《创新基金(能力建设类)-源代码安全检测与风险控制技术研究》由会员分享，可在线阅读，更多相关《创新基金(能力建设类)-源代码安全检测与风险控制技术研究（20页珍藏版）》请在金锄头文库上搜索。
1、中国电力科学研究院科技创新基金项目可可行行性性研研究究报报告告（能力建设类）项目名称：智能电网应用系统代码级安全检测与风险控制技术研究申请单位：中国电力科学研究院起止时间： 2013 年 1 月 至 2013 年 12 月项 目 负 责 人 ：刘楠联系电话：010-82813266-865电子邮箱：L申请日期：2012 年 7 月一、需求分析一、需求分析1. 需求需求环环境和潜在客境和潜在客户户分析分析“十一五”末，国家电网公司（以下简称“公司”）信息化“SG186”工程建设顺利竣工， “SG-ERP”正逐步推进，信息化工作由建设向运行和深化应用转变。 “十二五”期间，公司提出建设坚强智能电网
2、、构建“三集五大”体系，深入推进“两个转变”、建设“一强三优”现代公司的战略目标，信息化作为推进公司实现发展战略目标的核心保障体系，作用日益突出。随着智能电网的建设，开发厂商服务能力和软件质量对国家电网公司及其下属电网省公司乃至整个电网系统的“信息化”建设都将会产生重大的影响。因此,全面推进智能电网信息系统的自主可控成为亟待开展的重要内容.智能电网信息系统自主可控是指对自主研发信息系统全面掌握知识产权，对信息系统存在的风险和面临的问题做到可预知、可控制。为了做好智能电网安全运行保障工作，确保智能电网重要信息系统稳定、安全运行，需要开展对上线运行系统的安全自主可控进行总体评价。但目前代码安全检测
3、在自主可控方面尚无法满足应用需求，主要表现在:1.代代码码安全安全检测标检测标准不准不统统一，缺乏一，缺乏统统一的支撑一的支撑环环境，无法境，无法实现实现缺陷的跟踪与可控缺陷的跟踪与可控公司对信息系统的安全始终非常重视，目前已开展代码安全检测技术的研究，并建设公司的代码安全检测平台，但经过一年的代码缺陷检测技术研究，目前的检测手段仅停留在工具应用层面，在核心技术上依旧依赖于国外企业。而在检测方法上，虽然形成了代码编程规范，但在代码安全检测方法、代码缺陷定义、代码缺陷分类、代码缺陷风险等级等方面没有达到统一，特别是在支撑环境方面，仍停留在通用缺陷库的基础上，没有与公司应用系统相结合，且无法对应用
4、系统的不同版本之间进行代码缺陷的跟踪，无法对代码的安全可控做出有效支撑。2.应应用系用系统统大量使用开源代大量使用开源代码码，且缺乏有效的，且缺乏有效的评评价机制，价机制，导导致致应应用系用系统统自主性无法得自主性无法得到有效的控制到有效的控制随着软件业的不断发展，厂商在软件开发过程中越来越多的应用开源代码，特别是java 等语言的开放度较其他语言更为突出，随着“三集五大”工作的落实，应用系统的规模将更为壮大，引用开源代码的数量也急剧增加。这些开源代码不但会给公司造成潜在的知识产权纠纷，而且由于开源代码的使用缺少必要的技术支持而会带来额外的风险，难以保证软件正常的升级和维护，特别是开源代码中可
5、能存在安全漏洞，将使得应用系统更容易受到攻击。为更好的落实公司软件著作权管理与保护工作的要求，保证智能电网关键系统的稳定运行，必须开展源代码同源性检测，并将其与代码缺陷检测进行必要的结合，确保代码的安全、完整、可用。3.系系统统上上线线运行缺乏有效的管控技运行缺乏有效的管控技术术手段，厂商将未手段，厂商将未经过经过安全安全测评测评的系的系统统版本用于上版本用于上线线操作，操作，导导致上致上线线系系统统存在安全存在安全隐隐患，无法达到可控的目的患，无法达到可控的目的智能电网应用系统全生命周期安全管控的目的是为了确保应用系统在研发、测试、上线、运维等各个环境都能够有效运行，充分发挥各阶段的技术优势
