华为云 VSS 漏洞扫描服务之开源组件漏洞检测能力

摘要：华为云 VSS 漏洞扫描服务提供针对于 Web、主机和软件包的漏洞检测能力。

近日 Apache Log4j2 漏洞持续发酵，已成为中国互联网 2021 年年底前最大的安全事件。华为云 VSS 漏洞扫描服务，提供从部署软件包到上线后的漏洞检测一整套安全检测漏洞手段，可有效检测 Apache log4j2 漏洞。

华为作为 ICT 领域厂商，从 2000 年开始为了确保产品的安全性，逐步完善从产品交付，到产品上线后的开源漏洞应急响应的能力。

​

华为开源组件合规和安全要求融入 IPD 研发流程，确保华为产品的安全性：

研发阶段，华为公司内部通过引入自研源码和二进制成分分析工具，进行开源软件的合规以及安全漏洞问题的检测；

服务上线后，通过产品开源组件生命周期管理和漏洞应急响应措施，确保开源漏洞及时响应。

华为云 VSS 漏洞扫描服务，为华为云客户提供针对于 Web、主机和软件包的漏洞检测能力：

Web 漏洞扫描服务，通过发送 POC 检测报文，对常见 Web 漏洞、开源组件漏洞及弱密码进行安全检测，适用于已上线的 web 服务。通过检测反馈的速度，动态调整发包速度，以降低对用户现网的影响。同时 Web 漏洞扫描服务可设置每日定时任务，提供持续的现网安全检测，使用最新的漏洞库进行安全排查，确保客户现网安全；

​

主机漏洞扫描，针对暴露于公网的 linux 主机进行安全扫描，可排查操作系统漏洞、开源组件漏洞、配置基线等安全问题，可有效检测主机安全性问题，同时针对于等保合规要求，提供专项安全检查能力；

​

二进制成分分析（预计 2022 年 1 月底正式提供商用服务），可针对于软件发布包和固件进行安全检测，支持 linux 安装包（rpm、tar.gz）、web 部署包（war、tar、jar）、移动应用包（apk、hap）进行开源软件 license 及开源组件漏洞检测，支持 C、C++、Java、Python 和 Go 语言开发的软件包扫描，确保软件包上线前的安全。

​

华为云安全将持续为华为云客户持续提供有竞争力的安全产品。华为云 VSS 漏洞扫描服务请访问如下链接：https://www.huaweicloud.com/product/vss.html

​

​

​​​点击关注，第一时间了解华为云新鲜技术~