研發(fā)運(yùn)營安全白皮書

1、研發(fā)運(yùn)營安全白皮書前言近年來，安全事件頻發(fā)，究其原因，軟件應(yīng)用服務(wù)自身存在代碼安全漏洞，被黑客利用攻擊是導(dǎo)致安全事件發(fā)生的關(guān)鍵因素之一。隨著信息化的發(fā)展，軟件應(yīng)用服務(wù)正在潛移默化的改變著生活的各個(gè)方面，滲透到各個(gè)行業(yè)和領(lǐng)域，其自身安全問題也愈發(fā)成為業(yè)界關(guān)注的焦點(diǎn)。傳統(tǒng)研發(fā)運(yùn)營模式之中，安全介入通常是在應(yīng)用系統(tǒng)構(gòu)建完成或功能模塊搭建完成之后，位置相對(duì)滯后，無法完全覆蓋研發(fā)階段的安全問題。在此背景下，搭建整體的研發(fā)運(yùn)營安全體系，強(qiáng)調(diào)安全左移，覆蓋軟件應(yīng)用服務(wù)全生命周期安全，構(gòu)建可信理念是至關(guān)重要的。本白皮書首先對(duì)于研發(fā)運(yùn)營安全進(jìn)行了概述，梳理了全球研發(fā)運(yùn)營安全現(xiàn)狀，隨后對(duì)于信通院牽頭搭建的研發(fā)運(yùn)營

2、安全體系進(jìn)行了說明，歸納了研發(fā)運(yùn)營安全所涉及的關(guān)鍵技術(shù)。最后，結(jié)合當(dāng)前現(xiàn)狀總結(jié)了研發(fā)運(yùn)營安全未來的發(fā)展趨勢(shì)，并分享了企業(yè)組織研發(fā)運(yùn)營安全優(yōu)秀實(shí)踐案例以供參考。目錄 HYPERLINK l _bookmark0 一、研發(fā)運(yùn)營安全概述 HYPERLINK l _bookmark0 1 HYPERLINK l _bookmark1 （一）研發(fā)層面安全影響深遠(yuǎn)，安全左移勢(shì)在必行 HYPERLINK l _bookmark1 1 HYPERLINK l _bookmark2 （二）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運(yùn)營安全體系 HYPERLINK l _bookmark2 4 HYPERLINK l _b

3、ookmark3 二、研發(fā)運(yùn)營安全發(fā)展現(xiàn)狀 HYPERLINK l _bookmark3 5 HYPERLINK l _bookmark4 （一）全球研發(fā)運(yùn)營安全市場(chǎng)持續(xù)擴(kuò)大 HYPERLINK l _bookmark4 5 HYPERLINK l _bookmark7 （二）國家及區(qū)域性國際組織統(tǒng)籌規(guī)劃研發(fā)運(yùn)營安全問題 HYPERLINK l _bookmark7 7 HYPERLINK l _bookmark9 （三）國際標(biāo)準(zhǔn)組織及第三方非盈利組織積極推進(jìn)研發(fā)運(yùn)營安全共識(shí) HYPERLINK l _bookmark9 12 HYPERLINK l _bookmark11 （四）企業(yè)積極探索

4、研發(fā)運(yùn)營安全實(shí)踐 HYPERLINK l _bookmark11 14 HYPERLINK l _bookmark13 （五）開發(fā)模式逐步向敏捷化發(fā)展，研發(fā)運(yùn)營安全體系隨之向敏捷化演進(jìn) HYPERLINK l _bookmark13 19 HYPERLINK l _bookmark15 三、研發(fā)運(yùn)營安全關(guān)鍵要素 HYPERLINK l _bookmark15 21 HYPERLINK l _bookmark16 （一）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運(yùn)營安全體系 HYPERLINK l _bookmark16 22 HYPERLINK l _bookmark17 （二）研發(fā)運(yùn)營安全解決方案同步

5、發(fā)展 HYPERLINK l _bookmark17 31 HYPERLINK l _bookmark18 四、研發(fā)運(yùn)營安全發(fā)展趨勢(shì)展望 HYPERLINK l _bookmark18 41 HYPERLINK l _bookmark19 附錄：研發(fā)運(yùn)營安全優(yōu)秀實(shí)踐案例 HYPERLINK l _bookmark19 43 HYPERLINK l _bookmark20 （一）華為云可信研發(fā)運(yùn)營案例 HYPERLINK l _bookmark20 43 HYPERLINK l _bookmark21 （二）騰訊研發(fā)運(yùn)營安全實(shí)踐 HYPERLINK l _bookmark21 50 HYPERL

6、INK l _bookmark22 （三）國家基因庫生命大數(shù)據(jù)平臺(tái)研發(fā)運(yùn)營安全案例 HYPERLINK l _bookmark22 58圖 目 錄圖 1 Forrester 外部攻擊對(duì)象統(tǒng)計(jì)數(shù)據(jù)2圖 2 研發(fā)運(yùn)營各階段代碼漏洞修復(fù)成本3圖 3 研發(fā)運(yùn)營安全體系4圖 4 Cisco SDL 體系框架圖16圖 5 VMware SDL 體系框架圖17圖 6 微軟 SDL 流程體系20圖 7 DevSecOps 體系框架圖21圖 8 研發(fā)運(yùn)營安全解決方案階段對(duì)應(yīng)圖32表 目 錄 HYPERLINK l _bookmark5 表 1 2019-2020 全球各項(xiàng)安全類支出及預(yù)測(cè)6 HYPERLINK

7、l _bookmark6 表 2 2019-2020 中國各項(xiàng)安全類支出及預(yù)測(cè)7 HYPERLINK l _bookmark8 表 3 重點(diǎn)國家及區(qū)域性國際組織研發(fā)運(yùn)營安全相關(guān)舉措12 HYPERLINK l _bookmark10 表 4 國際標(biāo)準(zhǔn)組織及第三方非營利組織研發(fā)運(yùn)營安全相關(guān)工作14 HYPERLINK l _bookmark12 表 5 企業(yè)研發(fā)運(yùn)營安全具體實(shí)踐19 HYPERLINK l _bookmark14 表 6 SDL 與 DevSecOps 區(qū)別對(duì)照21一、 研發(fā)運(yùn)營安全概述（一）研發(fā)層面安全影響深遠(yuǎn)，安全左移勢(shì)在必行隨著信息化的發(fā)展，軟件應(yīng)用服務(wù)正在潛移默化的改變著

8、生活的各個(gè)方面，滲透到各個(gè)行業(yè)和領(lǐng)域，軟件應(yīng)用服務(wù)的自身安全問題也愈發(fā)成為業(yè)界關(guān)注的焦點(diǎn)。全球安全事件頻發(fā)，代碼程序漏洞是關(guān)鍵誘因之一。2017 年，美國最大的征信機(jī)構(gòu)之一 Equifax 因未能及時(shí)修補(bǔ)已知的安全漏洞發(fā)生一起涉及 1.48 億用戶的數(shù)據(jù)安全、隱私泄露事件，影響幾乎一半的美國人口；國內(nèi)電商因優(yōu)惠券漏洞被惡意牟利，酒店、求職等網(wǎng)站也曾發(fā)生數(shù)據(jù)安全事件，泄露百萬級(jí)、億級(jí)用戶隱私數(shù)據(jù)。究其原因， 軟件應(yīng)用服務(wù)自身安全漏洞被黑客利用攻擊是數(shù)據(jù)安全事件層出不窮關(guān)鍵因素之一。根據(jù) Verizon 2019 年的研究報(bào)告Data Breach Investigations Report，在總

9、計(jì)核實(shí)的 2013 次數(shù)據(jù)泄露安全事件中，超過 30%與 Web 應(yīng)用程序相關(guān)，Web 應(yīng)用程序威脅漏洞具體指程序中的代碼安全漏洞以及權(quán)限設(shè)置機(jī)制等。Forrester 2019 年發(fā)布的 調(diào) 查 報(bào) 告 Forrester Analytics Global Business Technographics Security Survey，2019中顯示，在 283 家全球企業(yè)已經(jīng)確認(rèn)的外部攻擊中，針對(duì)軟件漏洞以及 Web 應(yīng)用程序是位于前兩位的，分別占比達(dá)到了 40%與 37%，具體數(shù)據(jù)見圖 1，其中軟件漏洞主要指對(duì)于安全漏洞的利用攻擊，攻擊 Web 應(yīng)用程序主要指基于程序的SQL 注入、跨站

10、腳本攻擊等。1%6%20%19%14%25% 30% 35% 40% 45%40%37%28%25%25%25%25%0%5% 10% 15% 20%軟件漏洞（漏洞利用）Web應(yīng)用程序（SQL注入、跨站腳本 使用被盜憑證（加密秘鑰）DDoS水坑攻擊移動(dòng)惡意軟件利用丟失/被盜資產(chǎn)DNS釣魚勒索軟件社會(huì)工程學(xué)其他數(shù)據(jù)來源：Forrester圖 1 Forrester 外部攻擊對(duì)象統(tǒng)計(jì)數(shù)據(jù)根據(jù)咨詢公司Gartner 統(tǒng)計(jì)數(shù)據(jù)顯示，超過 75%的安全攻擊發(fā)生在代碼應(yīng)用層面。已知安全漏洞中，應(yīng)用程序安全漏洞與 Web 應(yīng)用程序安全漏洞占多數(shù)。美國國家標(biāo)準(zhǔn)技術(shù)研究院（NIST）的統(tǒng)計(jì)數(shù)據(jù)顯示 92%的漏洞

