我的安全视界观

SDL涉及到多个安全活动，随着DevSecOps火热，相关安全活动数量还在增加。从纯产出的角度（漏洞、合规及市场需求）来说，这些活动的“部分”优先级如下： 1、DAST，包括主机漏扫、web漏洞扫描、容器漏洞扫描等，满足合规需求； 2、SAST，通过规则精简、调优及数据流追踪等原理检测，很大程度上降低误报； 3、IAST，对于技术栈统一且与工具匹配的业务，这一点排名甚至可以排到第二； 4、人工安全测试，包括渗透测试和代码审计，作为工具的补充很有必要，但资源有限时不会考虑； 5、安全设计，如问题中的威胁建模，对业务场景中的安全问题发现效果非常好、且更早发现，缺点就是对人的要求太高、自动化难度大。 由此可以见得威胁建模在我心中的定位，虽然排名靠后但并不是不好，相反是很好，但就是“太贵”！关于落地方面的经验，在第16问中有介绍，此处不再描述。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ 安全组件如何在SDL中落地？ 如何安全管理研发提交代码到GitHub进行开源？ 安全组件(SDK)能够否覆盖Owasp Top 10? SDL 46/100问：SDL建设是难中难，该如何做？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

SDL涉及到多个安全活动，随着DevSecOps火热，相关安全活动数量还在增加。从纯产出的角度（漏洞、合规及市场需求）来说，这些活动的“部分”优先级如下： 1、DAST，包括主机漏扫、web漏洞扫描、容器漏洞扫描等，满足合规需求； 2、SAST，通过规则精简、调优及数据流追踪等原理检测，很大程度上降低误报； 3、IAST，对于技术栈统一且与工具匹配的业务，这一点排名甚至可以排到第二； 4、人工安全测试，包括渗透测试和代码审计，作为工具的补充很有必要，但资源有限时不会考虑； 5、安全设计，如问题中的威胁建模，对业务场景中的安全问题发现效果非常好、且更早发现，缺点就是对人的要求太高、自动化难度大。 由此可以见得威胁建模在我心中的定位，虽然排名靠后但并不是不好，相反是很好，但就是“太贵”！关于落地方面的经验，在第16问中有介绍，此处不再描述。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ 安全组件如何在SDL中落地？ 如何安全管理研发提交代码到GitHub进行开源？ 安全组件(SDK)能够否覆盖Owasp Top 10? SDL 46/100问：SDL建设是难中难，该如何做？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

仅从回答问题的角度来说，安全SDK肯定不能覆盖全owasp top 10(当前还是2021版)，因为在这个列表中涉及到的安全问题范围比较广，比如： 1、不安全的设计、使用自带缺陷和过时的组件（属于设计阶段该考虑的问题）； 2、安全配置错误、安全日志和监控故障，也与安全SDK无直接关系。 回归到这个问题本质，安全SDK能够解决的应该是常见web漏洞，如owasp top 10中的注入类、SSRF，之外的如文件上传、反序列化等。 经过一些实践之后，发现比较好的方式还是在开发框架层面做安全，因为现在的框架提供越来越多的安全功能，正确使用就能解决很多漏洞，所以安全团队的关注点也可以放到安全的开发框架及引导开发正确使用。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ 安全组件如何在SDL中落地？ SDL 44/100问：如何安全管理研发提交代码到GitHub进行开源？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

仅从回答问题的角度来说，安全SDK肯定不能覆盖全owasp top 10(当前还是2021版)，因为在这个列表中涉及到的安全问题范围比较广，比如： 1、不安全的设计、使用自带缺陷和过时的组件（属于设计阶段该考虑的问题）； 2、安全配置错误、安全日志和监控故障，也与安全SDK无直接关系。 回归到这个问题本质，安全SDK能够解决的应该是常见web漏洞，如owasp top 10中的注入类、SSRF，之外的如文件上传、反序列化等。 经过一些实践之后，发现比较好的方式还是在开发框架层面做安全，因为现在的框架提供越来越多的安全功能，正确使用就能解决很多漏洞，所以安全团队的关注点也可以放到安全的开发框架及引导开发正确使用。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ 安全组件如何在SDL中落地？ SDL 44/100问：如何安全管理研发提交代码到GitHub进行开源？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

