北京大学浅析软件供应链安全中的代码分析技术

背景介绍： 近年来软件供应链安全事件频发，如XCodeGhost、XShell、CCleaner等事件，凸显了软件供应链安全的重要性。 软件供应链环节风险： 描述了软件设计、开发、交付、使用等环节中可能存在的风险，如源代码污染、开发工具污染、厂商预留后门等。 代码分析在软件供应链安全中的重要性： 强调了代码分析（白盒分析）是部署前自动化解决供应链安全问题的唯一手段。 开源第三方库的安全现状： 指出了开源第三方库使用比例急速上升，但同时也带来了安全风险，如漏洞检测困难、修复周期长等问题。 软件供应链安全事件频发的原因： 分析了开源软件大量应用、源代码中后门隐患、供应链安全造成的风险。 代码分析技术： 讨论了静态代码分析技术、成分分析技术、解决方案等。 软件成分分析技术： 介绍了基于代码大数据的软件成分及同源漏洞检测技术，包括检测粒度、分析层、数据层等。 SCA工具普遍问题： 讨论了许可证冲突、相似性未知漏洞、组件及漏洞可达性分析等问题。 技术应用案例： 展示了基于代码分析技术的自动化后门检测分析技术的应用案例。 未来的技术趋势： 预测了引入符号执行、fuzz动态分析