天问平台网址：https://tianwen.qianxin.com/
随着软件产业和软件工程的不断发展，软件包含的程序文件、动态库越来越多，访问的IP、URL等各种“元素”越来越丰富，相互之间的依赖关系越来越普遍，如下图所示。其中每一个元素都可能成为攻击面，使得软件供应链安全问题层出不穷。例如动态链接库中可能有漏洞，软件复用的功能代码可能有bug，运行时依赖的URL已经被挂马。
面对严峻的软件安全形势和切实的软件供应链安全分析需求，专门面向软件供应链安全领域的分析平台——天问软件供应链安全分析系统，应运而生。天问系统通过从热门应用市场获取、与终端管控软件对接等多种渠道，采集不同平台、不同类型的全网软件，包括系统程序、桌面软件、移动应用、IOT固件等，并借助静态结构分析、动态跟踪分析、沙箱行为分析等手段，从不同维度对软件进行深度分析和细粒度拆解，提取软件包含的可执行程序/依赖库等代码模块、关联的域名/IP等网络元素、证书/互斥量等行为元素，构建软件元素依赖关系基础数据库，形成软件空间测绘能力，从而为高危漏洞影响范围评估、终端软件安全管控、后门植入事件主动发现、信创软件安全性测评等一系列软件供应链安全分析相关工作提供支撑。
天问系统的独创技术优势如下：
- 构建了全面的软件空间测绘数据库
天问系统涵盖了Windows、Linux、Android、IOT等主流系统平台；广泛覆盖桌面软件、系统软件、安卓APP、安卓ROM镜像、IOT固件等不同类别的数十万软件数据；已分析库文件、代码模块、URL/IP等数百万软件元素；已构建静态依赖、动态依赖、释放生成等数千万依赖关系。
- 实现了准确的漏洞影响范围评估
提出了高精度的软件模块信息抽取方法，构建了精确到模块级别的漏洞信息库，结合漏洞关联分析方法与软件空间测绘数据，准确检索受到威胁元素影响的所有现网软件，提升了面对高危软件漏洞和攻击事件时的应急响应能力。
- 具备了威胁事件主动发现能力
面对错综复杂的软件空间现状，供应链安全的攻击面非常多，攻击途径防不胜防。我们通过对各个主流系统平台和软件来源的长期跟踪和监测，从数据分析的角度出发，基于数据异常发现安全隐患或攻击事件，提高了软件供应链安全事件的威胁预警能力。
- 形成了全面的软件安全性测试能力
当前软件结构复杂、功能繁杂，老漏洞可能影响新软件，正常软件可能被植入后门模块，因此，软件安全性测评相关工作的现实需求与日俱增，信创领域的需求尤为明显，传统的基于专家经验的人工测试方法难以平衡测评质量，且耗费过多人力。天问系统为软件安全性测评相关工作提供了测绘数据、测试工具和测评方法支持，提高了相关工作的全面性、准确性和可操作性。