11、屬于應(yīng)用層而非網(wǎng)絡(luò)層。國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心2020 年 4 月的發(fā)布的數(shù)據(jù)顯示，2019 年，國家信息安全漏洞共享平臺(tái)（CNVD）收錄的安全漏洞數(shù)量創(chuàng)下歷史新高，數(shù)量同比增長(zhǎng) 14.0%，達(dá)到 16193 個(gè)，其中應(yīng)用程序漏洞占比 56.2%，Web 應(yīng)用程序占比 23.3%，二者相加占比超過 76%，充分說明安全漏洞大多存在于軟件應(yīng)用服務(wù)本身。傳統(tǒng)研發(fā)運(yùn)營安全模式中，安全介入相對(duì)滯后。傳統(tǒng)研發(fā)運(yùn)營安全，針對(duì)服務(wù)應(yīng)用自身的安全漏洞檢測(cè)修復(fù)，通常是在系統(tǒng)搭建或者功能模塊構(gòu)建完成之后以及服務(wù)應(yīng)用上線運(yùn)營之后，安全介入，進(jìn)行安全掃描，威脅漏洞修復(fù)。如當(dāng)前的大多數(shù)安全手段，防病毒、防火墻

12、、入侵檢測(cè)等，都是關(guān)注軟件交付運(yùn)行之后的安全問題，屬于被動(dòng)防御性手段。這種模式便于軟件應(yīng)用服務(wù)的快速研發(fā)部署，但安全介入相對(duì)滯后，并無法覆蓋研發(fā)階段代碼層面的安全，安全測(cè)試范圍相對(duì)有限，安全漏洞修復(fù)成本也更大。安全左移有助于幫助企業(yè)削減成本。代碼是軟件應(yīng)用服務(wù)開發(fā)的最初形態(tài)，其缺陷或漏洞是導(dǎo)致安全問題的直接根源，盡早發(fā)現(xiàn)源碼缺陷能夠大大降低安全問題的修復(fù)成本。根據(jù)美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）統(tǒng)計(jì)，在發(fā)布后執(zhí)行代碼修復(fù)，其修復(fù)成本相當(dāng)于在設(shè)計(jì)階段執(zhí)行修復(fù)的 30 倍。具體數(shù)據(jù)如圖 2 所示。數(shù)據(jù)來源：美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）圖 2 研發(fā)運(yùn)營各階段代碼漏洞修復(fù)成本在此背景下，搭

13、建新型的研發(fā)運(yùn)營安全體系，進(jìn)行安全左移，覆蓋軟件應(yīng)用服務(wù)的全生命周期，是至關(guān)重要，也是勢(shì)在必行的。建立新型的研發(fā)運(yùn)營安全體系有助于構(gòu)建可信理念，創(chuàng)造可信生態(tài)，是實(shí)現(xiàn)軟件應(yīng)用服務(wù)全生命周期安全的重要一步。 PAGE 4（二）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運(yùn)營安全體系新型研發(fā)運(yùn)營安全體系強(qiáng)調(diào)安全左移，覆蓋軟件應(yīng)用服務(wù)全生命周期。本白皮書認(rèn)為的研發(fā)運(yùn)營安全指結(jié)合人員管理體系、制度流程， 在軟件應(yīng)用服務(wù)設(shè)計(jì)早期便引入安全，進(jìn)行安全左移，覆蓋要求階段、安全需求分析階段、設(shè)計(jì)階段、研發(fā)階段、驗(yàn)證階段、發(fā)布階段、運(yùn)營階段、停用下線階段的全生命周期，搭建安全體系，降低安全問題解決成本，全方面提升服務(wù)應(yīng)用安全

14、，提升人員安全能力。具體架構(gòu)體系如下圖 3 所示。圖 3 研發(fā)運(yùn)營安全體系圖片來源：中國信息通信研究院體系框架具體內(nèi)容包括：1）管理制度，建立合適的人員組織架構(gòu)與制度流程，保證研發(fā)運(yùn)營流程安全的具體實(shí)施，針對(duì)人員進(jìn)行安全培訓(xùn)，增強(qiáng)安全意識(shí)，進(jìn)行相應(yīng)考核管理；2）明確安全要求，前期明確安全要求，如設(shè)立質(zhì)量安全門限要求，進(jìn)行安全審計(jì)，對(duì)于第三方組件進(jìn)行安全管理等；3）安全需求分析與設(shè)計(jì)，在研發(fā)階段之前， 進(jìn)行安全方面的需求分析與設(shè)計(jì)，從合規(guī)要求以及安全功能需求方面考慮，進(jìn)行威脅建模，確定安全需求與設(shè)計(jì)；4）安全研發(fā)測(cè)試，搭配安全工具確保編碼實(shí)際安全，同時(shí)對(duì)于開源及第三方組件進(jìn)行風(fēng)險(xiǎn)管理，在測(cè)試過程

15、中，針對(duì)安全、隱私問題進(jìn)行全面、深度的測(cè)試；5） 安全發(fā)布，服務(wù)上線發(fā)布前進(jìn)行安全性審查，制定事先響應(yīng)計(jì)劃，確保發(fā)布安全；6）運(yùn)營安全，上線運(yùn)營階段，進(jìn)行安全監(jiān)控與安全運(yùn)營，通過滲透測(cè)試等手段進(jìn)行風(fēng)險(xiǎn)評(píng)估，針對(duì)突發(fā)事件進(jìn)行應(yīng)急響應(yīng)， 并及時(shí)復(fù)盤，形成處理知識(shí)庫，匯總研發(fā)運(yùn)營階段的安全問題，形成反饋機(jī)制，優(yōu)化研發(fā)運(yùn)營全流程；7）停用下線，制定服務(wù)下線方案與計(jì)劃，明確隱私保護(hù)合規(guī)方案，確保數(shù)據(jù)留存符合最小化原則，滿足國家相關(guān)規(guī)范要求。二、 研發(fā)運(yùn)營安全發(fā)展現(xiàn)狀（一）全球研發(fā)運(yùn)營安全市場(chǎng)持續(xù)擴(kuò)大全球信息安全市場(chǎng)保持穩(wěn)定增長(zhǎng)，應(yīng)用安全市場(chǎng)增速高于整體安全市場(chǎng)。本白皮書提出的研發(fā)運(yùn)營安全強(qiáng)調(diào)安全左移，通

16、過自動(dòng)化安全測(cè)試工具，關(guān)注軟件應(yīng)用服務(wù)代碼層面安全，與應(yīng)用安全緊密關(guān)聯(lián)。根據(jù)Gartner 2020 年 6 月發(fā)布的統(tǒng)計(jì)數(shù)據(jù)顯示，全球 2019 年各項(xiàng)安全類支出總計(jì) 1209.34 億美元，預(yù)計(jì) 2020 年將達(dá)到 1238.18 億美元，其中應(yīng)用安全市場(chǎng)規(guī)模 2019 年為 30.95 億美元，預(yù)計(jì) 2020 年將達(dá)到市場(chǎng)領(lǐng)域20192020增長(zhǎng)率（%）應(yīng)用安全309532876.2云安全43958533.3數(shù)據(jù)安全266228527.2身份訪問管理9837104095.8基礎(chǔ)設(shè)施保護(hù)16520174835.8綜合風(fēng)險(xiǎn)管理455547313.8網(wǎng)絡(luò)安全設(shè)備1338711694-12.6其

17、他信息安全軟件220622733.1安全服務(wù)61979642703.7客戶安全軟件62546235-0.3總計(jì)1209341238182.4億美元，年增長(zhǎng)率達(dá)到 6.2%，明顯高于整體信息安全市場(chǎng)的2.4%年增長(zhǎng)率，具體數(shù)據(jù)如表 1 所示。數(shù)據(jù)來源：Gartner，2020 年 6 月表 1 2019-2020 全球各項(xiàng)安全類支出及預(yù)測(cè)（單位：百萬美元）我國應(yīng)用安全市場(chǎng)增速高于全球，市場(chǎng)規(guī)模占全球比例達(dá)到近三分之一。2019 年，我國應(yīng)用安全市場(chǎng)規(guī)模達(dá)到 8.48 億美元，市場(chǎng)規(guī)模占全球應(yīng)用安全市場(chǎng)規(guī)模比例達(dá)到近三分之一，預(yù)計(jì) 2020 年市場(chǎng)規(guī)模將達(dá)到 9.45 億美元，年增長(zhǎng)率達(dá)到 11.

