源代码安全检测服务方案
源代码安全扫描服务
某金融行业客户在使用了源代码安全扫描服务后，发现并修复了多个潜在的安全 漏洞，提高了系统的安全性，减少了安全风险。
04
与其他服务的对比分析
与人工代码审查的对比
01
02
03
效率
准确性
成本
源代码安全扫描服务通常可以自 动扫描代码，而人工代码审查则 需要花费大量时间。
自动扫描可能比人工审查更准确 ，因为机器可以更快地查找模式 和错误。
合规性要求
对于一些特定行业，如金融、医疗等，源代码安全扫描服务可以 帮助企业满足相关的法规要求和标准。
市场需求与趋势
市场需求
随着企业对软件应用程序安全的重视程度不断提高，源代码安全扫描服务的 需求也在逐渐增加。越来越多的企业开始认识到源代码安全扫描服务的重要 性，并将其纳入到软件开发流程中。
趋势
未来，随着技术的不断发展和黑客攻击手段的不断演变，源代码安全扫描服 务将更加智能化和自动化。同时，随着云计算技术的发展，云端的安全扫描 服务也将成为未来的一个趋势。
政府机构
政府机构的网站系统也需要 进行安全扫描，以确保系统 的安全性，避免潜在的安全 威胁。
游戏行业
游戏行业也面临着外挂、黑 客攻击等安全威胁，对源代 码进行安全扫描可以发现并 修复潜在的安全漏洞。
扫描效果展示
发现并修复潜在的安全漏洞
01
通过源代码安全扫描服务，可以发现并修复潜在的安全漏洞，
提高系统的安全性。
支持多种编程语言和框架，满足不同应 用场景的需求。
提供可视化漏洞报告，方便客户快速了 解安全状况。
03
服务应用场景与效果
应用场景
金融行业
对于金融行业来说，系统的 安全性至关重要，因此需要 对源代码进行安全扫描，以 发现潜在的安全漏洞。
源代码安全扫描及服务技术方案
源代码安全扫描及服务技术方案一、背景介绍随着互联网的快速发展，软件在我们的生活中扮演着越来越重要的角色。
但同时，软件安全也成为了一个重要的问题。
源代码的安全性对于整个软件的安全性和可靠性具有至关重要的影响。
因此，源代码安全扫描及服务技术成为了软件开发、部署和维护过程中必不可少的一环。
二、技术方案1.静态分析静态分析是通过对源代码的静态解析来检查安全漏洞和代码缺陷的一种方法。
它可以识别出可能存在的代码逻辑错误、缓冲区溢出、SQL注入、XSS攻击等常见的安全漏洞。
静态分析工具可以通过扫描整个代码库来发现所有潜在的漏洞，并提供修复建议。
为了实现静态分析，可以选择使用成熟的静态分析工具，如Fortify、Checkmarx、Coverity等。
这些工具具有强大的代码分析能力和漏洞检测能力，可以自动化地执行源代码的安全扫描并生成报告。
此外，还可以根据实际需求开发自定义的静态分析工具。
2.动态分析动态分析是通过对源代码进行动态执行来检查安全漏洞的一种方法。
相比静态分析，动态分析更能够全面地检测应用程序的安全性。
通过对应用程序进行黑盒测试、白盒测试和漏洞攻击，可以发现潜在的安全漏洞和代码缺陷。
为了实现动态分析，可以使用一些开源的安全测试框架，如OWASP ZAP和Burp Suite。
这些工具可以模拟恶意用户对应用程序进行攻击，并提供详细的测试结果和建议。
此外，还可以利用自动化测试工具，如Selenium和Appium，通过模拟用户的操作来进行动态分析。
3.服务提供同时，可以建立源代码安全扫描的API接口，以便在持续集成和部署过程中自动进行扫描和分析。
通过与CI/CD工具集成，可以将源代码安全扫描纳入到整个软件开发流程中，以确保软件的安全性和可靠性。
四、总结源代码安全扫描及服务技术方案是在软件开发和维护过程中确保代码安全和质量的重要环节。
通过静态分析和动态分析的方法，可以发现潜在的安全漏洞和代码缺陷，并提供修复建议。
最新代码审计方案
