騰訊Xcheck、騰訊BSCA：聚焦“安全左移”，護(hù)航開發(fā)安全體系建設(shè)

　　11 月 30 日— 12 月 1 日，2022 騰訊數(shù)字生態(tài)大會(huì)在深圳召開，騰訊安全攜八款自研成果及背后的創(chuàng)新技術(shù)亮相，與生態(tài)伙伴共筑數(shù)字化安全新能力，探索以“安全共生”護(hù)航企業(yè) “行穩(wěn)致遠(yuǎn) ”。

　　在12月1日下午舉行的騰訊安全先行者·新品發(fā)布會(huì)場(chǎng)上，騰訊開發(fā)安全高級(jí)產(chǎn)品經(jīng)理劉天勇針對(duì)開發(fā)安全體系的建設(shè)進(jìn)行了演講，同時(shí)發(fā)布了Xcheck、BSCA兩款開發(fā)安全產(chǎn)品。

　　現(xiàn)代軟件應(yīng)用面臨的安全風(fēng)險(xiǎn)的主要來(lái)源

　　近年來(lái)，Solarwinds、Log4j等現(xiàn)象級(jí)安全事件頻發(fā)，為全球各行各業(yè)帶來(lái)了強(qiáng)烈沖擊，軟件供應(yīng)鏈安全也進(jìn)入行業(yè)視野并成為熱門話題。

　　而作為保障軟件供應(yīng)鏈安全的“源頭”，開發(fā)安全相關(guān)技術(shù)和產(chǎn)品也受到越來(lái)越多的關(guān)注。行業(yè)共識(shí)認(rèn)為，應(yīng)用系統(tǒng)上線之后進(jìn)行軟件漏洞修復(fù)，其修復(fù)成本是需求設(shè)計(jì)階段修復(fù)成本的幾十倍。因此，在開發(fā)環(huán)節(jié)，引入相應(yīng)的安全工具，能夠有效的降低漏洞的修復(fù)成本，實(shí)現(xiàn)安全的左移。

　　自研代碼

　　自研代碼一定有未被發(fā)現(xiàn)的缺陷：“缺陷是天生的，漏洞是必然的”。統(tǒng)計(jì)數(shù)據(jù)表明，程序員每寫1000行代碼，就會(huì)出現(xiàn)1個(gè)邏輯性缺陷。

　　第三方開源組件

　　現(xiàn)代應(yīng)用都是組裝的而非純自研：據(jù)統(tǒng)計(jì)，78%-90%的現(xiàn)代應(yīng)用融入了開源組件，平均每個(gè)應(yīng)用包含147個(gè)開源組件，開源組件的引入會(huì)帶來(lái)潛在的軟件供應(yīng)鏈安全風(fēng)險(xiǎn)。

　　騰訊開發(fā)安全新品發(fā)布，全面覆蓋源代碼和開源組件風(fēng)險(xiǎn)

　　騰訊Xcheck靜態(tài)應(yīng)用檢測(cè)系統(tǒng)

　　隨著研發(fā)模式從瀑布式開發(fā)、到敏捷、再到目前最流行的DevOps，不難發(fā)現(xiàn)，軟件開發(fā)流程正在向自動(dòng)化、便捷化和智能化的方向發(fā)展。在此背景下，傳統(tǒng)的靜態(tài)應(yīng)用安全測(cè)試工具已無(wú)法滿足當(dāng)下的開發(fā)模式的效率需求，主要體現(xiàn)在兩個(gè)方面：

　　速度慢：掃描速度在幾十分鐘到數(shù)小時(shí)，無(wú)法適應(yīng)快速迭代的DevOps開發(fā)模式，嚴(yán)重影響流水線自動(dòng)化效率。

　　誤報(bào)高：檢測(cè)報(bào)告動(dòng)輒上百個(gè)風(fēng)險(xiǎn)，誤報(bào)過(guò)高，需消耗大量精力去處理，無(wú)法作為自動(dòng)化質(zhì)量門禁紅線。

　　針對(duì)以上問(wèn)題，騰訊安全致力于挖掘代碼中隱藏的安全風(fēng)險(xiǎn)，提升代碼安全質(zhì)量，自主研發(fā)推出Xcheck靜態(tài)應(yīng)用檢測(cè)系統(tǒng)。

　　雙引擎架構(gòu)，滿足不同場(chǎng)景需求

　　為了覆蓋不同的客戶場(chǎng)景，新版Xcheck提供雙引擎的架構(gòu)，實(shí)現(xiàn)檢測(cè)深度和廣度的全覆蓋：

　　全新檢測(cè)原理：語(yǔ)義解析+污點(diǎn)追蹤

　　語(yǔ)義解析：Xcheck擁有一套自研的代碼分析模糊解析器，無(wú)需依賴編譯，可以將代碼快速轉(zhuǎn)換成抽象語(yǔ)法樹，相比同類產(chǎn)品，解析的速度實(shí)現(xiàn)了大幅度的提升。

