基于政务应用系统源代码检测平台的软件安全评分系统设计

【作者】 刘凯俊； 李晨旸； 赵章界； 徐国爱；

【机构】 北京信息安全测评中心； 北京邮电大学；

【摘要】 近年来,源代码安全检测逐渐成为政务应用系统使用和主管部门加强信息安全保护的重要手段之一。目前源代码安全审计服务仍以测试工程师使用商业源代码检测工具进行测试及人工分析为主,这种方式存在收费较高、支持的软件开发语言有限、检测结果片面、服务效率较低等缺点。为解决上述问题,在政务外网搭建部署了应用系统源代码检测平台,为政府部门用户提供自助式的在线源代码审计服务。在此基础上,结合CWE漏洞库和CWSS漏洞评估体系,设计和开发了一套软件安全评分系统,在没有专业测试工程师对源代码检测平台扫描结果进一步分析的情况下,可提供给用户一个较为准确直观的软件安全性评估结果。更多还原