代码审计方案我司为XXXXXX代码审计方案持：Java，JSP，C，C++,.NET（C#）,XML，ASP，PHP，JS，VB等.运行环境支持：Windows，Red Hat Linux，Ubuntu，Centos，麒麟Linux等主流系统.服务期内对：➢xxxxxx提供1次代码审计，并提交相应次数的《（源）代码审计报告》.1.1 代码审计服务内容代码审计服务的范围包括使用Java，JSP，C，C++,.NET（C#）,XML，ASP，PHP，JS，VB等主流语言开发的B/S、C/S应用系统，以及使用XML语言编写的文件、SQL语言和数据库存储过程等，运行环境支持Windows，Red Hat Linux，Ubuntu，Centos，麒麟Linux等主流系统.源代码安全审计服务从数据流分析、控制流分析、语义分析、配置分析、结构分析等五个方面全面分析软件源代码安全问题.借助源代码分析工具，针对信息系统源代码扫描、分析，语言方面可以支持：Java/JSP C/C++, .NET平台,TSQL/PLSQL, Cold Fusion，XML，CFML，ASP，PHP，JS，VB等.操作系统方面支持：Windows, Solaris, Red Hat Linux, Mac OS X, HP-UX, IBM AIX等并对导致安全漏洞的错误代码进行定位和验证，提供修复方案.1.2 代码审计服务参考标准➢洞字典表➢OWASP（Open Web Application Security Project公共漏洞字典表➢《软件安全开发标准》（ISO/IEC 27034）➢《独立审计准则第20号-计算机信息系统环境下的审计》➢《审计署关于印发信息系统审计指南的通知》（审计发【2012】11号）1.3 审计分类➢整体代码审计整体代码审计是指代码审计服务人员对被审计系统的所有源代码进行整体的安全审计，代码覆盖率为100%，整体代码审计采用源代码扫描和人工分析确认相结合的方式进行分析，发现源代码存在的安全漏洞.但整体代码审计属于白盒静态分析，仅能发现代码编写存在的安全漏洞，无法发现业务功能存在的缺陷.➢功能点人工代码审计功能点人工代码审计是对某个或某几个重要的功能点的源代码进行人工代码审计，发现功能点存在的代码安全问题.功能点人工代码审计需要收集系统的设计文档、系统开发说明书等技术资料，以便代码审计服务人员能够更好的了解系统业务功能.由于人工代码审计工作量极大，所以需要分析并选择重要的功能点，有针对性的进行人工代码审计.1.4 审计工具Fortify SCAFortify SCA 是一个静态的、白盒的软件源代码安全测试工具.它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告.扫描的结果中不但包括详细的安全漏洞的信息，还会有相关的安全知识的说明，以及修复意见的提供.1.5 代码审计实施流程源代码审计服务主要分为四个阶段，包括代码审计前期准备阶段、代码审计阶段实施、复查阶段实施以及成果汇报阶段：➢前期准备阶段在实施代码审计工作前，技术人员会和客户对代码审计服务相关的技术细节进行详细沟通.由此确认代码审计的方案，方案内容主要包括确认的代码审计范围、最终对象、审计方式、审计要求和时间等内容.➢代码审计阶段实施在源代码审计实施过程中，技术人员首先使用代码审计的扫描工具对源代码进行扫描，完成初步的信息收集，然后由人工的方式对源代码扫描结果进行人工的分析和确认.根据收集的各类信息对客户要求的重要功能点进行人工代码审计.结合自动化源代码扫描和人工代码审计两方的结果，代码审计服务人员需整理代码审计服务的输出结果并编制代码审计报告，最终提交客户和对报告内容进行沟通.➢复测阶段实施经过第一次代码审计报告提交和沟通后，等待客户针对代码审计发现的问题整改或加固.经整改或加固后，代码审计服务人员进行回归检查，即二次检查.检查结束后提交给客户复查报告和对复查结果进行沟通.➢成果汇报阶段根据一次代码审计和二次复查结果，整理代码审计服务输出成果，最后汇总形成《信息系统代码审计报告》.