開(kāi)發(fā)安全管理平臺

開(kāi)發(fā)安全管理平臺通過(guò)用戶(hù)進(jìn)行情景式的問(wèn)答，從用戶(hù)角度對業(yè)務(wù)系統典型場(chǎng)景功能進(jìn)行梳理，對全部流程進(jìn)行詳細安全分析，進(jìn)行風(fēng)險識別與安全管控措施分析，為用戶(hù)生成標準安全需求文檔、安全設計文檔與對應安全測試用例，為設計、開(kāi)發(fā)及測試人員提供指導。

開(kāi)發(fā)安全管理平臺自動(dòng)化安全需求分析功能，開(kāi)發(fā)人員通過(guò)情景式問(wèn)答，自動(dòng)實(shí)現場(chǎng)景功能梳理與重要流程的詳細安全分析，自動(dòng)生成標準的安全需求文檔、安全設計建議文檔與對應安全測試用例。

威脅資源庫

威脅資源庫覆蓋15個(gè)分類(lèi)，500信息條，包含攻擊執行順序、執行攻擊的前提條件、嚴重性、被利用可能性、實(shí)例、攻擊者需要的知識和技能、探測技術(shù)、解決緩解方案等。

合規資源庫

覆蓋國家法律法規的相應文件，以及有關(guān)機構的要求文件等。檢索方便、簡(jiǎn)捷，按照業(yè)務(wù)分類(lèi)展開(kāi)。業(yè)務(wù)覆蓋100以上子類(lèi)。

場(chǎng)景庫

開(kāi)發(fā)安全管理平臺以場(chǎng)景為核心，包括Web應用場(chǎng)景、客戶(hù)端場(chǎng)景、網(wǎng)絡(luò )與通信場(chǎng)景、基礎功能場(chǎng)景、業(yè)務(wù)場(chǎng)景五大類(lèi)100多個(gè)子場(chǎng)景，基本涵蓋信息系統開(kāi)發(fā)過(guò)程遇到的大部分重點(diǎn)場(chǎng)景。

安全需求基線(xiàn)庫

在安全威脅分析模型的基礎上，開(kāi)發(fā)安全管理平臺結合威脅資源庫，制定不同場(chǎng)景的安全需求基線(xiàn)，內容涵蓋豐富場(chǎng)景，包含500多條安全需求基線(xiàn)，有力提高安全需求分析的完備性，減少安全需求分析工作量。

安全設計庫

開(kāi)發(fā)安全管理平臺針對安全需求，制定相應的安全設計，描述設計開(kāi)發(fā)過(guò)程中的要點(diǎn)、以及相應的示例業(yè)務(wù)邏輯圖、示例代碼等。通過(guò)安全設計庫，對開(kāi)發(fā)團隊安全功能的實(shí)現進(jìn)行深度的支持，促進(jìn)降低安全需求的開(kāi)發(fā)成本，保障安全需求的開(kāi)發(fā)效率和開(kāi)發(fā)效果。

安全測試用例庫

對安全測試進(jìn)行深度的整理，針對具體攻擊模式，建立對應的測試驗證方案，將安全測試規范化，形成一套標準化的安全測試方案，保證安全測試的效果的穩定。

開(kāi)發(fā)安全管理流程支持

包括項目創(chuàng )建，安全需求分析，安全需求的增加、修改、刪除，安全需求的流轉確認等，助力實(shí)現開(kāi)發(fā)條線(xiàn)與安全條線(xiàn)有效協(xié)作的工作機制。

安全需求

開(kāi)發(fā)安全管理平臺針對應用系統對應的業(yè)務(wù)需求進(jìn)行安全分析，確定系統應用軟件的安全需求。在需求分析過(guò)程中，有針對性的對業(yè)務(wù)系統安全性要求做細粒度安全需求分析，進(jìn)行威脅建模，提供軟件安全需求。

安全設計

基于應用系統的安全需求提供軟件安全性設計依據和基礎，通過(guò)受攻擊面分析(最小化原則)，進(jìn)而推進(jìn)安全設計，通過(guò)對業(yè)務(wù)系統軟件安全的全面風(fēng)險分析，形成系統軟件安全設計。

在以上兩個(gè)整個(gè)過(guò)程當中，應充分利用自動(dòng)程序分析技術(shù)與工具，盡可能降低給開(kāi)發(fā)人員帶來(lái)的影響和工作量。

滿(mǎn)足法律法規

《網(wǎng)絡(luò )安全法》等多部相關(guān)法律法規的頒布實(shí)施，信息安全已上升為國家戰略。做好風(fēng)險防控，應將“抓源頭、控過(guò)程”的管理理念貫穿應用系統的全生命周期，做到各種風(fēng)險的早發(fā)現、早識別，構建穩健、可持續發(fā)展的應用安全體系。

開(kāi)發(fā)能力及意識的提升

開(kāi)發(fā)人員更關(guān)注業(yè)務(wù)實(shí)現，缺乏對安全的關(guān)注，缺少對安全的控制環(huán)節與安全問(wèn)題的解決；開(kāi)發(fā)人員大多只具備開(kāi)發(fā)編碼能力，缺乏信息安全知識及安全意識。開(kāi)發(fā)安全治理，需要將安全集成在軟件開(kāi)發(fā)的每一個(gè)階段，從需求、設計到軟件發(fā)布的每一階段都引入安全活動(dòng)與規范，減少軟件中漏洞數量、提升軟件安全。