安全开发一体化管理平台SDMP

孝道科技得道SDMP安全开发一体化管理平台（Secure Development Management Platform）是孝道科技（安全玻璃盒）面向企业级应用推出的一站式、自动化、智能化的安全开发一体化管理平台。其设计初衷是帮助企业开发团队、安全团队及运维团队摆脱传统“门禁式”安全模式在敏捷开发和DevOps高速交付场景下的局限性，通过平台化的方式将安全能力无缝嵌入到软件开发生命周期的各个阶段，从而应对数字化转型过程中应用安全风险激增、合规监管趋严、安全人才匮乏以及开发效率与安全质量难以平衡的多重挑战。SDMP并非单一的安全检测工具，而是一个深度融合了安全威胁建模分析、安全原子能力集成、自动化安全检测、漏洞全生命周期管理、资产依赖关系梳理、应用安全态势感知以及CI/CD流水线集成的综合性产品套件，其核心工作流遵循从安全需求分析、威胁建模、安全检测、漏洞闭环管理到持续安全运营的全生命周期管理。

一、 核心定位与整体架构

SDMP的核心理念是“打造一站式管理研发安全质量的安全开发一体化平台”。与传统的仅在运维阶段依赖安全设备进行被动防护的模式不同，SDMP强调通过一体化平台设计，将安全能力前置到软件开发的源头，让安全贯穿需求、设计、开发、测试、运营等各个环节，实现“安全左移”和DevSecOps理念的落地实践。SDMP是业界内实践DevSecOps等理论的综合性业务流程平台，它通过威胁建模分析、组合分析检测、安全即代码等方式优化研发团队和安全团队在源代码、开源组件、应用软件、API、容器镜像等方面的安全工作，解决应用内生安全问题。产品以私有化部署和SaaS云服务两种模式交付，整体架构采用B/S架构，由安全威胁建模分析子平台、安全原子能力集成层、资产与依赖关系管理引擎、漏洞全生命周期管理中心、应用安全态势感知中心（ASPM）和应用安全编排中心（ASOC）六大核心模块构成。安全威胁建模分析子平台支持根据实际项目背景和业务场景输出威胁清单、安全需求清单、安全测试用例和安全编码规范；安全原子能力集成层负责将SAST静态代码审计、SCA开源组件分析、IAST交互式应用安全检测、ASTP免疫防御等安全能力统一集成和协同编排；资产与依赖关系管理引擎解决源码资产、主机资产、应用资产、API资产和开源组件资产的统一清单管理；漏洞全生命周期管理中心对各类安全检测任务发现的安全漏洞进行归一化处理、去重过滤、闭环追踪和修复验证；应用安全态势感知中心（ASPM）提供全项目安全数据整合和多维度可视化展示；应用安全编排中心（ASOC）实现不同安全原子能力的智能交互和自动化协同验证。

• 安全左移与DevSecOps实践：将安全能力前置到软件开发生命周期的早期阶段，打破传统“门禁式”安全模式，让安全通过自动化流程高效、透明地融入开发至运营的各个环节，集成到开发者的开发环境（IDE）和CI/CD工具链中，不改变原有的工作环境和生态链。
• 平台化与一体化：通过一体化平台设计，将安全威胁建模、安全检测、漏洞管理、资产梳理、态势感知等多项能力整合为统一平台，用户可以在一个平台上完成从安全需求分析到安全检测再到漏洞修复的全流程工作，避免了在不同安全工具之间切换带来的集成与协作成本。
• 智能交互与协同验证：SDMP将不同的安全开发原子能力形成智能交互和协同验证，提升工作的效率和检测的精确度。例如，根据源代码审计系统的漏洞风险元数据，通过SDMP平台与IAST的自动化验证模块形成智能交互和自动化验证。

平台的逻辑架构通常分为以下层次：

1. 安全需求与威胁建模层：基于业务场景进行威胁建模分析，输出安全需求清单、威胁清单、安全测试用例和安全编码规范。
2. 安全原子能力集成层：集成SAST静态代码审计、SCA开源组件分析、IAST交互式应用安全检测、ASTP免疫防御等安全原子能力，实现统一调度和协同验证。
3. 资产与依赖管理层：梳理和维护源码资产、主机资产、应用资产、API资产、开源组件资产及组件版本信息。
4. 漏洞全生命周期管理层：对各类安全检测任务发现的漏洞进行归一化处理、去重过滤、风险定级、修复追踪和复测验证。
5. 应用安全态势感知层：整合所有项目的安全数据，包括安全需求数据、漏洞数据、任务数据等，通过丰富的图表类型和统计数据进行安全态势展示。
6. CI/CD流水线集成层：与Jenkins、GitLab CI、GitHub Actions等CI/CD平台无缝集成，实现安全检测的自动化触发和质量门禁管控。

