从主流安全开发框架看软件供应链安全保障的落地.docx

第 第 PAGE #页共32页 从主流安全开发框架看软件供应链安全保障的落地 目录 TOC \o 1-5 \h \z \o Current Document 编者按 1 \o Current Document 前言 1 \o Current Document 供应链安全是工业软件发展的底板 2 \o Current Document 工业软件面临三大供应链安全挑战 2 \o Current Document 以内生安全框架解决工业软件供应链安全挑战 3 \o Current Document 四大关键技术能力打造供应链安全“护身符” 4 \o Current Document 六种主流安全开发框架的异同点 4 \o Current Document 软件供应链安全保障的主要环节 5 \o Current Document 第三方组件的安全管控 5 \o Current Document 2.针对供应商的安全要求 7 \o Current Document 3.软件基础设施的安全性 8 \o Current Document 4.软件自身安全性的保护 9 \o Current Document 软件供应链安全治理与应用实践 10 \o Current Document 1.前述 10 \o Current Document 软件供应链安全治理 10 \o Current Document 4.2.1.体系构建阶段：SDL软件安全开发生命周期 11 2. 2.设计阶段：软件供应商风险管理流程 15 \o Current Document 2. 3.编码阶段：构建详细的软件物料清单 18 \o Current Document 4. 2. 4.发布运营阶段：建立成熟的应急响应机制 23 \o Current Document 4. 3.软件供应链安全应用实践 28 \o Current Document 安全开发框架主要指导作用思考 32 编者按 通过分析六种主流安全开发框架，归纳了供应链安全保障的主要环节，提 出了操作指南细化的初步思路。 前言 从SolarWinds攻击到Log4j漏洞，再到近期以反战名义对开源软件供应链 投毒事件，软件供应链安全问题愈演愈烈，因其带来的巨大危害引发全球关 注。寻求有效、可落地的保障方法成为软件供应链相关各方的共同目标。 安全开发框架作为软件开发生命周期中各阶段安全实践、活动和措施的集 合，能够指导使用者提高软件生产和产品的安全性，并且它们越来越多的将供 应链因素考虑在内，形成一个不断完善的保障体系。 本文通过对六种主流安全开发框架的必威体育精装版版本进行分析，总结了共性和差 异，归纳了供应链安全保障的主要环节，提出了操作指南细化的初步思路。 六种框架包括安全软件开发框架(NIST SSDF) V1.1、软件联盟安全软件框架 (BSAFSS)V1.1 SAFECode安全软件开发基本实践V3、软件保障成熟度模型 (OWASP SAMM) V2.0、安全内建成熟度模型(BSIMM) V12和微软安全开发生命周 期(MSSDL) 2022o 1.供应链安全是工业软件发展的底板 “在工业软件发展过程中，保障开发、交付和应用全生命周期中的安全已 成为底板’工程，这就需要首先建立工业软件的供应链安全体系，确保供应 链安全。”在4月26日举办的数字中国建设峰会数字技术创新分论坛上，奇安 信集团总裁吴云坤演讲时强调，目前，针对工业软件的供应链攻击已经成为主 流攻击手段，多样化的方式实施攻击，给政企机构及关键信息基础设施带来了 巨大的安全风险。 工业软件面临三大供应链安全挑战 吴云坤认为，作为工业互联网的重要支撑技术，工业软件面临着三大供应 链安全挑战： 第一，开源软件安全挑战。我国工业软件基础薄弱，对开源软件的依赖度 高，而开源软件的安全漏洞，会直接影响工业软件的安全。奇安信在一次针对 国内2188个软件项目的研究中发现，所有软件均使用了开源组件，其中存在漏 洞的项目为1695个，占比高达77.5%0 第二，软件开发带来的安全挑战。程序员在编写代码过程当中，缺陷是无 法避免的，而能够被黑客利用的缺陷就成了漏洞。统计数据显示，程序员手敲 原始代码1000行会出现14.22个缺陷，其中可能包含有0.72个高危缺陷。 第三，复杂的软件图谱带来的安全挑战。软件图谱复杂，代码重复使用带 来了漏洞和后门扩散、恶意模块传播、不可靠的网络资源引入等安全隐患。新 的软件中，可能包含有漏洞的老模块；一个漏洞爆发后，可能会影响到大量软 件。2020年12月，网络安全管理软件供应商SolarWinds遭遇APT团伙供应链 攻击并植入木马后门，该攻击直接导致18