本文3409字阅读约需10分钟
从SolarWinds攻击到Log4j误差，，，，，，，，再到近期以反战名义对开源软件供应链投毒事务，，，，，，，，软件供应链清静问题愈演愈烈，，，，，，，，因其带来的重大危害引发全球关注。 。。。。。追求有用、可落地的包管要领成为软件供应链相关各方的配合目的。 。。。。。
清静开发框架作为软件开爆发命周期中各阶段清静实践、运动和步伐的荟萃，，，，，，，，能够指导使用者提高软件生产和产品的清静性，，，，，，，，并且它们越来越多的将供应链因素思量在内，，，，，，，，形成一个一直完善的包管系统。 。。。。。
本文通过对六种主流清静开发框架的最新版本举行剖析，，，，，，，，总结了共性和差别，，，，，，，，归纳了供应链清静包管的主要环节，，，，，，，，提出了操作指南细化的起源思绪。 。。。。。
六种框架包括清静软件开发框架(NISTSSDF)V1.1、软件同盟清静软件框架(BSAFSS)V1.1、SAFECode清静软件开发基本实践V3、软件包管成熟度模子(OWASPSAMM)V2.0、清静内建成熟度模子(BSIMM)V12和微软清静开爆发命周期(MSSDL)2022。 。。。。。
一、六种主流清静开发框架的异同点
六种主流清静开发框架面向开发组织，，，，，，，，以软件的危害管控和误差防控为目的，，，，，，，，以软件开爆发命周期为主线。 。。。。�？？？？？？蚣芫幽啥嗉斗掷嗟男问剑杭词紫然治罄啵�，，，，，，，然后逐级细化，，，，，，，，名称差别，，，，，，，，但最终都细化为详细的清静要求或步伐，，，，，，，，以指导使用者。 。。。。。
六种框架的最新版均较多涉及软件供应链清静方面的内容，，，，，，，，如第三方组件/开源组件的清静管控、对供应商的清静要求、开发工具和情形的清静提防、构建安排情形的清静防护、第三方组件误差响应等；；；；；；；；SSDFV1.1作为应美行政令要求而出台的高层级实践框架，，，，，，，，参考了其他5个框架的内容。 。。。。。
各框架之间也保存着较大的差别，，，，，，，，主要差别如表1所示。 。。。。。
二、软件供应链清静包管的主要环节
通过对各框架详细内容的剖析可以发明，，，，，，，，除了自主研发软件代码和产品的清静步伐外，，，，，，，，软件供应链清静包管实践主要涉及4个环节。 。。。。。
1、第三方组件的清静管控
作为最终软件产品的主要组成部分，，，，，，，，商业、开源和其他第三方泉源组件等“外来质料”的清静性是软件供应链清静包管首先要思量的问题，，，，，，，，六种清静开发框架也都将针对第三方/开源组件的�；；；；；；；；ぷ魑氐�。 。。。。。
SAFECode清静软件开发基本实践将第三方组件清静危害治理(TPC)作为单唯一部分举行系统形貌。 。。。。。TPC治理共有4个办法：TPC列表维护、评估来自TPC的清静危害、缓解或接受危害、监控转变，，，，，，，，每个办法又包括若干详细步伐，，，，，，，，如图1所示。 。。。。。
其他几种框架关于第三方组件的清静要求也切合图1模子中的办法，，，，，，，，只是对某些方面的步伐举行了细化，，，，，，，，例如：
第三方组件列表维护方面
框架思量了泉源信息和依赖关系的纪录与剖析(SSDFPW.4.1、BSAFSSSM.2-2/SM.2-3、SAMMSB1/SB2/SB3、BSIMMSR2.4/SE3.6)，，，，，，，，以及第三方组件的获取、批准、切合性、生涯和维护(SSDFPW.4.1/PW.4.4、SAMMSA3、MSSDL开源软件危害治理实践1)等要求；；；；；；；；
危害评估方面
框架思量了第三方组件的清静误差检测及发明(SSDFPW4.4/PW.7.1/PW.8.1/RV.1.1、BSAFSSVM.1-3、SAMMST1、BSIMMCR1.2、MSSDL开源软件危害治理实践2)、清静性评估(BSIMMSFD2.1)、使用重大性评估(SAMMSA2)等实践；；；；；；；；
