点击蓝字 关注我们
什么是IEC 62443
IEC 62443是一项国际标准，规定了实施和维护安全工业自动化和控制系统（IACS）的要求和流程。这些标准为安全设定了最佳实践，并提供了评估安全级别的方法。
IEC 62443对如何构建更安全的设备和应用程序提供了指导，例如通过使用安全设计、减少攻击面、深度防御等。其目标是致力于从根本上减少工控网络安全风险的发生，降低工控网络安全风险的影响。
IEC 62443实践4：安全实施
在标准中，第8.3.1和8.4.1节中特别提到了静态代码分析、代码审查和实施安全编码标准的必要性。需求的另一个关键方面是安全要求在实施和测试之间的可追溯性。
IEC 62443标准明确规定了静态分析工具的使用和安全编码标准。因此，这些工具必须与已建立的流程、开发和构建/测试环境配合使用。
静态分析工具在安全实施审查中的作用
静态分析工具在检测错误、缺陷、漏洞或其他影响软件安全和功能的问题方面非常出色。静态分析还可用于验证系统是否符合某些编码标准或需求。
总的来说，静态分析工具在帮助开发人员遵守IEC 62433方面特别有用，它能在攻击者利用代码之前识别出潜在的安全缺陷或弱点。此外，静态分析工具还能帮助实现符合安全编码实践的相关标准或法规，包括安全编码标准。
编码错误、软件弱点和漏洞
以下是使用高级静态分析工具如Parasoft C/C++test来保护IACS软件的一些功能和优势。
-
提高了代码质量。静态分析工具可识别编码最佳实践和确保遵守标准，从而来提高整体代码质量。这些工具精确定位了效率低下、难以维护和容易出错的代码领域，这通常会导致一些弱点，如果暴露给攻击者，这些弱点可能会被利用。
-
早期识别漏洞。Parasoft C/C++test可以在安全漏洞在软件开发生命周期中传播之前被识别出来。提供详细信息和代码执行跟踪信息可以简化纠正漏洞的过程。
-
加速合规。静态分析工具以及强大的分析和报告功能减轻了行业遵守安全标准和法规的负担。
-
易于扩展。高级静态分析工具的设计具有可扩展性，可适应不同的软件项目和公司规模。它们还能在开发人员的开发环境中工作，无缝集成到小型应用程序和大型企业系统的IDE和流程中。
IEC 62443实践5：安全验证和确认测试
该标准对于验证和确认安全性所需的测试的类型和彻底性也非常明确。实现这些要求的最佳实践方法是通过软件测试自动化。下面讨论了标准的验证和确认的要求，以及测试自动化在每种情况下如何提供帮助，从而加速流程。
安全功能测试
自动化功能测试的一个好处是可以随时运行测试，无论白天或晚上，测试人员也无需持续参与。自动化测试也比手动测试运行得更快。他们完全遵循测试计划，避免了潜在的人为错误。
动态应用程序安全测试
动态应用程序安全测试（DAST）是与静态分析（SAST）类似的另一种安全测试，但它是在系统应用程序运行时工作。这些工具可检测执行代码中的运行时漏洞。它们具有很高的精确度，IEC 62443明确表示，应该进行所有类型的应用程序安全测试。
自动化双向可追溯性
应用程序生命周期管理工具包括成熟的需求管理功能，这些功能往往是可追溯性的中心。集成软件测试解决方案，如Parasoft提供的解决方案，通过自动化完成安全要求的验证和确认。为可执行测试用例提供双向可追溯性，包括测试通过或失败的结果，并追溯到实现需求的源代码。
Parasoft提供从工作项目到测试用例和测试结果的双向可追溯性——既使用Parasoft DTP显示可追溯性报告，也可以将结果报告回需求管理系统。
Parasoft与市场领先的需求管理和敏捷规划系统集成，如Intland Codebeamer、西门子的Polarion、Atlassian Jira、CollabNet VersionOne和TeamForge。Parasoft的测试自动化解决方案C/C++test、Jtest、dotTEST、SOAtest和Selenic支持将测试与这些系统中定义的工作项（如需求、缺陷和测试用例定义）关联起来。DTP 是 Parasoft 的中央报告和分析仪表板，可用于管理可追溯性。
总结
软件测试自动化工具是使测试在向市场交付安全IACS产品所需的时间内使测试可行的关键。包括加快测试过程，确保遵守安全标准，并提供报告。验证和确认安全要求的自动可追溯性对于确保满足安全要求至关重要。如果您想了解更多使用Parasoft C/C++test满足IEC 62443的安全要求，欢迎联系我们。
