2022軟件代碼開(kāi)源成分與安全檢測(cè)指南

軟件代碼開(kāi)源成分與安全檢測(cè)指南目 次前 言 II范圍 1規(guī)范性引用文件 1術(shù)語(yǔ)和定義 1概述 2檢測(cè)過(guò)程 3成分信息檢測(cè) 5漏洞信息檢測(cè) 7許可證信息檢測(cè) 10IPAGEPAGE13PAGEPAGE10軟件代碼開(kāi)源成分與安全檢測(cè)指南范圍本標(biāo)準(zhǔn)適用于軟件開(kāi)發(fā)者和管理者對(duì)軟件代碼中開(kāi)源成分信息及其安全風(fēng)險(xiǎn)的檢測(cè)活動(dòng)。本標(biāo)準(zhǔn)不涉及源代碼安全的傳統(tǒng)測(cè)試方案如靜態(tài)掃描、模糊測(cè)試、代碼審計(jì)；不涉及在開(kāi)源代碼（成分）中挖掘新的安全漏洞；不涉及檢測(cè)標(biāo)準(zhǔn)的評(píng)價(jià)體系。規(guī)范性引用文件（包括所有的修改單適用于本文件。GB/T28452-2012信息安全技術(shù)-應(yīng)用軟件系統(tǒng)通用安全技術(shù)要求GB/T30279-2013信息安全技術(shù)-安全漏洞等級(jí)劃分指南。術(shù)語(yǔ)和定義GB/T25069界定的以及下列術(shù)語(yǔ)和定義適用于本文件。Opensourcesoftware開(kāi)源軟件是指那些源代碼公開(kāi)，在符合許可證要求的前提下，可以被自由使用、復(fù)制、修改和再發(fā)布的一系列軟件的集合。Opensourcecomponents軟件代碼中引用了開(kāi)源項(xiàng)目的源代碼、二進(jìn)制文件或存在引用依賴關(guān)系的代碼成分。Opensourcelicense開(kāi)源軟件的作者對(duì)用戶使用其開(kāi)源軟件的法律許可。CloneKnowledgedatabase一種存儲(chǔ)特定領(lǐng)域數(shù)據(jù)的數(shù)據(jù)庫(kù)或數(shù)據(jù)表。概述檢測(cè)目的（）（含軟硬件結(jié)合設(shè)備檢測(cè)場(chǎng)景。第三方檢測(cè)（（。檢測(cè)工作應(yīng)于項(xiàng)目驗(yàn)收之前開(kāi)展。由于第三方檢測(cè)涉及較多檢測(cè)人員檢測(cè)內(nèi)容開(kāi)展檢測(cè)首先需要制訂并遵循檢測(cè)條款（6、7、8章節(jié)。檢測(cè)條33339檢測(cè)方法檢測(cè)過(guò)程總體流程（回歸測(cè)試（對(duì)于暫時(shí)無(wú)法修復(fù)的風(fēng)險(xiǎn)問(wèn)題，可采取其他方法進(jìn)行風(fēng)險(xiǎn)規(guī)避或接受。開(kāi)源成分與安全檢測(cè)流程1圖1開(kāi)源檢測(cè)流程檢測(cè)準(zhǔn)備簽署保密協(xié)議項(xiàng)目背景調(diào)研熟悉代碼通過(guò)與項(xiàng)目成員溝通和閱讀代碼，了解項(xiàng)目基礎(chǔ)結(jié)構(gòu)、代碼規(guī)范、項(xiàng)目架構(gòu)等。檢測(cè)條款制定6、7、8章節(jié)。檢測(cè)環(huán)境準(zhǔn)備（內(nèi)網(wǎng)環(huán)境檢測(cè)實(shí)施檢測(cè)入場(chǎng)信息調(diào)研工具檢測(cè)（又稱克隆檢測(cè)BlackDuck、FOSSID、棱鏡七彩開(kāi)源安全檢測(cè)平臺(tái)等，宜選擇支持私有云部署或本地部署的檢測(cè)工具。人工核實(shí)檢測(cè)報(bào)告結(jié)果處置由項(xiàng)目成員對(duì)檢測(cè)出的問(wèn)題組織召開(kāi)評(píng)審會(huì)進(jìn)行結(jié)果處置。