危害缓解方面
框架思量了第三方组件误差的果真和修复(SSDFRV.1.3、BSAFSSVM.1-3/VM.3)、打补丁(BSAFSSVN.1、SAMMEM1)、控制开源危害(BSIMMSR3.1、MSSDL开源软件危害治理实践3和4)等步伐；；；；；；；；
在生命周期羁系方面
框架思量了监控第三方组件的生命终止(BSAFSSEL.1-3)、按期替换已终止的第三方应用及依赖关系(SAMMOM2)等内容。 。。。。。
小结：所有框架对第三方/开源组件的维护、危害评估缓和解(特殊是清静误差的检测和修复)都有详细的步伐；；；；；；；；除SSDF和BSIMM外也都提到了对组件生命周期转变的监控。 。。。。。它们都把第三方/开源组件的危害管控放在主要位置，，，，，，，，并且已具备系统性的管控步伐。 。。。。。
2、针对供应商的清静要求
若是说第三方组件是供应链中主要的原质料，，，，，，，，软件供应商无疑就是其中最主要的主观因素。 。。。。。提高供应商的清静意识、能力，，，，，，，，对其举行须要的清静要求，，，，，，，，也是供应链清静中不可或缺的一环。 。。。。。
清静开发框架中对供应商的清静要求主要包括对供应商举行评估并签署清静协议、要求供应商使用一致的清静要领并对其举行培训、明确供应商的清静事务响应责任等5个方面，，，，，，，，详细如表2所示。 。。。。。
小结：多个框架都要求对供应商举行评估和签署清静协议；；；；；；；；BSIMM对供应商的要求最为周全，，，，，，，，涉及所有5个方面；；；；；；；；上述这些对供应商的要求贯串于软件开爆发命周期的全历程，，，，，，，，在清静层面将供应商与组织捆绑在一起。 。。。。。
3、软件基础设施的清静性
软件产品的基础设施包括开发、构建、安排、运维等历程中所使用的工具和情形等，，，，，，，，这些设施一样平常由第三方提供，，，，，，，，近年来爆发的供应链攻击事务也多与其相关，，，，，，，，如Codecov供应链攻击事务，，，，，，，，因此它们的清静性也成为现在关注的焦点。 。。。。。6种清静开发框架对各阶段基础设施的清静性也有较为详细的要求：
开发工具和情形的清静性方面
框架思量了开发情形的隔离、开发终端的加固(SSDFPO.5.1/PO.5.2)；；；；；；；；内部代码库和加密效劳密钥�；；；；；；；；ぁ⒆钚掳婵⒐ぞ叩氖褂谩⒖⒖蚣艿那寰采柚谩⒖⑶樾位峒那可矸萑现�(BSAFSSDE.1-2/DE.1-3/DE.2-1/DE.2-2/IA.1-1)；；；；；；；；开发情形清静质量评估、SDK之类的库和组件及系统的清静性评估(SAMMSA1/AA1)等步伐。 。。。。。
清静构建方面
框架思量了使用最新版本和批准的编译器等构建工具(SSDFPW.6.1/PW.6.2、SAFECode实践、MSSDL实践8)、对构建工具举行检磨练证及强制执行清静基线(SSDFPW.6.1、SAMMSB1/SB3)、选择适当的编译特征并举行清静设置(SSDFPW.6.2、BSAFSSDE.2-3/DE.2-4/DE.2-5)、构建历程的自动化(SAMMSB2)等步伐。 。。。。。
安排和运维情形的清静性方面
框架思量了容器和虚拟化情形的使用编排及安排自动化(BSAFSSDE.2-6、SAMMSD2、BSIMMSE2.7)、安排的清静检查和清静设置(BSAFSSDE.2-6、SAMMSD2、BSIMMAA1.1/SE2.2)、确保装置在准确硬件和授权用户的机制(BSAFSSSM.6-1)、可安排工件危害数据的宣布(BSIMMCMVM3.6)、主机网络及云清静能力包管(BSIMMSE1.2/SE2.6)、基础运维设施清静的验证(BSIMMCMVM3.5)等步伐。 。。。。。
