Cybellum之Products（产品管理）模块技术详解

2026年6月11日 0条评论 15次阅读 0人点赞

本文档详细介绍 Cybellum Platform 3.11 版本中 Products（产品管理）模块的功能架构、技术原理和核心能力。

1. 模块概述

1.1 产品定义

在 Cybellum Platform 中，Product（产品） 是一个容器对象，用于组织和管理一组组件（Components）和其他产品（Products），代表具有独立生命周期和安全活动的系统级资产。

典型应用场景：

汽车行业：车载信息娱乐系统（IVI），由组件A、B、C组成
医疗行业：MRI扫描仪，由组件D、E、F组成
IoT行业：智能网关设备，由多个硬件和软件组件组成

1.2 模块定位

1.3 核心能力矩阵

能力领域	功能	说明
资产管理	产品创建、版本管理、组成管理	产品生命周期管理
安全活动	漏洞、代码弱点、策略、测试	聚合子组件安全状态
合规管理	合规框架、证据管理	法规遵从管理
威胁建模	TARA导入、风险分析	安全威胁评估
里程碑跟踪	KPI定义、进度监控	开发进度管理
报告导出	SBOM、测试报告	合规报告生成

2. 核心概念与架构

2.1 产品层级模型

2.2 产品与组件的关系

概念	说明
Component（组件）	基础资产单元，通过SCA扫描创建，包含SBOM和评估结果
Product（产品）	组件的容器，支持层级嵌套，继承子资产的活动和状态
Virtual Component（虚拟组件）	概念性组件，如防火墙、容器、安全控制、网关等

2.3 数据继承机制

产品自动继承所有子组件的数据：

Product SBOM = Σ(所有直接和间接子组件的SBOM)
Product Vulnerabilities = Σ(所有子组件的漏洞评估结果)
Product Code Weaknesses = Σ(所有子组件的代码弱点)
Product Risk Score = 基于子组件风险的聚合计算

3. 产品创建与信息管理

3.1 创建产品

必填字段

字段	说明
Name	产品唯一名称
Version	产品版本号（无需遵循语义化版本规范）

可选字段

字段	说明
SOP Date	量产开始日期（Start of Production）
Description	产品描述
Type	产品类型（根据平台版本提供选项）
CAL	网络安全保证等级（1-4级，Basic到High）
Vendors	供应商名称列表
Clients	下游客户名称列表
Markets	目标市场列表
Tags	用户定义标签
Business Unit	负责的业务单元
Model	产品型号名称
Variant	产品变体（如区域修改版本）
Lifecycle Phase	生命周期阶段
URL	相关信息链接

3.2 产品信息视图

产品主视图包含以下标签页：

标签页	内容
Overview	产品元数据、漏洞统计、工单统计
Architecture	资产组成管理、接口配置
SBOM	聚合的软件物料清单
Threat Modeling	威胁建模管理
Activities	安全活动管理
Compliance	合规框架管理

4. 产品组成架构管理

4.1 架构标签页结构

产品架构管理分为两个主要卡片：

卡片	功能
Items Assets	管理产品与其他资产的关联
Connected Assets	设置资产之间的接口连接

4.2 资产关联管理

Items Assets 卡片包含三个标签页：

标签页	内容
Product	关联其他产品及其版本
Component	关联组件及其版本
Virtual Component	创建和管理虚拟组件

4.3 接口连接配置

Connected Assets 用于定义资产之间的接口关系：

配置步骤

定位要连接的资产连接点
点击第一个资产的连接点
点击第二个资产的连接点
在左侧卡片中定义连接：
- 连接名称（必填）
- 攻击可行性等级（可选）
点击 Update Connection 保存

4.4 产品级SBOM

产品SBOM是所有直接和间接子组件SBOM的聚合：

Product SBOM = Σ(直接子组件SBOM) + Σ(间接子组件SBOM)