6、，全面提高安全水平。然而应用系统的研发与测试，上线与运维之间的管控较为容易，因其主要发生在单方或者双方之间，如果出现不一致的情况将较容易发现，而在测试和上线两个环节之间，由于公司目前的机制设置，涉及到研发机构、测试机构和上线运维机构三方，在缺乏有力的技术手段的保障下，研发机构将有可能提供给测试机构和上线运维机构不同的系统版本导致问题的发生。目前公司软件著作权管理与保护工作提出了确保测试与上线系统一致的具体工作要求，但仅停留在制度层面，因此迫切需要技术手段支撑管理方面的要求。综上所述，急需开展源代码安全检测与风险控制技术的研究，全面提高软件源代码的风险控制能力，提高软件源代码的安全性，有效规避软
7、件知识产权风险，确保公司计算机软件开发应用风险“可控、能控、在控”。本项目的预期成果将对公司第三方代码级安全测评能力进行进一步提升，全面支撑公司级第三方安全测评和公司软件著作权管理工作，为相关部门的检测工作提供有力的技术保障。2. 任任务务来源来源信息系统安全等级保护测评准则中 1-4 级应用安全中规定对代码安全进行测评，公司文件 QGDW 597-2011 国家电网应用 软件通用安全要求中规定应对代码缺陷进行检测。国网公司先后发布国家电网公司计算机软件著作权管理与保护办法和2010 年软件著作权管理与保护工作实施意见，文件中明确要求加强软件著作权管理与保护，对软件著作权资料的提交、审核和使用
8、作了明确的要求，确保提交的源代码的真实、完整、可用，并要求进行软件著作权资料审核和验证方法研究，为软件著作权管理与保护工作提供技术保障。3. 目的和意目的和意义义源代码安全检测与风险控制技术的研究弥补了中国电科院（以下简称“我院”）在软件在代码层面研究上的不足，提升了我院源代码的检测能力，降低对外部技术的依存度。通过对开发人员与检测人员进行安全培训，可以提高电力行业开发人员及测试人员安全意识，指导开发实践，从根源上保障电力信息系统良性发展。同时，本项目研究成果将对国家电力系统的信息安全建设工作提供有力的支撑，通过试点示范与推广应用紧密衔接的方式，实现技术研究成果的及时、有效转化，为今后电网应用
9、系统提供体系化的保障，为国家重要行业和央企的信息安全防护工作率先示范。另外，研究成果的广泛应用也将会对源代码安全检测与风险控制的有关研究与建设提供参考，持续的完善和提升可以促进源代码检测业务的标准化与规范化，符合本单位信息系统发展的需要。二、可行性分析二、可行性分析1. 竞竞争性技争性技术术分析分析(1) 国外研究水平的现状和发展趋势国外十分重视源代码安全检测与风险控制工作，各国纷纷开展了相关的研究项目和计划。在代码安全检测方面，2006 年，美国国土安全部（DHS）为了检测开放原代码软件是否安全，于 1 月展开一项为期 3 年、总计 124 万美元的计划，通过斯坦福大学、厂商 Coverit
10、y和赛门铁克共同合作，对开源软件进行安全性检测。欧盟也于 2007 年 3 月 22 日正式通过了关于建立欧洲信息安全社会战略的决议。在代码风险控制方面，目前已有诸如ORACLE、SAP、Intel 、Cisco 等大型企业把源代码同源性检测引入到本公司的所有开发部门，进行源代码检测和管理，以规避知识产权风险。代码搜索技术随着搜索引擎技术的发展而不断丰富，也形成了较为成熟的代码同源性多重匹配定位技术，如文件比对、文本比对、Token 比对、语法比对、语义比对技术，这些技术都能够在不同程度上找到代码文件相似性，越新出现的技术越能够在更深层次上识别出相似代码。基于以上技术，已经形成了几款成熟的商业
11、的和开源的源代码同源性检测工具以及一些其他常用的开源组件知识产权检测产品。(2) 国内研究水平的现状和发展趋势在国内，源代码安全检测与风险控制工作缺乏相应的成熟工具，尚处在技术研究阶段。一些研究机构如华北计算技术研究所等开始着手一些技术研究，并利用商业检测工具开展源代码缺陷检测业务。中国信息安全测评中心为代表的测评机构也开始着手研究相关技术，目前尚不成熟，却不对外提供服务。而在代码风险控制方面，大多数软件开发企业特别是最终用户对软件同源性鉴别观念意识不强，因知识产权问题造成的安全风险近年内屡有发生。仅有少数几个研究机构对代码同源性分析技术作了一定的探索，如采用多种代码分析方式、在文本、Toke
