Cybellum V-Ray

        ⚫哪些系统上运行的产品包含了易受攻击的程序组件

其实解决这些问题并不难，只要通过适当的供应链安全流程和正确的技术， 答案就在您眼前。如果您已经采用了正确的供应链管理手段来把控风险，您完全可以快速，冷静的解决上述漏洞，也能够快速识别哪些资产正在使用受影响的组件。

五、供应链的安全管理

软件供应链安全管理是您业务的重要组成部分，您需要密切关注正在使用的组件，以确保它们适合您的产品，并且没有质量及安全风险。

那您第一步需要做的是调整管控策略，例如：在任何情况下哪些组件都不容易受到攻击？有关第三方组件漏洞的政策是什么？什么时候向客户发布关键补丁？一旦定义好了策略，我们就能为引入第三方组件设置好管理门槛。

对于厂家而言，设置门槛基本在以下的位置：

      1.在发布期间，对产品中的组件进行全面的安全风险检查。

      2.在部署期间，监控供应链中已知和未知的漏洞，以便及时做出正确的风险决策，并更好的通过该信息来确定何时更新或替换这些组件，从而发布新的修正版本，并能及时的为客户提供恰当的更新帮助信息，以协助客户做出明智的更新决策。

六、工欲善其事，必先利其器

手动管理供应链的安全风险几乎是不可能的，但许多组织仍然使用电子表格或其他原始工具，手动跟踪安全风险，假如采用 Cybellum 的 V-Ray 平台，将关键任务自动化，真正使软件供应链管理成为可操作的实时流程。

首先，确定产品中的内容，使构建产品的所有组件变得透明可视化，有点类似于产品的成分列表。

一旦产品组件成分变得可视化，V-Ray 平台就会自动执行分析，通过分析发现不同组件相对应的已知和未知的漏洞，让用户快速准确的了解产品的安全风险。重要的是，V-Ray 还会跟踪漏洞源，能够在第一时间发现针对不同组件而诞生的新漏洞或攻击技术，并向安全开发团队发出实时警报。

七、发布更安全的产品

经过半个世纪的不可思议的创新和发展，软件行业不断成熟并发展成为一门真正的工程学科，虽然构建安全的软件以前看起来是多么不可思议的工程，但现代软件工程流程已经完全考虑到了。例如：DevSecOps 流程，流程中的每个步骤和环节都确保了软件产品的安全性，健壮性和耐用性。

其中，供应链安全管理是构建安全软件产品的关键组成部分，采用有效的供应链安全管理，使得软件产品大大降低了安全风险，进而为每个人创造了一个更美好的世界。软件开发厂商通过供应链管理，将更加清晰的了解其产品中的安全风险，而软件采购方也可以在采购周期中更加了解不同组件的安全问题，使得生产方不能在安全问题上有所松懈，必须最大限度地减少漏洞，确保产品的安全，而用户将最终受益于整个软件生态系统变得更安全，产品更可靠。

八、我们的产品

Cybellum V-Ray™

基于自动化的漏洞检测平台，提供完整的组件可见性和风险评估。

利用自动反向工程扫描程序固件，并通过模仿黑客的攻击方法，高效的检测安全漏洞和威胁。

在无需提供源代码的自动化扫描后，V-Ray 将清晰的展示所有集成组件的安全风险。使得开发团队在及时评估组件风险后，准确的修复安全漏洞，并安全地发布产品。

Cybellum V- nitor™

监控所有已部署的组件，让开发团队及时掌握公共，私有及暗源的新漏洞和威胁。

可集成到产品库存管理系统，通过自动化技术监控已部署的组件，当发现新漏洞时，平台将及时发出警报，让开发团队或运维团队在同一界面上就能及时掌握产品的安全风险。

以上两款产品都可以部署在云端和客户端服务器上，并可以作为 SOC（安全运营中心）的一部分，完成企业对所有软件产品组件的漏洞检测，监控及风险图分析评估图。

九、产品技术

Cybellum 的安全解决方案就像是一把漏洞检测的瑞士军刀，由前沿尖端的安全攻防技术组成，不断查找和验证全球最新的安全威胁。

我们检测漏洞的主要算法，是基于最新的机器学习技术，其工作方式如下：

1.学习阶段

在学习过程中，我们下载了数以千计的公开分类漏洞库，并合成了数百万个机密漏洞信息，从中提取了这些漏洞的所有可能性参数（比如堆栈调用的方法名称，不同的参数类型等等），让机器通过不同的样本学习，全面了解每类漏洞的发生的可能性，及相关测试方法。通过长时间的学习过程之后，系统将得到了一个方法，当给定一个二进制文件时，可以快速生成我们在二进制文件中称为脆弱点的信息，这是二进制文件中具有高漏洞可能性的位置。