仅从回答问题的角度来说，安全SDK肯定不能覆盖全owasp top 10(当前还是2021版)，因为在这个列表中涉及到的安全问题范围比较广，比如： 1、不安全的设计、使用自带缺陷和过时的组件（属于设计阶段该考虑的问题）； 2、安全配置错误、安全日志和监控故障，也与安全SDK无直接关系。 回归到这个问题本质，安全SDK能够解决的应该是常见web漏洞，如owasp top 10中的注入类、SSRF，之外的如文件上传、反序列化等。 经过一些实践之后，发现比较好的方式还是在开发框架层面做安全，因为现在的框架提供越来越多的安全功能，正确使用就能解决很多漏洞，所以安全团队的关注点也可以放到安全的开发框架及引导开发正确使用。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ 安全组件如何在SDL中落地？ SDL 44/100问：如何安全管理研发提交代码到GitHub进行开源？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

这个问题容易与另一个混淆：github信息泄露监测，从权责角度来看，这是安全人员的管理职责。然而标题所述，应该把安全人员定位为参与者比较合适。 对外开源项目可能是为了提升团队/个人影响力、遵循开源社区协议...等各种原因，综合来看算是一个合理的需求，但是需要注意数据资产安全性，比如：是否是核心代码，是否报备公司并取得同意，代码中是否含有公司相关的敏感信息？ 针对前两个问题，公司应该设置配置管理团队或技术委员会，对公司代码进行管理和使用审批，安全作为其中一环对要开源的项目进行敏感信息检测，各层检测/审批通过后方可对外开源。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ SDL 43/100问：安全组件如何在SDL中落地？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

这个问题容易与另一个混淆：github信息泄露监测，从权责角度来看，这是安全人员的管理职责。然而标题所述，应该把安全人员定位为参与者比较合适。 对外开源项目可能是为了提升团队/个人影响力、遵循开源社区协议...等各种原因，综合来看算是一个合理的需求，但是需要注意数据资产安全性，比如：是否是核心代码，是否报备公司并取得同意，代码中是否含有公司相关的敏感信息？ 针对前两个问题，公司应该设置配置管理团队或技术委员会，对公司代码进行管理和使用审批，安全作为其中一环对要开源的项目进行敏感信息检测，各层检测/审批通过后方可对外开源。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ SDL 43/100问：安全组件如何在SDL中落地？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

这个问题容易与另一个混淆：github信息泄露监测，从权责角度来看，这是安全人员的管理职责。然而标题所述，应该把安全人员定位为参与者比较合适。 对外开源项目可能是为了提升团队/个人影响力、遵循开源社区协议...等各种原因，综合来看算是一个合理的需求，但是需要注意数据资产安全性，比如：是否是核心代码，是否报备公司并取得同意，代码中是否含有公司相关的敏感信息？ 针对前两个问题，公司应该设置配置管理团队或技术委员会，对公司代码进行管理和使用审批，安全作为其中一环对要开源的项目进行敏感信息检测，各层检测/审批通过后方可对外开源。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 开发安全培训是否有效？ SDL 43/100问：安全组件如何在SDL中落地？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

SDL是一个体系化的大工程，需要业务方增加人员投入进行配合，很可能影响业务系统发布节奏，所以会遇到不少阻力。 不过从为“业务保驾护航，安全服务业务”的切入点出发，保持“结合实际定制，轻柔融入”的原则，会增大成功的概率。在推进时可以： 1、找案例：纵观行业，介绍在SDL方面做得好的公司以及取得的成效； 2、讲好处：可以获得及早发现安全风险、满足法规要求、全面提高产品安全性、增强客户信任等收益； 3、先试点：找重视安全有意愿的、安全问题比较多的业务开始小范围推进，最开始可以是1个业务跑通流程、持续优化； 4、再全面：有了小范围的试点之后，以此为先进代表、在公司公开晒取得的成果，产生一定影响力，与此同时可以直接将SDL写成安全规范，然后在全公司推广。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

SDL是一个体系化的大工程，需要业务方增加人员投入进行配合，很可能影响业务系统发布节奏，所以会遇到不少阻力。 不过从为“业务保驾护航，安全服务业务”的切入点出发，保持“结合实际定制，轻柔融入”的原则，会增大成功的概率。在推进时可以： 1、找案例：纵观行业，介绍在SDL方面做得好的公司以及取得的成效； 2、讲好处：可以获得及早发现安全风险、满足法规要求、全面提高产品安全性、增强客户信任等收益； 3、先试点：找重视安全有意愿的、安全问题比较多的业务开始小范围推进，最开始可以是1个业务跑通流程、持续优化； 4、再全面：有了小范围的试点之后，以此为先进代表、在公司公开晒取得的成果，产生一定影响力，与此同时可以直接将SDL写成安全规范，然后在全公司推广。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ 怎么解决源代码两张皮导致安全失效？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

