「微源」开源软件可信中心仓

1. 成果简介

「微源」开源软件可信中心仓从全球筛选高可靠开源软件源，自动跟踪、存储海量开源软件，并通过软件成分分析（Software Composition Analysis）、漏洞情报比对、投毒风险识别、开源软件维护性评估、开源许可证分析、开源软件签名验证等多种技术进行持续评估与保障。企业和机构能够便捷的将「微源」作为开源软件源加入本地软件制品管理工具或开发环境，获得经过评估的开源软件以及各类相关实时开源风险，免除高昂的建设与维护投入，实现主动和统一的开源软件管理。

2. 技术创新点

「微源」技术创新主要体现在以下方面。

（1）为开源软件供应提供连续性保障

「微源」实现全球开源软件存储，在无法连接海外源的情况下仍可获得已存储的版本，以保障业务连续性。此外，「微源」通过大规模开源软件供应链分析，识别关键的开源软件，对其停止服务、中断供应等事件进行评估，并协助搜寻替代方案。

（2）开源安全可信供应，软件供应链安全左移

「微源」在存储开源软件的同时，即通过多种分析引擎，完成对开源软件篡改、漏洞、投毒/后门、维护性中断、开源合规风险等全量风险的评估。提前隔离有害开源软件，并帮助企业和机构在开源软件引入之前知悉其安全状况，将风险拒之门外。

（3）为开源软件选型与生命周期管理提供决策

「微源」拥有实时更新的全球风险情报知识库，对各类开源风险进行持续监测，帮助企业和机构及时掌握待引入或已经引入的开源软件综合风险，为开源软件选型、停用与替换提供决策依据。

（4）降低开源治理成本，避免重复建设投入

「微源」将需要大量数据与工具支撑的评估分析工作前置，提供安全可信的开源软件以及各维度评估结果，免除本地建设和维护成本，并让用户能够通过评估结果快速进行开源治理与决策。

（5）权威机构合作，共同进行源头治理

「微源」充分发挥重大基础设施的数据情报优势与技术能力优势，联合权威安全评测机构，为企业和机构提供可信、安全、高效的开源软件中心仓服务，帮助建立开源软件可信供应长效机制，提升开源软件供应链弹性与可靠性。

3. 技术成熟度

「微源」当前处于产品化阶段（市场应用），已应用于金融、能源等行业。

4. 可应用领域

「微源」开源软件可信中心仓旨在为用户提供安全可信的开源软件，规范开源软件来源、维护引入开源软件清单、根据有关标准规范实施开源软件的引入、维护与退出。因此，其可广泛适用于多个领域，如运营商、教育、企业IT、政府、医疗、金融、物联网、媒体和非营利组织等。

5. 联系人

郭维，guowei@vulab.com.cn，13810105313