2.工作阶段

该技术由静态和动态两个主要部分组成：

   ⚫静态-静态地浏览封装后的二进制文件，对其进行反汇编，以便找到公开可用漏洞的类别，程序脆弱点，构建问题等等。通过不断的检测，算法学习，最终生成一组易受攻击的漏洞信息表。

   ⚫动态-通过在类似“沙箱”一样的高度定制化执行环境中，执行二进制文件，目的是能够实时，准确的监控到被触发的程序漏洞，并实时通知告警，生成评估报告。

基于脆弱点的分析，同时包含压力测试等方法，系统每个新发现的漏洞或新的被公开漏洞，都会回到学习机器学习过程中用以改进算法。

十、产品能力

可检测的漏洞类型包括

1.公开的可被利用的漏洞

   1)来自多个公共和专有数据库的漏洞•国家漏洞数据库（NVD）

   2)GitHub 问题跟踪器

   3)开源项目的错误跟踪器

2.代码合规规则

   1)CERT C

   2)ISO26262

   3)MISRA

   4)AUTOSAR

注：支持原厂和客户扩展

3.未知漏洞支持类型

   1)缓冲区溢出-堆/栈缓

   2)冲区读堆/堆栈

   3)无效页错误

   4)死锁

   5)整数溢出

   6)空指针引用

   7)未初始化数据

   8)同一块内存释放两次

   9)内存释放后使用

   10)内存越界

   11)除零

   12)类型混淆

4.系统编译配置（软件加固 Software Harding）错误

   1)地址空间布局随机化（ASLR）

   2)堆叠式粉碎保护器（SSP）

   3)可执行空间保护（NX）

   4)重定位表保护（RELRO）

   5)栈金丝雀保护

   6)SAFESEH

   7)数据执行保护（DEP）

   8)CFG

   9)符号和剥离

   10)强化源

5.系统安全配置风险

   1)OS 内核错误

   2)OS 密码策略

   3)SSH

   4)WEB 服务器

   5)安卓系统

6.危险的安全措施

   1)最佳实践编码错误

   2)错误处理问题

   3)信息泄漏

   ⚫硬编码凭证

   ⚫纯文本密码

   ⚫哈希密码

   ⚫电子邮件

   ⚫IP

   ⚫URL

   ⚫文件路径

注：支持白名单过滤

   4)加密

   ⚫可访问的密钥、密码信息

   ⚫未加密的通信

   ⚫私钥

   ⚫公钥

   ⚫违反安全最佳实践

   ⚫危险/不推荐使用的功能

7.许可证类型检测

   1)Apache License 2.0

   2)BSD 3-Clause "New" or "Revised" license

   3)BSD 2-Clause "Simplified" or "FreeBSD" license

   4)GNU General Public License (GPL)

   5)GNU Library or "Lesser"

   6)General Public License (LGPL)