12、n、语法等层次上进行同源性分析，能够提供较为精确的同源性检测结果，也已形成为数不多的几款同源性检测工具。但精确快捷的定位分析和建立满足行业应用特殊性的基准数据库仍存在一定的不足和空白，更缺少了完备的源码基准数据库与高效精确的同源鉴别技术并存一体的兼备模式。2. 项项目承担目承担单单位的研究基位的研究基础础(1) 项目承担单位研究水平的现状中国电力科学研究院（简称中国电科院）成立于 1951 年，是国家电网公司直属科研单位，是中国电力行业多学科、综合性的科研机构。中国电科院主要从事发电、输配电、供用电技术研究，电力工程设计、施工、运行监测技术研究，以及新能源、新材料、能源转换、信息与通信等技术研
13、究，研究范围涵盖电力科学及其相关领域的各个方面。中国电科院目前拥有十一个研究所、十七个科技公司、一个输配电及节电技术国家工程研究中心、一个（国家工程研究）电力建设技术服务中心、一个部级质量检测中心、一个研究生部、一个博士后流动站、一个博士后工作站和一个杂志社（出版中国电机工程学报、电网技术、电力建设杂志和中国电信息报纸），建有主要实验室二十八个，其中：电网安全与节能国家重点实验室、电力系统仿真国家工程实验室和特高压工程技术国家工程实验室（北京）为国家级实验室，电力系统电力电子实验室、电力系统仿真试验室、信息系统安全实验室、输电线路杆塔实验室、导线力学性能实验室和岩土工程实验室为国家电网公司重点
14、实验室，继电保护及安全自动装置实验室为中关村开放实验室。 2000 年至今，中国电科院先后承担国家 973 计划项目 2 项，国家 863 计划项目 3 项，国家重大科技攻关/科技支撑计划项目 7 项共 47 个课题，国家自然科学基金项目 9 项，国家发改委项目 13 项，国家科研院所技术开发研究专项项目 7 项，国家公益基金项目 1 项，电力工业重大项目 200 多项，为我国电网的建设和发展提供了坚强的技术支撑。自建院以来，中国电科院荣获国家科技进步奖 76 项（其中一等奖 6 项）、国家技术发明二等奖 1 项、省部级科技进步奖 360 项（其中一等奖 35 项）、国家专利 168 项、第八
15、届中国专利奖金奖 1 项，出版专著 93 部，发表学术论文 2634 篇，在我国电力工业发展的各个标志性阶段做出了重要贡献。 中国电科院信息与通信研究所下设的信息系统安全实验室是国家电网公司重点实验室，具有进行项目实验的基础网络环境、仪器和设备，率先开展了电力行业风险评估、等级保护、应用软件安全测评的研究与实践，承担了公司应用系统及自动化产品的安全测评、信息安全产品选型测评、国产化信息产品测评工作；为国家电网公司电网生产运行控制系统的建设提供了全面的信息安全标准制定、应用测评、安全监理等技术支持；承担过国家信息安全标准、十余项省部级以上重大科技本项目的研究工作；参与电力二次系统安全防护总体方案
16、的起草，开发出逻辑强隔离装置、调度证书系统、纵向加密认证管理中心等软硬件产品；为 24 个网省级电力公司、150 余个地市级电力公司、50 多个发电厂和变电站提供过信息安全评估、测评与等级保护服务。作为本项目的重要基础条件，实验室自 2005 年起已经开展了可信计算技术的研究，具有一定的技术积累；实验室已经研发了多款操作系统安全性增强软件，并且主持了智能电网调度支持系统中安全操作系统的测评工作，具备研制安全操作系统的能力；实验室在密码技术方面开展了长期持续的研究，研发出加密设备、调度 CA 系统、加密认证装置等多款密码产品，具备信息安全可信计算平台技术产品研发的实力。(2) 项目承担单位的人力资源1) 项目负责人刘楠，男，现任中国电力科学研究院信息与通信技术研究所信息安全与保密测评研究室测评部项目主管，在本项目中承担主要的组织和管理工作。2) 核心研究人员序号姓 名单位职 称投入月数主要工作内容 1刘楠中国电力 科学研究高工30体系设计2单松玲中国电力 科学研究工程师30技术验证与试点
