《安全419 编辑推荐 2022年度细分赛道优秀企业》软件供应链安全篇

近年来，里程碑式的软件供应链安全事件层出不穷，其所制造的危害程度愈加严重。随着开源组件的不断增多，大量的第三方开源组件被放到软件中，导致软件供应链变得越来越复杂，安全风险也前所未有地严峻。

尤其在Log4Shell漏洞和SolarWinds Orion供应链攻击事件的进一步推动下，软件供应链安全治理与运营以及DevSecOps敏捷安全体系落地的理念得以深入人心，提高对数字化应用安全性的重视已成为行业共识。

尤其在云原生场景下，随着数字化业务转型得加速，海量的toC场景涌现出来，要求数字化应用快速上线、快速迭代。为了降低软件的开发成本和周期，研发人员必须大量地采用第三方组件，避免大量“重复造轮子”的消耗。但这不可避免地就带来全新的安全风险，开源组件的引入在加快软件研发效率的同时，也将开源安全问题引入了整个软件供应链，开源治理已经成为企业用户重点关切的难题。

如何防范下一次Log4Shell漏洞爆发？应该采用何种方法来应对云原生时代下复杂多元的软件供应链威胁？将安全嵌入至整个软件开发生命周期，需要从哪一步开始建设？到底如何选择适合自己的安全产品和服务？信息化建设程度不同的企业在DevSecOps建设上该如何侧重？这一系列用户关心的问题都亟待解答。

2022年，数据泄露事件持续高发，针对软件供应链的安全攻击事件呈快速增长态势。据业内一份报告显示，2022年针对软件供应商的网络攻击同比增长146%，其中62%的数据泄露归因于供应链安全漏洞，供应链已成为网络罪犯主要的攻击媒介。

为应对软件供应链严峻的安全形势，各国相继出台了相关的法律法规与政策标准，以保障软件供应链安全。2021 年 4 月，美国网络安全与基础设施安全局（CISA）和美国国家标准与技术院（NIST）联合发布《防御软件供应链攻击》报告，首次对软件供应链进行界定，并给出与软件供应链攻击相关的信息、关联风险以及缓解措施。

在严峻的网络安全环境下，我国对软件供应链安全也给予了高度的重视。2017 年 6 月，我国发布实施《网络产品和服务安全审查办法》，将软件产品测试、交付、技术支持过程中的供应链安全风险作为重点审查内容，并推动开展了云计算服务网络安全审查。

在 2020 年 4 月 27 日，国家互联网信息办公室等 12 个部门联合发布了《网络安全审查办法》，要求关键信息基础设施运营者采购网络产品和服务，影响或可能影响国家安全的，应当进行网络安全审查，此政策的发布代表已明确将软件供应链安全带入到国内大众的视野中。

2022年11月7日，我国颁布了国家标准《信息安全技术 关键信息基础设施安全保护要求》（GB/T 39204-2022），其中关于“软件供应链安全”部分，对网络产品和服务清单、网络安全审查、合格供应方目录、来源的稳定或多样性、知识产权、源代码安全检测、网络产品和服务风险隐患处理提出了明确要求。

例如，提供者对网络产品和服务的设计、研发、生产、交付等关键环节加强安全管理；对网络产品和服务研发、制造过程中涉及的实体拥有或控制的已知技术专利等知识产权获得10年以上授权；应自行或委托第三方网络安全服务机构对定制开发的软件进行源代码安全检测，或由供应方提供第三方网络安全服务机构出具的代码安全检测报告等。

在国家战略层面，软件供应链的竞争与保障不仅关系到企业的生存与发展，而且成为世界各国相互制约和竞争的重要手段。一些西方国家通过实行严格的技术封锁，建立完善的出口管制法律体系，并将自己的软件、硬件和技术列入《进口管制清单》，导致国际软件供应链的竞争环境加剧，软件供应链的完整性面临严峻挑战。

在国际竞争关系错综复杂、网络空间安全对抗日益加剧的新形势下，竞争的战场已不再仅是企业之间的业务竞争，而是延伸到重要领域信息技术供应链之间的竞争。针对一个软件供应商发起的攻击，能够对下游大量的企业造成行业地震式影响，进而导致国家整体安全性的下降。

2022年初，安全419推出《软件供应链安全解决方案》系列访谈，通过邀请相关安全厂商分享自身前沿观点、创新技术和最佳实践，希望为企业组织更好应对软件供应链面临的风险与挑战提供参考借鉴。

在对多家业内主流软件开发安全领域厂商的走访调研过程中，安全419观察到，IAST、SCA、RASP的产品组合形式，已经成为当前开发安全领域应对应用安全风险的最主流方案。

随着运行时智能插桩、应用威胁情境感知和API智能检测响应等关键技术的创新与突破，以IAST和RASP为核心的代码疫苗技术迎来了蓬勃发展期。尤其通过单探针的形式，代码疫苗技术不仅能在测试环境中实现应用风险检测以及API挖掘和覆盖分析，还能赋能数字化应用实现攻击威胁的出厂免疫以并提供运行时敏感数据追踪等关键能力，实现检测响应一体化，支持软件供应链攻击防御、0DAY未知漏洞攻击防御、应用东西向威胁流量检测响应、无文件攻击检测响应、漏洞攻击全链路回溯及API威胁免疫等复杂应用场景。

SCA软件成分分析是一种对二进制软件的组成部分进行识别、分析和追踪的技术。SCA可以生成完整的SBOM清单，分析开发人员所使用的各种源码、模块、框架和库，以识别和清点开源软件（OSS）的组件及其构成和依赖关系，并精准识别系统中存在的已知安全漏洞或者潜在的许可证授权问题，把这些安全风险排除在软件的发布上线之前，也适用于软件运行中的诊断分析。

通过使用基于多源SCA开源应用安全缺陷检测技术的安全审查工具，可以精准识别应用开发过程中，软件开发人员有意或违规引用的开源第三方组件，并通过对应用组成进行分析，多维度提取开源组件特征，计算组件指纹信息，深度挖掘组件中潜藏的各类安全漏洞及开源协议风险。

通过对多家安全厂商相关产品/解决方案与业务情况的走访调研，基于自身的理解，从技术创新、应用实践、客户评价、行业口碑等多个维度择优推荐其中具有代表性的部分优秀厂商，最终推荐给各行业用户重点关注，为企业用户加强安全建设提供一定的参考。