图代码审计服务流程1.6 风险控制及输出成果为避免风险的产生，源代码审计工作通常不会在生产或测试服务器上进行.XXXXXX信息中心需要提供源代码或存储源代码的计算机载体.代码审计服务人员会将一些代码审计工具安装在存储源代码的计算机载体中，在完成代码审计后卸载这些工具，以保护业务资产不受损害.在代码审计过程中，确定代码审计服务人员和配合人员的联系方式，便于及时沟通并解决服务过程中的各类问题.1.7 源代码审计重点➢跨站请求伪装漏洞漏洞：提交表单中没有用户特有的标识.影响：攻击者可利用跨站请求伪装 (CSRF) 漏洞假冒另一用户发出未经授权的请求，即恶意用户盗用其他用户的身份使用特定资源.➢注入漏洞漏洞：对访问数据库的SQL语句没有进行任何过滤，可能导致SQL注入.影响：如果SQL注入成功，攻击者可以获取网站数据库的信息，可以修改删除数据库，还可能获取执行命令的权限，进而完全控制服务器.➢命令执行漏洞漏洞：系统中使用了一些调用操作系统函数的命令，在调用过程中，如果命令的来源不可信，系统可能执行恶意命令.影响：攻击者有可能把要执行的命令替换成恶意命令，如删除系统文件. ➢日志伪造漏洞漏洞：将未经验证的用户输入写入日志.影响：攻击者可以利用该漏洞伪造日志条目或将恶意内容注入日志.➢参数篡改漏洞：一些重要参数可能会被篡改.影响：攻击者能够通过篡改重要参数或方法对系统进行攻击.➢密码明文存储漏洞：配置文件中存储明文密码.影响：在配置文件中存储明文密码可能会危及系统安全，攻击者可以轻易获取到系统密码.➢配置文件缺陷漏洞：配置文件内容存在缺陷，例如未设置统一的错误响应页面.影响：攻击者能够利用配置文件的缺陷对系统进行攻击.➢路径操作错误漏洞：用户输入没有有效的安全控制手段就直接对文件进行操作.影响：攻击者可以控制路径参数，访问或修改其他受保护的文件.➢资源管理漏洞：使用完资源后没有关闭，或者可能关闭不成功.影响：攻击者有可能通过耗尽资源池的方式发起拒绝服务攻击，导致服务器性能降低，甚至宕机.➢不安全的Ajax调用漏洞：系统存在不安全的Ajax调用.影响：攻击者能够利用该漏洞绕过验证程序或直接编写脚本调用Ajax方法实现越权操作.➢系统信息泄露漏洞：异常捕获泄露系统信息.影响：攻击者可以从泄露的信息中找到有用信息，发起有针对性的攻击. ➢调试程序残留漏洞：代码包含调试程序，如：主函数.影响：调试程序会在应用程序中建立一些意想不到的入口点被攻击者利用.1.8 输出成果及客户收益输出成果：《信息系统代码审计报告》本项服务给XXXXXXXXXXX带来收益如下：1)从提高系统的安全性及稳定性出发应该源代码进行质量控制，以保证源代码的质量；2)确保系统稳定，高效的运行，控制不利因素提升质量.。
Fortify SCA 源代码应用安全测试工具 快速入门手册说明书
Fortify SCA源代码应用安全测试工具快速入门手册文档版本：v1.0发布日期：2022-11深圳市稳安技术有限公司*************************Fortify SCA源代码应用安全测试工具快速入门手册Fortify SCA（Static Code Analyzer）是Micro Focus公司旗下的一款静态应用程序安全性测试(SAST) 产品，可供开发团队和安全专家分析源代码，检测安全漏洞，帮助开发人员更快更轻松地识别问题并排定问题优先级，然后加以解决。
Fortify SCA支持27种编程语言：ABAP/BSP、Apex，、C/C++、C#、Classic ASP、COBOL、ColdFusion、CFML、Flex/ActionScript、Java、JavaScript、JSP、Objective C、PL/SQL、PHP、Python、T-SQL、、VBScript、VB6、XML/HTML、Ruby、Swift、Scala 、Kotlin 、Go，能够检测超过1051个漏洞类别，涵盖一百多万个独立的API。
