技术文章

在当今软件驱动的世界中，确保软件开发过程中的安全性至关重要。然而，许多软件开发生命周期 (SDLC)模型缺乏对软件安全性的具体重视，需要在现有 SDLC 流程之外添加安全软件开发实践或软件安全框架，以确保稳健的安全措施。

美国国家标准与技术研究院 (NIST) 寻求通过增强软件供应链安全的框架来满足这一需求。NIST 的安全软件开发框架 (SSDF)概述了一组核心的高级实践，您可以将其集成到任何 SDLC 模型中。

通过遵循 SSDF 中概述的实践，您的组织可以：

• 减少已发布软件中的漏洞；

• 最大限度地减少被利用的漏洞的影响；和

• 消除漏洞利用的根本原因，以防止将来再次发生。

此外，SSDF 还提供指导，帮助您管理与软件供应链相关的风险，并更好地符合安全软件开发的原则。

在这篇博文中，我们将探讨 SSDF、其四组核心实践的详细信息，以及预期结果和对现有软件开发流程的影响。

SSDF是什么？

SSDF 是 NIST 创建的指南，旨在帮助组织开发和维护安全软件系统。NIST 将 SSDF 简洁地描述为“一套用于安全软件开发的基本、健全的实践”。

SSDF 建立了一种结构化方法，将安全措施纳入现有的软件开发实践中，从而减少漏洞并提高整体软件质量和可靠性。NIST 的 SSDF 开发基于既定的行业标准和现有的安全软件开发文档。

该框架旨在通过将最佳实践、流程和活动集成到 SDLC 中来增强软件安全性。它侧重于主动安全措施、及早解决漏洞以及通过“左移”等原则促进安全文化，无论您的组织喜欢哪种 SDLC 模型。

谁应该使用SSDF？

SSDF 旨在使软件开发中的两种不同角色受益：

• 软件生产商

• 软件收购者

无论其规模、行业或成熟度如何，SSDF 都提供增强软件安全实践并确保交付可靠且安全的软件产品的指导。

软件生产商（例如商业现成产品供应商、政府现成软件开发商、定制软件开发商和内部开发团队）可以利用 SSDF 建立和加强他们的安全软件开发实践，以帮助他们的产品满足更高的安全性和弹性标准。

此外，SSDF 仍然与软件收购方相关，包括联邦机构和其他组织。软件采购方可以利用 SSDF 来评估和验证其采购的软件产品的安全状况。通过整合 SSDF，他们可以优先考虑安全软件的采购并做出明智的决策，以减轻与软件漏洞和供应链妥协相关的潜在风险。

SSDF 在哪里发布？

NIST 发布了该框架，并且可以在其计算机科学资源中心 (CSRC) 的网站上免费获取。NIST 被广泛认为是网络安全领域的领先权威，并在制作权威出版物、确保框架的合法性和可靠性方面享有盛誉。

它是如何维护的？

第 14028 号行政命令：改善国家网络安全要求 NIST 等机构制定增强软件供应链安全性和完整性的举措。随着 2021 年 3 月第 14028 号行政命令的发布，NIST 在维护最初于 2020 年 4 月发布的 SSDF 方面的作用变得更加重要。

2022 年 2 月，NIST 发布了更新后的 SSDF（版本 1.1），以纳入新兴的安全实践、不断演变的威胁和行业进步，确保其在不断变化的环境中的相关性。更新后的 SSDF 中所做的更改凸显了保护软件供应链的重要性，仅在过去三年中，该供应链的攻击就呈指数级增长。

作为维护过程的一部分，NIST 与利益相关者、行业专家和公众合作收集反馈和见解。这种反馈有助于确保 SSDF 与不断变化的网络安全格局保持一致。NIST 还定期进行审查，考虑新兴的安全实践、不断变化的威胁以及软件开发领域的进步。

SSDF 提出了哪四组核心实践？

SSDF 提出了四组核心实践，以实现软件的更高安全性和可靠性。每个组都涉及安全软件开发和软件供应链安全的特定方面。我们将在下面深入研究每一组。

准备组织

第一组核心实践为 SSDF 的成功整合奠定了基础。组织准备 (PO) 强调了为安全软件开发实践准备开发团队和整个组织的重要性。

这涉及几个步骤。

1. 对员工进行安全编码实践教育。

2. 指定关键利益相关者。

3. 为他们配备必要的相关技能。

4. 建立强大的流程和系统以促进安全的软件开发。

通过强调共同责任，PO 从一开始就确保安全集成，从而在整个组织中培育安全实践文化。

保护软件

保护软件 (PS) 强调需要在整个开发过程中保护软件免遭未经授权的访问和恶意行为者的侵害。它为采取严格的访问控制、数据加密、强身份验证协议以及存档和保护软件版本等措施提供了指导。

PS 提供具体的战术指导来保护软件的完整性并降低潜在的安全风险。

制作安全良好的软件

生产安全良好的软件 (PW) 强调开发漏洞最少的软件。它与安全编码标准紧密结合，并提供预防、检测和消除安全缺陷的最佳实践。遵守 PW 涉及实施以安全为中心的开发流程，包括定期代码审查、全面测试和持续监控。

通过遵循这些实践，可以快速识别和解决安全问题，确保生产健壮且安全的软件。

响应漏洞

漏洞响应 (RV) 侧重于采用主动且结构化的方法来识别、管理和修复漏洞。它融合了 NIST 倡导的最佳实践，例如漏洞扫描、及时补丁管理和响应式事件管理。

通过及时解决漏洞和软件风险，您的组织可以增强软件的弹性，减少成功网络攻击的可能性。

为什么应该利用 SSDF 来更好地保护您的软件？

通过拥抱安全文化，您的组织可以有效地将新的安全实践集成到现有的开发工作流程中。

通过采用 SSDF，您的组织可以实现以下主要优势：

• 主动安全措施：SSDF 鼓励组织采取主动安全方法。通过将安全考虑因素集成到 SDLC 中，组织可以及早识别和解决漏洞，最大限度地减少安全漏洞的可能性并降低风险。

• 安全第一的 SDLC 方法：SSDF 提倡对 SDLC 采取安全第一的方法。它强调了从需求收集和设计的初始阶段到编码、测试、部署和维护的过程中纳入安全实践的重要性。这确保了安全性始终是整个开发过程中的首要任务。

• 集成新的安全实践：SSDF 帮助组织将新的和新兴的安全实践集成到其现有的开发工作流程中。通过遵循该框架的指导，组织可以随时了解最新的安全实践，并调整其流程以应对不断变化的威胁和行业进步。

除了 SSDF 提供的优势之外，您的组织还可以利用 Sonatype 的软件供应链成熟度框架。该框架通过提供有关衡量软件供应链成熟度的指导来补充 SSDF 。通过使您的软件供应链实践与 Sonatype 定义的成熟度级别保持一致，您可以进一步增强软件的安全性和完整性。在本系列的下一篇博文中，我们将深入探讨 SSDF 与 Sonatype 的成熟度主题和功能之间的联系。

虽然实施 SSDF 最初似乎具有挑战性，但该框架提供了开发功能性和安全性软件的结构化路径。通过遵循其原则，组织可以加强其网络安全实践，减少漏洞，并最终建立对其软件产品的信任。采用 SSDF 是在当今不断变化的威胁形势下确保软件安全性和可靠性的关键一步。