18、5%，高于全球 6.2%的增長(zhǎng)率。具體數(shù)據(jù)如表 2 所示。市場(chǎng)領(lǐng)域20192020增長(zhǎng)率（%）應(yīng)用安全84894511.5云安全133614488.3數(shù)據(jù)安全5656169身份訪問管理173018527.1基礎(chǔ)設(shè)施保護(hù)213923188.4綜合風(fēng)險(xiǎn)管理971069.9網(wǎng)絡(luò)安全設(shè)備75187111-5.4其他信息安全軟件3793954.2安全服務(wù)131731507814.5客戶安全軟件27784298697.5總計(jì)84894511.5數(shù)據(jù)來源：Gartner，2020 年 6 月表 2 2019-2020 中國各項(xiàng)安全類支出及預(yù)測(cè)（單位：百萬美元）應(yīng)用程序安全測(cè)試（AST）市場(chǎng)增速最為迅猛，市場(chǎng)

19、規(guī)模占比超過應(yīng)用安全總體市場(chǎng)規(guī)模的三分之一。根據(jù) Gartner 2019 年 4 月發(fā)布的報(bào)告調(diào)查數(shù)據(jù)顯示，應(yīng)用安全測(cè)試市場(chǎng)預(yù)計(jì)將以 10的復(fù)合年增長(zhǎng)率增長(zhǎng)，這仍是信息安全領(lǐng)域中快速增長(zhǎng)的部分，到 2019 年底， AST 的市場(chǎng)規(guī)模估計(jì)將達(dá)到 11.5 億美元，市場(chǎng)規(guī)模占比超過應(yīng)用安全總體市場(chǎng)規(guī)模的三分之一。根據(jù)Industry Research 2019 年 8 月發(fā)布的數(shù)據(jù)顯示，按照應(yīng)用程序安全測(cè)試類型區(qū)分，靜態(tài)應(yīng)用程序安全測(cè)試（SAST）將占主導(dǎo)地位，預(yù)計(jì)將以 24.06的復(fù)合年增長(zhǎng)率增長(zhǎng)，交互式應(yīng)用程序安全性測(cè)試（IAST）預(yù)計(jì)將以最快的 27.58的復(fù)合年增長(zhǎng)率增長(zhǎng)。（二）國家及

20、區(qū)域性國際組織統(tǒng)籌規(guī)劃研發(fā)運(yùn)營安全問題重點(diǎn)國家與區(qū)域性國際組織已發(fā)布政策規(guī)范，重視研發(fā)運(yùn)營安全問題。軟件應(yīng)用服務(wù)是信息化的重要組成部分，源代碼是軟件應(yīng)用服務(wù)的最原始形態(tài)。越來越多的國家已經(jīng)意識(shí)到軟件應(yīng)用服務(wù)的源代碼安全的重要性，在強(qiáng)調(diào)安全運(yùn)營、防御的基礎(chǔ)之上，通過發(fā)布一系列政策以及指南，從國家層面規(guī)范此方面的工作。目前美國、英國、俄羅斯、印度、澳大利亞以及歐盟等國家和區(qū)域組織都已經(jīng)推行涉及研發(fā)運(yùn)營安全的戰(zhàn)略、規(guī)范或指南，其中以美國、英國、印度、歐盟最為典型。美國發(fā)布戰(zhàn)略計(jì)劃，關(guān)注研發(fā)運(yùn)營安全。美國越來越依賴于網(wǎng)絡(luò)空間，但安全并未跟上網(wǎng)絡(luò)威脅的增長(zhǎng)。關(guān)于研發(fā)安全，美國國家科技委員會(huì)（NSTC）網(wǎng)

21、絡(luò)和信息技術(shù)研發(fā)分委會(huì)在 2019 年 12 月發(fā)布聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計(jì)劃，主要內(nèi)容涵蓋四個(gè)相互關(guān)聯(lián)的防御能力：威懾、保護(hù)、探測(cè)、響應(yīng)。在威懾能力中明確提出，設(shè)計(jì)安全的軟件是威懾手段之一；保護(hù)能力關(guān)于研發(fā)安全具體包含兩個(gè)方面的內(nèi)容，1）減少脆弱性，具體行為包括安全設(shè)計(jì)、安全開發(fā)、安全驗(yàn)證、可持續(xù)安全；2）執(zhí)行安全原則，具體涵蓋使用加密機(jī)制保護(hù)數(shù)據(jù)，提高訪問控制效率，避免安全漏洞引入。此外，美國國土安全部資助軟件質(zhì)量保證（SQA）項(xiàng)目，提升軟件應(yīng)用安全性，軟件質(zhì)量保證（SQA）項(xiàng)目發(fā)展工具與技術(shù)，用于分析識(shí)別軟件中的潛在安全漏洞，具體而言，該項(xiàng)目強(qiáng)調(diào)軟件代碼開發(fā)過程中，安全性分析以及脆弱性識(shí)別

22、，從而在開發(fā)過程的早期發(fā)現(xiàn)并消除漏洞、缺陷。關(guān)于運(yùn)營安全，聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計(jì)劃中提出的探測(cè)與響應(yīng)能力和運(yùn)營安全密切相關(guān)，具體內(nèi)容包括實(shí)時(shí)監(jiān)測(cè)系統(tǒng)安全，及時(shí)檢測(cè)甚至預(yù)測(cè)安全威脅，動(dòng)態(tài)評(píng)估安全風(fēng)險(xiǎn)，對(duì)于安全威脅進(jìn)行聯(lián)動(dòng)、自適應(yīng)處理等內(nèi)容。英國推行源碼審查，發(fā)布研發(fā)運(yùn)營安全相關(guān)戰(zhàn)略指南，提升整體軟件應(yīng)用服務(wù)安全性。英國基于自身 IT 產(chǎn)業(yè)情況，使用其他國家企業(yè)的網(wǎng)絡(luò)信息技術(shù)產(chǎn)品和服務(wù)的情況較多，供應(yīng)鏈更為復(fù)雜。針對(duì)軟件應(yīng)用代碼安全以及研發(fā)安全，英國推行網(wǎng)絡(luò)安全審查機(jī)制，采用相對(duì)市場(chǎng)化的評(píng)估機(jī)制，這其中就包括深層次的源代碼審查測(cè)試，檢測(cè)相關(guān)產(chǎn)品或服務(wù)是否存在安全缺陷或漏洞。同時(shí)，英國國家網(wǎng)絡(luò)安全中

23、心（NCSC）于 2018 年 11 月發(fā)布安全開發(fā)和部署指南，具體包含 8 項(xiàng)安全開發(fā)原則，1）安全開發(fā)關(guān)系每一個(gè)人；2）保持安全知識(shí)實(shí)時(shí)更新；3）研發(fā)干凈可維護(hù)的代碼；4）保護(hù)開發(fā)環(huán)境；5）保護(hù)代碼庫；6）保護(hù)構(gòu)建和部署管道；7）持續(xù)進(jìn)行安全性測(cè)試；8）對(duì)于安全威脅、漏洞影響提前計(jì)劃，8 項(xiàng)原則均與研發(fā)安全密切相關(guān)。針對(duì)運(yùn)營安全，國家網(wǎng)絡(luò)安全戰(zhàn)略 2016-2021中明確提出要提升防御能力，提高政府和公共部門抵御網(wǎng)絡(luò)攻擊的彈性，定期評(píng)估關(guān)鍵系統(tǒng)的安全漏洞，業(yè)界應(yīng)與國家網(wǎng)絡(luò)安全中心（NCSC）共享網(wǎng)絡(luò)威脅最新情報(bào)，進(jìn)行主動(dòng)防御等具體舉措。印度推行國家戰(zhàn)略，推動(dòng)系統(tǒng)應(yīng)用研發(fā)運(yùn)營安全。印度作為軟

24、件開發(fā)大國，對(duì)代碼安全方面的要求較高。針對(duì)研發(fā)安全，印度國家網(wǎng)絡(luò)協(xié)調(diào)中心（NCCC）在 2013 年曾發(fā)布國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS 2013），推動(dòng)網(wǎng)絡(luò)安全研究與開發(fā)是其戰(zhàn)略之一，包括解決與可信系統(tǒng)的開發(fā)、測(cè)試、部署和維護(hù)整個(gè)生命周期相關(guān)的所有問題。2020 年，正在征求意見更新國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS 2020），安全測(cè)試左移，集成到開發(fā)周期之中，安全團(tuán)隊(duì)成為應(yīng)用程序開發(fā)生命周期的一部分是主要趨勢(shì)之一。針對(duì)運(yùn)營安全，在戰(zhàn)略中提出，創(chuàng)建安全威脅早期預(yù)警、漏洞管理和應(yīng)對(duì)安全威脅的機(jī)制；建立國家級(jí)的系統(tǒng)、流程、結(jié)構(gòu)和機(jī)制，對(duì)現(xiàn)有和潛在網(wǎng)絡(luò)安全威脅進(jìn)行必要情境推測(cè)。歐盟頒布實(shí)施法案，注重國際合作

25、，推進(jìn)整體的研發(fā)運(yùn)營安全。歐盟在 2019 年 6 月 27 日，正式施行網(wǎng)絡(luò)安全法案，旨在有效應(yīng)對(duì)隨著數(shù)字化和連接性的增加而帶來的與網(wǎng)絡(luò)安全相關(guān)的各類風(fēng)險(xiǎn)， 防范對(duì)計(jì)算機(jī)系統(tǒng)、通信網(wǎng)絡(luò)、數(shù)字產(chǎn)品、服務(wù)和設(shè)備等帶來的潛在威脅，進(jìn)一步完善歐盟的網(wǎng)絡(luò)安全保護(hù)框架。針對(duì)研發(fā)設(shè)計(jì)安全，明確提出，參與產(chǎn)品設(shè)計(jì)開發(fā)的組織、制造商、提供商應(yīng)在設(shè)計(jì)和開發(fā)的早期階段采取安全措施，推測(cè)安全攻擊的發(fā)生，減少安全風(fēng)險(xiǎn)的影響，同時(shí)安全應(yīng)貫穿產(chǎn)品全生命周期，以減少規(guī)避安全風(fēng)險(xiǎn)。針對(duì)運(yùn)營安全，強(qiáng)調(diào)制定和更新聯(lián)盟級(jí)別的網(wǎng)絡(luò)和信息系統(tǒng)安全策略，對(duì)于安全事件聯(lián)合處理，內(nèi)部成員國共享安全信息、技術(shù)解決辦法，提升事件處置的效率。 P