二、 核心功能模块详解

1. 安全威胁建模分析子平台

这是SDMP实现“安全左移”和“安全需求前置”的核心能力。传统的威胁建模过程复杂、高度依赖安全专家经验，且容易与开发流程脱节。SDMP内置的安全威胁建模分析系统（STMA）通过结构化的分析框架和自动化辅助能力，大幅降低了威胁建模的门槛和复杂度。

• 基于风险业务场景的轻量级威胁建模：根据实际项目背景、业务场景和系统架构，系统自动或半自动地输出威胁清单、安全需求清单、安全需求测试用例、安全编码规范。这一功能有效解决了威胁建模过程复杂、企业缺少安全专家、缺少安全测试人员和安全测试用例等痛点问题。
• 业务安全需求闭环管理：支持从安全需求的提出、评审、分配到验证的全流程闭环管理。每个安全需求均可关联到具体的威胁项和业务场景，确保安全需求的来源清晰、可追溯。通过安全需求闭环管理，确保安全需求不被遗漏，并在开发过程中得到有效落实。
• 安全测试用例管理：内置覆盖OWASP Top 10、CWE Top 25等主流漏洞类型的测试用例库，支持按项目、按业务场景、按技术栈等多维度筛选和复用。测试用例可直接输出至自动化安全检测任务或手工测试执行，实现从威胁建模到安全测试的无缝衔接。
• 安全编码规范自动生成：根据威胁建模结果和技术栈信息，自动生成针对性的安全编码规范建议，帮助开发人员在编码阶段避免引入常见的安全缺陷。安全编码规范可导出为PDF/Word格式，便于团队内部培训和代码审查使用。
• 与安全原子能力联动：威胁建模输出可直接触发相应的安全检测任务，例如为新增的API接口自动触发IAST检测，为新增的开源组件自动触发SCA分析，形成从威胁识别到安全检测的自动化闭环。

2. 资产与依赖关系管理引擎

此模块是SDMP实现“全面资产可见”和“软件供应链安全”的基础。在资源开放共享、业务高频迭代的背景下，开发项目资产数量大、种类多，随着应用迁移上云暴露出更多攻击面。SDMP提供全面的资产清单管理能力，帮助企业清晰掌握各类资产的分布和状态。

• 源码资产管理：对接Git、SVN等代码仓库，自动采集项目源码信息，包括代码仓库地址、分支信息、提交记录、代码行数、编程语言分布等。支持源码资产的版本管理和变更追踪，便于安全团队了解代码资产的演化历史和风险变化。
• 主机资产管理：通过对接CMDB或主动扫描方式，采集主机资产信息，包括IP地址、操作系统类型及版本、开放端口、运行服务等。主机资产信息可与应用资产进行关联，形成完整的IT资产拓扑。
• 应用资产管理：对已上线或待上线的业务应用进行统一登记和管理，包括应用名称、业务归属、技术栈、部署环境（开发/测试/生产）、访问地址、负责人等信息。通过清晰的应用资产管理，可及时发现异常调度和未授权变更，追溯安全事件源头。
• API资产管理：支持全量API的自动发现和统一管理。通过与IAST系统的联动，自动捕获应用中所有的API接口信息，包括请求方法、URL路径、参数列表、返回格式等。同时支持API的变更监控，及时发现新增、删除或变更的API接口，防范API滥用和未授权访问风险。
• 开源组件资产清单管理：通过与SCA系统的集成，自动识别项目中引用的所有开源组件，建立完整的开源组件清单和组件版本管理。组件清单包括组件名称、版本号、许可证类型、来源仓库、依赖关系等信息。通过清晰的开源组件清单，可有效减少高危漏洞组件的引入，确保开源组件的合规使用。
• 资产关联关系可视化：以图形化方式展示源码、主机、应用、API、开源组件之间的关联关系，帮助安全团队和运维团队快速理解资产的依赖结构和潜在风险传导路径。当某个组件出现高危漏洞时，可快速定位受影响的上层应用和业务系统。