小结：BSAFSS和SAMM在3个方面均有涉及；；；；；；；；SSDF更关注开发和编译情形的清静；；；；；；；；BSIMM在安排和运维情形清静方面的实践更多一些，，，，，，，，特殊是运维；；；；；；；；SAFECode和MSSDL主要对清静构建举行了要求。 。。。。。虽然各有着重，，，，，，，，但所有框架都有对基础设施清静�；；；；；；；；さ囊螅�，，，，，，，并且信托后续版本中此类步伐会越来越多。 。。。。。
4、软件自身清静性的�；；；；；；；；�
软件（包括补�。 。。。。。┑奈痹旌透亩枪┯α垂セ鞯闹饕侄沃�。 。。。。。软件完整性�；；；；；；；；ぞ褪峭ü橹と砑础⑹谌ā⑼暾缘刃畔⒌囊恢滦岳幢苊獯死辔侍獾幕疲�，，，，，，，代码署名和泉源信息验证是其中最为主要的要领；；；；；；；；别的，，，，，，，，补丁的清静性也是软件自身�；；；；；；；；さ闹饕糠�。 。。。。�？？？？？？蚣艿南喙夭椒グǎ�
软件完整性�；；；；；；；；し矫�
步伐包括建设代码署名和第三方工件署名之类的软件完整性包管机制(SSDFPS.2.1/PS.3.1、BSAFSSSM.4-1、SAMMSD3、BSIMMSE2.4/SE3.2)、软件泉源数据的网络维护及验证(SSDFPS.3.1/PS.3.2、BSAFSSSM.4-2、BSIMMSE2.4)、每个交付产品特定软件版本的唯一标识(BSAFSSSM.4-3)等。 。。。。。
补丁清静性防护方面
步伐包括对补丁举行功效和清静测试(BSAFSSVN.1-3)、通过可信和自动化渠道交付补丁(SSDFRV2.2、BSAFSSVN.2-1)、对补丁举行署名以确保其完整性(BSAFSSVN.2-2)、追踪打补丁流程对SLA的合规情形(SAMMEM3)等。 。。。。。
小结：大都框架对软件完整性�；；；；；；；；ぞ傩辛艘螅�，，，，，，，并遵照主流的防改动要领；；；；；；；；在补丁清静性防护方面，，，，，，，，BSAFSS从测试、传输、防改动等角度举行了要求，，，，，，，，最为周全。 。。。。。
三、清静开发框架主要指导作用思索
清静开发框架以软件开爆发命周期为主线，，，，，，，，基于组织和企业的实践和操作履历，，，，，，，，并将供应链相关的清静步伐纳入，，，，，，，，现在种种清静开发框架的内容也较为富厚，，，，，，，，对软件供应链清静包管事情具有一定的指导作用，，，，，，，，主要体现在以下两点：
一是在直接使用方面，，，，，，，，鉴于框架差别的体例配景，，，，，，，，软件供应链清静决媾和战略制订等相关职员可更多的参考效果导向框架的内容，，，，，，，，关注目的和效果，，，，，，，，并团结自身的现真相形，，，，，，，，从中选取适当的实践作为战略制订和实验的基�。 。。。。�；；；；；；；；详细清静实验等职员可较多的参考历程导向的框架，，，，，，，，关注实现的手艺和要领，，，，，，，，并团结自身情形选择性实验。 。。。。。
二是在进一步细化后使用方面，，，，，，，，由于各框架的许多内容之间保存着对应关系，，，，，，，，因此未来可思量将效果导向和历程导向的两类框架团结起来，，，，，，，，选取便于落地的实践，，，，，，，，并进一步细化每项实践对应的详细操作、手艺、机制和工具等内容，，，，，，，，形成笼罩“包管效果->历程要领->详细操作->辅助工具”的软件供应链清静包管字典式详细实验计划，，，，，，，，知足相关各方职员的需求。 。。。。。
关于作者
董国伟，，，，，，，，虎符智库专家，，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!代码清静实验室高级专家，，，，，，，，博士，，，，，，，，从事网络清静、软件清静、代码审计和误差剖析相关事情近20年。 。。。。。
连忙拨打
京公网安备11000002002064号