关于软件供应链宁静的几点思考(2)

二、新时代配景下的软件供应链宁静防护

确保软件供应链宁静至关重要。从多个角度来看待软件供应链保存的差别宁静危害，有针对性地接纳多种要领或技术手段来确保软件供应链宁静，维护网络空间宁静，关于包管国家信息宁静、企事业单位稳定运行具有重要意义。

1.接纳专业工具和效劳实现对软件产品的代码审查和缺陷检测。从技术防备的角度来看，软件产品的代码审查目标纷纭庞大，如代码的缺陷检测、漏洞挖掘、漏洞危险性识别、软件许可证鉴别、所有权验证、代码克隆检测等。

在目今开源软件普遍使用的情况下，需重点关注被挪用开源代码的组件情况和重要性、开源许可证类型及使用危害以及未经修补的软件种类和数量等。相关机构或企业可考虑开发某类能够检测软件产品并报告其代码来源的工具，即通过该类软件工具，用户能够了解所使用的软件产品中挪用开源组件的情况及危害品级。

由于职能分工差别，部分机构或企业很可能不具备专业的软件工具开发能力，此时可考虑采购专业公司或企业的产品或效劳，通过查找上千万行源代码或二进制代码中保存的宁静缺陷并进行深入剖析和确认，获得软件代码组成和包括的开源软件，发明源代码或二进制软件中保存的第三方组件及包括的宁静漏洞等，实现对金融、能源、电子政务等重要行业的软件代码检测，资助用户从泉源上减少30%～70%的软件宁静问题，从而包管软件供应链宁静。目今典范的软件供应链宁静检测系统能够从以下四个方面剖析软件供应链宁静包管能力，包括：1）软件供应链身分剖析，能够剖析软件供应链中涉及的源代码种类及对应的文件数量；2）软件源代码克隆剖析，能够检测软件内部的原创代码漫衍，以及引用代码的文件级克隆和代码级克隆情况；3）开源组件漏洞剖析，能够检测软件供应链使用的开源组件内隐藏的宁静漏洞情况，并进行宁静危害品级评估；4）组件许可证兼容危害剖析，能够检测因软件供应链整体或部分引用开源组件会涉及的GPL、BSD、MIT、Mozilla、Apache和LGPL等软件许可证情况，剖析软件许可证的兼容性和限制条件，揭示相关知识产权危害。

2.增强对软件供应链攻击的剖析和防备。在常见的软件供应链攻击中，间谍组织或黑客等不法分子实现恶意软件流传的手段主要有两种，一种是在用户进行软件下载和装置时进行攻击，另一种则是在用户进行软件升级和维护时进行攻击。例如，通过在软件中进行广告推送的方法，诱导用户下载已植入恶意代码的“正当软件”。虽然付费软件的质量、效劳及宁静性等具有较高的包管，但大都企业的员工所使用的软件产品是通过互联网自行装置的免费软件。由于免费软件的宁静性差别较大，造成软件供应链攻击的危害相对较高。因此，部分企业实验在内部自建限定官方来源和加密同步协议的软件源，通过快速收敛源头的方法实现对软件供应链攻击的防备。

3.应用人工智能技术开展软件代码漏洞挖掘和缺陷检测的探索�？慈砑拧⒐蚕怼⒆杂傻奶匦�，势必会为软件供应链带来新的宁静危害。各个企业、研究机构等均增强了对新技术手段在各自业务领域的应用研究探索。在软件供应链宁静防护领域中，各个高校早已开展了将人工智能技术应用于软件代码漏洞挖掘和缺陷检测领域的探索。例如，中科院软件所、华中科技大学、中国人民大学等科研院校实验将人工智能的深度学习技术应用于软件漏洞挖掘领域，用于包管软件供应链宁静。人工智能的看法由来已久，软件漏洞挖掘领域中的古板机械学习技术即为人工智能的一个子分支领域，而从2014年开始便逐渐火热的深度学习技术则分属于机械学习领域的一个子分支领域。古板机械学习技术与深度学习技术的区别在于，深度学习更适用于从大规模数据中自动或半自动地进行缺陷特征提取，其对数据的学习能力更强。针对目今软件类型和数量成倍增长、软件种类庞杂且规模庞大的软件供应链市场现状，人工智能技术与包管软件供应链宁静的需求更为贴合，相信会在软件代码漏洞挖掘和缺陷检测的研究探索和应用中取得更好的结果。

3.增强开源软件资源治理，推动构建宁静可靠的软件供应链可信组件资源平台�？慈砑试垂蚕硎褂玫贾碌奈：┥⑹峭踩砑┯α茨驳闹饕贾�，构建宁静可靠的软件供应链可信组件资源平台，可有效制止大型软件中恶意代码、后门软件和缺陷代码的引入和扩散。国家有关主管部分、权威测评机构、大型互联网企业等应增强相助，配合推动该资源平台的建设和应用，充分利用数字技术和网络技术，最大限度地包管软件供应链可信组件资源的维护和监督，增加软件供应链攻击本钱和难度，实现软件供应链资源的自主和可控。

pg电子

关于软件供应链宁静的几点思考(2)