行业首家 | 悬镜源鉴OSS通过开源治理工具评估全模式认证

5月26日，以“原生蓄力，云领未来”为主题的2021年云原生产业大会在北京启幕，中国信通院在本次大会上发布云原生系列技术最新批次的评估结果，其评估为指导产品提供建设云原生服务、为企业用户选择云原生产品提供了权威参考。经过信通院数月多维度严格公正的评审，最终，悬镜安全旗下的开源治理平台——源鉴OSS开源威胁管控平台本地部署版（以下简称“源鉴OSS”）凭借创新的技术优势和领先的落地实践案例，成功通过开源治理工具评估认证。借此，悬镜安全成为唯一一家通过本地部署版和SaaS版全模式认证的厂商。

随着云原生逐步成为现代企业架构的首选，越来越多的企业用户在云原生技术落地过程中遇到诸多安全问题：在云原生应用过程中，在企业内部如何开展开源治理？如何确保云原生环境下软件供应链的安全问题？悬镜安全旗下的源鉴OSS开源威胁管控平台（以下简称“源鉴OSS”）可帮助企业进行开源威胁治理，防止开源组件滥用，开源威胁频出的现象发生。

悬镜源鉴OSS开源威胁管控平台基于多源SCA开源应用安全缺陷技术，结合悬镜独有的应用探针，准确地识别应用在被执行的过程中调用的第三方组件风险。其主要特征有以下几点：

No.1 深度流程融合，加速安全开发

源鉴OSS可以与DevOps流程无缝结合，在流水线的相应阶段自动发现应用程序中的开源组件，提供关键的版本控制和使用信息，并在DevOps的任何阶段检测到漏洞风险和策略风险时触发警报。所有这些信息都通过安全和开发团队的所使用的平台工具实时发送，从而实现了及时的反馈循环和快速行动。

No.2 运行态分析验证，重要事务优先

相比传统的SCA检测平台，源鉴OSS依靠独有的IAST技术，拥有运行时分析能力，通过开源软件成分分析、依赖分析、特征分析、引用识别等多种技术组合能够精确识别软件中的开源组件信息，以准确识别应用程序是否实际使用了易受攻击的组件，进一步确认漏洞的真实有效性，使开发人员避免面对数量巨大的误报和无法利用的漏洞，帮助他们区分优先级，将有限的修复精力集中在真正重要的漏洞上。 

No.3 云端情报监控，实时预警风险

源鉴OSS的漏洞信息兼容OWASP TOP10、国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台（CNVD）及CWE标准，通过在云端的“悬镜大脑”监控众多开源软件漏洞情报来源，通过清洗、匹配、关联等一系列自动化数据分析处理后，向源鉴OSS及时推送开源软件风险信息，让用户及时获取影响其安全的最新开源软件漏洞和许可证风险情报。

伴随着国家“新基建”对云计算等基础设施建设的高度关注，以及最新“十四五”规划对数字产业的加速推动，国内全面云原生的时代即将到来。随着云原生逐步成为现代企业架构的首选，企业在云原生技术应用落地过程中也面临诸多安全挑战。悬镜安全将持续从应用源头做威胁治理，构筑新一代敏捷安全体系，助力企业业务安全高效发展，帮助企业快速进入云原生时代，为企业云原生应用实践保驾护航。