陈曙光-中国联通软件供应链安全测试实践

中国联通软件供应链安全实践方案总结

安全背景

• 软件供应链安全事件频发，如Apache Log4j2漏洞、"太阳风暴"攻击、Spring框架漏洞、Realtek WiFiSDK漏洞等，影响范围广，危害大。
• 行业挑战包括：难以识别引入的开源组件及漏洞、开发人员对安全需求重视不足、研发过程中架构腐化、全生命周期安全威胁发现困难。

产品定位

• 以SCA核心检测技术为驱动力，支持DevOps流程无感接入，从安全需求到运行监控实现多维度治理。
• 结合AI技术，形成独特的软件供应链安全管理体系，推动DevSecOps实践。

产品方案

安全需求

• AI打造全场景解决方案，自需求阶段启动安全预防，通过多样化交互方式自动生成安全需求和安全测试方案。
• 核心技术包括智能场景模块、需求转换模块、智能设计与测试模块，提升安全编码效率和效果。

安全研发

• 编码全过程安全可控，通过静态代码质量检测与软件成分分析，实现源码治理与开源组件治理。
• 核心技术包括基于LLM的物料许可证检测、安全扫描引擎、多语言代码依赖解析，提供一键静扫描和本地开发分析插件。

安全生产

• 安全合规检查，基于资产视角进行Web漏洞、服务漏洞、基线合规全场景检查，构筑DevSecOps体系最后一道防线。
• 核心技术包括融合Xray扫描的统一制品管理，实现流水线化作业无缝衔接安全准入流程。

应用成效

• 支撑院内应用XX，安全需求交付个数XX，扫描代码仓库数XX，代码行数XX，代码检测覆盖率XX。
• 梳理MAVEN中央仓库组件数XX，获取CVE、CNNVD、CNVD漏洞数XX，许可证数XX。
• 生产流水线发布XX安全准入拦截，安全意识提升，风险可知可控，安全问题零放过。
• 平均检测速度达到代码/分钟，检测深度及组件覆盖数约XX，达到同类型产品领先水平。
• 问题整改周期由XX天缩短到XX天，同比缩短XX。
• 上线前缺陷下降XX；上线后缺陷下降XX。

技术标准与发明专利

• 行业标准：六篇。
• 企业标准：四篇。
• 开源社区：在CSDN发布两篇技术文章。
• 发明专利：申请三篇，获受理号。
• 发表SCI论文两篇。

行业影响力

• 对内：获得2021年企业数字化治理先锋实践案例、通信行业DevOps年度明星团队等荣誉。
• 对外：参与多种交流活动，完成多个数字化研发平台的对外输出。

社会效益

• 践行央企责任担当，在冬奥会、二十大重保中无安全事件，DevSecOps产品化实践创收1500W+，助力打造中国联通“重保首席”金字招牌。