POC需求报告---代码审计).doc

POC需求报告---代码审计).doc:..XXX有限公司信息部“数据中心安全平台建设一代码审计系统项目”需求报告首次发布:2017-1-19最后修订:1/19/ . 编写冃的 错误!未定义书签。!未定义书签。,文中详尽说明了业务部门提出的项目需求。本文档是项目组进行需求分析的依据,也是明确项目目标和项目范围,进行系统设计的基础。、项目组成员、项目经理、评审组,用来对项目组所调研的业务需求进行审核确认并达成共识。^2018安全能力建设项目《XX公司信息安全风险管理研究》的组成之一,旨在建设代码审计系统,通过检查源代码中的缺点和错误信息,分析并找到安全漏洞,提供代码修订措施和建议,从而在系统开发阶段/运维阶段进行深入的问题查找和消灭,融合安全开发生命周期的管理流程,逐步推进XX屮心安全生命周期及安全开发规范的落地实现。2代码安全审计引擎建设需求1、 参与本项目的代码审讣系统产品须具有国家版权局颁发的软件著作权登记需求描述证书,且须满足以下两点中至少一点:1)入I韦IGartner<2015MagicQuadrantforApplicationSecurityTesting>的产品;2)经XXX我公司本地POC验证,检测能力、误报率、产品性能等指标不低于Gartner<2015MagicQuadrantforApplicationSecurityTesting〉入围产产品的其他国产产品,并须由供应商证明产品的核心技术、整体软件国产化,属于自主可控国产产品。2、代码审计工具(引擎)技术与功能要求:1)支持对JAVA,JSP,C,C++,PHP,ASP,C#,JavaScript,VBScript,Python,HTML,,XML等十儿开发语言的安全漏洞的检查,能够检测出约1000种漏洞。并将所有安全漏洞系统地整理并依据漏洞的表现形式,形成原因和危害程序进行科学地分类,共分为“输入验证、API误用、质量性能、异常处理、代码规范、安全控制、环境配置、信息封装”、“国内待色”9个大类,然后根据开发语言的不同,在结合国际漏洞标准组织CWE的漏洞知识库进行细分和命名,目前约1000个子类。2)该检测系统的云服务支持在Windows和Liunx两种系统平台上部署。其分析引擎可以通过分布式的部署方式可以将不同开发平台,如Windows,Linux,Unix,MacOS上不同语言的开发项目进行统计测试。3)检测引擎可支持多个项目并发扫描。检测引擎应能够分布式部署,可在多台机器(或虚拟机器)上集群式部署检测引擎来扩展并发测试能力。如:检测引擎部署在10测试机上,支持20个测试项目同时检查。支持页面对集群机器的集屮维护和启停。4)须涵盖CVE、CWE、OWASPTop10、WASC四种安全标准屮至少两种标准。在上述标准的基础上实现支持检测缓冲区溢出、代码注入、跨站脚本、输入验证、API误用、密码管理、配置错误、危险函数等缺陷检测。支持对数据流、语义、控制流、配置、代码结果等多维角度进行分析,具备较高的检测能力并具备较低的误报水平。5)为用户提供企业级的安全测试管理功能,用户可以通过WEB的方式进行项目管理,安全测试,结果查看,协同审计,出具报表等多项工作。6)支持漏洞代码关联分析与定位,能够迅速定位某一特定安全问题所在的源代码行,対问题产生的整个过程进行跟踪,展示漏洞产生的全过程。提供漏洞详细的描述及解决方案,方便分析和修复。7)支持对问题处理的每一个动作进行记录,并须支持漏洞的查询过滤,能与之前审计结果进行合并,减少工作量。8)源代码安全检测无缝集成于开发测试流程,提供API并完成与用户邮件系统、软件研发中心SVN、Git版本管理工具的集成联动,代码审计工具可从代码版木管理系统川自动复制获取提交更新的独立版木源代码(可按照需求配置需同步的版本节点,且不影响版木管理工具屮存储的任何文件),代码审计工具自动发起扫描任务进行代码审计检测,实现代码自动上传、代码安全扫描、自动分析、邮件通知、安全漏洞缺陷导入、跟踪和统计分析等任务自动化。9) 代码审计分析与处理过程在服务端进行,对用户本地计算资源无占用。服务端具备高效的审计分析能力,支持百万行级的代码项目审计,且平均速度不低于1万行/分钟。对于多任务并发须支持任务的集中统一管理,并能够对多任务自动进行批量处理。10) 支持检测代码川是否