3. 安全原子能力集成与协同验证

此模块是SDMP实现“一体化安全检测”的技术核心。SDMP将孝道科技自研的各类安全检测工具（SAST、SCA、IAST、ASTP等）以及第三方安全工具统一集成到平台中，实现安全原子能力的统一调度、智能交互和协同验证。

• 行道SAST静态代码审计系统集成：SDMP与孝道科技自研的SAST系统深度集成，支持对Java、C/C++、C#、PHP、Python、Go、JavaScript等10余种主流编程语言的源代码进行静态安全检测。SAST检测结果自动上报至SDMP漏洞管理中心，并与IAST、ASTP等其他检测结果进行关联分析，提升检测的准确性和漏洞验证的效率。根据源代码审计系统的漏洞风险元数据，通过SDMP平台与IAST的自动化验证模块形成智能交互和自动化验证。
• 明道SCA开源软件成分分析系统集成：SDMP与SCA系统集成，支持对项目中引用的开源组件进行成分识别、漏洞分析和许可合规评估。SCA检测结果自动上报至SDMP漏洞管理中心，并纳入开源组件资产清单统一管理。对于已知漏洞的开源组件，SDMP可自动生成升级或替换建议，并将修复任务分配给责任人。
• 守道IAST交互式应用安全检测系统集成：SDMP与IAST系统深度集成，通过运行时“静默监听”模式对数字应用代码层、应用层、开源组件进行漏洞检测。IAST采用业内领先的AI智能动态污点分析技术，在测试过程中不产生脏数据，检测结果高度精准。IAST检测到的漏洞可通过SDMP平台自动与SAST检测结果进行关联验证，有效过滤误报并提升漏洞发现的覆盖率。
• 护道ASTP数字应用免疫系统集成：SDMP与ASTP系统集成，ASTP是国内首个“All in one三合一”安全平台，提供交互式应用安全检测、开源软件供应链安全和应用安全免疫防御功能。既能确保数字应用上线即安全，避免应用带病运行，又能应用于生产运行环境，当发现漏洞或遇到异常攻击时立即激活自适应RASP防护机制，实现“攻防结合”，赋予数字应用具备“自我检测与自我免疫”安全能力。SDMP可将ASTP检测到的高危漏洞自动触发免疫防御策略，实现从检测到防护的自动化闭环。
• 第三方安全工具接入：SDMP提供标准化的API接口，支持接入客户已采购的第三方安全检测工具（如商业漏扫工具、开源检测工具等），实现多源检测数据的统一汇总和分析。通过第三方工具的接入，企业可以最大化利用现有安全投资，避免安全工具“烟囱式”建设的重复投入。
• 安全原子能力协同验证：SDMP将不同的安全开发原子能力形成智能交互和协同验证。例如，当SAST检测到一个可疑的SQL注入漏洞时，SDMP可自动调用IAST对该漏洞进行动态验证，确认漏洞的真实可利用性后再上报漏洞管理中心，大幅减少人工复核的工作量。这种“静态检测+动态验证”的协同模式，有效提升了检测的精确度和漏洞处置的效率。

4. 漏洞全生命周期管理中心

此模块是SDMP实现“漏洞闭环管理”的核心。随着安全检测任务的增多，大量漏洞数据可能来自不同的检测工具和检测阶段，如何对海量漏洞数据进行归一化处理、去重过滤、精准定级、追踪修复是安全运营中的关键难题。SDMP提供强大的漏洞二次处理能力和闭环管理能力，帮助企业建立规范的漏洞处置流程。

