一种软件应用的风险评估方法

本发明属于软件安全技术领域，具体涉及一种软件应用的风险评估方法，包括：通过多个检测工具获取软件应用中每一个组件涉及不同维度的静态指标；获取软件应用中每一个组件涉及未公开/未修复漏洞的动态指标；获取软件应用中每一个组件涉及漏洞修复的时间序列数据；根据静态指标、动态指标、以及时间序列数据确定软件应用的技术风险等级、威胁态势等级、以及整改能力等级；融合技术风险等级、威胁态势等级、以及整改能力等级评估软件应用的风险状态。本发明基于三层风险表达评估软件最终风险状态，使评估结果既能反映软件本身的固有特征，又能反映当前外部攻击环境，还能反映供应商自身的安全治理水平，确保评估结果更接近软件实际承担的剩余风险。