26、AGE 12美國英國印度歐盟國家政策、指南聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計(jì)劃軟件質(zhì)量保證（SQA）項(xiàng)目網(wǎng)絡(luò)安全審查機(jī)制安全開發(fā)和 部 署 指南國家網(wǎng)絡(luò)安全戰(zhàn)略網(wǎng)絡(luò)安全法案研發(fā)安全聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計(jì)劃中涵蓋威懾、保護(hù)、探測(cè)、響應(yīng)四項(xiàng)能力，其中威懾、保護(hù)與研發(fā)安全密切相關(guān)，在威懾中明確提出，設(shè)計(jì)安全的軟件是威懾手段之一；保護(hù)具體包含兩個(gè)方面，1）減少脆弱性，具體行為包括安全設(shè)計(jì)、安全開發(fā)、安全驗(yàn)證、可持續(xù)安全；2） 執(zhí)行安全原則，具體涵蓋使用加密機(jī)制保護(hù)數(shù)據(jù)，提高訪問控制效率，避免安全漏洞引入；美國國土安全部資助軟件質(zhì)量保證（SQA） 項(xiàng)目，提升軟件應(yīng)用安全性，軟件質(zhì)量保證（SQA）項(xiàng)目發(fā)展工具與技術(shù)，

27、用于分析識(shí)別軟件中的潛在安全漏推行網(wǎng)絡(luò)安全 審 查 機(jī)制， 采用相對(duì)市場(chǎng)化的評(píng)估機(jī)制， 其中包括深層次的源代碼 審 查 測(cè)試， 檢測(cè)相關(guān)產(chǎn)品或服務(wù)是否存在安全缺陷或漏洞英國國家網(wǎng)絡(luò)安全中心（NCSC）發(fā)布安全開發(fā)和部署指南，包含 8 項(xiàng)安全開發(fā)原則，1）安全開發(fā)關(guān)系每一個(gè)人； 2）保持安全知識(shí)實(shí)時(shí)更新；3）研發(fā)干凈可維護(hù)的代碼；4） 保護(hù)開發(fā)環(huán)境；5）保護(hù)代碼庫；6） 保護(hù)構(gòu)建和部署管道； 7）持續(xù)進(jìn)行安 全 性 測(cè)試；8）對(duì)于安全威脅、漏洞影響提印度國家網(wǎng)絡(luò)協(xié)調(diào)中心（NCCC）在2013 年發(fā)布國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS2013），推動(dòng)網(wǎng)絡(luò)安全研究與開發(fā)是其 戰(zhàn) 略 之一， 包括解決與可信系

28、統(tǒng)的開發(fā)、測(cè)試、部署和維護(hù)整個(gè)生命周期相關(guān)的所有問題。2020 年， 正在征求意見更新國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS2020），安全測(cè)試左移， 集成到開發(fā)周期之中， 安全團(tuán)隊(duì)成為應(yīng)用程序開發(fā)生命周期的一部分是主要趨勢(shì)之一。2019 年 6 月27 日施行的網(wǎng)絡(luò)安全法案中明確提出， 參與產(chǎn)品設(shè)計(jì)開 發(fā) 的 組織、制造商、提供商應(yīng)在設(shè)計(jì)和開發(fā)的早期階段采取安全措施， 推測(cè)安全攻擊的發(fā)生， 減少安全風(fēng)險(xiǎn)的影響， 同時(shí)安全應(yīng)貫穿產(chǎn)品全生命周期， 以減少規(guī)避安全風(fēng)險(xiǎn)。 PAGE 12云計(jì)算開源產(chǎn)業(yè)聯(lián)盟研發(fā)運(yùn)營安全白皮書洞，具體而言， 該項(xiàng)目強(qiáng)調(diào)軟件代碼開發(fā)過程中，安全性分析以及脆弱性識(shí)別，從而在開發(fā)過程的早

29、期發(fā)現(xiàn)并消除漏洞、缺陷。前計(jì)劃， 與研發(fā)安全密切相關(guān)。網(wǎng)絡(luò)安全法案強(qiáng)調(diào)制定和更新聯(lián)盟級(jí)別的網(wǎng)絡(luò)和信息系統(tǒng)安全策略， 對(duì)于安全事件聯(lián)合處理， 內(nèi)部成員國共享安全信息、技術(shù)解決辦法， 提升事件處置的效率。運(yùn)營安全聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計(jì)劃提出的四項(xiàng)能力中，探測(cè)和響應(yīng)與安全運(yùn)營密切相關(guān)，具體內(nèi)容包括實(shí)時(shí)監(jiān)測(cè)系統(tǒng)安全，及時(shí)檢測(cè)甚至預(yù)測(cè)安全威脅， 動(dòng)態(tài)評(píng)估安全風(fēng)險(xiǎn)，對(duì)于安全威脅進(jìn)行聯(lián)動(dòng)、自適應(yīng)處理。國家網(wǎng)絡(luò)安 全 戰(zhàn) 略2016-2021 中明確提出要提升防御能力， 提高政府和公共部門抵御網(wǎng)絡(luò)攻擊的彈性， 定期評(píng)估關(guān)鍵系統(tǒng)的 安 全 漏洞， 業(yè)界與國家網(wǎng)絡(luò)安全 中 心（NCSC）共享網(wǎng)絡(luò)威脅最新情報(bào)， 進(jìn)

30、行主動(dòng)防御等具體舉措。國家網(wǎng)絡(luò)安全戰(zhàn)略中提出， 創(chuàng)建安全威脅早期預(yù)警、漏洞管理和應(yīng)對(duì)安全威脅的機(jī)制； 建立國家級(jí)的系統(tǒng)、流程、結(jié)構(gòu)和機(jī)制， 對(duì)現(xiàn)有和潛在網(wǎng)絡(luò)安全威脅進(jìn)行必要情境推測(cè)等具體措施。表 3 重點(diǎn)國家及區(qū)域性國際組織研發(fā)運(yùn)營安全相關(guān)舉措（三）國際標(biāo)準(zhǔn)組織及第三方非盈利組織積極推進(jìn)研發(fā)運(yùn)營安全共識(shí)ISO27304 關(guān)注建立安全軟件程序流程和框架。ISO27034 是國際標(biāo)準(zhǔn)化組織通過的第一個(gè)關(guān)注建立安全軟件程序流程和框架的標(biāo)準(zhǔn)， 提供了面向企業(yè)落地應(yīng)用安全生命周期的指導(dǎo)框架，其本質(zhì)目的是指導(dǎo)企業(yè)如何通過標(biāo)準(zhǔn)化的方式把安全融合進(jìn)入軟件生命周期。ISO27034 由七個(gè)部分組成，除了第四部分

31、外已全部發(fā)布。SAFECode 專注于應(yīng)用安全。SAFECode 成立于 2007 年 10 月，在過去 10 余年中，其發(fā)布的指南已被用于為許多重要行業(yè)和政府提供信息，以解決軟件安全問題。SAFECode 組織認(rèn)為盡管存在差異，但業(yè)界公認(rèn)的通用安全開發(fā)實(shí)踐已被證明既實(shí)用又有效；在軟件保證流程和實(shí)踐中提供更高的透明度有助于客戶和其他關(guān)鍵利益相關(guān)者有效地管理風(fēng)險(xiǎn)。2018 年 3 月SAFECode 發(fā)布第三版安全軟件開發(fā)基本實(shí)踐，并在之后持續(xù)更新。安全軟件開發(fā)基本實(shí)踐說明保證軟件安全的具體開發(fā)和實(shí)施細(xì)則，以確保軟件按預(yù)期運(yùn)營并且沒有設(shè)計(jì)缺陷和實(shí)現(xiàn)缺陷，具體內(nèi)容包括安全設(shè)計(jì)原則、威脅建模、安全編

32、碼實(shí)踐、測(cè)試和驗(yàn)證、脆弱性及安全事件響應(yīng)等。OWASP（Open Web Application Security Project，即開放 Web 應(yīng)用程序安全項(xiàng)目）關(guān)注軟件安全，致力于改善軟件的安全性，推動(dòng)全球軟件安全的革新與發(fā)展。OWASP 是一個(gè)非盈利組織，于 2004 年 4 月 21 日在美國成立。OWASP 提供有關(guān)計(jì)算機(jī)和互聯(lián)網(wǎng)應(yīng)用程序的公正、實(shí)際、有成本效益的信息，協(xié)助個(gè)人、企業(yè)和機(jī)構(gòu)來發(fā)現(xiàn)和使用可信賴軟件。其發(fā)布的 OWASP Top 10 代表了對(duì)Web 應(yīng)用程序最嚴(yán)重的 10 大安全風(fēng)險(xiǎn)，已經(jīng)成為業(yè)界共識(shí)，是企業(yè)制定代碼安全策略的重要參考文件，也是進(jìn)行安全編碼的有效一步。