• 漏洞归一化与去重：统一管理来自SAST、SCA、IAST、ASTP、第三方工具等各类安全检测任务的安全漏洞，对大量的漏洞数据进行归一化处理，过滤重复的安全漏洞，缩短人工复核时间。系统自动识别同一漏洞在不同检测任务中的重复出现，只保留一条记录，并关联所有相关的检测证据和上下文信息。
• 第三方风险组件漏洞管理：支持管理第三方风险组件漏洞，通过SCA检测结果自动识别项目中引用的第三方组件及其已知漏洞，避免引入不安全的第三方组件。对于第三方组件的漏洞，系统提供版本升级建议、临时补丁方案或组件替换建议，帮助开发团队快速处置供应链安全风险。
• 漏洞风险定级与优先级排序：综合考量漏洞的CVSS评分、业务影响范围、数据敏感程度、利用难度、公开利用代码是否存在、受影响资产的重要性等因素，对每个漏洞进行精准的风险等级评定（严重、高危、中危、低危、提示），并给出修复优先级排序。修复优先级排序结果可自动推送至责任人，帮助开发团队科学安排修复计划。
• 漏洞修复任务分配与追踪：支持将确认的漏洞一键转化为修复任务，指派责任人、设置修复截止日期、跟踪任务进度。系统提供修复任务看板，以可视化方式展示待修复、修复中、待复测、已关闭等各状态的任务数量。支持任务提醒、逾期预警、进度汇报等功能，确保每个漏洞都有明确的责任人和修复时限。
• 漏洞复测与验证闭环：开发团队完成漏洞修复后，可通过SDMP一键发起复测任务，由相应的安全检测工具（SAST、IAST等）对修复后的代码或应用进行重新检测。系统自动对比修复前后的检测结果，验证漏洞是否被正确修复，并更新漏洞状态。复测完成后，系统出具复测报告，形成完整的漏洞闭环。
• 漏洞统计与分析报告：提供多维度漏洞统计报表，包括按项目统计、按漏洞类型统计、按风险等级统计、按时间趋势统计等。可导出Excel/PDF格式的漏洞报告，用于向管理层汇报、安全审计或合规检查。同时支持漏洞来源分析（哪个检测工具发现、哪个检测阶段发现）、漏洞处理流程耗时分析（从发现到修复的平均时长、各阶段耗时分布）等高级分析功能。

5. CI/CD流水线集成与自动化安全检测

针对采用DevOps或敏捷开发模式的企业，SDMP提供与CI/CD流水线的深度集成能力，实现安全检测的自动化、常态化和左移化。

• 流水线自动化触发：接入Jenkins、GitLab CI、GitHub Actions、Azure DevOps等主流CI/CD平台，通过插件或API接口在代码构建、分支合并或发布部署阶段自动触发安全检测任务。支持在代码提交时自动触发SAST增量扫描，在构建阶段自动触发SCA组件分析，在测试阶段自动触发IAST交互式检测，实现“代码提交即检测、构建即扫描、测试即验证”的自动化安全检测闭环。
• 安全检测门禁与卡点管控：将安全检测结果作为CI/CD流水线的质量门禁，当检测结果中存在严重或高危漏洞时，可配置流水线自动阻断，禁止代码合并或发布上线。通过质量门禁管控，从流程上杜绝不安全代码进入生产环境，确保上线即安全。
• IDE插件集成与开发环境实时检测：提供面向开发者的IDE插件（支持IntelliJ IDEA、Eclipse、VS Code等），开发人员在编码过程中即可实时获得代码安全检测反馈，在漏洞产生的最早阶段进行修复，大幅降低漏洞修复成本。IDE插件支持代码保存时自动触发增量SAST检测，检测结果以问题列表形式展示在IDE中，并提供一键跳转到漏洞代码位置和一键查看修复建议的功能。
• 安全即代码与策略即代码：支持将安全检测规则、质量门禁策略、漏洞修复策略等以代码形式进行版本化管理，通过配置文件定义安全检测的触发条件、检测范围、阻断阈值等。安全策略可纳入代码仓库进行版本控制，实现安全策略的“基础设施即代码”管理。
• 全流程自动化安全覆盖：让安全通过自动化流程高效、透明地融入开发至运营的各个环节，集成到开发者的开发环境（IDE）和CI/CD工具链的工具中，不改变原有的工作环境和生态链。通过全流程自动化安全覆盖，实现安全测试左移，保障应用上线即安全。

6. 集中风险可视化与应用安全态势感知

此模块为安全管理者提供全局的风险视图和决策支撑。SDMP整合所有项目的安全数据，包括安全需求数据、漏洞数据、任务数据等，通过丰富的图表类型和统计数据进行安全态势展示，支撑管理决策、安全数据监测、总结汇报等场景。