　　污點(diǎn)追蹤：Xcheck會(huì)在抽象語(yǔ)法樹的基礎(chǔ)上，設(shè)計(jì)精細(xì)化的模型，進(jìn)行模擬執(zhí)行和污點(diǎn)分析，準(zhǔn)確的找到污點(diǎn)的傳播路徑。核心檢測(cè)算法經(jīng)過(guò)了騰訊內(nèi)部每年數(shù)百萬(wàn)次任務(wù)的打磨，檢出率和誤報(bào)率能保證在較高的水平。

　　騰訊Xcheck產(chǎn)品的接入方式及應(yīng)用場(chǎng)景

　　接入流水線：通過(guò)插件方式嵌入CI/CD，默認(rèn)觸發(fā)掃描

　　接入代碼倉(cāng)庫(kù)：針對(duì)代碼倉(cāng)庫(kù)進(jìn)行定時(shí)定期的全量掃描

　　本地掃描：人工上傳代碼壓縮包進(jìn)行檢測(cè)審計(jì)

　　騰訊BSCA二進(jìn)制軟件成分分析產(chǎn)品

　　騰訊BSCA是一款以二進(jìn)制軟件成分分析為核心的檢測(cè)平臺(tái)，幫助用戶檢測(cè)軟件制品，建立軟件物料清單，發(fā)現(xiàn)軟件制品風(fēng)險(xiǎn)，規(guī)避開源安全及合規(guī)性問(wèn)題。

　　強(qiáng)大的解析能力，支持全格式制品掃描

　　騰訊BSCA擁有強(qiáng)大的分析能力，支持全格式、多維度的深度掃描，能夠有效應(yīng)對(duì)各類軟件檢測(cè)需求，涵蓋移動(dòng)端，嵌入式，后臺(tái)開發(fā)，云原生各種開發(fā)場(chǎng)景下的跨架構(gòu)格式解析。

　　解析能力：支持所有常見(jiàn)的制品格式，包括常見(jiàn)固件、鏡像、安裝包、文件系統(tǒng)、壓縮文件等。針對(duì)未知格式，啟發(fā)式格式解析，可以采用遍歷窮舉方式識(shí)別出所有可識(shí)別的數(shù)據(jù)片段，進(jìn)行部分解包還原。

　　檢測(cè)能力：騰訊BSCA是一個(gè)廣義的SCA，除了使用核心的SCA算法之外，還可以通過(guò)分析間接依賴、文件hash、結(jié)構(gòu)特征等，最大程度的提高掃描精度。

　　騰訊安全獨(dú)家維護(hù)的開源組件知識(shí)庫(kù)

　　對(duì)于一個(gè)SCA工具來(lái)說(shuō)，知識(shí)庫(kù)是一個(gè)核心組成部分。騰訊BSCA采用騰訊安全獨(dú)家維護(hù)的開源組件知識(shí)庫(kù)，為開發(fā)、測(cè)試、運(yùn)維等環(huán)節(jié)提供全面的開源知識(shí)儲(chǔ)備，提供快速準(zhǔn)確的開源數(shù)據(jù)信息更新。

　　支持全局管理SBOM組件，同時(shí)提供安全預(yù)警功能

　　該功能能夠有效的應(yīng)對(duì)軟件供應(yīng)鏈安全，在一個(gè)新的開源組件漏洞爆發(fā)時(shí)，借助Sbom能力，第一時(shí)間梳理資產(chǎn)，快速定位到人/機(jī)器等細(xì)粒度，再通過(guò)打通內(nèi)部系統(tǒng)，實(shí)現(xiàn)相關(guān)風(fēng)險(xiǎn)的預(yù)警和排查。

　　騰訊BSCA產(chǎn)品使用場(chǎng)景

　　騰訊BSCA同時(shí)支持SaaS和私有化兩種形態(tài)，使用場(chǎng)景主要分成供應(yīng)鏈場(chǎng)景和自研場(chǎng)景兩種。

　　針對(duì)供應(yīng)鏈場(chǎng)景：采購(gòu)的第三方產(chǎn)品，可以直接手動(dòng)上傳相關(guān)的安裝包，實(shí)現(xiàn)供應(yīng)鏈安全的準(zhǔn)入檢測(cè)。

　　針對(duì)自研場(chǎng)景：可以對(duì)接制品倉(cāng)庫(kù)或者CICD流水線，實(shí)現(xiàn)自動(dòng)化的開源組件風(fēng)險(xiǎn)檢測(cè)。

　　騰訊DevSecOps整體解決方案

　　除了騰訊Xcheck、騰訊BSCA兩款核心開發(fā)安全產(chǎn)品外，騰訊安全還可以提供基于DevSecOps理念的完整解決方案，通過(guò)自動(dòng)化工具和咨詢服務(wù)結(jié)合的方式，滿足客戶開發(fā)安全體系建設(shè)的需求，實(shí)現(xiàn)從源頭降低軟件供應(yīng)鏈安全風(fēng)險(xiǎn)。