33、ISO27034SAFECodeOWASP關(guān)注對(duì)象建立安全軟件程序流程和框架應(yīng)用安全軟件安全，改善軟件的安全性具體內(nèi)容ISO27034 由七個(gè)部分組成，是國際標(biāo)準(zhǔn)化組織通過的第一個(gè)關(guān)注建立安全軟件程序流程和框架的標(biāo)準(zhǔn)，提供了面向企業(yè)落地應(yīng)用安全生命周期的指導(dǎo)框架，其本質(zhì)目的是指導(dǎo)企業(yè)如何通過標(biāo)準(zhǔn)化的方式把安全融合進(jìn)入軟件生命周期。SAFECode 發(fā)布的指南已被用于為許多重要行業(yè)和 政 府 提 供 信息，以解決軟件安全問題；其發(fā)布的安全軟件開發(fā)基本實(shí)踐說明保證軟件安全的具體開發(fā)和實(shí)施細(xì)則， 以確保軟件按預(yù)期運(yùn)營并且沒有設(shè)計(jì)缺陷和實(shí)現(xiàn)缺陷，具體內(nèi)容包括安全設(shè)計(jì)原則、威脅建模、安全編碼實(shí)踐、測(cè)試和

34、驗(yàn)證、脆弱性及安全事件響應(yīng)等。OWASP 提供有關(guān)計(jì)算機(jī)和互聯(lián)網(wǎng)應(yīng)用程序的公正、實(shí)際、有成本效益的信息，協(xié)助個(gè)人、企業(yè)和機(jī)構(gòu)來發(fā)現(xiàn)和使用可信賴軟件其 發(fā) 布 的OWASP Top 10 代表了對(duì) Web 應(yīng)用程序最嚴(yán)重的10 大安全風(fēng)險(xiǎn)， 已經(jīng)成為業(yè)界共識(shí)，是企業(yè)制定代碼安全策略的重要參考文件， 也是進(jìn)行安全編碼的有效一步。表 4 國際標(biāo)準(zhǔn)組織及第三方非盈利組織研發(fā)運(yùn)營安全相關(guān)工作（四）企業(yè)積極探索研發(fā)運(yùn)營安全實(shí)踐微軟持續(xù)改進(jìn)安全開發(fā)生命周期（SDL，即 Security Development Lifecycle，以下簡(jiǎn)稱 SDL）流程措施，推行研發(fā)運(yùn)營安全實(shí)踐。自2004 年以來，SDL

35、作為微軟一項(xiàng)強(qiáng)制性政策，在將安全性融入企業(yè)文化與軟件開發(fā)實(shí)踐中發(fā)揮了重大作用，在推出之后，對(duì)于其內(nèi)容也在不斷進(jìn)行更新改進(jìn)，目前具體舉措包括 1）管理制度，提供安全培訓(xùn)， 增強(qiáng)安全意識(shí)，確保人員了解安全基礎(chǔ)知識(shí)；2）安全要求，定義安全隱私要求與安全門限要求，包括法律和行業(yè)要求，內(nèi)部標(biāo)準(zhǔn)和編碼 PAGE 15慣例，對(duì)先前事件的審查以及已知威脅等，安全門限要求指安全質(zhì)量的最低可接受級(jí)別，明確定義安全漏洞的嚴(yán)重性閾值；3）安全隱私需求分析與設(shè)計(jì)，具體措施包括執(zhí)行威脅建模，建立設(shè)計(jì)要求，明確加密標(biāo)準(zhǔn)；4）管理使用第三方組件的安全風(fēng)險(xiǎn)，擁有準(zhǔn)確的第三方組件清單，并了解其安全漏洞可能對(duì)集成它們的系統(tǒng)的安全性

36、產(chǎn)生影響；5）安全研發(fā)與驗(yàn)證，具體舉措包括使用經(jīng)過安全性檢查，認(rèn)可的工具，執(zhí)行靜態(tài)應(yīng)用程序與動(dòng)態(tài)應(yīng)用程序安全性測(cè)試，進(jìn)行滲透測(cè)試；6）發(fā)布部署階段，建立標(biāo)準(zhǔn)的事件響應(yīng)流程，7）針對(duì)運(yùn)營安全， 通過人員權(quán)限認(rèn)證，數(shù)據(jù)加密存儲(chǔ)、傳輸，安全監(jiān)控，定期更新安全策略，抵御常見網(wǎng)絡(luò)攻擊，執(zhí)行滲透測(cè)試等手段保證上線運(yùn)營階段的安全。借鑒行業(yè)領(lǐng)先實(shí)踐、技術(shù)，思科推行企業(yè)安全開發(fā)生命周期，減少產(chǎn)品安全風(fēng)險(xiǎn)。如下圖 4 所示，具體措施涵蓋，1）明確安全要求， 包括思科內(nèi)部安全基線要求與基于行業(yè)、場(chǎng)景的市場(chǎng)安全要求；2） 第三方安全，利用工具了解潛在的第三方軟件安全威脅，不斷更新已知第三方軟件威脅和漏洞列表，對(duì)于產(chǎn)品

37、團(tuán)隊(duì)進(jìn)行告警；3）安全需求分析與設(shè)計(jì)，內(nèi)部安全培訓(xùn)計(jì)劃鼓勵(lì)所有員工提高安全意識(shí)，同時(shí)鼓勵(lì)開發(fā)和測(cè)試團(tuán)隊(duì)深入學(xué)習(xí)安全知識(shí)，通過持續(xù)不斷地發(fā)展威脅意識(shí)，并利用行業(yè)標(biāo)準(zhǔn)原則和高度安全的經(jīng)過審查的解決方案，努力開發(fā)出設(shè)計(jì)上更加安全的產(chǎn)品；通過威脅建模了解和確定系統(tǒng)的安全風(fēng)險(xiǎn)并確定優(yōu)先級(jí)；4）安全編碼與驗(yàn)證，建立內(nèi)部的安全編碼標(biāo)準(zhǔn)， 維護(hù)經(jīng)過審核的通用安全模塊，同時(shí)通過靜態(tài)應(yīng)用程序安全測(cè)試與漏 PAGE 16洞掃描，滲透測(cè)試等手段保證安全性；5）發(fā)布部署，建立安全發(fā)布標(biāo)準(zhǔn)，確保發(fā)布部署安全；6）上線運(yùn)營，通過安全運(yùn)營操作流程與持續(xù)安全監(jiān)控、更新保證產(chǎn)品上線之后的安全。圖片來源：Cisco圖 4 Cisc

38、o SDL 體系框架圖VMware 建立安全開發(fā)生命周期項(xiàng)目，識(shí)別和減少 VMware 軟件產(chǎn)品研發(fā)階段的安全風(fēng)險(xiǎn)。VMware SDL 的發(fā)展受到行業(yè)最佳實(shí)踐和組織的深遠(yuǎn)影響，會(huì)定期評(píng)估 SDL 在識(shí)別風(fēng)險(xiǎn)方面的有效性，并隨著SDL 活動(dòng)的發(fā)展和成熟不斷對(duì)于流程進(jìn)行優(yōu)化改進(jìn)，增添新型技術(shù)。目前VMware SDL 中的安全活動(dòng)主要囊括，1）安全培訓(xùn)，對(duì)于人員進(jìn)行基于角色和技術(shù)的安全以及隱私培訓(xùn)；2）安全規(guī)劃，對(duì)于隨后的安全審查活動(dòng)制定基線要求；3）安全要求，涵蓋認(rèn)證、授權(quán)、加密、證書、網(wǎng)絡(luò)安全性等內(nèi)容；4）安全設(shè)計(jì)，通過威脅建模明確安全風(fēng)險(xiǎn)，改進(jìn)安全設(shè)計(jì)；5）安全研發(fā)驗(yàn)證，通過靜態(tài)代碼分析與

39、漏洞掃描、滲透測(cè)試等手段保證研發(fā)驗(yàn)證階段的安全性；6）開源及第三方 PAGE 17組件安全管理，明確產(chǎn)品中開源及第三方組件中的安全漏洞，在發(fā)布前期進(jìn)行修復(fù)；7）安全審查，對(duì)于前期所有安全工作進(jìn)行二次審查； 8）上線運(yùn)營，由安全響應(yīng)中心進(jìn)行持續(xù)的安全監(jiān)控，對(duì)于安全風(fēng)險(xiǎn)進(jìn)行及時(shí)響應(yīng)。具體執(zhí)行流程如下圖 5 所示。圖片來源：VMware圖 5 VMware SDL 體系框架圖微軟思科VMware軟件應(yīng)用服務(wù)研發(fā)運(yùn)營全生命周期安全管理安全培訓(xùn)提供安全培訓(xùn)，增強(qiáng)安全意識(shí)，確保人員了解安全基礎(chǔ)知識(shí)內(nèi)部安全培訓(xùn)計(jì)劃鼓勵(lì)所有員工提高安全意識(shí)，同時(shí)鼓勵(lì)開發(fā)和測(cè)試團(tuán)隊(duì)深入學(xué)習(xí)安全知識(shí)對(duì)于人員進(jìn)行基于角色和技術(shù)的安

