国舜全生命周期安全开发解决方案，以需求、设计、编码、测试、部署等开发阶段为主要对象，以业务安全和信息安全为出发点，通过流程、制度、规范的梳理，相关人员安全意识的培训，威胁资源库、安全测试资源库等相关资源的建设，充分保障开发出来的业务系统满足业务安全和信息安全的需求，保障业务的稳健持续发展。

方案背景

信息系统在业务中的介入越来越深，云计算、大数据、移动互联等新技术的广泛使用，信息安全的风险和复杂度越来越高。显然，简单依靠安全产品不能解决所有的问题，安全开发服务已经成为信息安全工作的核心内容。

信息系统的安全性保证是通过对其全生命周期各阶段的管理共同实现的，以往只在测试、运维阶段关注安全性的管理方式往往治标不治本。安全管理必须从运维阶段大幅前移，覆盖包括需求、设计、开发、测试、部署、运维的生命周期。安全工作介入的越早，潜伏的安全隐患就会越少，对漏洞修复的成本也会越低。

方案目标

国舜全生命周期安全开发解决方案以需求、设计、编码、测试、部署等开发阶段为主要对象，以业务安全和信息安全为出发点，通过流程、制度、规范的梳理，相关人员安全意识的培训，威胁资源库、安全测试资源库等相关资源的建设，为客户建设完善的开发安全管理体系和技术支撑体系，充分保障开发出来的业务系统满足业务安全和信息安全的需求，有效提升客户开发团队的安全意识和安全开发能力，实现信息安全的“早预防、早发现、早响应”。

方案特点

国舜安全开发管理平台首次采用场景问答的形式，将业务与安全融合，快速/秒级完成用户的安全需求分析，降低了安全需求分析的门槛，从源头保障开发，为开发交付做保障。

标准的安全组件技术，国舜开发了覆盖防参数越权组件、防SQL注入组件、防跨站组件、文件上传组件、文件下载组件、忘记密码组件、防重放组件、业务安全日志组件、图形验证码等安全组件。

产品覆盖技术包括利用MVC架构，DAO/ActiveRecord，widgets，caching，等级式RBAC，与jQuery整合。标准安全，包括了输入验证，输出过滤，SQL 注入和跨站点脚本的预防。

方案业务流程图

实现功能展示

1.全阶段安全服务

全生命周期开发安全服务涵盖需求、设计、编码、测试、部署等全阶段的安全咨询、安全培训、安全检测等服务。具体包括：

（1）需求阶段：安全需求流程和规范咨询服务、威胁资源库咨询服务、安全需求培训等。

（2）设计阶段：安全设计流程和规范咨询服务、安全设计培训等。

（3）编码阶段：安全编码流程和规范咨询服务；源代码审计流程、规范咨询服务；安全开发培训等。

（4）测试阶段：安全测试流程和规范咨询服务、安全测试资源库咨询服务、业务测试培训、安全测试培训、渗适测试培训、安全管理体系咨询服务等。

（5）部署阶段：上线流程、规范咨询服务；安全配置基线咨询服务；基线检测服务等。

2.安全开发组件库

安全开发组件库是面向企业应用系统的一站式应用安全解决方案，用于防范常见的应用系统安全漏洞，从攻击防御、 安全工具、业务安全功能等层面提升应用系统安全防护水平，帮助应用开发者低成本接入安全解决方案，全方位保障应用系统的安全性。

3.情景式安全需求分析平台

情景式安全需求分析平台主要由威胁资源库、安全需求分析、安全设计、安全测试用例四部分组成，通过用户对系统及业务场景的描述，利用成熟化威胁资源库和威胁分析方法论，对系统进行威胁分析和安全需求分析，对关键流程进行详细安全分析，最后为用户生成标准安全需求文档和安全设计建议，为开发人员提供安全开发指导。

4.自动化安全规则审计平台

程序分析是安全性检查的基础，通过提取程序信息，以便和安全性规则相匹配，从而检测出程序中存在的安全漏洞。该平台自身具有代码审计引擎，可以对通用组件等进行检查，同时也支持对Fortify SCA、FindBugs工具的接入，对Fortify SCA和FindBugs的审计结果进行二次分析，全面优化检测结果，提高安全审计的准确性。审计引擎根据输入的源程序、语法与语义，分析程序的结构与关键特征，从而获得程序的安全风险，并报告给用户。

方案案例及效果

1.取得成绩

（1）资质：中国网络安全审查技术与认证中心软件安全开发服务资质一级；

（2）软著： 威胁资源库系统V1.0； UnisGuard-SMP安全管理平台V1.0；国舜安全开发管理平台V1.0；国舜安全开发组件库系统V1.0；安全管理平台V1.0；国舜业务安全合规管理平台V1.0；国舜情景式安全分析平台V1.0；国舜银行安全业务逻辑检测系统V1.0；国舜天元源代码审计系统V2.0；国舜极源应用安全测试平台V2.0等；

（3）荣誉：2018 年赛迪网络安全潜力企业80强（业务安全）；2019网络安全新技术新应用解决方案优秀奖；“信网杯”优秀科技成果三等奖；FreeBuf《2019 企业安全威胁统一应对指南》业务安全象限；安全牛2020全景图开发安全分类代表者；嘶吼网络安全产业链图谱开发安全代表者；CCSIP 2020网络安全全景图开发安全代表者；数世咨询中国网络安全能力图谱开发安全代表者；入选2021年度CCSIP 《2021中国网络安全产业全景图》、安全牛《2021中国网络安全全景图》、嘶吼《2021年网络安全产业链图谱》。

2.案例效果

国舜股份安全开发服务团队为国内某股份制银行提供全生命周期安全开发服务，在对客户的现有开发流程进行完整安全评估后发现：

• 开发团队对安全了解有限，存在一定安全缺陷；
• 上线前没有充分的安全测试，导致存在部分系统安全隐患；
• 发现安全隐患后，由于时间紧、开发整改速度慢，导致带病上线等。

按照客户的实际需求和管理组织、机制，对安全开发体系进行全面的梳理，建立完整的安全开发流程和规范，建立威胁资源库和安全测试资源库。建立上线检测流程，提升开发产品的安全质量，杜绝带病上线的情况，大幅减少上线前安全检测发现的漏洞数量。

• 提升客户开发团队的安全意识和安全开发能力，从而开发出更加安全的产品。
• 提升客户开发团队的安全意识和安全开发能力，在发现安全问题，进行响应、整改时能够更加快速而有效。
• 提升客户安全投入的使用效率，可以在系统的早期就消灭很多安全隐患，将信息安全的“早发现，早响应”，升级为“早预防、早发现、早响应”。

发现开发过程潜在的安全风险。为下一步的信息安全建设指明方向。

方案未来展望

随着银行自身业务电子化依赖程度的加深以及金融服务趋于开放互联，全球银行业的网络安全威胁事件近年来不降反升，如何快速响应千变万化的业务需求，并在敏捷开发的过程中保障信息系统的安全性，成为大多数银行正在面临也必须解决的关键问题。

以往“亡羊补牢”式的安全加固难以平衡严重的安全隐患带来的损失，严峻的安全形势与敏捷开发等安全需求促使对系统安全性的考量从事后处置走向事前预防，未来越来越多的用户将逐步重视软件系统的全生命周期安全开发，在开发阶段就引入安全管理，毕竟安全介入得越早，系统潜伏的安全隐患就会越少，而对漏洞修复的成本也会越低。