.png){kind=icon}
返回
DevSecTrust: Standardising How We Measure Software Development Security
.png){kind=icon}
OA
AI
DOI：10.3390/fi18060279.png)
.png){kind=icon}
原文求助.png){kind=icon}
分享.png){kind=icon}
收藏
摘要
En 中文
基于指标的安全度量在软件安全中扮演着关键角色，它不仅能让开发者就开发实践做出明智决策，还能让用户评估所使用软件的安全风险。指标正被越来越多地用于确保代码安全，但目前对其更广泛适用性的正式评估甚少，且结果的解读仍依赖定性分析。为填补这一空白，我们引入DevSecTrust，一个用于衡量和比较软件开发安全指标的标准评估框架。DevSecTrust提供了：（i）统一的对照映射指标模式；（ii）基于结果的校准与验证，利用真实漏洞和维护数据；（iii）鲁棒性和可操控性测试，以评估指标可靠性。本文分析了两种软件开发安全工具——MITRE的Hipcheck和OpenSSF的Scorecard，通过广泛使用的开源软件项目，对它们生成的指标进行评估和对比。我们的定量比较发现工具输出之间相关性低且分布不一致，对特征权重和评分逻辑的定性分析揭示了各工具对“安全开发”概念化存在根本差异。这些不一致性削弱了对开发安全指标的信任，并阻碍了其可解释性和实际应用价值。本研究为标准化测量软件开发安全铺平了道路。
Keyword:
open-source software
software security
OpenSSF Scorecard
MITRE Hipcheck
software supply chain
software security metrics
software development
期刊
IF:
3.6
论文数:
1.3K
被引数:
6.5K
机构
引用论文
Saeed, H.; Shafi, I.; Ahmad, J.; Khan, A.A.; Khurshaid, T.; Ashraf, I. Review of Techniques for Integrating Security in Software Development Lifecycle. Comput. Mater. Contin. 2025, 82, 139–172. [Google Scholar] [CrossRef]Saeed, H.; Shafi, I.; Ahmad, J.; Khan, A.A.; Khurshaid, T.; Ashraf, I. 软件开发生命周期中集成安全技术的综述。Comput. Mater. Contin. 2025, 82, 139–172. [Google Scholar] [CrossRef].png)
IF0
PREAI
分享收藏
Kommrusch, S. Artificial Intelligence Techniques for Security Vulnerability Prevention. arXiv 2019. [Google Scholar] [CrossRef]Kommrusch, S. 人工智能技术在安全漏洞预防中的应用。arXiv 2019. [Google Scholar] [CrossRef]
IF0
PREAI
分享收藏Ala, A.A.; Salim, A.A.; Faitouri, A.A. Security Metrics for Assessing Security Risks of Software in Agile Development Methods. Bani Waleed Univ. J. Humanit. Appl. Sci. 2025, 10, 213–224. [Google Scholar] [CrossRef]阿拉, A.A.; 萨利姆, A.A.; 法图里, A.A. 评估敏捷开发方法中软件安全风险的度量指标. 巴尼·瓦利德大学人文应用科学杂志. 2025, 10, 213–224. [Google Scholar] [CrossRef]
IF0
PREAI
分享收藏Mead, N.; Woody, C.; Hissam, S. Open Source Software (OSS) Transparency for DoD Acquisition. arXiv 2024, arXiv:2404.16737. [Google Scholar] [CrossRef]梅德，N.；伍迪，C.；希萨姆，S. 开源软件（OSS）透明度在国防采购中的应用。arXiv 2024, arXiv:2404.16737. [Google Scholar] [CrossRef]
IF0
PREAI
分享收藏
查看更多内容