40、全以及隱私培訓(xùn)安全要求定義安全隱私要求與安全門限要求，包括法律和行業(yè)要求，內(nèi)部標(biāo)準(zhǔn)和編碼慣例，對(duì)先前事件的審查以及已知威脅等包括思科內(nèi)部安全基線要求與基于行業(yè)、場(chǎng)景的市場(chǎng)安全要求對(duì)于之后的安全審查活動(dòng)制定基線要求安全要求涵蓋認(rèn)證、授權(quán)、加密、證書、網(wǎng)絡(luò)安全性等內(nèi)容安全隱私需求分析與設(shè)計(jì)執(zhí)行威脅建模，建立設(shè)計(jì)要求，明確加密標(biāo)準(zhǔn)等利用行業(yè)標(biāo)準(zhǔn)原則和高度安全的經(jīng)過審查的解決方案，努力開發(fā)出設(shè)計(jì)上更加安全的產(chǎn)品通過威脅建模了解和確定系統(tǒng)的安全風(fēng)險(xiǎn)并確定優(yōu)先級(jí)通過威脅建模明確安全風(fēng)險(xiǎn)，改進(jìn)安全設(shè)計(jì)第三方組件安全管理擁有準(zhǔn)確的第三方組件清單，并了解其安全漏洞可能對(duì)集成它們的系統(tǒng)的安全性產(chǎn)生影響利用工具了解

41、潛在的第三方軟件安全威脅，不斷更新已知第三方軟件威脅和漏洞列表，對(duì)于產(chǎn)品團(tuán)隊(duì)進(jìn)行告警明確產(chǎn)品中開源及第三方組件中的安全漏洞，在發(fā)布前期進(jìn)行修復(fù)安全編碼與驗(yàn)證使用經(jīng)過安全性檢查，認(rèn)可的工具，執(zhí)行靜態(tài)應(yīng)用程序與動(dòng)態(tài)應(yīng)用程序安全性測(cè)試， 進(jìn)行滲透測(cè)試建立內(nèi)部的安全編碼標(biāo)準(zhǔn)，維護(hù)經(jīng)過審核的通用安全模塊，同時(shí)通過靜態(tài)應(yīng)用程序安全測(cè)試與漏洞掃描，滲透測(cè)試等手段保證安全性通過靜態(tài)代碼分析與漏洞掃描、滲透測(cè)試等手段保證研發(fā)驗(yàn)證階段的安全性安全發(fā)布部署建立標(biāo)準(zhǔn)的事件響應(yīng)流程建立安全發(fā)布標(biāo)準(zhǔn)，確保發(fā)布部署安全對(duì)于前期所有安全工作進(jìn)行二次審查上線運(yùn)營安全通過人員權(quán)限認(rèn)證，數(shù)據(jù)加密存儲(chǔ)、傳輸，安全監(jiān)控，定期更新安全策

42、略，抵御常見網(wǎng)絡(luò)攻擊，執(zhí)行滲透測(cè)試等手段保證上線運(yùn)營階段的安全通過安全運(yùn)營操作流程與持續(xù)安全監(jiān)控、更新保證產(chǎn)品上線之后的安全由安全響應(yīng)中心進(jìn)行持續(xù)的安全監(jiān)控，對(duì)于安全風(fēng)險(xiǎn)進(jìn)行及時(shí)響應(yīng)表 5 企業(yè)研發(fā)運(yùn)營安全具體實(shí)踐（五）開發(fā)模式逐步向敏捷化發(fā)展，研發(fā)運(yùn)營安全體系隨之向敏捷化演進(jìn)研發(fā)運(yùn)營安全相關(guān)體系的發(fā)展與開發(fā)模式的變化是密不可分的， 隨著開發(fā)模型由傳統(tǒng)的瀑布式開發(fā)演變成敏捷開發(fā)再轉(zhuǎn)變?yōu)镈evOps， 研發(fā)運(yùn)營安全相關(guān)體系也隨著變化，但其核心理念始終是安全前置， 貫穿全生命周期。目前研發(fā)運(yùn)營安全體系中，以微軟提出的安全開發(fā)生命周期（SDL）和 Gartner 提出的DevSecOps 體系為典型

43、代表。安全開發(fā)生命周期（SDL）的核心理念就是將安全考慮集成在軟件開發(fā)的每一個(gè)階段:需求分析、設(shè)計(jì)、編碼、測(cè)試和維護(hù)。從需求、設(shè)計(jì)到發(fā)布產(chǎn)品的每一個(gè)階段每都增加了相應(yīng)的安全活動(dòng)，以減少軟件中漏洞的數(shù)量并將安全缺陷降低到最小程度。安全開發(fā)生命周期(SDL)是側(cè)重于軟件開發(fā)的安全保證過程，旨在開發(fā)出安全的軟件應(yīng)用。SDL 在傳統(tǒng)軟件開發(fā)生命周期(SDLC)的各個(gè)階段增加了一些必要的安全活動(dòng)，軟件開發(fā)的不同階段所執(zhí)行的安全活動(dòng)也不同，每個(gè)活動(dòng)就算單獨(dú)執(zhí)行也都能對(duì)軟件安全起到一定作用。具體內(nèi)容如下圖 6所示。圖片來源：Microsoft圖 6 微軟 SDL 流程體系隨著對(duì)軟件開發(fā)質(zhì)量和效率要求的不斷提

44、高，以 DevOps 為代表的敏捷開發(fā)方法得到推崇。在此基礎(chǔ)上，Gartner 公司于 2012 年推出了 DevSecOps 的概念， DevSecOps 即 Development Security Operations 的縮寫，是一套基于 DevOps 體系的全新安全實(shí)踐戰(zhàn)略框架，旨在將安全融入敏捷過程中，即通過設(shè)計(jì)一系列可集成的控制措施，增大監(jiān)測(cè)、跟蹤和分析的力度，優(yōu)化安全實(shí)踐，集成到開發(fā)和運(yùn)營的各項(xiàng)工作中，并將安全能力賦給各個(gè)團(tuán)隊(duì)，同時(shí)保持“敏捷”和“協(xié)作”的初衷。DevOps 的目的決定了其對(duì)“自動(dòng)化”和“持續(xù)性”的要求更加突出，因此在將安全控制集成其中時(shí)，也應(yīng)該盡量遵循“自動(dòng)化”

45、和“透明”的原則。為了將安全無縫集成到 DevOps 中，Gartner 和一些專家從實(shí)踐出發(fā)提出了一系列建議，主要包括：風(fēng)險(xiǎn)和威脅建模、自定義代碼掃描、開源軟件掃描和追蹤、考慮供應(yīng)鏈安全問題、整合預(yù)防性安全控制到共享源代碼庫和共享服務(wù)中、版本控制和安全測(cè)試的自動(dòng)化部署、系統(tǒng)配置漏洞掃描、工作負(fù)載和服務(wù)的持續(xù)監(jiān)控等。下圖 7為DevSecOps 具體體系框架。圖片來源：Gartner圖 7 DevSecOps 體系框架圖SDLDevSecOps適用對(duì)象軟件產(chǎn)品安全開發(fā)全生命周期DevOps 體系，周期較短、迭代較快的業(yè)務(wù)安全責(zé)任特定安全團(tuán)隊(duì)研發(fā)運(yùn)營所有參與人員體系特點(diǎn)安全集成在軟件開發(fā)的每一個(gè)

46、階段，整體提升安全性DevOps 體系中融入安全，安全工具自動(dòng)化以及平臺(tái)化體系重點(diǎn)整體安全管理制度搭配安全人員能力達(dá)到軟件產(chǎn)品研發(fā)安全DevOps 體系中嵌入自動(dòng)化安全工具，實(shí)現(xiàn) DevOps 體系的安全表 6 SDL 與 DevSecOps 區(qū)別對(duì)照三、 研發(fā)運(yùn)營安全關(guān)鍵要素本白皮書認(rèn)為的研發(fā)運(yùn)營安全關(guān)鍵要素包含兩方面內(nèi)容，1）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運(yùn)營安全體系，提供理論框架，指導(dǎo)研發(fā)運(yùn)營安全的實(shí)踐推進(jìn)；2）研發(fā)運(yùn)營安全技術(shù)工具的持續(xù)發(fā)展應(yīng)用，為體系的實(shí)踐提供技術(shù)支撐，加速企業(yè)組織研發(fā)運(yùn)營安全的落地。（一）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運(yùn)營安全體系本白皮書提出的研發(fā)運(yùn)營安全體系強(qiáng)

47、調(diào)安全左移，結(jié)合人員管理體系、制度流程，從需求分析設(shè)計(jì)、編碼階段便引入安全，覆蓋軟件應(yīng)用服務(wù)全生命周期，整體提升安全性。提出的研發(fā)運(yùn)營安全體系具有四大特點(diǎn)，1）覆蓋范圍更廣，延伸至下線停用階段，覆蓋軟件應(yīng)用服務(wù)全生命周期；2）更具普適性，抽取關(guān)鍵要素，不依托于任何開發(fā)模式與體系；3）不止強(qiáng)調(diào)安全工具，同樣注重安全管理，強(qiáng)化人員安全能力；4）進(jìn)行運(yùn)營安全數(shù)據(jù)反饋，形成安全閉環(huán)，不斷優(yōu)化流程實(shí)踐。管理制度管理制度流程是推行研發(fā)運(yùn)營安全的基礎(chǔ)。在研發(fā)運(yùn)營安全體系規(guī)劃和建設(shè)的過程中，首先是建立組織責(zé)任體系，制定完善的研發(fā)運(yùn)營安全管理體系和制度管理規(guī)范，明確管理制度和操作流程規(guī)范，建立統(tǒng)一的安全基線。并

