當前，物聯網設備數量飛速增長。而“萬物互聯”帶來便利的同時，也為攻擊者帶來了更多的攻擊選擇，因為他們明白這里往往是最“脆弱”的環節。

物聯網行業系列深度報告預測，“至2025 年，全球物聯網設備（包括蜂窩及非蜂窩）聯網數量將達到 252 億個。”固件是向數量龐大的物聯網提供設備硬件底層控制的一類特殊軟件，由此可知，固件的安全性將很大程度決定物聯網設備的安全性。需要注意的是，企業從不同供應鏈里接收到的第三方產品（包括軟件和硬件），往往正是黑客們利用的弱點所在。

第三方組件帶來的安全風險

隨著新一輪科技革命和產業變革迅猛發展，數字化轉型已成為企業“十四五”規劃的重要組成部分。企業為了推動產品創新和縮短新品的上市時間，并不會從頭開始研發，而是變得越來越具有集成性，最終產品的開發可能包含了多個第三方的組件。

而在實際應用中，企業不能僅僅保護自身研發的產品和設備，也必須對所有的第三方供應鏈的安全性負責。換句話說，如果企業不對所有供應鏈上的第三方組件加以保護和監察，這些組件就很有可能會在他們運行的時候給設備和網絡帶來巨大的風險。

第三方組件面臨的安全挑戰

第三方組件的導入，給企業帶來了真實的網絡安全挑戰。企業不僅需要獨立驗證其隱藏風險，也需要與供應商們一起努力，敦促和提升他們的安全態勢。值得探討的是，即使發現存在安全問題并披露了出來，開發團隊也疲于應戰。因為：

工作量巨大。第三方組件及其版本號眾多、系統不止一個、系統需要定期或不定期排查……。

與時間賽跑。如果不能在黑客攻擊前，檢測并修復這些有針對性的黑客漏洞攻擊，一切將變的毫無意義。

對企業持續交付能力是個考驗。版本升級可能會帶來兼容問題；版本升級需要應對回歸測試；版本升級是否能保證生產環境業務不會因為部署而中斷等。

固源科技二進制反匯編安全評估平臺

基于此背景，固源科技帶來的 二進制反匯編安全評估平臺（Swift Binary）成為最佳解決方案。該方案通過“CVE 已知漏洞檢測技術”及“CWE 未知漏洞檢測技術”，能自動化的對第三方組件進行反匯編掃描，評估其風險并持續監控它們。

CVE 已知漏洞檢測技術：利用 Swift Binary 獨有的技術對二進制固件組成部分中包含的成分進行特征匹配，如對應版本的開源框架是否包含對應的公有漏洞。準確的SBOM(軟件組件清單)生成，從而確保已知漏洞匹配的準確性。

CWE 未知漏洞檢測技術：該技術由靜態和動態兩個主要部分組成：

靜態：針對上傳的固件進行靜態分析, 結合固件架構、開源框架和缺陷特征，在二進制文件上自動化的遍歷所有的潛在缺陷, 并輸出可疑的未知缺陷列表(CWE 列表)。

動態：動態執行引擎通過接收缺陷輸入中的可疑位置, 針對可能易受攻擊的二進制文件, 通過虛擬運行對應的符號向量（如套接字符串、用戶輸入等) 的方式自動觸發和利用所有潛在未知缺陷。這個階段將針對靜態引擎得到的所有未知缺陷列表進行動態的驗證， 只有能夠被觸發的未知缺陷, Swift Binary才會將其界定為未知漏洞。

一是該方案是一個端到端第三方組件安全評估解決方案。發現：自動執行所有組件的漏洞檢測過程；修復：生成自動補丁，并發布無線更新以降低風險；監控：所有已部署的組件，用于實時和相關威脅情報；控制：全面了解供應商組件，評估風險并更加有效的執行企業的相關政策。

二是固件安全檢測產品可以自動化檢查任何二進制文件的漏洞，無需訪問其源代碼，幫助行業參與者做出更明智的集成決策，并大幅降低部署風險。

Swift Binary-技術創新

1.完全自動化的系統，減少人力投入與增加企業效率。

2.無需訪問源代碼，自動逆向工程，進行反匯編。

3.漏洞模式機器學習，提煉黑客和漏洞的攻擊處罰算法。

4.利用機器學習技術持續改進算法，并通過模式匹配發現潛在的未知漏洞。。

Swift Binary-方案特點

1.無需任何源代碼.

2.無需在任何系統部署任何組件，快速部署。

3.持續的監控與跟蹤，事前與事后的全面覆蓋。

4.B/S 架構，可以進行無限的擴展。

通過固源科技帶來的二進制反匯編安全評估平臺，將關鍵任務自動化，真正使軟件供應鏈管理成為從事前到事后管控可操作的實時流程。事前，基于自動化機器學習與虛擬運行技術的二進制組件漏洞檢測，平臺將為你提供完整的組件可見性和風險評估；事后，通過監控所有已部署的第三方組件，平臺將根據組件的軟件框架結構與漏洞結果進行公網，暗網以及輿論的跟蹤和預警。

微軟的一項研究顯示，超過80%的企業在過去兩年中至少經歷過一次固件攻擊。根據 IBMSecurity 的《2022年數據泄露成本報告》，關鍵基礎設施攻擊的平均成本為482萬美元。作為國內為數不多引用二進制固件漏洞檢測技術的企業，固源科技擁有安全零前置的解決方案，并服務于智能汽車、工業控制、電力能源、IoT、科研院所等行業和領域，獲得客戶高度認可。同時，固源科技還提供軟件供應鏈風險評估和安全攻防演練服務，幫助客戶提升信息安全防護能力。