[发明专利]一种软件供应链安全分析方法及装置

说明书

本发明实施例提供一种软件供应链安全分析方法及装置，所述软件供应链安全分析方法包括：获取已知存在漏洞的组件；根据所述组件和预先构建的软件依赖性关系图，确定存在安全问题的软件；其中，所述软件依赖性关系图中包含有各组件和各软件之间的依赖关系。本发明实施例提供的软件供应链安全分析方法及装置，根据已知存在漏洞的组件和预先构建的软件依赖性关系图，判断哪些软件与该组件存在使用依赖关系，进而可以确定存在安全问题的软件，从而实现了软件供应链安全的快速高效分析，使得可以高效、全面进行漏洞预警与防御。

技术领域

本发明涉及计算机技术领域，尤其涉及一种软件供应链安全分析方法及装置。

背景技术

漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。漏洞是受限制的计算机、组件、应用程序或其他联机资源无意中留下的不受保护的入口点。

由于软件开发者开发软件时的疏忽，或者是编程语言的局限性，比如C语言家族比Java效率高但漏洞也多，电脑系统几乎就是用C语言编的，所以常常要打补丁。软件漏洞有时是作者日后检查的时候发现的；还有一些人专门找别人的漏洞以从中做些非法的事，当作者知道自己的漏洞被他人利用的时候就会想办法补救。

WinRAR是世界上最流行的Windows文件压缩、解压应用程序之一，近期获知WinRAR存在着一个古老的漏洞CVE-2018-20250。这个漏洞是Check Point Software的安全研究人员于2018年发现的，影响了过去19年中发布的所有WinRAR版本。据Check Point表示，WinRAR的该漏洞存在于所有WinRAR版本包含的UNACEV2.DLL库中，UNACEV2.DLL库负责ACE格式压缩文件。

Check Point的研究人员表示，通过漏洞，攻击者可以在用户指定的解压缩路径之外创建文件，执行攻击。例如，攻击者能够利用此漏洞在Windows电脑的Startup文件夹中植入恶意软件，恶意软件会在下一次重启后执行，感染并接管电脑。WinRAR拥有超过5亿名用户，而这些用户都是受到潜在影响的人群。

目前在对软件进行安全性分析时，一般都是正向处理，也即对某个软件进行分析，试图发现其中是否存在漏洞。例如上面提到的例子：分析WinRAR软件，发现该软件依赖的UNACEV2.DLL组件中存在漏洞CVE-2018-20250。但是这种分析方法仅可以得到WinRAR软件存在漏洞的结论，而无法得到其他软件的安全情况。目前这种正向的处理方法只能针对软件逐个排查，无法高效、全面进行漏洞预警与防御。

发明内容

针对现有技术中的问题，本发明实施例提供一种软件供应链安全分析方法及装置。

第一方面，本发明实施例提供了一种软件供应链安全分析方法，包括：

获取已知存在漏洞的组件；

根据所述组件和预先构建的软件依赖性关系图，确定存在安全问题的软件；

其中，所述软件依赖性关系图中包含有各组件和各软件之间的依赖关系。

进一步地，在根据所述组件和预先构建的软件依赖性关系图，确定存在安全问题的软件之前，所述软件供应链安全分析方法还包括：构建所述软件依赖性关系图的步骤，具体包括：

对运行在沙箱中的各软件进行动态分析，获取所述各软件分别依赖的组件；

根据所述各软件分别依赖的组件，构建所述软件依赖性关系图。

进一步地，所述组件包括静态链接的代码模块、动态加载的共享库、释放的库文件和释放的可执行程序中的一种或多种。

进一步地，所述对运行在沙箱中的各软件进行动态分析，获取所述各软件分别依赖的组件，具体包括：