Codewerk可提供涵盖安全生命周期的服务,包括安全开发、测试和监控。所有服务均有助于您应对《网络弹性法案》(CRA) 中的要求。
安全开发
- 差距分析:评估开发流程和客户应用中的现有安全措施,找出该措施与行业标准IEC 62443-4-1(工艺)和IEC 62443-4-2(组件)之间的差距。这是构建开发概念和架构的基础。差距分析有助于评估构思和实施所需的时间和成本
- 概念和架构:为嵌入式系统构建安全概念和架构,并将威胁模型和安全机制考虑在内。此举能够为实施工作奠定基础
- IEC 62443-4-2开发:按照IEC 62443-4-2标准执行工业组件安全要求。其中包括将身份验证和加密等安全功能集成到应用程序中
- 代码审查:对源代码进行系统审查,以查找安全隐患、漏洞、CWE和违反安全编码准则的行为。此举的目的是在开发过程的最初阶段就尽可能降低安全风险
安全测试
- 渗透测试:模拟针对硬件和固件的定向攻击,以便识别漏洞和遭到不法利用可能性。其中包括黑盒测试、白盒测试和灰盒测试
- 模糊测试:这是一种自动测试程序,通过生成随机输入或意外输入来引发错误或安全漏洞。该程序与接口和专有通信协议的关系尤为密切,可以基于黑盒、白盒或灰盒来完成。此外,用户还可执行基于源代码的模糊测试
- 自动化基础设施即服务:使用自动化测试和构建管道进行持续的安全检查。这样就能及早地反复验证安全要求
安全监控
- 持续漏洞监控:通过持续检查已知漏洞数据库和安全馈入信息对软件组件进行持续监控,以达到防范新漏洞和针对威胁迅速做出反应的目的
- 持续集成:将自动安全扫描和测试纳入CI/CD管道,从而将安全检查无缝融入开发和发布流程
- 公告生成:针对所发现的漏洞创建和发布安全公告和更新,并主动向客户和合作伙伴通报安全风险和相应的应对措施
| 支持的器件 | STM32H7, STM32MP1, STM32MP2 |
| 地点 |
Served Countries:
全球