用中出現(xiàn)問題或安全漏洞無法及時修復(fù)。

為了應(yīng)對這些風(fēng)險，華為云開源治理服務(wù) CodeArtsGovernance 將提供全面的解決方案。

此次，華為云率先推出二級制成分分析特性，通過如下優(yōu)勢特性，助力企業(yè)應(yīng)對開源風(fēng)險：

特性 1：無源碼，無侵入快速檢測

基于二進制的成分分析，無需用戶提供源代碼，只需上傳產(chǎn)品發(fā)布包或固件，通過服務(wù)的靜態(tài)分析及特征檢測技術(shù)，無需構(gòu)建運行環(huán)境或運行程序即可快速分析產(chǎn)品二進制軟件包中包含的開源軟件及漏洞清單。

特性 2：全面的檢測能力，安全及合規(guī)問題全防護

License 合規(guī)性檢測：通過評估開源軟件許可證的合規(guī)性，服務(wù)可以檢測出是否存在使用違反許可證規(guī)定的軟件，并幫助企業(yè)遵守合規(guī)要求，避免潛在的版權(quán)侵權(quán)和法律糾紛。

開源軟件漏洞掃描：通過服務(wù)自動掃描和識別軟件中存在的開源軟件漏洞，并提供詳細(xì)的漏洞報告和修復(fù)建議，幫助客戶及時修復(fù)漏洞，減少被黑客利用的風(fēng)險；

安全配置及敏感信息泄露檢測：支持識別制品包中硬編碼密碼、硬編碼密鑰、弱口令、密碼復(fù)雜度、證書文件等 20 余種場景，保護用戶的敏感數(shù)據(jù)不被泄露；

惡意代碼檢測：內(nèi)置先進的開源軟件惡意代碼檢測引擎，結(jié)合 AI 等相關(guān)檢測技術(shù)，覆蓋惡意命令執(zhí)行、反彈 Shell、混淆加密代碼等十余種典型的惡意行為，檢測準(zhǔn)確率大于 95%，優(yōu)于同類工具。企業(yè)在開源軟件引用前掃描，可幫助企業(yè)及時發(fā)現(xiàn)開源軟件中的惡意代碼，避免惡意威脅流入產(chǎn)品軟件；若在版本軟件發(fā)布前掃描，可幫助企業(yè)攔截惡意代碼，避免惡意代碼流入生產(chǎn)環(huán)境，解決企業(yè)供應(yīng)安全風(fēng)險。

特性 3：多語言，多文件格式，多架構(gòu)平臺

華為云 CodeArtsGovernance 二進制的成分分析服務(wù)具備超強的兼容性，為用戶帶來更高的靈活性、便利性和可擴展性。服務(wù)支持多種語言編譯構(gòu)建，在多種操作系統(tǒng)或多種 CPU 架構(gòu)下生成的二進制文件；同時支持 40 多種文件系統(tǒng)或文件格式，覆蓋主流軟件應(yīng)用場景，確保軟件在不同環(huán)境中的安全性，減少切換和兼容性問題，提高檢測效率。

華為云 CodeArtsGovernance 將持續(xù)提供更多優(yōu)秀的實踐能力，如源碼成分分析、開源元數(shù)據(jù)管理、軟件信息樹等，為用戶提供全量開源軟件資產(chǎn)可視化管理能力，幫助用戶更輕松的進行開源軟件及漏洞管理。

審核編輯 黃宇