说明：产品级SBOM提供全局视图，但编辑操作需在组件级别进行。

5. 产品版本管理

5.1 版本概念

产品支持多版本管理，每个版本具有独立的组成配置和元数据。

版本特性

特性	说明
唯一性	版本名称在产品内唯一
默认版本	每个产品有一个默认版本，在列表中可见
版本层级	支持版本的嵌套结构
独立配置	每个版本可以有独立的组成配置

5.2 版本管理操作

支持的操作

操作	说明
查看版本列表	显示版本层级结构
添加版本	创建新版本
设置默认版本	更改默认可见版本
删除版本	删除指定版本

5.3 添加新版本

配置项

配置	说明
Version Name	版本名称
Version Nesting	版本嵌套位置（在哪个父版本下创建）
Copy Architecture	是否从父版本复制架构和组件配置
Metadata	其他产品元数据

5.4 版本移动

支持重新组织版本树结构：

移动前:              移动后:
v1.0                v1.0
v1.1                └── v1.1
v2.0                    └── v2.0

限制：版本不能移动到其后代版本下。

6. 产品安全活动管理

6.1 活动类型概览

活动类型	说明
Vulnerabilities	产品组件中的漏洞汇总
Code Weaknesses	产品组件中的代码弱点汇总
Policies	策略评估结果汇总
Fuzz Testing	模糊测试结果管理
Penetration Testing	渗透测试报告管理

6.2 漏洞活动

功能特性

按组件、包、漏洞元数据进行搜索和过滤
迷你仪表板展示聚合指标
表格展示每个漏洞的详细信息
支持深入查看单个漏洞

6.3 代码弱点活动

展示产品组件中检测到的所有代码弱点，支持按元数据过滤。

6.4 策略活动

展示策略评估结果：

组件级聚合指标
各策略评估的KPI（如完成率）
按组件分解的详细信息

6.5 模糊测试

模糊测试是发现产品安全缺陷的关键方法，支持：

Synopsys Defensics 测试结果导入
Vector CANoe 测试结果导入（仅Automotive版本）

6.6 渗透测试

渗透测试报告管理功能：

报告创建和元数据管理
测试用例管理
发现管理
证据附件管理
报告导出（XLSX/ZIP）

7. 产品合规管理

7.1 合规框架管理

每个产品可以分配一个或多个法规合规框架，支持：

框架需求结构浏览
证据上传和管理
需求状态维护
合规进度跟踪

7.2 证据管理

添加证据

步骤	操作
1	从下拉框选择合规框架
2	浏览需求层级，找到目标需求
3	点击上传图标
4	选择上传方式（文件/URL）
5	点击 Add 完成添加

7.3 需求状态管理

支持的需求状态：

状态	说明
Not Started	未开始
In Progress	进行中
Ready	就绪（计入就绪百分比）

提示：标记为 “Ready” 的需求会计入顶部显示的整体就绪百分比。

8. 产品威胁建模（TARA）

8.1 TARA概述

威胁评估和修复分析（TARA）是产品风险管理策略的关键方法，用于：

识别潜在安全威胁
评估威胁影响
制定缓解措施

8.2 威胁模型结构

Cybellum 将威胁模型标准化为以下结构：

Component（组件）
Damage Scenario（损害场景）
Threat Scenario（威胁场景）
Attack Path（攻击路径）
Risk Treatment（风险处置）

8.3 威胁模型导入

支持的导入方式

方式	说明
Itemis Secure	导入 XSAM 格式的威胁模型文件
CSV	使用标准CSV模板导入

Itemis Secure 导入数据点

数据类别	内容
组件	Component, SubComponents, Technologies
端点	Endpoints, DataFlows, Channel
资产	QualifiedAsset, AssignedFunctions
场景	DamageScenario, ThreatScenario
评估	ImpactRatings, AttackFeasibility
处置	RiskTreatments, AttackStep

8.4 威胁项目查看

点击威胁项目可查看详细信息，包括威胁、损害和其他属性。

9. 产品里程碑管理

9.1 里程碑概念

里程碑用于跟踪产品版本的网络安全进度，每个里程碑代表开发生命周期中的关键检查点。

核心概念

概念	说明
Milestone	产品生命周期中的定义事件，包含名称、描述、截止日期和KPI集合
KPI	关键绩效指标，包含计算公式、操作符和目标阈值

9.2 KPI状态

状态	说明
Not Fulfilled	默认状态；阈值从未满足
Fulfilled	首次满足阈值（记录时间戳）
Regressed	曾经满足但后来因数据变化而失败
Undetermined	数据不足无法计算

