T_ISC 0035-2023 软件成分分析（SCA）知识库总体技术要求.docxVIP

ICS35.080

CCSL67

团体标准

T/ISC0035—2023

软件成分分析（SCA）知识库总体技术要求

Overalltechnicalrequirementsforsoftwarecompositionanalysis(SCA)

knowledgebase

（发布稿）2023-11-15

2023-12-01实施2023-11-15发布

2023-12-01实施

中国互联网协会发布

1

T/ISC0035—2023

目次

前言 3

1范围 5

2规范性引用文件 5

3术语和定义 5

4知识库技术要求 5

4.知识库一般要求 15

4.知识库内容要求 26

4.知识库操作要求 37

附录A（资料性）常见公开漏洞库 8

附录B（资料性）漏洞分析结果字段参考 8

3

T/ISC0035—2023

T/ISC0035—2023

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由中国信息产业商会团体标准专业委员会提出并归口。

本文件起草单位：中国信息通信研究院上海安势信息技术有限公司墨菲未来科技（北京）有限公司中国移动通信集团有限公司中兴通讯股份有限公司中国电信股份有限公司研究院中移(苏州)软件技术有限公司北京火山引擎科技有限公司紫光展銳（上海）科技有限公司湖南泛联新安信息科技有限公司北京安普诺信息技术有限公司工业和信息化部电子第五研究所苏州棱镜七彩信息科技有限公司西安奇科厚德信息科技有限公司

本文件主要起草人：沈滢王峰项曙明王崇萍张雷柴思跃王鑫辉朱贤曼张俊霞李雪谢竑申昊鑫陈泳孙振华朱中华覃子桐庄表伟陈泳欧阳强斌吴荣兵龙文选于金泽胡滨张涛王雪松但吉兵王媛媛

T/ISC0035—2023

T/ISC0035—2023

5

软件成分分析（SCA）知识库总体技术要求

1范围

本文件规定了软件成分分析（SCA）知识库系统设计的总体技术要求。

本文件适用于SCA知识库系统的设计、应用和评价。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

ISO/IEC5230:2020Informationtechnology—OpenChainSpecification

3术语和定义

下列术语和定义适用于本文件。

3.1

开源项目opensourceproject

包含开源代码或开源软件的项目。简称“项目”。

3.2

组件component

开源项目内具有独立的工作逻辑的功能模块。

3.3

软件成分分析softwarecompositionanalysis；SCA

通过对软件源码、二进制软件包等的静态分析，发现其所存在的开源合规、已知漏洞等合规性和安全性风险的开源组件应用管理方法。

3.4

知识库knowledgebase；K-base

包含推理规则以及有关某一领域中人类经验和专业知识的信息的数据库

[来源：ISO/IEC2382:2015，2121399，有修改：删除注]

4知识库技术要求

4.1知识库一般要求

5

SCA知识库应满足如下功能和性能要求：

a）知识库内容全面准确；

b）知识库提供存储、更新与修改能力；

c）具备写入、存储、查询、管理数据的基本功能；

T/ISC0035—2023

d）具备与主流外围软硬件系统集成和兼容的能力；

e）具备一定的管理能力，包括安装部署能力、配置管理能力及实时监控能力、用户管理能力、在线升级能力、