• 多项目安全态势总览：提供面向安全总监、CISO等管理层的安全态势总览大屏，以可视化图表展示企业所有项目的整体安全状况，包括各项目的安全评分、漏洞总数及分布、修复进度、安全需求完成率、合规达标率等关键指标。支持按事业部、按业务线、按项目等多维度下钻分析，快速定位安全风险较高的项目或业务单元。
• 阶段风险概览与差距项统计：按软件开发生命周期的不同阶段（需求、设计、开发、测试、运营）展示风险分布情况，帮助团队了解安全风险主要集中出现在哪个阶段，从而有针对性地优化安全措施。同时提供与行业基准或历史数据的差距项统计，直观展示安全建设的改进成效和待提升的方向。
• 整体风险趋势分析：通过对多次安全检测的历史数据进行趋势分析，展示漏洞数量的月度/季度变化趋势、高危漏洞占比变化趋势、平均修复时长变化趋势等。通过风险趋势分析，帮助安全管理者评估安全建设的长期成效，预测未来的安全投入方向。
• 漏洞来源分析与处理流程分析：统计各安全检测工具（SAST、SCA、IAST、ASTP等）发现的漏洞数量和占比，评估不同检测工具的效能和互补性。同时展示漏洞从发现到修复的全流程耗时分析，包括检测耗时、复核耗时、修复耗时、复测耗时等各阶段的耗时分布，帮助优化漏洞处置流程。
• 安全检测效果和频率分析：统计安全检测任务的执行频率、检测覆盖率、检测通过率等指标，评估安全检测活动的有效性和持续性。通过检测效果分析，可发现检测盲区或检测频率不足的问题，优化检测策略和资源配置。
• 安全开发建设效果对比：支持对同一项目在不同时间点的安全指标进行对比分析，展示安全开发的改进成效。同时支持多项目之间的横向对比，帮助组织识别安全开发的最佳实践和标杆项目。
• 安全需求和漏洞处置进度监控：实时展示安全需求的完成进度和漏洞的处置进度，包括待处理、处理中、待验证、已完成等各阶段的任务数量。提供安全需求和漏洞处置的甘特图和燃尽图，帮助安全团队和开发团队实时了解工作进展，及时调整资源配置。
• 闭环率、误报率、修复时长等关键指标统计：自动计算和展示各项目的漏洞闭环率（已修复漏洞数/总确认漏洞数）、检测误报率（误报数/总检测告警数）、平均修复时长（从漏洞确认到修复完成的时间）等关键运营指标。这些指标可直接用于安全团队和开发团队的绩效评估和流程优化。

7. 应用安全编排中心（ASOC）

此模块是SDMP实现“智能协同”和“自动化响应”的核心能力。ASOC（Application Security Orchestration and Correlation）负责将不同的安全检测原子能力、响应处置能力进行统一编排和智能联动，提升安全运营的效率和自动化水平。

• 安全检测任务编排：支持通过可视化工作流设计器，将多个安全检测任务编排成自动化流水线。例如，当代码提交触发SAST检测后，若检测到高危漏洞，可自动触发IAST对该漏洞进行动态验证，验证通过后再自动创建Jira工单并指派给代码提交者。通过任务编排，将多步骤、多人参与的检测流程自动化，减少人工介入和协调成本。
• 智能联动与协同验证：SDMP将不同的安全开发原子能力形成智能交互和协同验证。例如，根据源代码审计系统的漏洞风险元数据，通过SDMP平台与IAST的自动化验证模块形成智能交互和自动化验证。通过这种“静态检测+动态验证”的协同模式，有效降低误报率，提升漏洞处置的精准度和效率。
• 自动化响应与工单集成：当检测到严重或高危漏洞时，ASOC可自动触发响应动作，包括但不限于：自动创建Jira/ServiceNow工单并指派给责任人、自动发送邮件或钉钉告警通知、自动调用ASTP接口激活免疫防御策略等。通过自动化响应，大幅缩短漏洞从发现到处置的时间窗口。
• 可扩展的检测能力：ASOC支持通过API接口扩展接入新的安全检测工具或响应工具，企业可根据自身需求自定义编排规则和响应策略，实现安全能力的灵活扩展和按需定制。

8. 应用安全态势感知中心（ASPM）

此模块是SDMP实现“数据驱动安全决策”的核心能力。ASPM（Application Security Posture Management）负责整合所有安全检测和运营数据，提供企业级的应用安全态势视图和风险洞察能力。

