SCW Trust Agent - 实现开发者驱动安全规模化的可见性与管控

各组织深知，只有通过开发者驱动的安全模式，才能真正落实“安全设计”原则。毕竟，正是开发者在设计、构建并最终提交驱动组织软件运行的代码。确保这些宝贵的贡献者具备实施安全编码最佳实践的知识与技能至关重要。然而，实现这一目标的挑战在于，如何将开发者的安全编码知识与技能，与其在实际构建软件时所使用的编程语言相匹配。即使对于最成熟的组织而言，这也绝非易事。

组织代码库中使用的编程语言种类繁多且数量庞大，这使得挑战进一步加剧，而安全团队往往对此一无所知。那么，CISO、应用安全负责人及工程主管该如何确保所生产和提交的代码，都有开发者在该语言领域的安全编码知识与技能作为支撑呢？

隆重推出 SCW Trust Agent

Secure Code Warrior 推出了 SCW Trust Agent 来解答这一难题。SCW Trust Agent 为安全领导者提供了规模化实现开发者驱动安全所需的可见性与管控能力，助力开发者和团队在提升代码提交安全性的同时，实现更高效的交付。

SCW Trust Agent 如何运作？

SCW Trust Agent 可发现并连接至您的代码仓库，以评估每次代码提交中的元数据。它会检查提交代码的开发者、所使用的语言或框架，以及代码提交的确切时间戳。随后，它会将此分析结果与 SCW 行业领先的学习平台中的数据和洞察相结合，以确定开发者是否具备该特定编程语言的安全知识。基于此信息，它会根据组织设定的策略，对该提交的健康状况进行评级。这些策略可自定义和配置，使团队能够根据项目或仓库的整体敏感度，为提交设置特定的准则和要求，从而设定更高或更低的开发者安全编码知识门槛。

进阶治理与管控

在强大的可见性基础上，Trust Agent 通过灵活的策略门控功能，提供了大规模的集成治理。这一创新功能使组织和团队能够主动在提交层面应用并维护其安全编码标准。如果开发者尝试提交的代码所使用的语言或框架超出了其安全编码技能的预设要求，Trust Agent 可自动触发可配置的操作——例如记录事件以供审查、发出直接警告，甚至完全阻止合并请求。

这些自适应策略门控可应用于任何基于 Git 的仓库，提供了一个至关重要的控制点，特别适用于业务关键型应用或有严格合规要求的应用，例如 PCI-DSS 4.0 标准在 6.2.2 要求中规定的特定语言安全培训。通过根据组织的风险偏好精确定义提交信任级别，Trust Agent 确保只有具备经核实安全编码技能的开发者所提交的代码才能进入最重要的仓库，从而从根本上加强安全态势。

优化开发生命周期

SCW Trust Agent 实现的这种主动方法不仅改善了组织的整体安全态势，还推动了开发生命周期的优化。确保开发者具备其提交代码所用语言的安全知识和技能，可以大幅减少后续需要识别和修复的漏洞数量。修复和返工往往会消耗开发者大量时间，中断工作流并影响交付速度。通过主动方法减少漏洞，可最大限度地缩短这些修复周期，让开发团队专注于交付高价值功能。

规模化开发者驱动安全

SCW Trust Agent 为组织提供了规模化开展开发者驱动安全计划所需的工具。CISO 和应用安全团队获得了实施适当治理所需的可见性与管控能力，并通过对策略设计、应用和执行的详细洞察，满足甚至超越合规标准。同时，开发者通过针对其所用语言的特定安全编码培训，能够更快速地交付安全代码。

SCW Trust Agent 适用于任何基于 Git 的源代码管理工具，且连接代码仓库非常简单，支持包括本地部署、云端部署和手动上传在内的多种连接方式。欲了解更多信息，请访问 www.scwtrustagent.com 或联系我们，我们非常乐意与您探讨如何帮助您的组织加强安全态势并实现开发者驱动安全的规模化。

编者注：本文最初由 Kyle Riordan 于 2024 年 7 月 23 日发布。现已由 Secure Code Warrior 高级产品营销经理 Andrew Johnson 更新了最新信息与研究成果。