17、代码安全测试与测试用例概述

代码安全测试与测试用例概述

1. 代码安全测试的OCTAVE方法

1.1 OCTAVE与OCTAVE - S简介

OCTAVE主要是为大型组织设计的，它在风险评估任务中采取了一种更偏向组织层面的方法，这与大多数其他方法的技术视角不同。因此，OCTAVE更能敏锐地满足业务实践的需求，但由于需要通过访谈来了解业务需求，评估工作必须由公司内部团队进行。

OCTAVE - S是原始OCTAVE的较新版本，经过修改后更适合小型组织（目标是约100人或更少的组织）。该过程更加简化，所需团队规模更小（建议3 - 5人），并且计算机探索非常有限。相对而言，它不如OCTAVE有用，所以我们主要关注原始的OCTAVE方法。

1.2 OCTAVE方法的适用场景

这种威胁分析系统在执行过程中非常复杂，需要大量的流程和程序，涉及许多会议和工作表。它最适合使用软件和技术，甚至可能自行开发内部软件的公司。不过，该系统的组织重点和访谈模式不太适合基于项目的软件开发公司或部门。

1.3 OCTAVE过程的三个阶段

OCTAVE过程包括以下三个阶段：
| 阶段 | 名称 | 内容 |
| — | — | — |
| 1 | 构建基于资产的威胁概况 | 识别并列出组织的所有信息资产以及为保护这些资产所采取的措施。这主要依靠会议来访谈公司各部门的代表，以列出按重要性排序的资产清单以及创建模型时保护这些资产的方式。然后整合这些信息并生成一系列要求，最后为每个已识别的关键资产（排名最高的资产）创建威胁概况。 |
| 2 | 识别基础设施漏洞 | 查看与前一阶段关键资产相关的技术，以及支持这些关