• 全量安全数据整合：统一纳管SAST、SCA、IAST、ASTP等安全检测工具产生的所有安全数据，包括漏洞数据、组件数据、API数据、资产数据、任务数据等。通过数据整合，打破安全数据孤岛，形成企业级的安全数据湖。
• 应用安全风险画像：基于整合的安全数据，为每个应用生成安全风险画像，包括漏洞风险评分、开源组件风险评分、API暴露风险评分、历史安全事件记录等。安全风险画像可用于应用的风险分级管理，优先保障高风险应用的安全资源投入。
• 安全治理成熟度评估：基于安全检测覆盖度、漏洞修复时效、安全需求完成率等多项指标，评估企业的安全开发治理成熟度水平。成熟度评估结果可用于指导安全建设的方向和优先级，也可用于向管理层汇报安全投入的成效。
• 合规态势监控：针对《网络安全法》《数据安全法》《个人信息保护法》《网络安全等级保护》等政策法规的合规要求，提供合规态势监控功能。自动检测系统是否存在数据安全合规风险、个人信息保护合规风险等，并生成合规报告。
• 历史安全数据归档与分析：支持对多次安全检测的历史数据进行归档和对比分析，展示安全质量的趋势变化，帮助客户评估安全改进成效，持续优化安全开发体系。

三、 平台的技术特点与优势

• 业内领先的DevSecOps创新平台：2022年，全球领先的IT咨询机构IDC发布《IDC Innovators: 中国DevSecOps技术，2022》报告，安全玻璃盒孝道科技以自主研发国内首个“All in one三合一”交互式应用安全检测和开源成分安全分析与免疫防御一体化平台，实现DevSecOps技术创新和独具示范性等独特优势成为IDC中国DevSecOps技术创新者。孝道科技通过自主研发安全开发一体化管理平台SDMP，真正将安全能力集成到DevOps的各个阶段。既能实现无缝融合，又能实现切面解耦。同时将各个阶段的安全开发原子能力实现统一管理、协同验证和安全左移自动化。
• 完整的DevSecOps理论实践平台：SDMP是业界内实践DevSecOps等理论的综合性业务流程平台。它通过威胁建模分析、组合分析检测、安全即代码等方式优化研发团队和安全团队在源代码、开源组件、应用软件、API、容器镜像等方面的安全工作，解决应用内生安全问题。孝道科技以DevSecOps、解决开发安全生命周期、软件组件安全分析与监测、源代码安全、威胁对抗与安全管理、安全管理运维、安全意识培训、渗透测试、重保支持、漏洞检测、Web漏洞扫描与监测、云原生安全等12大赛道被重点收录展现。
• 安全原子能力统一集成与智能协同：SDMP将不同的安全开发原子能力形成智能交互和协同验证，提升工作的效率和检测的精确度。通过“静态检测+动态验证”的协同模式，有效降低误报率，提升漏洞处置的精准度。平台集成行道SAST静态代码审计系统、明道SCA开源软件成分分析系统、守道IAST交互式应用安全检测系统、护道ASTP数字应用免疫系统等全链路安全能力。
• 全流程自动化安全覆盖：SDMP提供从安全需求管理、威胁建模分析、安全检测、漏洞全生命周期管理到安全态势感知的全流程自动化安全覆盖能力。支持与CI/CD流水线无缝集成，支持IDE插件开发环境实时检测，实现安全测试左移，保障应用上线即安全。
• 资产与依赖关系全面管理：覆盖源码资产、主机资产、应用资产、API资产、开源组件资产的全方位资产管理能力，通过清晰的资产清单和关联关系可视化，可及时发现异常调度和未授权变更，追溯安全事件源头。
• 数据驱动的安全运营决策：通过ASPM应用安全态势感知中心，整合所有项目的安全数据，提供丰富的图表类型和统计报表，支撑管理决策、安全数据监测、总结汇报等场景。关键运营指标包括闭环率、误报率、修复时长等，可直接用于安全团队和开发团队的绩效评估和流程优化。
• 灵活的部署方式与信创适配：支持私有化部署和SaaS云服务两种交付模式，满足不同企业对数据安全和部署环境的差异化需求。同时，SDMP已适配国产化信创环境，符合金融、政府等关键行业对自主可控的安全要求。
• 行业认证与客户认可：SDMP产品入选《2022年度杭州市优质产品推荐目录》，被评为杭州市优质产品。孝道科技已为包括但不限于中国人民银行、杭州银行、厦门国际银行等金融行业几十家用户提供DevSecOps与数字化应用安全解决方案，让安全赋能到开发、测试及运营等各个环节。

