通过Shift Left抢占市场先机

新思科技软件质量与安全部门高级安全架构师杨国梁指出：“汽车业界需要将安全Shift Left ‘向左移’的思想在整个开发生命周期中贯彻落实，以提升软件竞争力。”

软件竞争力主要包含三个方面：更快速地迭代/投放市场；更可靠的品质；以及更安全。我们可以通过虚拟化的方式变成硬件和软件同步开发，缩短上市时间。虚拟化可以帮助厂商完成“向左移”。另外，每一个项目都有工具辅助去做测试工作，以尽早发现问题，实现安全“向左移”。

软件开发从需求、编码、整合、测试到支持等都有可能出现缺陷。新思科技注意到，软件在编码阶段出现缺陷的几率非常大，但在编码阶段就已经修复缺陷要比在测试或者更往后所投入的成本要低得多。这也是新思科技提倡安全“向左移”的原因，越早发现缺陷，修复成本就越低，上市的产品也越安全。

新思科技与SAE International（国际自动机工程师学会）曾共同对汽车行业当前的网络安全实践进行独立研究。在问及“在开发生命周期中，您的企业什么时候评估汽车软件/技术/组件的安全漏洞？”时，19%受访者表示在需求和设计阶段；28%开发和测试阶段；43%发布后；37%集成到车辆网络后；18%生产发布后。

此外，受访者表示，保护汽车技术安全最常用的技术手段之一是安全补丁管理（61％）、渗透测试（56％）和动态安全测试/DAST（49％）。有趣的是，这些都是在生命周期的后期采用的技术。这再次说明了一个常见问题：网络安全未完全整合到系统开发生命周期中，尤其是在早期需求、设计、测试和开发阶段。

为了应对联网汽车攻击的风险，各国监管机构也积极采取多种举措，比如ISO 21434标准，将网络安全贯穿在车辆设计整个生命周期中。威胁分析与风险评估(Threat Analysis and Risk Assessment, TARA) 是该标准中的重要功能和工作产品，涵盖了风险评估和评定方法，以及对已识别风险的处理和计划。

静态应用安全测试(SAST) 可以帮助汽车企业确保符合安全和编码标准。比如凭借Coverity，用户可以轻松按类别筛选已识别的问题、查看趋势报告、根据严重程度确定漏洞修复优先级、全面跟踪和管理合规性。另外，通过 CI、SCM、问题跟踪集成和 REST API，将 SAST 嵌入 DevOps 流水线。

软件质量与安全、合规性要求和规避风险均是当务之急，这也推动了DevSecOps的发展。在不影响安全性的情况下保持速度，需要将安全功能融入各个阶段。这种功能就是 DevSecOps。

除了SAST，新思科技还提供其它解决方案，覆盖整个应用安全左移。其中包括Seeker交互式应用安全测试，可以查明Web应用程序中可利用的漏洞和数据保护问题；Black Duck软件组成分析，检测和管理开源以及第三方组件风险；Defensics协议模糊测试，检测通过协议和API暴露的漏洞等。

会议介绍
由盖世汽车、AUTOSAR组织、上海车展三方联合主办的SDVF2021第二届软件定义汽车高峰论坛暨AUTOSAR2021中国日于4月19日至21日在上海举办，本次活动也是2021上海车展的同期活动之一。会议聚焦车载操作系统、OTA、智能汽车域控制器、软件定义汽车时代供应链关系的变化等行业焦点话题展开。