开发安全培训，此处主要是指给业务团队进行安全意识与安全技能的培训，如：安全规范培训、安全需求培训、安全工具培训、编码安全培训等，是SDL中很重要的一环。如果直接回答提问的话，答案肯定是Yes。 但对于“有效”的理解，不应该是达到100%的效果，比如组织编码安全培训后，不能期望开发时就不会引入漏洞，而是在开发时有意识思考有没有安全风险、弄不清楚的知道联系安全团队咨询、引入安全组件等。我想这是比较有效又合理的结果，不过要做到这程度并非易事，可以从三方面做努力： 1、培训的连续性，做到常态化、线上化； 2、培训得有考核，组织参与的人员/部门考试，排名并公布； 3、培训有针对性，针对研发人员、运维人员、产品经理做不同的内容设计。 此外曾经做过一次尝试，“把产生问题的人干掉”。即：年底，组织各业务写漏洞top排名的开发人员进行针对性学习及考试，惊喜的发现有不少人考了很多遍，有个研发刷了20+次直到拿到100分。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ SDL 40/100问：怎么解决源代码两张皮导致安全失效？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

开发安全培训，此处主要是指给业务团队进行安全意识与安全技能的培训，如：安全规范培训、安全需求培训、安全工具培训、编码安全培训等，是SDL中很重要的一环。如果直接回答提问的话，答案肯定是Yes。 但对于“有效”的理解，不应该是达到100%的效果，比如组织编码安全培训后，不能期望开发时就不会引入漏洞，而是在开发时有意识思考有没有安全风险、弄不清楚的知道联系安全团队咨询、引入安全组件等。我想这是比较有效又合理的结果，不过要做到这程度并非易事，可以从三方面做努力： 1、培训的连续性，做到常态化、线上化； 2、培训得有考核，组织参与的人员/部门考试，排名并公布； 3、培训有针对性，针对研发人员、运维人员、产品经理做不同的内容设计。 此外曾经做过一次尝试，“把产生问题的人干掉”。即：年底，组织各业务写漏洞top排名的开发人员进行针对性学习及考试，惊喜的发现有不少人考了很多遍，有个研发刷了20+次直到拿到100分。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ 如何展示SDL的成果或效果？ SDL 40/100问：怎么解决源代码两张皮导致安全失效？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

提问者的原意是：系统发版前进行了安全测试，但是业务方不想投入太多时间整改，直接把未改完的代码给到运维中心发版上线。如果仅进行安全团队自省，则大概率是研发安全的工作模式出现了问题： 1、安全检查没有嵌入到研发流程中，缺少卡点或检查，不能阻断不达标系统上线； 2、安全质量没有和业务绩效挂钩，或执行不到位，导致可以直接不理安全就发版。 再深挖一层，可能是研发安全团队处境比较尴尬，没有足够的话语权，甚至没有取得高管的认可与信任。这是开展研发安全工作的基础，值得想办法去破局。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ SDL 39/100问：如何展示SDL的成果或效果？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

提问者的原意是：系统发版前进行了安全测试，但是业务方不想投入太多时间整改，直接把未改完的代码给到运维中心发版上线。如果仅进行安全团队自省，则大概率是研发安全的工作模式出现了问题： 1、安全检查没有嵌入到研发流程中，缺少卡点或检查，不能阻断不达标系统上线； 2、安全质量没有和业务绩效挂钩，或执行不到位，导致可以直接不理安全就发版。 再深挖一层，可能是研发安全团队处境比较尴尬，没有足够的话语权，甚至没有取得高管的认可与信任。这是开展研发安全工作的基础，值得想办法去破局。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ sdl会对项目变更代码做review吗？ SDL 39/100问：如何展示SDL的成果或效果？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

在探讨SDL的成效之前，先回溯下SDL实施的初衷：即在软件开发的各个阶段中，力求尽早且全面地识别并解决漏洞及潜在的安全风险，从而转变以往软件上线后频繁应对安全事件的不利局面。基于这一初衷，至少可提炼出以下三个关键的成效衡量指标： 1、漏洞数量：实施SDL前后，相同周期内发现的漏洞数量，展示实施SDL带来的漏挖能力提升效果； 2、漏洞修复率：已发现漏洞的修复率，也是比较SDL前后，展示SDL流程或措施在该方面的提升效果； 3、安全事件发生率：统计SDL前后的，外部发现漏洞的数量，展示SDL在降低安全事件发生率方面的效果。 此外，这些都是结果指标，若SDL在建设过程中，还可以添加过程指标，证明SDL带来的好处： 1、安全测试覆盖率：统计SDL前后的安全提测工单数量，包括代码审计、开源组件检测、动态扫描、渗透测试等； 2、漏洞检出能力：统计SDL前后的漏洞检测能力，如针对某类漏洞的检测能力增强或填补空白。 综上所述，以上指标均可作为衡量SDL成效的重要依据。为了更直观地展示这些指标的变化趋势与对比情况，建议采用图表等可视化手段进行展示，以便更好地理解和分析SDL的实施效果。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ SDL 38/100问：sdl会对项目变更代码做review吗？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