48、將組織建設(shè)和人員制度管理納入到全生命管理周期中，對(duì)應(yīng)的組織負(fù)責(zé)不同的安全職責(zé)與工作，進(jìn)行安全培訓(xùn)，建設(shè)組織級(jí)的安全文化以及對(duì)研發(fā)人員、測(cè)試人員、技術(shù)運(yùn)營人員等進(jìn)行安全管理，包括第三方機(jī)構(gòu)的人員，實(shí)現(xiàn)人人都為安全負(fù)責(zé)。制度和操作規(guī)范包括1）賬號(hào)和密碼管理，2）故障流程管理辦法， 3）應(yīng)急事件分級(jí)處理措施，4）人員行為安全規(guī)范，5）變更管理制度，6）團(tuán)隊(duì)間安全協(xié)作流程和規(guī)范等。通過統(tǒng)一的流程管理平臺(tái)， 保證各個(gè)流程環(huán)節(jié)能夠被及時(shí)響應(yīng)，各項(xiàng)任務(wù)能夠被順利傳遞、銜接。安全培訓(xùn)針對(duì)所有研發(fā)、測(cè)試、運(yùn)營人員以及第三方合作人員， 目前是為了提升安全意識(shí)，增強(qiáng)研發(fā)運(yùn)營安全能力。培訓(xùn)內(nèi)容主要包括 1）安全管理制

49、度，2）安全意識(shí)培訓(xùn)，3）安全開發(fā)流程，4）安全編碼規(guī)范，5）安全設(shè)計(jì)，6）安全測(cè)試等，并對(duì)于培訓(xùn)結(jié)果進(jìn)行考核， 制定特殊崗位的上崗前考核機(jī)制，未通過相關(guān)考核的，不得從事向相關(guān)崗位的工作。安全要求安全要求明確研發(fā)運(yùn)營安全的基線。安全要求通常包含安全管理和技術(shù)安全要求，二者需要有機(jī)結(jié)合，不可分割。具體內(nèi)容包括 1） 設(shè)立質(zhì)量安全門限要求，具有項(xiàng)目級(jí)、團(tuán)隊(duì)級(jí)、組織級(jí)的質(zhì)量安全門限要求，根據(jù)業(yè)務(wù)場(chǎng)景、產(chǎn)品類型、語言類型劃分質(zhì)量安全門限要求， 智能化收集質(zhì)量安全門限要求，根據(jù)業(yè)務(wù)場(chǎng)景等進(jìn)行智能推薦；2） 項(xiàng)目角色以及權(quán)限管理，依據(jù)最小權(quán)限原則，建立資源、行為操作權(quán)限管控，采用多因素認(rèn)證機(jī)制保證訪問安全

50、，配置強(qiáng)密碼策略，及時(shí)為不需要權(quán)限的用戶或用戶組移除權(quán)限；3）安全審計(jì)，對(duì)于包括研發(fā)、測(cè)試、運(yùn)營的所有相關(guān)人員的所有操作行為進(jìn)行審計(jì)，對(duì)于審計(jì)記錄進(jìn)行保護(hù)，有效期內(nèi)避免非授權(quán)的訪問、篡改、覆蓋及刪除，對(duì)于審計(jì)記錄形成報(bào)表，方便查詢、統(tǒng)計(jì)與分析，針對(duì)審計(jì)日志進(jìn)行自動(dòng)化與人工審計(jì)，對(duì)于安全事件進(jìn)行詳細(xì)記錄，對(duì)于高危操作進(jìn)行重點(diǎn)審計(jì)，進(jìn)行告警通知，針對(duì)行業(yè)特點(diǎn)，業(yè)務(wù)特點(diǎn)進(jìn)行定制化的安全審計(jì)策略，對(duì)于審計(jì)記錄進(jìn)行統(tǒng)計(jì)分析、關(guān)聯(lián)分析等；4）環(huán)境管理， 研發(fā)、測(cè)試、生產(chǎn)環(huán)境隔離，生產(chǎn)環(huán)境具有安全基線要求，保障環(huán)境的安全，針對(duì)研發(fā)、測(cè)試環(huán)境有明確的權(quán)限管控機(jī)制，針對(duì)各類環(huán)境的操作進(jìn)行詳細(xì)記錄，具有可追溯性，

51、定期執(zhí)行生產(chǎn)環(huán)境的安全基線掃描，及時(shí)發(fā)現(xiàn)和處理安全風(fēng)險(xiǎn)，研發(fā)、生產(chǎn)環(huán)境具有良好的抗攻擊與災(zāi)備容錯(cuò)能力，根據(jù)特定行業(yè)以及業(yè)務(wù)場(chǎng)景，對(duì)于測(cè)試環(huán)境接入安全掃描，針對(duì)不同的業(yè)務(wù)場(chǎng)景以及架構(gòu)，對(duì)于發(fā)布環(huán)境進(jìn)行分類管理， 安全加固，生產(chǎn)環(huán)境具安全風(fēng)險(xiǎn)自動(dòng)發(fā)現(xiàn)、分析和修復(fù)以及秒級(jí)容災(zāi)容錯(cuò)切換能力；5）變更管理，有明確的進(jìn)行變更條件與變更執(zhí)行機(jī)制，有明確的變更授權(quán)機(jī)制，對(duì)于變更請(qǐng)求進(jìn)行統(tǒng)一分析、整理，確定變更方案；6）開源及第三方組件管理，具有組織級(jí)的第三方組件庫，明確優(yōu)選、可用、禁用的第三方組件列表，統(tǒng)一組件來源，具有明確的第三方組件入庫審批機(jī)制，第三方組件的引入應(yīng)遵循最小化引入原則，減少安全風(fēng)險(xiǎn)，開源及第

52、三方組件與自研代碼獨(dú)立存放、目錄隔離，開源及第三方組件來源可追溯，開源組件追溯源社區(qū)，第三方組件信息追溯到供應(yīng)商，對(duì)開源軟件的生命周期進(jìn)行管理，記錄開源軟件的生命周期信息，通過自動(dòng)化工具及時(shí)向使用產(chǎn)品進(jìn)行通知預(yù)警；7）安全研發(fā)測(cè)試要求，具有組織級(jí)、團(tuán)隊(duì)級(jí)、項(xiàng)目級(jí)的安全編碼規(guī)范、安全測(cè)試規(guī)范。安全隱私需求分析與設(shè)計(jì)安全前置到需求分析與設(shè)計(jì)階段。安全隱私需求分析與設(shè)計(jì)是服務(wù)應(yīng)用研發(fā)運(yùn)營整個(gè)生命周期的源頭。具體內(nèi)容包括：1）安全隱私需求分析，應(yīng)包括安全合規(guī)需求以及安全功能需求，針對(duì)安全合規(guī)需求，應(yīng)分析涉及的法律法規(guī)、行業(yè)監(jiān)管等要求，制定合規(guī)和安全需求基線，針對(duì)安全功能需求應(yīng)根據(jù)業(yè)務(wù)場(chǎng)景、技術(shù)，具備相

53、應(yīng)的測(cè)試用例，安全隱私需求來自法律法規(guī)、行業(yè)監(jiān)管要求、公司安全策略、業(yè)界最佳實(shí)踐以及客戶安全需求，具有明確的安全需求管理流程，能夠?qū)Π踩枨蟮姆治觥⒃u(píng)審、決策等環(huán)節(jié)進(jìn)行有效管理，需求分解分配可追溯；2）安全設(shè)計(jì)原則，3）確定質(zhì)量安全門限要求，4）受攻擊面分析，分析應(yīng)從系統(tǒng)各個(gè)模塊的重要程度、系統(tǒng)各個(gè)模塊接口分析、攻擊者視角分析攻擊手段、方式、攻擊路徑、權(quán)限設(shè)置是否合理、攻擊難度等維度進(jìn)行分析；5）威脅建模，具體行為包括確定安全目標(biāo)、分解應(yīng)用程序、確定威脅列表；6）安全隱私需求設(shè)計(jì)知識(shí)庫，具有組織級(jí)安全需求知識(shí)分享平臺(tái)，形成知識(shí)的復(fù)用，根據(jù)安全需求，得出安全設(shè)計(jì)解決方案。研發(fā)與驗(yàn)證研發(fā)驗(yàn)證是安全