一、安装Fortify SCA源代码应用安全测试工具1、创建华为云服务器ECS1.1、主机配置建议：1.2、操作系统支持：1.3、网络配置安全组规则配置要求：1.3.1、Linux系统：22端口(SSH登录管理)1.3.2、Windows系统：3389端口(Windows RDP)1.4、安装操作系统通过VNC或CloudShell远程登录平台服务器，根据需求选用合适的镜像安装操作系统。
1.5、代码编译环境准备以下几种语言扫描需要准备相应的编译环境，代码需要在可通过编译的情况下扫描：a)C#，，b)C/C++ on Windows or Linuxc)iPhone App用户需要根据代码安装相应的编译环境，并确保需要扫描的代码能够通过编译。
2、安装Fortify SCA2.1、上传安装包完成产品购买后，根据扫描主机的操作系统，从MicroFocus下载平台下载对应的安装文件压缩包，然后解压出安装文件上传至云服务器。
源代码安全扫描及服务技术方案
缓冲区溢出中的一个子类报错信息-未经验证的输入缓冲区溢出,即形参超出了本身定义的
范围上限 摘取的实例如下： 源码：G:\c++\bizlib\view\HServer.cpp ,行 71 错误描述: Buffer overflow from unvalidated input used as an array index of 'sconname' which may be out of bounds. Array 'sconname' of size 50 may use index value(s) 0..SHRT_MAX-1
扫描内容
安全漏洞检测：确信软件安全性是软件质量中一个重要的、并越来越受重视的方
面。同样的，所有的安全漏洞分析是基于市场领先的缺陷检测能力。
从原来的缺陷检测分离出来单独的安全漏洞检测和违反推荐的安全代码最佳实践
的缺陷检测。能够检测到的安全漏洞类型举例（详细参见下表）
安全漏洞类型
14
扫描内容
分析：指针'destfname'将会在NULL值检查后被解引用.
12
扫描内容
● ● ●
在源代码扫描项目中可以提供对缺陷的跟踪,并提供相关的错误信息 开发人员可以专注于高优先级的缺陷，深入到源代码浏览器，检查缺陷和分配状况 源代码扫描项目使用的唯一的缺陷跟踪技术构建整个释放建立缺陷状态和状态跟踪
13
安全漏洞检测—-错误代码
安全漏洞错误代码：下面将列出安全漏洞中的错误代码及描述以供参考
15
扫描内容
安全漏洞检测—-错误代码
安全漏洞错误代码：下面将列出安全漏洞中的错误代码及描述以供参考
16
开源组件安全检测方案
开源组件安全检测方案开源组件的安全检测是一项重要的工作，它可以帮助开发人员发现和排查开源组件中的安全漏洞和风险，在软件开发过程中起到保障安全、减少潜在漏洞的作用。
下面将介绍一些常用的开源组件安全检测方案。
1. 手动代码审查：开发人员可以通过仔细阅读和分析开源组件的源代码，检查其中是否存在安全漏洞或风险。
这种方法需要开发人员有一定的安全知识和经验，对源代码有较深的理解。
2. 使用安全扫描工具：有很多安全扫描工具可以用于开源组件的安全检测，如SonarQube、Checkmarx等。
这些工具可以对开源组件进行静态分析，发现其中的漏洞和风险。
开发人员可以将开源组件的源代码导入到这些工具中，进行扫描和分析。
3. 使用漏洞数据库：很多安全机构和组织都维护着漏洞数据库，其中包含了各种开源组件的安全漏洞信息。
开发人员可以将使用的开源组件与这些数据库进行对比，查看是否存在已知的安全漏洞。
常用的漏洞数据库包括NVD（National Vulnerability Database）和CVE（Common Vulnerabilities and Exposures）等。