   7)MIT license

   8)Mozilla Public License 2.0

   9)Common Development and Distribution License

   10)Eclipse Public License

   11)其它

支持的文件格式

1.常见可执行文件：.exe、.elf、…

2.系统镜像文件：.img、.bin、.s39、…

3.常见压缩文件：.zip、.rar、.7z、…

4.Java 软件：.jar、.apk、…

5.其它常见格式文件

注：目前支持绝大多数二进制文件的全面检测，支持其它文件的安全风险监测， 支持文件格式扩展接口

支持的检测范围

1.开源组件

2.非开源组件（封闭软件，如 Microsoft、Google、CISCO 等）

3.自研发软件

支持的被测对象

1.支持目前主流的各种 CPU 类型

2.支持目前常见的各类操作系统 OS

3.支持目前主要的各类文件格式

4.开放新的文件格式的扩展支持

5.支持私有漏洞检测

6.支持私有漏洞的虚拟运行验证

7.提供充分信息帮助用户对私有漏洞溯源

8.支持各类主机程序检测

9.支持各类嵌入式软件包检测

10.支持各类移动端镜像包（Android）检测

支持的软件包来源

1.支持国产软件包检测

2.支持第三方闭源软件包检测

3.支持开源软件组件检测

注：基本覆盖全部常见开源组件已知漏洞检测、常见第三方闭源组件漏洞检测。而无已知安全风险的组件成分检测（非知名组件、微组件等）预计 Q1.2020 提供全面支持。

测试维度

1.内建多种私有漏洞检测策略

2.支持私有漏洞检测

3.支持公开漏洞检测

4.支持公钥存储加密相关问题检测

5.支持私钥存储加密相关问题检测

6.支持域名可疑信息泄露问题检测

7.支持邮件地址可疑信息泄露问题检测

8.支持文件路径相关的可疑信息泄露问题检测

9.支持 IP 地址可以信息泄露问题检测

10.支持各类国际主流的加固标准

11.支持各类国际主流的合规标准

12.支持绝大多数主要开源组件的检测

13.支持新的开源组件的扩展

项目管理

1.支持项目版本的迭代管理

2.支持项目安全等级的评分机制

3.允许进行评分机制的客制化

4.允许用户自定义安全扫描策略

5.允许用户定义扫描白名单过滤

持续跟踪

1.持续跟踪项目的安全状态（V-Monitor）

2.支持威胁情报推送（V-Monitor）

漏洞管理

1.支持对不同漏洞的严重程度等级管理

2.支持对不同漏洞的可利用程度的等级管理

3.支持对不同漏洞与被检测包具体来源文件的关联

4.支持私有漏洞的问题详细描述

5.支持私有漏洞的反汇编代码段提取

6.支持公开漏洞的可利用范围描述

7.支持公开漏洞的综合威胁评价

8.提供公开漏洞的已知利用情报（如果存在）

9.支持漏洞分布图形化报表显示

10.支持产品安全趋势图形化报表显示

部署与升级

1.支持在线升级软件

2.支持在线升级检测规则

3.支持在线升级漏洞库

4.支持离线升级软件

5.支持离线升级检测规则

6.支持离线升级漏洞库

7.支持公有云部署

8.支持私有云部署

9.支持隔离网络单机部署

10.支持集群/主从多服务器部署

系统与用户管理

1.支持系统管理员配置策略

2.支持测试管理员配置策略

3.支持项目组管理策略

4.支持项目组经理配置策略

5.支持项目组成员配置策略

6.支持项目组权限隔离策略

通用软件包检测

1.支持 V-Ray 二进制产品检测的各项功能

2.全面支持 Android 移动端软件检测

3.全面支持 Java 类程序漏洞检测

4.支持非二进制类软件包的漏洞挖掘

注：即将发布 Python、JavaScript 等软件包检测能力

灵活的开发集成

1.支持 RestfulAPI 方式集成

2.支持 API 实现创建、执行、查阅项目等主要系统功能

3.提供 API 开发指导手册

4.本土技术团队（北京、上海、广州）提供开发培训和技术指导

5.提供客户定制集成开发服务

自动化扫描

1.完全自动化，1 分钟掌握，“一键”创建任务、“一键”获取报告，无需任何指导文档

2.支持额外勾选定制扫描范围（如是否检测未知漏洞等）

3.图形化显示扫描进度、扫描结果

4.WEB 界面，多浏览器，远程操作，无需安装额外客户端软件

支持的平台

1.Linux

2.Android

3.QNX

4.Windows

5.NetBSD

6.FreeBSD

7.Proprietary

8.RTOS

支持的架构

1.x86

2.x64

3.ARM7

4.ARM9

5.ARM11

6.MIPS

7.PowerPC

8.SuperH

9TriCore

十一、关于 Cybellum

Cybellum 由 IDF 精英网络部门的专业人士创建，由攻击和防御安全专家组成，利用其丰富的军事经验来应对漏洞检测中最具挑战性的方方面面问题。