悬镜源鉴SCA开源威胁管控平台(以下简称“源鉴SCA”)是国内首款集源码级组 件依赖检测引擎、源代码同源检测引擎、二进制成分分析引擎、容器镜像检测引 擎及运行态组件检测的多核心引擎驱动的SCA产品,作为悬镜第三代DevSecOps 智适应威胁管理体系中开源治理环节的软件供应链安全管理平台,专注于解决 企业内引入的开源软件及软件供应链的安全风险问题。 源鉴SCA基于多源SCA开源应用安全缺陷检测、多级开源依赖挖掘、纵深代码同 源检测、二进制检测、容器镜像检测及运行时检测等核心能力,结合悬镜独有的 应用探针技术,精准识别软件开发人员在应用开发过程中引入的第三方开源组 件,并通过应用组成分析引擎,多维度提取开源组件特征,计算组件指纹信息,深 度挖掘组件中潜藏的各类安全漏洞及开源协议风险。源鉴SCA可自动化生成规范 性机器可读、国际通用标准格式的软件物料清单(SBOM) ,透明化软件供应链资 产，保障软件供应链安全。

源鉴SCA基于海量的开源项目库及同源漏洞库数据,通过相似哈希精准匹配等代 码特征提取方法,将代码特征进行整合、计算并生成代码指纹信息,结合代码行 级大数据指纹库进行关联、匹配、分析,从文件级/函数级/代码级检测每个函数代 码文件的相似度,并给出代码的自研率,分析企业软件内的开源组件代码引入风 险。

相比于传统的SCA检测平台,源鉴SCA引擎基于运行态的代码级开源软件成分检测,更加侧重于应用系统实际运行过程中动态加载的第三方组件及依赖,在此基 础_上进行更深度且更加有效的威胁分析。同时,源鉴SCA通过智能化大数据漏洞情报监测引擎,在全球范围内获取开源组件信息及其相关漏洞情报,降低由开源 组件带来的安全风险,保障数字化应用的安全。

源鉴SCA通过实时获取各来源开源威胁情报数据,及时更新、同步自身知识库数 据,构建专业精准的漏洞知识库,通过清洗、匹配、关联、分析等方法，自动关联企 业软件的开源组件资产信息,并通过邮件、站内信、微信、Webhook等方式通知相 关负责人，帮助企业及时掌握最新的开源组件漏洞情报及风险影响范围。