對(duì)于可以修復(fù)的風(fēng)險(xiǎn)問(wèn)題，成分信息檢測(cè)項(xiàng)目基本信息檢測(cè)檢測(cè)目的檢測(cè)內(nèi)容項(xiàng)目基本信息檢測(cè)檢測(cè)輸出結(jié)果項(xiàng)目基本信息檢測(cè)輸出結(jié)果宜包括但不限于工程文件中所包含的文件類型格式（如.c/.java/.cpp/.dll/.txt/.php）及分布情況、文件的數(shù)量個(gè)數(shù)、文件的存儲(chǔ)容量、文件所使用的編程語(yǔ)言及分布情況、源代碼的行數(shù)統(tǒng)計(jì)等。檢測(cè)必要條件檢測(cè)工具宜具備文件系統(tǒng)掃描相關(guān)技術(shù)。檢測(cè)方法開(kāi)源代碼成分檢測(cè)檢測(cè)目的通過(guò)開(kāi)源代碼成分檢測(cè)，檢測(cè)識(shí)別軟件工程中的開(kāi)源成分，為軟件代碼自主比率的測(cè)評(píng)檢測(cè)內(nèi)容檢測(cè)輸出結(jié)果開(kāi)源代碼成分檢測(cè)輸出結(jié)果宜包括但不限于：軟件工程中所有文件數(shù)量；軟件工程中被認(rèn)定為開(kāi)源成分的文件數(shù)量；開(kāi)源成分占總文件數(shù)量的比例情況；與開(kāi)源項(xiàng)目文本相似的文件信息。包括文件名稱，開(kāi)源項(xiàng)目的文件名稱、兩文件彼此的相似度并高亮展示相似片段；與開(kāi)源項(xiàng)目結(jié)構(gòu)相似的文件信息。包括文件名稱，開(kāi)源項(xiàng)目的文件名稱、兩文件彼此的相似度并高亮展示相似片段；與開(kāi)源項(xiàng)目代碼片段相似的文件信息。包括文件名稱，開(kāi)源項(xiàng)目的文件名稱、兩文件彼此的相似度并高亮展示相似片段。檢測(cè)必要條件檢測(cè)工具宜具備開(kāi)源代碼知識(shí)庫(kù)并滿足以下要求：收錄主流國(guó)內(nèi)外開(kāi)源社區(qū)或網(wǎng)站；開(kāi)源代碼知識(shí)庫(kù)宜經(jīng)常保持更新，保證源代碼庫(kù)的時(shí)效性；宜包含目前主流編程語(yǔ)言。檢測(cè)方法檢測(cè)工具宜運(yùn)用代碼相似度檢測(cè)技術(shù)，對(duì)如下情況具備檢測(cè)識(shí)別能力：對(duì)開(kāi)源代碼修改函數(shù)名、變量名、頭文件等；對(duì)開(kāi)源代碼，新增、刪除部分代碼片段；對(duì)開(kāi)源代碼，擾亂了代碼片段或函數(shù)的文本順序；新增、刪除或者修改了大量代碼注釋；新增、刪除換行符、空格符等。代碼溯源信息檢測(cè)檢測(cè)目的檢測(cè)內(nèi)容代碼溯源信息檢測(cè)宜對(duì)如下信息進(jìn)行檢測(cè)：源代碼溯源信息：即在軟件工程的代碼文件中，有效檢測(cè)識(shí)別出項(xiàng)目中所包含的所有代碼格式為源代碼的開(kāi)源項(xiàng)目的詳細(xì)信息；二進(jìn)制組件溯源信息：即在軟件工程的代碼文件中，有效檢測(cè)識(shí)別出項(xiàng)目中所包含的所有代碼格式為二進(jìn)制代碼的開(kāi)源項(xiàng)目的詳細(xì)信息；引用依賴溯源信息：即在軟件工程的代碼文件中，有效檢測(cè)識(shí)別出項(xiàng)目中所引用依賴的開(kāi)源項(xiàng)目的詳細(xì)信息。檢測(cè)輸出結(jié)果代碼溯源信息檢測(cè)宜包含如下檢測(cè)輸出結(jié)果：源代碼溯源信息：宜包括但不限于溯源項(xiàng)目名稱、創(chuàng)建時(shí)間、代碼托管地址、項(xiàng)目二進(jìn)制組件溯源信息：宜包括但不限于二進(jìn)制組件名稱、創(chuàng)建時(shí)間、組件描述、開(kāi)源社區(qū)所屬國(guó)家、項(xiàng)目主要貢獻(xiàn)者及其國(guó)籍等；引用依賴溯源信息：宜包括但不限于項(xiàng)目中引用的開(kāi)源項(xiàng)目的項(xiàng)目文件名稱、項(xiàng)目文件路徑、項(xiàng)目版本號(hào)、開(kāi)源社區(qū)所屬國(guó)家、項(xiàng)目主要貢獻(xiàn)者及其國(guó)籍等。