4. 定期更新开源组件：开源组件的维护者通常会及时修复和发布安全补丁，为了保持软件的安全，开发人员应及时更新所使用的开源组件版本。
定期检查开源组件的更新情况，尽量选择维护活跃、更新频繁的开源组件。
5. 跨团队合作：安全检测不仅仅是开发人员的责任，团队内的其他成员，如安全专家、测试人员等也应参与其中。
通过跨团队的合作，可以将不同的视角和经验结合起来，更全面地进行开源组件的安全检测。
总结起来，开源组件的安全检测需要综合运用多种方法和工具，结合人工和自动化的手段，以确保软件的安全性。
开发人员应不断提升自己的安全意识和技能，注重开源组件的安全检测与维护工作。
桌面应用软件安全服务方案
桌面应用软件安全服务方案前言桌面应用软件在今天的数字化社会中扮演着重要的角色，然而，安全性问题一直是困扰桌面应用软件的重要挑战。
为了保障用户的隐私和数据安全，我们需要采取一系列安全措施来加固桌面应用软件的安全性。
本文将提出一份桌面应用软件安全服务方案，以帮助开发者和用户构建更可靠的桌面应用软件。
1. 代码安全性代码安全性是桌面应用软件安全的首要考虑因素之一。
以下是几个关键点：- 代码审查：定期对桌面应用软件的代码进行仔细审查，以发现潜在的安全漏洞和弱点。
代码审查：定期对桌面应用软件的代码进行仔细审查，以发现潜在的安全漏洞和弱点。
- 漏洞修复：及时修补已知的漏洞，紧跟安全补丁的发布，以减少攻击者利用漏洞的机会。
漏洞修复：及时修补已知的漏洞，紧跟安全补丁的发布，以减少攻击者利用漏洞的机会。
- 加密算法：采用可靠的加密算法来保障存储和传输的数据的安全性。
加密算法：采用可靠的加密算法来保障存储和传输的数据的安全性。
- 代码混淆：使用代码混淆技术来增加代码的复杂性，防止源代码被恶意破解。
代码混淆：使用代码混淆技术来增加代码的复杂性，防止源代码被恶意破解。
2. 用户认证与授权用户认证与授权是保护桌面应用软件安全的重要步骤。
以下是几个关键点：- 用户名和密码：要求用户设置强密码，并采用安全的密码存储和验证机制。
用户名和密码：要求用户设置强密码，并采用安全的密码存储和验证机制。
- 双因素认证：提供双因素认证选项，增加用户登录的安全性。
双因素认证：提供双因素认证选项，增加用户登录的安全性。
- 访问控制：根据用户角色和权限来限制不同用户对敏感数据和功能的访问。
访问控制：根据用户角色和权限来限制不同用户对敏感数据和功能的访问。
- 会话管理：合理管理用户的会话，确保用户在退出或长时间不活动后会自动注销。
会话管理：合理管理用户的会话，确保用户在退出或长时间不活动后会自动注销。
3. 数据保护保护用户数据是桌面应用软件安全的核心任务。
源代码安全管理制度范文(3篇)
源代码安全管理制度范文1总则1.1.为有效控制管理源代码的完整性，确保其不被非授权获取、复制、传播和更改，明确源代码控制管理流程，特制定此管理制度(以下简称制度)。
1.2.本办法所指源代码包括开发人员自行编写实现功能的程序代码，相应的开发设计文档及相关资料，属于明确注明的商业秘密，须纳入源代码管理体系。
1.3.本制度适用于所有涉及接触源代码的各岗位，所涉及人员都必须严格执行本管理办法。
1.4.所有人员入职均需签订保密协议，明确保密义务，了解包含此制度在内的各项保密规定并严格执行。
1.5.重点保护的关键模块包括。
敏感信息的模块，如加解密算法等。
基本逻辑模块，如如数据库操作基本类库。
对关键模块，采取程序集强命名、混淆、加密、权限控制等各种有效方法进行保护。
2源代码完整性保障2.1.所有软件的源代码文件及相应的开发设计文档均必须及时加入到指定的源代码服务器中的指定svn库中。
2.2.我们研发的产品软件运行所必须的第三方软件、控件和其它支撑库等文件也必须及时加入源代码服务器中指定的svn库中。
2.3.软件开始编写或者调整代码之前，其相应的设计文档必须签入svn库。
