设备固件里经常混杂着开源库、供应商交付的组件以及提前编译好的二进制文件，仅凭文件名称很难准确判断出它们的真实版本。所以，要明白Cybellum怎么去识别二进制指纹，以及当指纹匹配出现异常时又该如何去判断，就需要把固件分析得到的各项数据、整理出来的SBOM清单，还有对应的产品版本，放在一起参照着看。Cybellum能够从产品或组件的二进制文件当中提取出软件组成方面的信息，并识别出版本历史、许可证类型、硬件架构以及操作系统的配置情况，这些信息可以用来持续维护产品的资产档案。

　　一、Cybellum二进制指纹怎么识别

　　二进制指纹大体上可以理解成识别一个组件时所使用的一组特征，平台会对真正交付出去的固件和程序文件进行分析，然后把识别出来的结果整理到产品版本和SBOM里面。这个过程并不仅仅是按照文件名来做判断，也不只是去对照供应商提交的那份清单。

　　1、先创建产品版本

　　在上传固件之前，需要先把产品型号、软件版本、硬件版本、发布分支和构建编号这些信息逐项区分清楚；因为测试过程中产生的临时包、最终用于量产的正式包，还有后续推出的售后补丁包，它们各自包含的组件可能已经不一样了，所以千万不要把它们全都塞进同一个版本目录底下，否则后面想要理清组件变化的前后脉络就会变得特别费劲。

　　2、上传完整二进制包

　　要把真正交付到用户手里的那份固件、完整的系统镜像，或者整个组件包一起传到平台上面去，不能只挑着一个单独的应用程序文件上传，也别漏掉了那些不起眼却很重要的系统库，以及供应商附带交付的功能模块。Cybellum具备分析固件二进制文件的能力，能够从中提取出SBOM、许可证、架构和操作系统配置等一系列信息，这比光看文件名要靠谱得多。

　　3、核对组件识别结果

　　分析跑完以后，得一条一条地去查验组件的名称、被识别出来的具体版本、来源、许可证类型，还有它归属于哪一个模块；按照平台首页所给出的说明，SBOM可以通过合并二进制文件、源代码以及先前已经上传过的其他SBOM来生成，后续还能对这些内容进行校验和管理，假如供应商自己列出的那份清单和二进制分析得出的结论之间出现了差异，那就要单独把这种差异记录下来，而不是简单地一带而过。

　　4、保存当前版本基线

　　等组件的所有信息都确认无误之后，就把它固定下来，当作当前版本的一个基线；以后固件只要再发生更新，就应该另外去建立一个全新的版本，拿这个新版本去跟旧基线做差异对比，而别把原来那份记录给直接覆盖掉，这样每一次变动是增是减、是升是降，都有据可查。

　　二、Cybellum二进制指纹匹配异常怎么判断

　　指纹匹配出现异常，并不等于系统一定就识别错了，很多时候是因为组件被人为裁剪过、采用了静态链接的方式嵌入、经历过二次编译、文件本身出现损坏，或者是多个版本之间共享了相似的代码片段，才导致匹配结果跟预想的不一致。在动手分析之前，应该先检查一下现有的证据是不是已经够充分。

　　1、检查组件版本是否合理

　　如果发现版本匹配的情况和供应商说明中的不一样，首先要核对的不是平台对不对，而是固件包本身是不是拿对了、构建的时间戳符不符合预期，以及文件的哈希值能不能对得上；因为一旦错拿了固件、里头混进了旧文件，或者不经意间把调试阶段的包给传了上去，识别出来的结论自然就会跑偏。

　　2、检查识别可信度和证据

　　不要只盯着组件名称这一项来判断，还得把文件所处的路径、二进制文件呈现出的各种特征、依赖关系，以及跟它相关的已知漏洞信息，综合到一起来考量；二进制分析对付的是实际编译进产品里的代码，所以它能够补上只看源码或者单靠人工统计清单时容易漏掉的细节。

　　3、检查静态链接和裁剪情况

　　有些库被直接静态链接到了主程序里面，或者只保留了极少一部分功能，这就会导致版本信息看起来不太完整；遇到这种情况的时候，先别急着动手把识别结果给删掉，可以暂时给它标记一个“待复核”的状态，等回过头来再结合供应商提供的材料，以及源码清单，去做更进一步的确认。

　　4、检查多个版本是否混用

　　要是同一个固件包里同时出现了两条十分相近的组件记录，那就要去搞清楚它们是不是分别出自不同的目录、不同的功能模块，或者来自不同的供应商；此外，还得把那种因为重复上传SBOM而造成的重复条目给剔除掉，免得统计出来的数字让人做出错误的判断。

　　三、Cybellum二进制指纹异常怎样复核

　　二进制指纹出现异常以后，需要把复核的整个过程记录下来；如果只是在平台里偷偷修改了一项组件的名称，等到后面再碰到漏洞通报的时候，还是没办法讲清楚当时的处理依据到底是什么。

　　1、建立差异清单

　　可以先把平台识别的值、供应商声明的值、文件所在的路径、哈希值、所属的模块，再加上最初的判断印象，一样一样地记到一张差异清单里面；对于新增的组件、被删除的组件、经历过升级或降级的组件，以及暂时还无法确认的组件，最好分门别类地整理好，别一股脑儿全塞到同一张表格里。

　　2、同步查看漏洞影响

　　组件版本变动之后，紧接着就要去检查跟它关联的CVE编号，看看有多少产品会因此受到影响；Cybellum本身能够按照产品版本来持续监控风险，并且快速定位出哪些产品正好处在漏洞的覆盖范围之内，这比人工逐条去翻公告要高效很多。

　　3、保留人工确认结果

　　等最后确认了识别上的偏差，一定要把判断的依据和最终的处理结论都写清楚；如果确认下来确实是一次真实的组件变更，那就同步把SBOM更新掉，而如果确认这只是一次误匹配，那就要把复核的说明保存下来，免得下次扫描时又得为同一个问题重复折腾一遍。

　　总结

　　在Cybellum里面，二进制指纹要怎么识别、匹配异常又该怎么去判断，大致可以按照“先建立好版本划分，再把固件传上去，接着核对SBOM的结果，然后逐项检查差异，最后把关联的漏洞影响复核到位”这样一套顺序来推进。真正要紧的地方，并不是识别出了多么庞大的组件数量，而是让每一条组件的记录，都能够对得上具体的固件、具体的产品版本，以及确认它时所依凭的那份依据。