檢測(cè)必要條件檢測(cè)工具宜具備開(kāi)源代碼知識(shí)庫(kù)并滿足以下要求：開(kāi)源代碼知識(shí)庫(kù)數(shù)據(jù)：包含但不限于每個(gè)開(kāi)源項(xiàng)目的項(xiàng)目名稱、創(chuàng)建時(shí)間、代碼托開(kāi)源代碼知識(shí)庫(kù)宜具備開(kāi)源二進(jìn)制組件信息數(shù)據(jù)；其它開(kāi)源代碼知識(shí)庫(kù)要求與【6.2.4】所述相同。檢測(cè)方法匹配檢測(cè)技術(shù)宜對(duì)如下情況具備檢測(cè)識(shí)別能力：可以文件為粒度進(jìn)行匹配檢測(cè)；可以文件結(jié)構(gòu)為粒度進(jìn)行匹配檢測(cè)；可以代碼片段為粒度進(jìn)行檢測(cè)；可以追溯代碼中引用依賴的開(kāi)源項(xiàng)目。漏洞信息檢測(cè)源代碼漏洞檢測(cè)檢測(cè)目的源代碼漏洞檢測(cè)檢測(cè)目的如下：開(kāi)源項(xiàng)目代碼是軟件代碼的一個(gè)重要組成部分，而開(kāi)源項(xiàng)目代碼漏洞繁多，進(jìn)行開(kāi)源項(xiàng)目漏洞檢測(cè)是保障代碼安全的必需環(huán)節(jié)；通過(guò)對(duì)軟件工程中源代碼漏洞信息的檢測(cè)，與二進(jìn)制組件漏洞檢測(cè)、引用依賴漏洞檢測(cè)互為補(bǔ)充，形成開(kāi)源安全檢測(cè)的閉環(huán)。檢測(cè)內(nèi)容源代碼漏洞信息檢測(cè)輸出結(jié)果源代碼漏洞檢測(cè)宜具備如下檢測(cè)輸出結(jié)果：宜包含軟件工程中存在漏洞的開(kāi)源項(xiàng)目數(shù)量、名稱、代碼托管地址、項(xiàng)目描述、漏洞數(shù)量；宜包含但不限于匹配項(xiàng)目漏洞的危害等級(jí)、漏洞等級(jí)、發(fā)布時(shí)間、漏洞描述、參考鏈接、受影響產(chǎn)品、補(bǔ)丁參考鏈接、解決方案。檢測(cè)必要條件檢測(cè)工具宜具備開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)并滿足以下要求：（CNVD/CNNVD/CVE/NVD）開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)宜包含源代碼漏洞數(shù)據(jù)；開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)宜經(jīng)常更新，保證漏洞庫(kù)的時(shí)效性；宜包含目前主流開(kāi)發(fā)語(yǔ)言的開(kāi)源項(xiàng)目漏洞；宜包含但不限于項(xiàng)目級(jí)、版本級(jí)、文件級(jí)等多維度的漏洞數(shù)據(jù)；漏洞的分級(jí)分類和描述應(yīng)符合國(guó)家標(biāo)準(zhǔn)。檢測(cè)方法根據(jù)漏洞數(shù)據(jù)字典匹配出開(kāi)源項(xiàng)目/組件/源代碼漏洞檢測(cè)宜滿足如下要求：對(duì)漏洞數(shù)據(jù)進(jìn)行分析整理，具有項(xiàng)目級(jí)、版本級(jí)、文件級(jí)、代碼級(jí)等多維度粒度的漏洞；支持在檢測(cè)出漏洞后，對(duì)漏洞提供驗(yàn)證方案和解決方案。二進(jìn)制組件漏洞檢測(cè)檢測(cè)目的二進(jìn)制組件漏洞檢測(cè)檢測(cè)目的如下：開(kāi)源項(xiàng)目二進(jìn)制代碼是軟件代碼的一個(gè)重要組成部分，而二進(jìn)制代碼漏洞繁多，進(jìn)行二進(jìn)制代碼漏洞檢測(cè)是保障企業(yè)代碼安全的必需環(huán)節(jié)；通過(guò)對(duì)軟件工程中二進(jìn)制漏洞信息的檢測(cè)，與許可證風(fēng)險(xiǎn)檢測(cè)、源代碼漏洞檢測(cè)、引用依賴漏洞檢測(cè)互為補(bǔ)充，形成開(kāi)源安全檢測(cè)的閉環(huán)。檢測(cè)內(nèi)容二進(jìn)制組件漏洞信息檢測(cè)輸出結(jié)果二進(jìn)制組件漏洞檢測(cè)宜具備如下檢測(cè)輸出結(jié)果：宜包含軟件工程中存在漏洞的二進(jìn)制組件數(shù)量、名稱、代碼托管地址、組件描述、漏洞數(shù)量；宜包含但不限于匹配組件漏洞的危害等級(jí)、漏洞等級(jí)、發(fā)布時(shí)間、漏洞描述、參考鏈接、受影響產(chǎn)品、補(bǔ)丁參考鏈接、解決方案。