在探讨SDL的成效之前，先回溯下SDL实施的初衷：即在软件开发的各个阶段中，力求尽早且全面地识别并解决漏洞及潜在的安全风险，从而转变以往软件上线后频繁应对安全事件的不利局面。基于这一初衷，至少可提炼出以下三个关键的成效衡量指标： 1、漏洞数量：实施SDL前后，相同周期内发现的漏洞数量，展示实施SDL带来的漏挖能力提升效果； 2、漏洞修复率：已发现漏洞的修复率，也是比较SDL前后，展示SDL流程或措施在该方面的提升效果； 3、安全事件发生率：统计SDL前后的，外部发现漏洞的数量，展示SDL在降低安全事件发生率方面的效果。 此外，这些都是结果指标，若SDL在建设过程中，还可以添加过程指标，证明SDL带来的好处： 1、安全测试覆盖率：统计SDL前后的安全提测工单数量，包括代码审计、开源组件检测、动态扫描、渗透测试等； 2、漏洞检出能力：统计SDL前后的漏洞检测能力，如针对某类漏洞的检测能力增强或填补空白。 综上所述，以上指标均可作为衡量SDL成效的重要依据。为了更直观地展示这些指标的变化趋势与对比情况，建议采用图表等可视化手段进行展示，以便更好地理解和分析SDL的实施效果。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ 如何说服业务完成checklist自检？ SDL 38/100问：sdl会对项目变更代码做review吗？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

代码审查（Code Review）是一个由项目核心成员，如资深开发架构师执行的精密流程，其核心在于对源代码实施全面而系统的审核。此过程的根本目的，在于识别代码中潜藏的缺陷、安全漏洞、违反编码标准之处，以及可进一步提升的性能瓶颈。 从安全性的专业视角出发，尽管在某些关键功能或敏感场景中，人工审查仍具有不可替代的价值，但在日常实践中，鉴于项目代码的高频变动性，更为高效且可持续的策略是采用自动化的安全扫描机制。这通常涉及在代码提交或构建阶段，无缝集成静态应用安全测试（SAST）工具，以确保安全扫描能够即时响应代码变更。 至于扫描范围的选择，即在仅针对变更部分还是整个项目进行全面扫描之间权衡，是一个值得深入探讨的问题。从确保漏洞检测准确性的专业角度出发，在扫描能力和系统性能允许的前提下，推荐采取全项目扫描策略。这一做法能够最大限度地减少因代码变更可能引发的安全盲区，从而确保项目整体的安全性处于可控且优化的状态。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 有哪些威胁建模工具？ 如何开始或实施威胁建模？ 威胁建模和架构安全评审，有何异同？ 编码阶段，开展哪些安全活动？ 如何选择静态代码扫描(SAST)工具？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 如何制定一份有用的开发安全规范？ 如何做到开发安全规范的有效实施？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ SDL 37/100问：如何说服业务完成checklist自检？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

代码审查（Code Review）是一个由项目核心成员，如资深开发架构师执行的精密流程，其核心在于对源代码实施全面而系统的审核。此过程的根本目的，在于识别代码中潜藏的缺陷、安全漏洞、违反编码标准之处，以及可进一步提升的性能瓶颈。 从安全性的专业视角出发，尽管在某些关键功能或敏感场景中，人工审查仍具有不可替代的价值，但在日常实践中，鉴于项目代码的高频变动性，更为高效且可持续的策略是采用自动化的安全扫描机制。这通常涉及在代码提交或构建阶段，无缝集成静态应用安全测试（SAST）工具，以确保安全扫描能够即时响应代码变更。 至于扫描范围的选择，即在仅针对变更部分还是整个项目进行全面扫描之间权衡，是一个值得深入探讨的问题。从确保漏洞检测准确性的专业角度出发，在扫描能力和系统性能允许的前提下，推荐采取全项目扫描策略。这一做法能够最大限度地减少因代码变更可能引发的安全盲区，从而确保项目整体的安全性处于可控且优化的状态。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 有哪些威胁建模工具？ 如何开始或实施威胁建模？ 威胁建模和架构安全评审，有何异同？ 编码阶段，开展哪些安全活动？ 如何选择静态代码扫描(SAST)工具？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 如何制定一份有用的开发安全规范？ 如何做到开发安全规范的有效实施？ 应该如何选型代码安全扫描工具？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ 在研发安全流程落地方面，有何经验？ SDL 37/100问：如何说服业务完成checklist自检？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