四、 典型应用场景

• 金融行业安全开发体系建设：银行、证券、保险等金融机构在数字化转型过程中，业务系统快速迭代交付对安全提出了更高的要求。传统“门禁式”安全模式已无法满足高速交付场景下的安全需求。通过部署SDMP，金融机构可将安全能力无缝嵌入到DevOps流程中，实现从安全需求、威胁建模到安全检测、漏洞修复的全流程自动化安全覆盖。同时，SDMP帮助金融机构满足《关于银行业数字化转型的指导意见》《金融行业网络安全等级保护实施指引》等监管合规要求。孝道科技已为包括但不限于中国人民银行、杭州银行、厦门国际银行等金融行业几十家用户提供DevSecOps与数字化应用安全解决方案。
• 软件供应链安全管理：随着开源软件的广泛应用，软件供应链安全成为企业面临的重要挑战。SDMP通过集成SCA开源组件分析能力，自动识别项目中引用的开源组件及其已知漏洞，建立开源组件资产清单和版本管理，有效减少高危漏洞组件的引入。同时支持第三方风险组件漏洞管理，避免引入不安全的第三方组件，保障软件供应链安全。孝道科技软件供应链安全解决方案，集成软件供应链风险防御平台与软件供应链安全管理系统核心能力，可实时监测供应链风险、实现全链路安全管控，覆盖组件选型、开发到交付环节，助力企业规避供应链安全隐患。
• DevSecOps转型中的安全赋能：企业在从传统开发模式向DevSecOps模式转型过程中，需要将安全能力融入DevOps流水线而不影响开发效率。SDMP提供与CI/CD平台的深度集成能力，通过流水线自动化触发安全检测、质量门禁卡点管控、IDE插件实时检测等方式，实现安全测试左移和自动化，帮助企业高效完成DevSecOps转型。孝道科技在国内率先推出DevSecOps安全解决方案，集开发、安全、运营于一体化，聚焦于DevSecOps实践以及安全的流程化、规范化，让安全渗透在软件生命周期的每一个阶段。
• 外包开发安全管理：大量企业采用外包形式进行系统研发和维护，但外包交付的系统安全性难以保障。通过SDMP，企业可对外包供应商交付的源代码进行统一的安全检测和漏洞管理，对外包项目的安全质量进行量化评估和验收把关。同时，SDMP的威胁建模和编码规范功能可帮助外包开发团队提升安全编码能力，从源头减少漏洞引入。
• 合规驱动的安全开发管理：面对《网络安全法》《数据安全法》《个人信息保护法》《网络安全等级保护》等政策法规要求，企业需要建立规范的软件安全开发流程并保留合规记录。SDMP提供安全需求管理、安全检测记录、漏洞处置记录、合规报告等完整的安全开发证据链，帮助企业满足合规审计要求。
• 信创环境下的安全开发一体化：在国产化替代过程中，企业需要在信创环境下构建安全开发能力。SDMP适配国产化信创环境，支持在国产芯片、国产操作系统、国产数据库环境下运行，满足关键行业对自主可控的安全要求。

总结而言，孝道科技得道SDMP安全开发一体化管理平台是一套企业级、全流程、自动化、智能化的安全开发一体化管理平台。它通过将安全威胁建模分析、安全原子能力集成、资产与依赖关系管理、漏洞全生命周期管理、应用安全态势感知及CI/CD流水线集成等核心能力统一整合为一体化平台，为企业提供了从安全需求分析到安全检测再到漏洞修复的全流程安全开发管理能力，显著降低了安全开发的复杂度和管理成本。SDMP是业界内实践DevSecOps等理论的综合性业务流程平台，通过威胁建模分析、组合分析检测、安全即代码等方式优化研发团队和安全团队在源代码、开源组件、应用软件、API、容器镜像等方面的安全工作，解决应用内生安全问题。该平台已成功服务于金融、政府、企业等行业的众多客户，帮助企业在数字化转型过程中构建安全左移、持续集成的安全开发能力，是软件供应链安全和DevSecOps建设的坚实支撑。

点击链接，了解更多产品详情：

登录后查看