9.3 内置KPI

KPI	说明
Fully Resolved Vulnerable Packages	所有漏洞已解决的OS包百分比 ≥ X%
Fully Resolved EM Packages	所有EM违规已解决的包百分比 ≥ X%
Fully Resolved OSH violations	已解决的OSH违规百分比 ≥ X%
Failed Fuzz Test Cases	失败的模糊测试用例数 ≤ X
Failed Pen Test Cases	失败的渗透测试用例数 ≤ X

9.4 里程碑模板

管理员可配置可重用的里程碑模板：

包含名称、描述和预定义KPI列表
KPI目标值可在模板中调整
模板不包含截止日期
模板编辑/删除不影响已创建的里程碑

9.5 里程碑跟踪

里程碑状态

状态	说明
Not Fulfilled	默认状态；不是所有KPI都满足
Temporarily Fulfilled	所有KPI当前满足，但截止日期未到
Fulfilled at Due Date	截止日期时所有KPI满足（里程碑锁定）
Missed at Due Date	截止日期时至少一个KPI不满足（里程碑锁定）

10. 产品安全驾驶舱

10.1 驾驶舱概述

产品安全驾驶舱（CSMS Cockpit）提供产品安全态势的全局视图：

10.2 核心功能

功能	说明
自动化	自动化软件网络保障和事件响应活动
分析	提供风险分析、管理、缓解和追溯能力
合规	支持 WP.29 R155 合规，助力VTA认证

10.3 驾驶舱组成

摘要区

指标	说明
High Risk Products	风险评分 ≥ 7 的产品数量
Product Risk Distribution	产品风险分布直方图
Security Activities	按安全类型分布的活动评分

安全活动评分

活动	Poor	Fair	Excellent	N/A
Requirements	0-40%	40-70%	≥70%	无关联评估
Vulnerabilities	≥7.0	4.0-7.0	<4.0	–

11. 权限与访问控制

11.1 产品级权限管理

产品支持细粒度的权限控制：

为特定用户或用户组分配产品角色
用户权限是所有分配角色的并集
权限在产品级别生效（适用于所有版本）

11.2 权限规则

规则	说明
产品创建者	自动获得 Product Admin 角色
权限范围	仅 Product Admin 可管理访问权限
层级生效	权限在产品级别管理，所有版本共享
报告导出	支持导出全局授权报告

11.3 产品删除

操作	权限要求
删除产品版本	Product Administration
删除产品	Product Administration

注意：删除最后一个版本将删除整个产品。

12. 报告导出

12.1 支持的报告类型

报告	格式	说明
SBOM Report	PDF, CycloneDX	所有后代组件的聚合软件物料清单
Fuzz Tests Report	XLSX	产品版本测试套件汇总报告

12.2 导出操作

产品页面 Actions 区域提供以下导出功能：

报告生成（SBOM、测试报告）
访问权限管理
版本管理
产品删除

附录：产品管理最佳实践

产品建模建议

场景	建议
层级结构	按物理/逻辑层级组织产品和组件
版本管理	为重要里程碑创建版本快照
威胁建模	在设计阶段导入TARA，持续更新
合规管理	及早上传证据，保持状态更新
里程碑跟踪	定义关键KPI，定期检查进度

产品页面列信息

列名	说明
Name	产品版本名称
Version	产品版本号
Version Type	版本类型（Default/Non-default）
Type	版本分类
Model	关联的产品型号
Last Update	最后更新日期
SBOM Status	SBOM处理状态
Business Unit	业务单元
Lifecycle Phase	生命周期阶段
Part Number	部件编号

文档版本：1.0 适用平台版本：Cybellum Platform 3.11 文档生成日期：2026-06-10

目录