如今,隨著軟件產(chǎn)業(yè)的快速發(fā)展,軟件供應(yīng)鏈也越發(fā)復(fù)雜多元,復(fù)雜的軟件供應(yīng)鏈會(huì)引入一系列的安全問題,導(dǎo)致系統(tǒng)的整體安全防護(hù)難度越來越大。2020年7月,包括微軟、Adobe、聯(lián)想、AMD、高通、聯(lián)發(fā)科、通用電氣、任天堂、迪士尼在內(nèi)的50家知名公司的源代碼泄露,并被發(fā)布在了公開網(wǎng)絡(luò)上。針對(duì)軟件供應(yīng)鏈的安全攻擊事件一直呈快速增長態(tài)勢,造成的危害也越來越嚴(yán)重。針對(duì)軟件企業(yè)代碼安全打造立體化防護(hù),是目前備受關(guān)注也是亟待解決的難題。
軟件供應(yīng)鏈可以大致分為開發(fā)、交付、運(yùn)行三個(gè)環(huán)節(jié),每個(gè)環(huán)節(jié)都可能會(huì)引入軟件供應(yīng)鏈安全風(fēng)險(xiǎn)從而遭受攻擊。軟件開發(fā)環(huán)節(jié)的安全防護(hù)相對(duì)來說比較薄弱,而且作為軟件供應(yīng)鏈的上游環(huán)節(jié),軟件開發(fā)環(huán)節(jié)的安全問題會(huì)傳導(dǎo)到下游環(huán)節(jié)并被放大。所以,對(duì)于開發(fā)環(huán)節(jié)的代碼數(shù)據(jù)安全防護(hù)對(duì)整體防護(hù)體系而言至關(guān)重要。
需求分析 經(jīng)過對(duì)大量實(shí)踐場景的歸納總結(jié),敏捷科技認(rèn)為目前的軟件企業(yè)對(duì)代碼安全的需求主要有以下幾點(diǎn): (1)代碼編譯的各個(gè)環(huán)節(jié)均要做數(shù)據(jù)加密保護(hù)措施,防止內(nèi)部人員有意或無意造成數(shù)據(jù)泄露 (2)對(duì)數(shù)據(jù)進(jìn)行規(guī)范化管理,數(shù)據(jù)交互、外發(fā)時(shí)進(jìn)行安全控制 (3)精細(xì)化的權(quán)限管控,只有受控的計(jì)算機(jī)并同時(shí)擁有權(quán)限的用戶才能訪問代碼服務(wù)器 (4)安全事件發(fā)生后,有一定的手段進(jìn)行審計(jì)和數(shù)據(jù)溯源 (5)在對(duì).c .h .java .cpp等一系列代碼文件進(jìn)行加密的同時(shí),不影響其開發(fā)軟件對(duì)其正常的編譯效率 敏捷科技解決方案 敏捷科技立足于當(dāng)前軟件企業(yè)所面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)難題,運(yùn)用敏捷數(shù)據(jù)安全衛(wèi)士系統(tǒng)DGS為其構(gòu)建全新的數(shù)據(jù)安全防泄密體系,實(shí)現(xiàn)核心代碼數(shù)據(jù)從事前預(yù)防、事中控制和事后審計(jì)的全生命周期的安全防護(hù)以及實(shí)時(shí)全域監(jiān)管,對(duì)企業(yè)現(xiàn)有的數(shù)字化防護(hù)體系實(shí)現(xiàn)數(shù)智升級(jí)。 本地代碼數(shù)據(jù)安全防護(hù) 文件加密 通過對(duì)本地代碼編譯文件的創(chuàng)建、修改、傳輸、歸檔、分發(fā)、銷毀等全過程的加密管理,以達(dá)到保護(hù)目標(biāo)。企業(yè)內(nèi)代碼數(shù)據(jù)只能在授權(quán)許可的范圍內(nèi)使用,在沒有經(jīng)過授權(quán)許可的情況下,無論以何種方式脫離授權(quán)應(yīng)用范圍,都將不可使用,從代碼開發(fā)源頭進(jìn)行加密保護(hù)。 外發(fā)管控 用戶可以根據(jù)自身不同的等級(jí)設(shè)置外發(fā)策略。需要外發(fā)的文件需要通過審批才允許外發(fā),對(duì)于特別重要的文檔,還可設(shè)置多級(jí)審批。可以根據(jù)需要對(duì)外發(fā)文件進(jìn)行權(quán)限管控,控制外發(fā)文件的編輯權(quán)限、使用時(shí)間、使用次數(shù)、打印權(quán)限、硬件綁定等。 溯源審計(jì) 利用屏幕水印、文件水印技術(shù),對(duì)外傳的截圖和重要文檔進(jìn)行水印標(biāo)記,水印的風(fēng)格可以自定義為明文水印、二維碼水印、點(diǎn)陣水印或隱藏水印,水印可為信息產(chǎn)品的歸屬提供完全和可靠的證據(jù),有效實(shí)現(xiàn)泄密文件的溯源。 服務(wù)器代碼數(shù)據(jù)安全防護(hù) 文件上傳自動(dòng)解密 用戶將加密文件上傳到應(yīng)用系統(tǒng)時(shí),集成模塊會(huì)自動(dòng)解密該文件,保障應(yīng)用系統(tǒng)中存儲(chǔ)的是明文,不影響應(yīng)用系統(tǒng)的正常工作; 用戶通過應(yīng)用系統(tǒng)下載文件時(shí),集成模塊會(huì)對(duì)下載的文件進(jìn)行落地加密,這些文件只能在加密環(huán)境內(nèi)使用,一旦離開這個(gè)環(huán)境,所有文件無法打開; 為了防止用戶賬號(hào)被盜取,系統(tǒng)內(nèi)的明文數(shù)據(jù)外泄,集成模塊對(duì)請(qǐng)求訪問的終端會(huì)進(jìn)行篩查判斷,非授信的終端無法訪問服務(wù)器。
文件下載強(qiáng)制加密
應(yīng)用系統(tǒng)訪問控制
敏捷科技針對(duì)軟件企業(yè)開發(fā)代碼構(gòu)建的數(shù)據(jù)安全防護(hù)一體化解決方案,切實(shí)保障了軟件企業(yè)的數(shù)據(jù)安全。該方案已得到金恒信息、群杰物聯(lián)科技、暢途網(wǎng)、拓界科技、利合信諾科技、立信數(shù)據(jù)科技和卓盛云信息科技等多家軟件企業(yè)的認(rèn)可并已成功實(shí)施,有效護(hù)航了多家企業(yè)數(shù)據(jù)安全建設(shè)的優(yōu)化升級(jí),夯實(shí)了企業(yè)核心競爭力,助推企業(yè)長遠(yuǎn)發(fā)展。