研发安全高质量建议.pdf

研发安全高质量建议--第1页

研发安全高质量建议

与任何事物的发展一样，研发安全能力也是伴随业务发展中不断出现

的安全问题逐步成型的：90年代，主要聚焦电信领域安全；2000年到

2011年，业务逐步横跨整个ICT领域，安全问题变得多样化，开始形成

各类安全规范和工具链以有序应对安全挑战；2011年到2017年，继续增

强安全规范和工具的投资，形成完善的研发安全流程和工具链；2017年

到2018年，应对内外客户的安全需求，从“自己安全”转变为“帮助客

户安全”，要在产品和解决方案中构筑安全竞争力成为公司常态；2018

年至今，则在内外重大事件的影响下，从“安全”升级到“可信”，建议

在软件中构筑可信能力成为公司基本要求。如下：

5大研发安全能力

在这20多年的漫长演进中，积累了深厚的研发安全文化、流程和工

具链，经历了超大规模复杂场景的考验，比如，单代码安全扫描量，每天

就超过500亿行。这些积累，在2021年将逐步开放为“4+1”能力：四

大研发安全能力域，一个企业级专家服务，这“4+1”又组成了完整的云

研发安全服务：

1.安全设计域：产品设计期就进行威胁建模，识别并消减风险

在系统需求分析和设计阶段，怎样才能使产品更安全？在什么样的子

研发安全高质量建议--第1页

研发安全高质量建议--第2页

系统、模块、数据流之间考虑安全风险？识别了风险后，怎么消减？

云开放的安全设计域，对STRIDE方法论进行升级，用于系统威胁分

析，提供分析维度、参考案例，辅助进行安全设计，识别风险；识别风险

后，智能推荐消减措施及测试用例，输出分析报告；内置的长期积累的安

全风险识别方案、消减方案、设计方案、测试用例、场景样例与知识，极

大降低企业安全设计门槛。

2.隐私合规域：解读GDPR等法律法规，帮助企业满足合规要求

隐私保护法规条目众多，如何才能方便地将法规要求转化为系统设计

需求？

云开放的隐私合规域，根据对GDPR等的解读与业务分析，提供工具，

生成隐私合规报告、隐私声明，帮助企业合规设计；根据隐私合规设计方

案，自动生成和执行测试用例，最后给出隐私合规验证报告；内置的基于

终端、智能汽车等业务打磨出的隐私设计框架，帮助企业快速形成行业解

决方案并复制至其它行业。

3.代码检查域：多种源码安全静态检查，将风险拦截在编码阶段

企业和个人开发者一般专注于软件功能的实现，很少具备专业的安全

背景，如何将安全问题尽可能拦在编码阶段？

云开放的代码检查域，支持：

（1）拦截多种语言安全问题

研发安全高质量建议--第2页

研发安全高质量建议--第3页

支持C/C++/Java/JS/Python/Go等多语言检查；支持OWASP

Top10和CWE安全编码问题、数十个编程规范中的典型安全问题检测，

有效拦截缓冲区溢出、空指针引用、危险函数、安全函数误用、各类注入

等安全问题；可在代码编写时（IDE级）实时分析，提交时（门禁级）进

行一般问题提前处理，版本全量构建（版本级）时融入流程触发自动安全

扫描，“三重门”，深度拦截代码安全问题。

（2）高效闭环发现的安全问题

支持并行扫描，重量级扫描每小时可达百万行，日吞吐量过百亿行；

支持扫描告警屏蔽、屏蔽结果可继承、智能误报识别、误屏蔽智能发现；

多维度数据，可发现组织内的安全编码问题分布、趋势，呈现“代码安全

态势”，及时且宏观的识别风险，确保安全工具正确应用。

（3）内置行业级、可升级的规则集

提供行业特有的安全编码扫描规则集；聚焦最新安全问题，动态扩展

检查能力；可灵活集成第三方安全检查引擎，统一报告、统一告警处理，

也可被集成至第三方持续集成/持续发布流水线中。