檢測(cè)必要條件檢測(cè)工具宜具備開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)并滿足以下要求：（CNVD/CNNVD/CVE/NVD）開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)宜包含二進(jìn)制組件漏洞數(shù)據(jù)；開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)宜經(jīng)常更新，保證漏洞庫(kù)的時(shí)效性；宜包含目前主流開(kāi)發(fā)語(yǔ)言的開(kāi)源項(xiàng)目漏洞；漏洞的分級(jí)分類和描述應(yīng)符合國(guó)家標(biāo)準(zhǔn)。檢測(cè)方法檢測(cè)工具宜滿足如下要求：對(duì)漏洞數(shù)據(jù)進(jìn)行分析整理，歸納成完整漏洞信息；支持在檢測(cè)出漏洞后，對(duì)漏洞提供驗(yàn)證方案和解決方案。引用依賴漏洞檢測(cè)檢測(cè)目的引用依賴漏洞檢測(cè)檢測(cè)目的如下：開(kāi)源項(xiàng)目所引用依賴開(kāi)源項(xiàng)目的代碼是軟件代碼的一個(gè)重要組成部分，而引用依賴開(kāi)源項(xiàng)目的代碼漏洞繁多，進(jìn)行引用依賴開(kāi)源項(xiàng)目漏洞檢測(cè)是保障代碼安全的必需環(huán)節(jié)；通過(guò)對(duì)軟件工程中引用依賴開(kāi)源項(xiàng)目漏洞信息的檢測(cè)，與源代碼漏洞檢測(cè)、二進(jìn)制組件漏洞檢測(cè)互為補(bǔ)充，形成開(kāi)源安全檢測(cè)的閉環(huán)。檢測(cè)內(nèi)容引用依賴漏洞信息檢測(cè)輸出結(jié)果引用依賴漏洞檢測(cè)宜包含如下檢測(cè)輸出結(jié)果：宜包含軟件工程中存在漏洞的開(kāi)源項(xiàng)目數(shù)量、名稱、代碼托管地址、項(xiàng)目描述、漏洞數(shù)量；宜包含但不限于匹配組件漏洞的危害等級(jí)、漏洞等級(jí)、發(fā)布時(shí)間、漏洞描述、參考鏈接、受影響產(chǎn)品、補(bǔ)丁參考鏈接、解決方案。檢測(cè)必要條件檢測(cè)工具宜具備開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)并滿足以下要求：（CNVD/CNNVD/CVE/NVD）漏洞庫(kù)宜包含源代碼漏洞數(shù)據(jù)；開(kāi)源項(xiàng)目漏洞知識(shí)庫(kù)宜經(jīng)常自動(dòng)更新，保證漏洞庫(kù)的時(shí)效性；宜包含目前主流開(kāi)發(fā)語(yǔ)言的開(kāi)源項(xiàng)目漏洞；宜包含但不限于項(xiàng)目級(jí)、版本級(jí)、文件級(jí)多級(jí)別的漏洞數(shù)據(jù)；漏洞的分級(jí)分類和描述應(yīng)符合國(guó)家標(biāo)準(zhǔn)。檢測(cè)方法引用依賴漏洞檢測(cè)宜滿足如下要求：對(duì)漏洞數(shù)據(jù)進(jìn)行分析整理，具有項(xiàng)目級(jí)、版本級(jí)等多維度粒度的漏洞；支持在檢測(cè)出漏洞后，對(duì)漏洞提供驗(yàn)證方案和解決方案。許可證信息檢測(cè)開(kāi)源許可證信息檢測(cè)檢測(cè)目的開(kāi)源許可證信息檢測(cè)的目的如下：通過(guò)對(duì)開(kāi)源許可證信息的檢測(cè)，為后續(xù)的許可證商用風(fēng)險(xiǎn)檢測(cè)提供基礎(chǔ)數(shù)據(jù)支撐；通過(guò)對(duì)開(kāi)源許可證信息的檢測(cè)，為后續(xù)基于不同許可證信息對(duì)比分析的許可證兼容性檢測(cè)工作提供基礎(chǔ)數(shù)據(jù)；通過(guò)對(duì)開(kāi)源許可證信息的檢測(cè)，使開(kāi)發(fā)者對(duì)引入包含對(duì)應(yīng)許可證的開(kāi)源項(xiàng)目后的基本注意事項(xiàng)形成認(rèn)識(shí)；通過(guò)對(duì)開(kāi)源許可證信息的檢測(cè)，使開(kāi)發(fā)者對(duì)相應(yīng)許可證的義務(wù)要求形成認(rèn)識(shí)；通過(guò)對(duì)開(kāi)源許可證信息的檢測(cè)，使開(kāi)發(fā)者對(duì)相應(yīng)許可證的政策要求形成認(rèn)識(shí)。