案例来源：悬镜安全
- 案例背景
当前我国新能源汽车产业蓬勃发展，智能网联趋势持续深化。汽车技术与工程核心逐渐从传统硬件层面转移到软件层面，踏上软件定义汽车(SDV)的变革之路。引用开源组件成为车企、Tier1、Tier2在软件开发过程中的常规操作，但同时也使车企面临了安全漏洞、许可证、供应链攻击等安全风险的严峻挑战。某车汽车品牌是我国新能源汽车行业领导者，业务布局涵盖汽车、新能源、轨道交通和电子等领域。在汽车的智能化和数字化转型中，需要应对汽车面临的网络攻击、安全合规、开源组件风险等多重网络安全问题。为此，用户提出了以下4方面的安全需求：
- 业务软件安全需求：大量网联的业务软件使网联汽车面临了网络攻击、恶意软件、数据泄露等诸多网络风险。车企不仅需要遵守国内外相关法规确保整车安全合规，还要能有效防范车联网应用中存在的漏洞及潜在的安全风险。
- 固件安全需求：除了应用软件，智能汽车还有大量的嵌入式固件和硬件通信接口，这些都可能成为网络攻击的入口。因此，需要对车机固件和外采零部件进行二进制级别的安全扫描，及时发现潜在的漏洞和安全风险，并根据实际情况采取有效的防护措施。
- 许可版权需求：不同的开源组件带有特定的许可证要求，且涉及到海外出口商业分发，若未正确遵守组件许可，可能导致法律纠纷或商业损失。
- 供应链存续需求：随着国际贸易关系的紧张，部分开源组件逐步对国内市场实施闭源甚至制裁策略，这使得企业在依赖这些组件时面临"断供"风险。为此企业需提高供应链透明度，确保能够清晰地了解每个组件的来源和许可情况。
2.方案介绍
为了进一步提升整车安全能力，识别整车软件安全漏洞及整车软件组成成分，避免整车软件引入开源及第三方软件带来的许可协议风险、法律管制风险、漏洞风险、专利风险等问题，该用户引入悬镜源鉴SCA进行开源治理。相关安全能力包括：SBOM管理、二进制SCA分析、漏洞管理、组件依赖检测、开源许可分析、代码溯源分析、供应链风险预警。在该项目中，涉及多条业务线及不同扫描场景，业务量繁多，峰值二进制扫描需求量可达每小时数百个车机固件包。用户采用K8S分布式集群架构部署承载该扫描并发量。方案框图如下图所示。
3.源鉴SCA能力说明
SBOM管理 支持对DSDX、SPDX、CycloneDX等标准格式SBOM风险扫描和导出，提供目标软件中使用的许可证列表及风险提示，适用于C、C++、Java等汽车行业常用的多种开发语言。
二进制SCA分析 适配.hex、.xcd、.out、.mot等车端产品不同固件格式，基于源鉴SCA二进制制品成分分析引擎，分析可执行二进制的具体特征，提供对应的软件成分、漏洞风险等。
漏洞管理 提供详细的漏洞风险告警、漏洞影响分析及对应的修复建议，支持与漏洞安全管理中台进行深度集成，进行全局任务调度和风险管理。
组件依赖检测 能够识别并标明组件直接依赖和间接依赖，展示组件来源、组件引用位置、组件具体引入路径，引入的具体代码行数、代码片段等。
开源许可分析 识别项目中引用的许可证，对许可证进行风险评定，并对其内容进行相应的解读分析，包括许可证的使用条件、使用限制、使用范围、风险说明，帮助用户梳理许可证风险，及时履行许可证义务，规避开源许可违规问题。
代码溯源分析 基于代码成分溯源引擎，源鉴SCA可对应用内所引用的开源代码进行溯源分析，识别出所引用的开源项目，包括开源项目的名称、仓库地址、引用的许可证、官网链接、项目描述、匹配文件或代码片段及引用路径等。
供应链风险预警 源鉴SCA的漏洞信息兼容OWASP TOP10、国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台（CNVD）及CWE标准,结合在云端的"悬镜大脑"监控众多供应链情报，包括但不限于漏洞、组件、许可证，通过清洗、匹配、关联等一系列自动化数据分析处理后，向源鉴SCA及时推送供应链风险情报，并关联用户已有的组件、软件包、应用资产，让用户及时获取影响资产安全的最新供应链风险情报，开展治理工作。
4.实施过程介绍
针对自研业务线，引入SCA集成到CI/CD流水线，在编译构建前接入SCA检测，实现代码拉取构建时的自动化扫描，并将结果推到研发运维平台供研发查看整改。在上线前设立安全卡点，配置组件黑名单、漏洞黑名单、许可证黑名单等安全基线，通过安全卡点后方允许装车上线。
针对外采供应商场景，其特点是无法管控源代码，通过利用源鉴SCA二进制文件及SBOM文件风险扫描能力，审查交付的.Hex，.Android dex，Mot，.Xcd，.Xcd2二进制固件制品，输出标准SBOM清单后，并对比供应商提交的软件组件清单，审核确认需整改的漏洞及许可证风险，勒令供应商进行整改，整改完毕后方允许装车。
用户通过源鉴SCA，还建立了整车供应链安全审查制度，针对嵌入式固件及车端应用输出SBOM清单，梳理许可证风险，并将车端应用涉及的软件许可，在车端大屏中进行"开放源代码许可"声明公示。
5.方案特点
悬镜安全的源鉴SCA方案旨在为用户提供一套全面的整车供应链安全审查制度，通过输出SBOM清单，梳理许可证风险，并在车端大屏中进行"开放源代码许可"声明公示，从而提高供应链透明度，规避版权许可问题，并实现整车组件的可管控与可追溯。其方案特点体现在以下几个方面：
1、该方案具备高度的可扩展性和通用性，适用于多种业务场景
该方案能够覆盖整车安全组、运维部门、开发部门、测试部门以及外包服务商等多部门协同工作的复杂情况，还能覆盖多条业务产线，确保安全措施的统一性和一致性。
2、聚焦于新能源汽车行业，针对嵌入式固件及车端应用进行了精心设计
该方案能够有效地处理汽车行业常用的各类固件文件格式，对供应商不提供源码的，该方案可以够通过智能分析工具识别固件中的组件成分，确保了方案的专业性和针对性。
3、提高了整车软件供应链的透明度，提升车企开源风控的能力
源鉴SCA可以结合公司内部的采购规范及要求，对第三方供应商的产品安装包、固件包进行软件成分安全审查，自动化梳理已有及新增车载应用系统的组件资产，多维度分析开源组件的影响范围和依赖关系，提高整车供应链的透明度，并且在安全事件发生时及时回溯风险组件的位置及影响范围，全面提升车企开源风控能力。
4、简化了流程，提升了用户体验
方案实现一站式自动化开源组件漏洞风险管理，整体检测目标文件类型覆盖率98%以上，漏洞修复时间缩短60%以上，通过直观的车端大屏进行"开放源代码许可"声明公示。简化了复杂的许可证管理和组件追踪过程，有效提升该车企整体处置效率、减少运营成本。
案例点评
开源风险源自开源代码的引入，其多源性和多样性决定这需要一个长久治理过程。该案例在开源风险治理中将流程管控与审查管理进行结合，在规避网络风险的同时，也助力了企业建立更为严格的质量控制体系。在应用效果上，即能体现时性也可能在一定程度上提升管理方案的长效性。该车企作为新能源汽车领域的领导者，其成功实践可以为其他车企树立榜样，推动整个行业在供应链安全治理方面的进步。