软件编码或功能调整结束提交技术支撑部测试验证之前，相应的源代码必须签入svn库。
2.4.第八条技术支撑部门对代码的测试时必须从源代码服务器上的svn库中获取代码，包括必须的第三方软件、控件和其它支撑库等文件，然后进行集成编译测试。
3源代码的授权访问3.1.源代码服务器对于共享的svn库的访问建立操作系统级的，基于身份和口令的访问授权。
3.2.在svn库中设置用户，并为不同用户分配不同的，适合工作的最小访问权限。
3.3.要求连接svn库时必须校验svn中用户身份及其口令。
在svn库中要求区别对待不同用户的可访问权、可创建权、可编辑权、可删除权、可销毁权。
严格控制用户的读写权限，应以最低权限为原则分配权限；开发人员不再需要对相关信息系统源代码做更新时，须及时删除账号3.4.工作任务变化后要实时回收用户的相关权限，对svn库的管理要求建立专人管理制度专人专管。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
源代码安全检测服务方案
目录
一、项目技术方案 (1)
1.1、代码安全检测服务 (1)
1.1.1、服务内容 (1)
1.1.2、服务方法 (2)
1.1.3、交付成果 (5)
1.1.4、服务优势 (5)
1.2、有效降低软件安全问题修复成本 (5)
1.3、自主可控的源代码安全解决方案 (6)
1.3.1、服务范围（略） (6)
一、项目技术方案
1.1、代码安全检测服务
1.1.1、服务内容
应用系统软件自身的安全性是确保应用系统安全稳定运行的关键。
但通常应用系统在开发的过程中会引入安全缺陷而造成应用系统自身存在安全漏洞，如被外部威胁所利用会产生安全风险，造成不良的安全影响。
需要通过采用应用系统源代码安全审计的方式，来减少和降低开发过程中的安全缺陷和安全漏洞。
因此，通过开展应用系统源代码审计工作，减少客户应用系统的安全漏洞和缺陷隐患，有效降低客户应用系统安全风险，保障应用系统安全稳定运行。
网神源代码审计服务的实施过程包括前期准备、代码审查、出具报告、协助整改和回归审计（复查）几个阶段。
图 1.1 源代码审计流程图
首先客户提出代码审计要求，内容包括测试范围和时间，在提交《代码审计申请》与源代码时，附带《免责声明》一起给客户，客户收到申请与免责声明之后，确认审计范围与时间无误之后。
客户提交给网神项目接口人，网神接口人进行工作量台账记录，然后由项目负责人进行工作安排，开始编写代码审计方案，经过客户方面认可代码审计方案后，开始实施代码审计工作，在审计
过程中通过代码审计设备进行详细审计记录，通过信息收集、漏洞分析和成果整理编写出《代码审计报告》，并提交给客户，并协助完成漏洞修复。
在漏洞修复工作之后，网神项目组进行代码审计复测，并输出《代码审计复测报告》，在客户方确认之后，单个系统代码审计工作完成。
具体包括如下阶段：
➢准备阶段
➢审核阶段
➢出具报告
➢安全整改回归审计
1.1.2、服务方法
源代码安全检测主要对象包括并不限于对Windows和Linux系统环境下的以下语言进行审核：C、C++、OC、C#、Java、PHP、JSP、ASPX、JavaScript、Python、Cobol、Go等进行全面测试。
源代码安全检测的主要内容包括但不限于：
◆OWASP WEB TOP 10漏洞
◆WEB应用程序的权限架构
◆WEB应用通信安全
◆数据库的配置规范
◆SQL语句的编写规范
◆WEB应用框架安全性
1.1.
2.1、准备阶段
在代码审计前期准备阶段，项目组将根据业务系统的实际情况定制访谈材料，采用文档审核和访谈方式对业务软件功能、架构、运行环境和编程语言等实际情况进行调研。
了解业务系统的开发环境、架构、安全现状以及运行环境
等可能对业务系统安全性产生影响的各种因素。
同时会准备代码审计工具、务系统测试系统等环境，为代码审查工作的开展提供必要条件。
1.1.
