意昂体育-科技赋能场景,让娱乐更有趣!

连忙拨打95015

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

时间：2021-12-06 作者：意昂体育-科技赋能场景,让娱乐更有趣!

分享到：

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

    本文7513字阅读约需22分钟

    2021年5月12日， ，，，，，，美国总统拜登签署了“关于改善国家网络清静(EO14028)”的行政下令， ，，，，，，其中第4节“增强软件供应链清静”的(e)条款要求：起源指南宣布90天内(不迟于2022年2月6日)， ，，，，，，NIST应宣布增强软件供应链清静实践的指南， ，，，，，，并明确了指南需包括的10余项详细内容(表3一二列)。。。。。

    对此， ，，，，，，NIST修订了其2020年4月宣布的《清静软件开发框架(SSDF)V1.0》， ，，，，，，形成V1.1草案， ，，，，，，并于2021年9月30日至11月5日完功效然征求意见。。。。。

    一、SSDF基来源则

    “清静左移”的理念已获得普遍共识， ，，，，，，软件供应链清静包管也常�；；；；；谌砑芷谀Ｗ�， ，，，，，，但明确详细处置惩罚软件清静的SDLC模子却很少， ，，，，，，大多是将清静实践添加其中。。。。。

    SSDF形貌了一组基于已有标准、指南和清静软件开发实践的基础可靠的高层级最佳实践， ，，，，，，可资助使用者实现清静软件开发的目的。。。。。实践直接或间接(如保�；；；；；た⑶樾�)涉及软件自己， ，，，，，，即框架思量了软件供应链清静应包括的软件自身及相关生产要素的清静。。。。。

    SSDF的重点在于实现清静软件开发实践的效果， ，，，，，，而没有明确实现它们的工具、手艺和机制。。。。。SSDF并不要求所有组织具有相同的清静目的和优先级， ，，，，，，框架中的建议恰恰反应了软件生产者可能的奇异清静预期和软件使用者可能的奇异清静需求。。。。。每个实践实现的水平和形式凭证生产者预期的转变而转变。。。。。

    二、SSDF实践分类

    SSDF是关于清静软件开发的一组实践， ，，，，，，泛起为一张形貌实践的表格， ，，，，，，可凭证需要利便的举行扩充、调解或删减。。。。。SSDFV1.1草案共包括4类19项实践(表1一二列)：

    组织准备(PO)：此类实践用来确保已准备好组织层面执行清静软件开发的职员、历程和手艺(某些情形下针对单独的项目)， ，，，，，，共5项， ，，，，，，凭证行政令要求， ，，，，，，新增了实践“软件开发清静情形(PO.5)”；；；；；；

    保�；；；；；と砑�(PS)：此类实践用来保�；；；；；と砑乃凶榧皇芨亩臀词谌ɑ峒�， ，，，，，，共3项；；；；；；

    生产清静性优异的软件(PW)：此类实践用于只管镌汰软件宣布版本中的清静误差， ，，，，，，共8项。。。。。新草案将原实践“验证第三方软件是否切合清静要求(PW.3)”合并到了PW.4中；；；；；；

    误差响应(RV)：此类实践用来识别软件版本中的剩余误差， ，，，，，，适当响应以解决它们， ，，，，，，并避免未来爆发类似误差， ，，，，，，共3项。。。。。

    表1SSDFV1.1草案中所有实践和使命↓

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

    剖析草案所有实践可知， ，，，，，，19项实践笼罩了软件供应链清静应包括的软件自身及其生产要素的清静内容， ，，，，，，整体框架较为周全：

    (1)框架中实践涉及软件开爆发命周期的需求、设计、集成第三方软件、编码、构建、测试源代码和可执行码、误差修复响应和剖析等各个阶段的清静要求。。。。。

    (2)框架中实践思量到了职员、工具链、开发情形、授权会见、完整性、清静设置等软件生产要素方面的清静和防护手段。。。。。

    三、SSDF实践细节

    SSDF对每项实践的详细形貌包括4个方面：

    实践：实践的简介、唯一标识符息争释等；；；；；；

    使命：完成实践所需的一个或多个行动。。。。。V1.1草案中共43个(表1第三列， ，，，，，，其中粗体的为新增使命， ，，，，，，斜体的为从V1.0的其他实践中调解来的使命)；；；；；；

    实现示例：可用于实现响应实践的工具、历程或其他要领的示例；；；；；；

    参考：对美机构已有标准指南中相关信息的引用。。。。。

    表1中新增和调解的使命主要涉及开发情形清静、纪录维护清静需求和危害设计决议、与第三方相同需求、维护组件和依赖项的泉源数据、使用标准化清静特征和效劳、验证第三方组件等。。。。。这些进一步增强了对第三方元素、开发情形的清静治理和对清静实践的复用。。。。。

    表2以PW.4为例， ，，，，，，给出了实践的完整形貌示例， ，，，，，，可看出SSDF的体例参考了较为富厚的文献。。。。。

    表2实践详细形貌示例↓

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

    四、与行政令要求的对应关系

    SSDFV1.1草案中实践使命与行政令4(e)要求的指南应包括的详细内容之间的详细对应关系如表3所示。。。。。浚浚� ？？？？梢钥闯觯�

    (1)软件供应链清静包管中， ，，，，，，使用自动化工具检查已知和未知误差并修复依然是焦点事情。。。。。它涉及框架中18项使命， ，，，，，，包括界说检查标准、设计、集成、编码、构建、代码审查和误差剖析、基线设置、误差信息网络、修复等各环节、各要素中与误差相关的事情。。。。。其中PW.4.4、PW.5.1、PW.7.1、PW.7.2和PW.8.2是检查误差的主要使命， ，，，，，，多由有履历的清静职员在SAST、SCA、IAST等类型工具的辅助下完成。。。。。

    (2)实践“复用清静软件(PW.4)”的使命包括获取或维护清静可靠的内部和第三方组件、验证第三方组件切合组织要求、验证第三方组件的完整性和泉源等。。。。。这些使命多用于供应链泉源、控制和完整性方面的清静要求(3、4、6、10)的应对计划中。。。。。其中第三方组件的验证可以使用SCA工具举行。。。。。

    (3)新增“开发的清静情形(PO.5)”的两项使命可用于行政令多项要求(1(1)-(6)、2、3、5、6)的应对计划中。。。。。这说明在供应链清静中， ，，，，，，软件开发情形已成为重点思量的因素之一。。。。。

    表3SSDF使命与行政令要求的对应关系↓

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

    关于作者

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

    董国伟， ，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!代码清静事业部专家， ，，，，，，博士， ，，，，，，从事网络清静、软件清静、代码审计和误差剖析相关事情10余年。。。。。

虎符智库|解读美国“增强软件供应链清静实践的指南” (SSDF V1.1草案)

意昂体育-科技赋能场景,让娱乐更有趣! 95015网络清静效劳热线

95015网络清静效劳热线

扫一扫关注

意昂体育-科技赋能场景,让娱乐更有趣! 在线客服 意昂体育-科技赋能场景,让娱乐更有趣! 95015

您对意昂体育-科技赋能场景,让娱乐更有趣!的任何疑问可用以下方法告诉我们

将您对意昂体育-科技赋能场景,让娱乐更有趣!的任何疑问

用以下方法告诉我们

【网站地图】【sitemap】