《信创软件安全质量管理探讨》_杨廷锋.pdf

《《信创软件安全质量管理探讨》_杨廷锋.pdf》由会员分享，可在线阅读，更多相关《《信创软件安全质量管理探讨》_杨廷锋.pdf（17页珍藏版）》请在三个皮匠报告上搜索。

1、信创软件安全质量管理探讨杨廷锋Yang Tingfeng安恒车联网副总01.前言安全质量管理其实是一个比较大的概念，涉及组织、人员、技术工具、包括其他配套的资源作为探讨，聚焦到三个方面n 软件产品自身安全质量n 软件产品管理维护n 软件产品文档永恒之蓝漏洞Spring 命令执行漏洞Weblogic反序列化漏洞Windows 冲击波病毒Log4j2反序列化漏洞heartbleed漏洞（心脏滴血）ShellshockCONTENTS目 录01.软件产品自身安全质量02.软件产品管理维护03.软件产品文档2 0 2 3 W E S T L A K ED I G I TA L S E C U R I

2、T YC O N F E R E N C E01软件产品自身安全质量充分识别可能存在的安全漏洞，构建安全质量的基线，建立安全质量持续改进机制01.软件产品自身安全质量软件产品的安全质量什么样情况是算达标的？生产工艺提升良品率通过检测手段排除不良品结合软件定位之上，符合用户、监管、企业对安全的需求？零缺陷管理理论：预防产生质量，检验不能产生质量PDCA循环管理：按计划、执行、检查、处理四个阶段循环不止地进行全面质量管理工业产品研发领域生产线良品率自动化工具化提升效率软件产品研发领域提升产出，降低原材料的损耗浪费疑问：疑问：提升效率，降低因安全问题导致的返工01.软件产品自身安全质量l 安全质量标

3、准：应当是具体的、可操作的标准数据安全要求行业标准/监管要求数据处理规范安全最佳实践标准10+项业界的合规标准、可扩展的安全需求知识库基于业务场景的轻量级威胁建模方法安全测试用例下沉到某个具体业务功能或者接口，提供与安全需求对应的安全开发SDK研发团队更容易拆分研发任务、实施和检测安全需求，提高闭环率。l 安全质量标准：与安全质量标准的差距分析，设计具体的安全预防措施，以达到质量标准l 安全质量标准：质量标准不依赖于人员，但是离不开人员的能力安恒威胁建模子平台疑问：安全需求？安全质量标准？安全质量标准应当是安全需求在具体软件提供的服务上投影，并细化具体化l 以安全需求+威胁建模构建安全质量标准

4、l 以安全质量标准推动研发、测试工作01.软件产品自身安全质量安全质量检测：质量检测作为排除不良品的方法，同样需要具备具体的、可操作的特点。同时将检测作为生产的工序（提前剔除废品的思路）确定边界和范围对比项SASTSCADASTIAST对象源代码/制品包组件/制品包Web应用Web应用部署使用简单简单简单复杂误报率高中低极低覆盖度高高低中开发语言关联关联无关联CI集成支持支持不支持不支持安恒安全检测任务模块SCASASTIASTDASTAPP检测Web漏扫主机漏扫操作指南自动化一键发起多类型的安全检测任务，导出统一报告01.软件产品自身安全质量01020304疑问：如何持续提升安全质量？数据整

5、合分析归因分析措施构建问题发现改进措施问题分析优化安全质量标准内容围绕质量标准提升自动化降低使用门槛，学习门槛引入检测性工具指导性工具/文档需求库、测试库等内容更新元数据基础指标关联聚合决策分析01.软件产品自身安全质量运营指标内部指标外部指标各类工具覆盖度检测准确度/误报率检测规则覆盖率安全运营质量各类漏洞修复率中高危风险数据安全事件处置时效安全积分排名合规事项数据排名事件处置时效万行代码漏洞率运营周报安全月报研发部门例会CIO安全例会安全部门例会02软件产品管理维护规范软件产品更新发布机制、建立风险响应机制，加速上下游的风险信息传递02.软件产品管理维护而信创软件大多数面向企业提供服务，需

6、要在产品维护过程中，提供安全质量保障尤为重要。针对软件供应链的攻击，需要依托需求方和供应方初始建立的信任，大多数时候通过软件的维护过程影响到下游企业（建立信任？如何重建信任？）软件的维护过程软件更新发布（补丁）资产摸排与应急响应与上下游信息同步渠道网络安全防线构建响应效率VS 稳定性公开性 VS 保密性通过信息交互建立信任、同时防止假冒临时性响应措施构建争取时间，维护过程追求稳定性、可靠性对部分人群或者企业进行公开，完全公开需要时间身份验证（包括发布者、维护者等）02.软件产品管理维护攻击者深入开发环境，直接在代码