[发明专利]开源组件包的安全检测方法及装置

说明书

本申请公开了一种开源组件包的安全检测方法及装置，其中方法包括：获取在线开源组件包，并对在线开源组件包进行特征提取，获取在线开源组件包的特征信息；针对开源组件包的特征信息进行安全检测，确定在线开源组件包是否为合法包；若在线开源组件包中的第一组件包为合法包，则将第一组件包同步到本地开源镜像仓，本地开源镜像仓用于向用户提供调用的开源组件包。采用本申请实施例使得恶意代码检测能力前移，构建安全开源仓库，能够有效抑制开源化对研发环境的安全影响，降低被攻击的可能性。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种开源组件包的安全检测方法及装置。

背景技术

近年来，越来越多的软件产品依赖于免费的开源组件包，软件供应链越来越复杂，导致软件供应链安全问题日益严重，攻击者利用在软件交付环节将包含恶意代码的开源组件包注入到包管理器(Python包管理器、node.js包管理器等)，在用户使用环节对软件用户实施攻击，给用户的隐私和财产安全造成了巨大威胁。

恶意包引发的安全风险可能在安装阶段发起攻击，攻击代码从网络段远程执行，无本地文件存留；或者恶意包攻击者在安装阶段隐藏自己不发起攻击，而是将恶意代码隐藏在开源组件包中，软件开发人员在编写产品源代码时调用各种开源组件包实现一些功能模块，则可能调用到攻击者精心伪装的恶意包，并且在软件开发人员发布产品时将源代码和组件包一起打包发布，打包发布的产品通过扫描软件扫描时，恶意包注入后门到开发产品以躲避杀毒软件扫描。

传统代码安全性检测框架是通过攻击行为发生过程中检测到异常行为或攻击发生后根据攻击后果回溯检测攻击行为，均属于被动防守，当面对低成本的脚本类软件供应链攻击时，应急压力大。而且现有代码安全性检测框架基于本地源文件的终端检测和云检测，但是包管理器的攻击者上传攻击代码，攻击代码在用户使用环节之前发起攻击，并打包安装代码存在终端开发环境，攻击者可以轻易在开发环境中植入后门或安装阶段窃取信息通过网络通道传输到指定网络地址。

发明内容

本申请实施例提供了一种开源组件包的安全检测方法及装置，通过先获取在线开源组件包，并对开源组件包的安全性进行评估，使得恶意代码检测能力前移，构建安全开源仓库，有效抑制开源化对研发环境的安全影响，降低被攻击的可能性。

第一方面，提供一种开源组件包的安全检测方法，该方法包括：获取在线开源组件包，并对所述在线开源组件包进行特征提取，获取所述在线开源组件包的特征信息；针对所述开源组件包的特征信息进行安全检测，确定所述在线开源组件包是否为合法包；若所述在线开源组件包中的第一组件包为合法包，则将所述第一组件包同步到本地开源镜像仓，所述本地开源镜像仓用于向用户提供调用的开源组件包。

在本申请实施例中，在将在线开源组件包同步到本地开源镜像仓之前，先对在线开源组件包进行安全检测，确定在线开源组件包为合法包的情况下，将其同步到本地开源镜像仓，使得恶意代码检测能力前移，构建安全开源仓库，有效抑制开源化对研发环境的安全影响，降低开源组件包使用者被攻击的可能性。

在一个可选的示例中，获取在线开源组件包的特征信息包括获取在线开源组件包的创建信息；针对开源组件包的创建信息进行安全检测，确定在线开源组件包是否为合法包，包括：将在线开源组件包的创建信息与规则数据库中的多条规则进行匹配，根据匹配程度确定在线开源组件包是否为合法包。

在一个可选的示例中，该方法还包括：若确定在线开源组件包中的第二组件包为恶意包，则将第二组件包存储到增量恶意包数据库。

在一个可选的示例中，针对开源组件包的特征信息进行安全检测，确定在线开源组件包是否为合法包，包括：将在线开源组件包的特征信息与规则数据库中的多条规则进行匹配，根据匹配程度确定在线开源组件包是否为合法包。