近日，网络安全行业专业媒体安全牛正式发布《软件供应链安全能力构建指南（2024版）》报告（以下简称为“报告”），悬镜安全凭借在品牌影响力、方案应用能力、产品服务能力等多方面表现突出，成功入选软件供应链安全领域代表性厂商，同时，悬镜安全《新能源汽车车企开源风险治理案例》收录为报告典型应用案例。
本报告是安全牛基于在应用安全领域的研究积累和厂商支持进行编写，在报告研究过程中采用问卷、访谈、产品演示，并结合定量、定性及统计分析等专业的研究方法，报告内容侧重于软件供应链安全能力建设的技术、工具和构建方法，共调研国内软件供应链安全厂商17家，并对其中应用表现较好的10家代表性厂商进行了收录和推荐。
根据调研数据显示，落地建设中用户会更关注厂商的产品、方案、服务能力，如下图所示，悬镜安全在品牌影响力、方案应用能力、产品服务能力等多方面的表现尤为突出。
悬镜安全
北京安普诺信息技术有限公司（简称：悬镜安全），起源于子芽创立的北京大学网络安全技术研究团队”XMIRROR”，作为中国数字供应链安全和DevSecOps敏捷安全开拓者，国家级专精特新“小巨人”企业，始终专注于以“代码疫苗”技术为内核，凭借原创专利级”全流程数字供应链安全赋能平台+敏捷安全工具链+供应链安全情报预警服务”的第三代DevSecOps数字供应链安全管理体系，创新赋能金融、车联网、通信、能源、政企、智能制造和泛互联网等行业用户，构筑起适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的共生积极防御体系，持续守护中国数字供应链安全。
产品和解决方案
悬镜安全提供数字供应链安全、DevSecOps敏捷安全、信创供应链安全、开源风险治理四大解决方案，包括敏捷安全工具链、平台和情报服务三个产品大类。其中，工具链包括灵脉、源鉴、云鲨三个产品系列，覆盖了SAST审计、IAST和PTE测试、SCA开源威胁管控、RASP自适应云防御5个产品类型；平台产品也称作夫子系列，包括ASOC、SCS两大平台，ASOC赋能于敏捷开发，可实现DevSecOps全流程一站式风险闭环管理，SCS是数字供应链安全管理平台，为企业提供全方位的数字供应链安全审查与治理；情报预警平台提供高级情报查阅、订阅、可视化关联分析等服务，帮助用户智能精准预警供应链风险。悬镜产品分别与统信、华为欧拉、鲲鹏、银河麒麟、红旗Asianux等国产化操作系统，达梦数据库，企业级云原生平台进行过适配和兼容性测试。
该公司还创新性地提出了完全自主的SBOM格式DSDX，能满足自主可控要求较高的用户需求。
悬镜安全产品能力框图
典型场景 DevSecOps体系建设、数字供应链安全审查、开源供应链安全、开源供应链安全治理、云原生安全等应用场景
行业用户 聚焦于金融、车联网、通信、能源及泛互联网行业
安全牛评
-
近3年市场活动较多，品牌影响力、市场份额都较高，获单能力强；
-
技术能力全面，创新能力较好，有一定的技术竞争优势；
-
系统兼容和适配能力比较好，行业应用覆盖度较高；
-
服务方面，可提供软件供应链安全审查、情报预警、渗透测试等服务能力。
悬镜安全《新能源汽车车企开源风险治理案例》
新能源汽车产业蓬勃发展，智能网联趋势持续深化。汽车技术与工程核心逐渐从传统硬件层面转移到软件层面，踏上软件定义汽车(SDV)的变革之路。引用开源组件成为车企、Tier1、Tier2在软件开发过程中的常规操作，但同时也使车企面临了安全漏洞、许可证、供应链攻击等安全风险的严峻挑战。
悬镜安全的源鉴SCA方案旨在为用户提供一套全面的整车供应链安全审查制度，通过输出SBOM清单，梳理许可证风险，并在车端大屏中进行“开放源代码许可”声明公示，从而提高供应链透明度，规避版权许可问题，并实现整车组件的可管控与可追溯。其方案特点体现在以下几个方面：
１.该方案具备高度的可扩展性和通用性，适用于多种业务场景
该方案能够覆盖整车安全组、运维部门、开发部门、测试部门以及外包服务商等多部门协同工作的复杂情况，还能覆盖多条业务产线，确保安全措施的统一性和一致性。
２.聚焦于新能源汽车行业，针对嵌入式固件及车端应用进行了精心设计
该方案能够有效地处理汽车行业常用的各类固件文件格式，对供应商不提供源码的，该方案可以够通过智能分析工具识别固件中的组件成分，确保了方案的专业性和针对性。
３.提高了整车软件供应链的透明度，提升车企开源风控的能力
源鉴SCA可以结合公司内部的采购规范及要求，对第三方供应商的产品安装包、固件包进行软件成分安全审查，自动化梳理已有及新增车载应用系统的组件资产，多维度分析开源组件的影响范围和依赖关系，提高整车供应链的透明度，并且在安全事件发生时及时回溯风险组件的位置及影响范围，全面提升车企开源风控能力。
４.简化了流程，提升了用户体验
方案实现一站式自动化开源组件漏洞风险管理，整体检测目标文件类型覆盖率98%以上，漏洞修复时间缩短60%以上，通过直观的车端大屏进行“开放源代码许可”声明公示。简化了复杂的许可证管理和组件追踪过程，有效提升该车企整体处置效率、减少运营成本。