檢測(cè)內(nèi)容開(kāi)源許可證信息檢測(cè)宜對(duì)如下信息進(jìn)行檢測(cè)：源代碼許可證信息：即在軟件工程的代碼文件中，有效檢測(cè)出文件格式為源代碼的二進(jìn)制許可證信息：即在軟件工程的代碼文件中，有效檢測(cè)出格式為二進(jìn)制代碼的開(kāi)源項(xiàng)目的開(kāi)源許可證的信息；引用依賴許可證信息：即在軟件工程的代碼文件中，有效檢測(cè)出項(xiàng)目中所引用依賴的開(kāi)源項(xiàng)目的開(kāi)源許可證的信息。檢測(cè)輸出結(jié)果檢測(cè)必要條件檢測(cè)工具宜具備對(duì)應(yīng)開(kāi)源許可證知識(shí)庫(kù)，該知識(shí)庫(kù)宜滿足以下要求：宜包含目前主流許可證的許可證信息；宜包含但不限于許可證名稱、許可證類型、許可證所在文件路徑、條款、原文等信息；開(kāi)源許可證庫(kù)宜經(jīng)常更新，保證漏洞庫(kù)的時(shí)效性。檢測(cè)方法匹配檢測(cè)技術(shù)宜提取出項(xiàng)目中許可證名稱、許可證類型、許可證所在文件路徑、條款、原文等許可證相關(guān)信息。許可證兼容性檢測(cè)檢測(cè)目的許可證兼容性檢測(cè)的目的如下：部分許可證與其它部分許可證因其中的條款存在沖突而無(wú)法存在于同一個(gè)開(kāi)源項(xiàng)目通過(guò)對(duì)軟件工程中開(kāi)源許可證兼容性信息的檢測(cè)，與許可證商用風(fēng)險(xiǎn)檢測(cè)和開(kāi)源項(xiàng)目漏洞檢測(cè)互為補(bǔ)充，形成開(kāi)源安全檢測(cè)的閉環(huán)；部分許可證兼容性問(wèn)題會(huì)導(dǎo)致許可證商用性問(wèn)題，通過(guò)對(duì)軟件工程中開(kāi)源許可證兼容性信息的檢測(cè)，為許可證商用風(fēng)險(xiǎn)檢測(cè)提供數(shù)據(jù)基礎(chǔ)。檢測(cè)內(nèi)容許可證兼容性信息：許可證信息中關(guān)于一個(gè)許可證與其它許可證是否兼容相關(guān)的信息。檢測(cè)輸出結(jié)果許可證兼容性檢測(cè)輸出結(jié)果宜包含但不限于:開(kāi)源項(xiàng)目中互相沖突的所有許可證的相應(yīng)沖突條款/軟件工程中存在開(kāi)源許可證兼容性問(wèn)題的開(kāi)源項(xiàng)目的項(xiàng)目數(shù)量、項(xiàng)目名稱、項(xiàng)目托管地址、許可證名稱。檢測(cè)必要條件檢測(cè)工具需具備對(duì)應(yīng)開(kāi)源許可證知識(shí)庫(kù)，該知識(shí)庫(kù)宜滿足以下要求：從廣泛的渠道挖掘開(kāi)源許可證兼容性數(shù)據(jù)或自主進(jìn)行許可證兼容性分析，于開(kāi)源許其它開(kāi)源許可證知識(shí)庫(kù)要求與【8.1.4】相同。檢測(cè)方法許可證商用風(fēng)險(xiǎn)檢測(cè)檢測(cè)目的許可證商用風(fēng)險(xiǎn)檢測(cè)的目的如下：部分許可證僅限于非商業(yè)項(xiàng)目用途或用于商業(yè)存在一定風(fēng)險(xiǎn)，為避免引入的部分開(kāi)發(fā)階段即發(fā)現(xiàn)問(wèn)題并解決，避免或減少不必要的損失；通過(guò)對(duì)軟件工程中開(kāi)源許可證商用風(fēng)險(xiǎn)信息的檢測(cè)，與許可證兼容性檢測(cè)和開(kāi)源項(xiàng)目漏洞