开源软件供应链关键技术——软件成分分析系统
随着软件产业的飞速发展，开源作为超大规模智力协同的最佳组织方式之一，已成为科技创新的“主战场”，在世界范围内蓬勃发展。开源协作的软件开发模式，使得软件开发供应流程由较为单一的线条转变为复杂的网络形态，开源软件的使用比例越来越高，软件供应链也越发复杂。软件主要由自主开发代码、第三方和开源组件组装而成。第三方（包括商业许可、专有和“源代码可用”软件）以及开源组件提供了必要的构建块，使组织能够交付价值、提高质量、降低风险并缩短上线时间。但是其中衍生出的软件管理问题也越来越多，软件团队只关注其检测自主代码的潜在问题，往往忽视了对应用组件构成和应用中的开源组件中已知漏洞及开源协议的检查。与此同时，数据统计显示，在已知安全漏洞中，开源组件安全漏洞与Web 应用程序安全漏洞占多数，每十六个组件下载请求中就有一个报告有已知漏洞。为了减少这些组件风险危害，可以使用软件成分分析，以期将风险降到最低。
软件成分分析系统主要通过扫描识别开源组件，获取组件安全漏洞信息、许可证等信息，避免安全与法律法规风险。开源软件相比于闭源软件，带来了如获取便捷、降低成本等诸多好处，但相比于闭源软件，由于开源软件的所有权和使用权分离，如果使用不当，会导致最终的使用用户被迫承受法律法规风险，因此在使用中用户仍然需要注意遵循相关规则，例如遵循开源许可证的相关要求和监管条例、甚至需要公开自有的商业代码等，对引入和使用过程中潜在的安全风险进行有效监管。
软件成分分析系统是采用业界领先的静态组件分析技术开发的一款针对软件组成进行静态分析检测的产品，具有完全自主知识产权。它通过目标软件包含的一些信息和特征来实现对该软件的识别、管理、追踪的技术，能够高效的检测出软件中的组件分布信息，识别有风险的安全风险，并准确定位告警，从而有效的帮助开发人员消除应用中的漏洞、违禁协议、减少安全隐患，为软件的信息安全保驾护航。
为了很好的北京市开源产业的良性发展，长风联盟联合酷德啄木鸟共同打造软件成分分析系统为广大开源企业和用户服务，旨在提高我国开源软件的合规性，降低开源供应链安全风险。