2.2、审核阶段
前期准备工作完成后将进入代码审核阶段，这是整个过程中最重要的阶段。
网神项目组的实施人员均是有着丰富代码编写和安全性审核经验的资深员工。
实施人员依据安全编码规范，通过源代码静态审查以发现安全缺陷。
对审查过程中发现的安全漏洞，项目组会定位到具体的代码并给出整改的建议。
在本阶段的工作中，我们主要采用人工审核为主和自动化审计工具辅助的方式进行安全审计。
下图是我们的技术模型：
图 1.2 源代码审计技术模型。
人工审核：
人工审核是代码审核的关键因素，也是最准确和最高效的解决方案。
人工审核依托于技术人员的安全编码经验、渗透测试经验以及最新的知识库，能够有效的发现深层次的高风险安全漏洞，包括业务逻辑安全漏洞。
在网上待测系统重要的业务场景中，很多高风险的安全漏洞都隐藏的比较深，只有通过经验丰富的安全人员进行人工审计才能发现相关的问题。
同时，在人工审核的的过程中实施人员在集中发现安全缺陷的同时也会关注目标系统的合规性问题。
通过对目标系统的源代码进行人工审核，可以有效的降低安全风险，提高系统安
全性、健壮性和合规性。
在开发阶段就发现安全问题，而不是将安全问题带入生产系统后才被发现并解决，课余有效的控制系统的研发成本。
◆自动化工具审核：
采用自动化的代码审计工具辅助审核，依赖于自动化工具的强大的安全编码规则集。
能够快速的对常规的安全漏洞进行发现和定位，有助于提高代码审计的工作效率和覆盖度，是一种常用的辅助手段。
1.1.
2.3、出具报告
对于审计发现的问题，我们会对发现的问题进行相关分析并出具报告。
针对具体的漏洞，我们会出如下的内容：
◆指出该安全漏洞可能对目标系统产生的影响
◆对致漏洞的具体代码进行定位，分析形成漏洞的具体原因
◆对漏洞利用方式进行阐述，可以在客户提供的测试系统中进行验证测
试
◆对漏洞的可利用行和风险等级进行评定
◆给出修复该漏洞的正确方案
其中，对于漏洞风险等级和可利用性的评定标注如下：
表 1.1 漏洞风险等级评定
表 1.2 漏洞可利用性评价标准
1.1.
2.4、安全整改和回归审计
代码审核报告制中对代码中存在的安全问题进行了全面的阐述，包括漏洞形成原因、威胁分析等，对于可以整改的漏洞我们会依据项目组成员多年的安全编码实践给出整改和加固建议。
我们会协助开发人员整改安全漏洞并复查漏洞的整改情况，确保产品上线后安全稳定的运行。
1.1.3、交付成果
◆工作输入
➢《客户审计系统源代码》
➢《客户业务系统研发需求文档》
➢《客户业务系统研发设计文档》
➢《测试环境》
➢…
◆工作输出
服务成果为：
➢《XX系统代码安全检测报告》
1.1.4、服务优势
1.2、有效降低软件安全问题修复成本
源代码安全检测是缓解软件安全问题的有效途径，可从源头上大量减少代码
注入、跨站脚本等高危安全问题，进而提升信息系统的安全性。
根据Gartner统计，在软件代码实现阶段发现并纠正安全问题所花费的成本，比软件交付后通过“上线安全评估”发现问题再进行整改的成本要低50~1000倍。
越早发现源代码安全问题，其修复成本越低，代码卫士可帮助组织在软件开发过程中“尽早尽快”发现安全问题，有效降低软件修复成本。
1.3、自主可控的源代码安全解决方案
软件源代码是组织机构的核心信息化资产，源代码安全检测产品部署到开发和测试网络之后，是否会引入其他的安全风险，如何保障源代码安全检测产品自身的安全可控，是组织机构关心的问题。
代码卫士是我司自主研发的国产源代码安全检测产品，解决方案符合国家对信息安全产品“自主、可控”的要求。
1.3.1、服务范围（略）
内部说明：
“范围”的意思是界定我们服务“对象”的范围，比如针对XX系统，XX 总部；对内容范围的界定应该在“服务内容”章节。
对于投标方案，此部分特别重要，明确我们的工作量。
【示例如下】：
单位范围：财政部、省级财政单位、专员办。
工作范围：财政部部机关外网、业务专网网络及网络中所有的主机、数据库、网络安全设备、中间件等。
被抽查的省级财政单位选取的3个重要应用系统，专员办选取1个重要应用系统，应用系统所涉及的主机、数据库、中间件等。