不少群友都提及绩效导向与领导层的支持，对此我亦持赞同立场。然而，在此基础上，我们更需从研发视角出发，精心筹备安全检查清单（checklist）。我曾与一位研发总监深入交流，他虽对安全工作表达了积极支持，却对填写checklist感到为难： 团队协作难题：同一产品往往牵涉多个研发团队，如何确保各团队均能参与填写，并明确责任归属？ 填写时机模糊：设计初期填写可能因信息不足而效果欠佳，开发后期则可能错失引导时机，究竟何时填写最为适宜？ 内容理解障碍：checklist内容繁杂、粒度不一，且多从安全工程师视角撰写，导致研发人员难以准确理解。 鉴于此，初期应侧重于实施SAST、DAST及架构安全评审等更为基础且有效的安全措施。待体系成熟后，再行考虑引入checklist。同时，我们应致力于简化并系统化checklist，降低其复杂度，并减少自检查的频率，方能确保安全检查清单在组织中得以顺利推行并发挥实效。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 有哪些威胁建模工具？ 如何开始或实施威胁建模？ 威胁建模和架构安全评审，有何异同？ 编码阶段，开展哪些安全活动？ 如何选择静态代码扫描(SAST)工具？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 如何制定一份有用的开发安全规范？ 如何做到开发安全规范的有效实施？ 应该如何选型代码安全扫描工具？ 代码安全扫描应该设置哪些指标？ 如何提升开发人员的安全意识？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ SDL 36/100问：在研发安全流程落地方面，有何经验？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点

不少群友都提及绩效导向与领导层的支持，对此我亦持赞同立场。然而，在此基础上，我们更需从研发视角出发，精心筹备安全检查清单（checklist）。我曾与一位研发总监深入交流，他虽对安全工作表达了积极支持，却对填写checklist感到为难： 团队协作难题：同一产品往往牵涉多个研发团队，如何确保各团队均能参与填写，并明确责任归属？ 填写时机模糊：设计初期填写可能因信息不足而效果欠佳，开发后期则可能错失引导时机，究竟何时填写最为适宜？ 内容理解障碍：checklist内容繁杂、粒度不一，且多从安全工程师视角撰写，导致研发人员难以准确理解。 鉴于此，初期应侧重于实施SAST、DAST及架构安全评审等更为基础且有效的安全措施。待体系成熟后，再行考虑引入checklist。同时，我们应致力于简化并系统化checklist，降低其复杂度，并减少自检查的频率，方能确保安全检查清单在组织中得以顺利推行并发挥实效。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SAST误报太高，如何解决？ SDL需要哪些人参与？ 设计阶段应开展哪些安全活动？ 有哪些不错的安全设计参考资料？ 安全设计要求怎么做才能落地？ 有哪些威胁建模方法论？ 有哪些威胁建模工具？ 如何开始或实施威胁建模？ 威胁建模和架构安全评审，有何异同？ 编码阶段，开展哪些安全活动？ 如何选择静态代码扫描(SAST)工具？ 如何选择开源组件安全扫描(SCA)工具？ SCA工具扫描出很多漏洞，如何处理？ SCA工具识别出高风险协议，如何处理？ 如何制定一份有用的开发安全规范？ 如何做到开发安全规范的有效实施？ 应该如何选型代码安全扫描工具？ 代码安全扫描应该设置哪些指标？ 如何提升开发人员的安全意识？ 白盒检测工具存在局限性，如何进行补偿？ SCA用什么系统做，自研还是外购？ 有没有好用的SDL平台？ Sonar是否好用以及误报率咋样？ 如何推进有问题的jar包更新？ SCA工具的误报率怎样？ SDL 36/100问：在研发安全流程落地方面，有何经验？ 2、SDL创新实践系列 首发！“ 研发安全运营 ” 架构研究与实践 DevSecOps实施关键：研发安全团队 DevSecOps实施关键：研发安全流程 DevSecOps实施关键：研发安全规范 从安全视角，看研发安全 数字化转型下的研发安全痛点