检测项目

1.代码完整性校验：SHA-256哈希值比对率≥99.9%，数字签名有效性验证（RSA2048/ECC256）

2.漏洞扫描：CVE数据库匹配（版本2023.1+），CVSS评分≥7.0高危漏洞检出率100%

3.许可证合规审查：SPDX3.0标准覆盖度98%，GPL/LGPL类传染性协议识别精度0.5%

4.恶意代码检测：静态特征库更新周期≤24小时，动态沙箱行为分析时长≥300秒/样本

5.兼容性测试：支持Windows/Linux/macOS多平台验证，API调用错误率≤0.1%

检测范围

1.开源软件包：包括Debian/RPM格式安装包及Docker镜像文件

2.商业闭源软件：EXE/MSI二进制可执行程序及动态链接库

3.移动应用安装包：AndroidAPK/iOSIPA文件及OTA更新包

4.嵌入式系统固件：Yocto/Buildroot构建的BSP镜像文件

5.云服务组件：AWSLambda函数包/AzureARM模板文件

检测方法

1.ISO/IEC19770-2:2015软件标识标签规范

2.ASTME2816-18软件供应链完整性评估规程

3.GB/T25000.51-2016系统与软件质量要求

4.GB/T34990-2017信息技术安全漏洞管理规范

5.NISTSP800-218SSDF安全软件开发框架

检测设备

1.CheckmarxCxSAST：静态代码分析仪（支持15+编程语言）

2.VeracodeDynamicAnalysisPlatform：动态应用安全测试系统

3.SynopsysBlackDuckProtex：许可证合规审计平台

4.KeysightN5970A：二进制文件逆向工程工作站

5.FortifySCA22.1：跨平台漏洞扫描解决方案

6.GrammaTechCodeSonar：内存泄漏/竞态条件分析仪

7.JFrogXray：依赖组件成分分析系统

8.QualysContainerSecurity：容器镜像深度扫描工具

9.MicroFocusFortifyonDemand：云端混合式测试平台

10.Ghidra10.2：NSA开源逆向工程框架

北京中科光析科学技术研究所【简称：中析研究所】

报告：可出具第三方检测报告(电子版/纸质版)。

检测周期：7~15工作日，可加急。

资质：旗下实验室可出具CMA/CNAS资质报告。

标准测试：严格按国标/行标/企标/国际标准检测。

非标测试：支持定制化试验方案。

售后：报告终身可查，工程师1v1服务。