54、前置實(shí)踐的關(guān)鍵所在，研發(fā)階段安全是整體安全左移實(shí)現(xiàn)關(guān)鍵，關(guān)注代碼程序安全，驗(yàn)證階段進(jìn)行安全二次確認(rèn)，避免風(fēng)險(xiǎn)引入。為了確保上線服務(wù)應(yīng)用沒有安全風(fēng)險(xiǎn)，需要在研發(fā)及測(cè)試過程中要進(jìn)行全面的代碼安全識(shí)別，具體內(nèi)容包括：1）安全編碼， 維護(hù)獲得安全認(rèn)可的工具、框架列表，使用獲得認(rèn)可的工具、框架，具有統(tǒng)一的版本控制系統(tǒng)，將全部源代碼納入版本控制系統(tǒng)管理，版本控制系統(tǒng)具有明確的權(quán)限管控機(jī)制，代碼倉庫具有實(shí)時(shí)代碼安全掃 描機(jī)制，發(fā)現(xiàn)安全問題并提示修復(fù)，根據(jù)安全編碼規(guī)范制定自定義安 全策略，進(jìn)行自動(dòng)化安全掃描，采用集成于 IDE 或其他形式提供的自動(dòng)化測(cè)試工具定時(shí)進(jìn)行代碼安全檢測(cè)，針對(duì)版本控制系統(tǒng)有監(jiān)控機(jī)制，

55、包括人員、時(shí)間、行為操作等，方便審計(jì)回溯，制定代碼合入門禁機(jī) 制，確保代碼合入質(zhì)量，代碼倉庫支持線上代碼動(dòng)態(tài)掃描，發(fā)現(xiàn)安全 問題并提示修復(fù)；2）管理開源及第三方組件安全風(fēng)險(xiǎn)，對(duì)于第三方 組件根據(jù)風(fēng)險(xiǎn)級(jí)別，有明確的優(yōu)選、可用、禁用機(jī)制，代碼提交前采 用掃描工具進(jìn)行第三方組件安全檢查，管理項(xiàng)目中的第三方組件許可 證以及安全漏洞等風(fēng)險(xiǎn)，針對(duì)第三方組件安全風(fēng)險(xiǎn)，推薦安全解決方 案；3）變更管理，對(duì)于變更操作進(jìn)行統(tǒng)一管理，明確記錄變更信息， 包括但不限于變更人員、變更時(shí)間、變更內(nèi)容，針對(duì)重點(diǎn)變更內(nèi)容進(jìn) 行評(píng)審，變更操作具有明確的審批授權(quán)機(jī)制，重大變更操作具有分級(jí) 評(píng)審機(jī)制，具有統(tǒng)一的變更管理系統(tǒng)，變更操

56、作覆蓋需求設(shè)計(jì)到發(fā)布 部署全流程；4）代碼安全審查，制定明確的源代碼安全檢視方法， 開展源代碼安全審計(jì)活動(dòng)，采用工具與人工核驗(yàn)相結(jié)合的方式進(jìn)行代 碼安全審計(jì)，對(duì)于威脅代碼及時(shí)通知研發(fā)人員進(jìn)行修復(fù)，對(duì)高風(fēng)險(xiǎn)源 代碼有分級(jí)審核機(jī)制，對(duì)于審計(jì)發(fā)現(xiàn)的威脅代碼自動(dòng)通知研發(fā)人員， 進(jìn)行修復(fù)，根據(jù)行業(yè)特點(diǎn)、業(yè)務(wù)場(chǎng)景定制化開發(fā)代碼安全審查工具， 制定安全審查策略；5）開源及第三方組件確認(rèn)，采用工具與人工核 驗(yàn)的方式確認(rèn)第三方組件的安全性、一致性，根據(jù)許可證信息、安全 漏洞等綜合考慮法律、安全風(fēng)險(xiǎn)；6）配置審計(jì)，具有明確的配置審計(jì)機(jī)制，配置審計(jì)包括但不限于配置項(xiàng)是否完備、配置項(xiàng)與前期安全需求的一致性、配置項(xiàng)版本

57、的描述精確，與相關(guān)版本一致制，配置項(xiàng)的每次變更有記錄，可以追溯到具體修改時(shí)間和修改人，產(chǎn)品依賴的自研模塊、平臺(tái)組件、開源源碼、開源二進(jìn)制、第三方軟件被準(zhǔn)確的定義和記錄，對(duì)于明確統(tǒng)一的合規(guī)需求以及安全需求，進(jìn)行自動(dòng)化配置審計(jì)；7）安全隱私測(cè)試，具有明確的安全隱私測(cè)試要求，作為發(fā)布部署的前置條件，測(cè)試數(shù)據(jù)不包含未經(jīng)清洗的敏感數(shù)據(jù)，基于安全隱私需求，有相應(yīng)的安全隱私測(cè)試用例，并進(jìn)行驗(yàn)證測(cè)試，單個(gè)測(cè)試用例的執(zhí)行不受其他測(cè)試用例結(jié)果的影響，測(cè)試數(shù)據(jù)、用例應(yīng)統(tǒng)一管理，有明確的權(quán)限管控機(jī)制，測(cè)試用例、測(cè)試數(shù)據(jù)應(yīng)定期更新，滿足不同階段、環(huán)境的測(cè)試要求，具備自動(dòng)化安全測(cè)試能力，對(duì)于測(cè)試結(jié)果有集中匯總與展示的能力

58、，持續(xù)優(yōu)化安全測(cè)試策略，持續(xù)降低誤報(bào)率與漏報(bào)率，測(cè)試過程有記錄可查詢，測(cè)試設(shè)計(jì)、執(zhí)行端到端可追溯， 基于不同業(yè)務(wù)場(chǎng)景以及系統(tǒng)架構(gòu)，進(jìn)行安全測(cè)試智能化推薦與測(cè)試策略智能優(yōu)化；8）漏洞掃描，采用主流的安全工具進(jìn)行漏洞掃描，漏洞掃描結(jié)果有統(tǒng)一管理與展示平臺(tái)，漏洞掃描的結(jié)果及時(shí)反饋研發(fā)人員，進(jìn)行漏洞修復(fù)，具有自身以及第三方漏洞庫，對(duì)于漏洞庫定期更新，基于漏洞信息進(jìn)行關(guān)聯(lián)與聚合分析；9）模糊測(cè)試，采用主流的模糊測(cè)試工具，自動(dòng)化進(jìn)行模糊測(cè)試，模糊測(cè)試的結(jié)果及時(shí)反饋研發(fā)人員，進(jìn)行修復(fù)，持續(xù)改進(jìn)模糊測(cè)試策略；10）滲透測(cè)試，引入人工滲透測(cè)試機(jī)制，針對(duì)系統(tǒng)架構(gòu)、應(yīng)用程序、網(wǎng)絡(luò)層面漏洞進(jìn)行滲透測(cè)試，根據(jù)行業(yè)特點(diǎn)與

59、業(yè)務(wù)場(chǎng)景實(shí)施滲透測(cè)試，范圍應(yīng)覆蓋重要安全風(fēng)險(xiǎn)點(diǎn)與重要業(yè)務(wù)系統(tǒng)，有明確的滲透測(cè)試計(jì)劃與管理機(jī)制。發(fā)布部署安全發(fā)布部署是服務(wù)應(yīng)用上線前的最后一道安全保障，發(fā)布階段確保服務(wù)安全上線運(yùn)營，具體內(nèi)容包括：1）發(fā)布管理，有相應(yīng)的發(fā)布安全流程與規(guī)范，發(fā)布操作具有明確的權(quán)限管控機(jī)制，發(fā)布應(yīng)具有明確的安全檢查節(jié)點(diǎn)，根據(jù)安全節(jié)點(diǎn)檢查結(jié)果，有相關(guān)告警機(jī)制，針對(duì)發(fā)布流程具有安全回退、備份機(jī)制，制定發(fā)布策略，通過低風(fēng)險(xiǎn)的發(fā)布策略進(jìn)行發(fā)布，如灰度發(fā)布或者藍(lán)綠發(fā)布等方式，發(fā)布流程實(shí)現(xiàn)自動(dòng)化，一鍵發(fā)布，根據(jù)安全節(jié)點(diǎn)檢查結(jié)果，發(fā)現(xiàn)高危安全問題，自動(dòng)阻斷發(fā)布流程，對(duì)于發(fā)布流程具有監(jiān)控機(jī)制，出現(xiàn)問題自動(dòng)化回滾， 建立稽核機(jī)制，發(fā)布

60、前需要通過稽核部門的獨(dú)立檢查；2）安全性檢查，進(jìn)行病毒掃描以及數(shù)字簽名驗(yàn)證等完整性校驗(yàn)，校驗(yàn)結(jié)果作為發(fā)布的前置條件；3）事件響應(yīng)計(jì)劃，具有預(yù)先的事件響應(yīng)計(jì)劃，包括但不限于安全事件應(yīng)急響應(yīng)流程，安全負(fù)責(zé)人與聯(lián)系方式。上線運(yùn)營運(yùn)營階段安全保障服務(wù)系統(tǒng)的穩(wěn)定運(yùn)行。為確保服務(wù)應(yīng)用上線運(yùn)營安全，具體措施內(nèi)容包括：1）安全監(jiān)控，具有運(yùn)營階段安全監(jiān)控機(jī)制，覆蓋全部業(yè)務(wù)場(chǎng)景，抵御常見威脅攻擊的能力，如 DDoS 攻擊， 暴力破解，病毒攻擊，注入攻擊，網(wǎng)頁篡改，具有統(tǒng)一的安全監(jiān)控平臺(tái)，對(duì)于威脅攻擊處理能夠統(tǒng)一監(jiān)控并可視化展示，對(duì)于監(jiān)控安全事件進(jìn)行分級(jí)展示，具有智能化安全監(jiān)控平臺(tái)，對(duì)于監(jiān)控事件統(tǒng)一關(guān)聯(lián)分析，智能識(shí)