Cybellum之Products（产品管理）模块技术详解

本文档详细介绍 Cybellum Platform 3.11 版本中 Products（产品管理）模块的功能架构、技术原理和核心能力。

目录

1. 模块概述
2. 核心概念与架构
3. 产品创建与信息管理
4. 产品组成架构管理
5. 产品版本管理
6. 产品安全活动管理
7. 产品合规管理
8. 产品威胁建模（TARA）
9. 产品里程碑管理
10. 产品安全驾驶舱
11. 权限与访问控制
12. 报告导出

1. 模块概述

1.1 产品定义

在 Cybellum Platform 中，Product（产品） 是一个容器对象，用于组织和管理一组组件（Components）和其他产品（Products），代表具有独立生命周期和安全活动的系统级资产。

典型应用场景：

• 汽车行业：车载信息娱乐系统（IVI），由组件A、B、C组成
• 医疗行业：MRI扫描仪，由组件D、E、F组成
• IoT行业：智能网关设备，由多个硬件和软件组件组成

1.2 模块定位

1.3 核心能力矩阵

2. 核心概念与架构

2.1 产品层级模型

2.2 产品与组件的关系

2.3 数据继承机制

产品自动继承所有子组件的数据：

Product SBOM = Σ(所有直接和间接子组件的SBOM)
Product Vulnerabilities = Σ(所有子组件的漏洞评估结果)
Product Code Weaknesses = Σ(所有子组件的代码弱点)
Product Risk Score = 基于子组件风险的聚合计算

3. 产品创建与信息管理

3.1 创建产品

必填字段

可选字段

3.2 产品信息视图

产品主视图包含以下标签页：

4. 产品组成架构管理

4.1 架构标签页结构

产品架构管理分为两个主要卡片：

4.2 资产关联管理

Items Assets 卡片包含三个标签页：

4.3 接口连接配置

Connected Assets 用于定义资产之间的接口关系：

配置步骤

1. 定位要连接的资产连接点
2. 点击第一个资产的连接点
3. 点击第二个资产的连接点
4. 在左侧卡片中定义连接：
   • 连接名称（必填）
   • 攻击可行性等级（可选）
5. 点击 Update Connection 保存

4.4 产品级SBOM

产品SBOM是所有直接和间接子组件SBOM的聚合：

Product SBOM = Σ(直接子组件SBOM) + Σ(间接子组件SBOM)

说明：产品级SBOM提供全局视图，但编辑操作需在组件级别进行。

5. 产品版本管理

5.1 版本概念

产品支持多版本管理，每个版本具有独立的组成配置和元数据。

版本特性

5.2 版本管理操作

支持的操作

5.3 添加新版本

配置项

5.4 版本移动

支持重新组织版本树结构：

移动前:              移动后:
v1.0                v1.0
v1.1                └── v1.1
v2.0                    └── v2.0

限制：版本不能移动到其后代版本下。

6. 产品安全活动管理

6.1 活动类型概览

6.2 漏洞活动

功能特性

• 按组件、包、漏洞元数据进行搜索和过滤
• 迷你仪表板展示聚合指标
• 表格展示每个漏洞的详细信息
• 支持深入查看单个漏洞

6.3 代码弱点活动

展示产品组件中检测到的所有代码弱点，支持按元数据过滤。

6.4 策略活动

展示策略评估结果：

• 组件级聚合指标
• 各策略评估的KPI（如完成率）
• 按组件分解的详细信息

6.5 模糊测试

模糊测试是发现产品安全缺陷的关键方法，支持：

• Synopsys Defensics 测试结果导入
• Vector CANoe 测试结果导入（仅Automotive版本）

6.6 渗透测试

渗透测试报告管理功能：

• 报告创建和元数据管理
• 测试用例管理
• 发现管理
• 证据附件管理
• 报告导出（XLSX/ZIP）

7. 产品合规管理

7.1 合规框架管理

每个产品可以分配一个或多个法规合规框架，支持：

• 框架需求结构浏览
• 证据上传和管理
• 需求状态维护
• 合规进度跟踪

7.2 证据管理

添加证据

7.3 需求状态管理

支持的需求状态：

提示：标记为 “Ready” 的需求会计入顶部显示的整体就绪百分比。

8. 产品威胁建模（TARA）

8.1 TARA概述

威胁评估和修复分析（TARA）是产品风险管理策略的关键方法，用于：

• 识别潜在安全威胁
• 评估威胁影响
• 制定缓解措施

8.2 威胁模型结构

Cybellum 将威胁模型标准化为以下结构：

• Component（组件）
• Damage Scenario（损害场景）
• Threat Scenario（威胁场景）
• Attack Path（攻击路径）
• Risk Treatment（风险处置）

8.3 威胁模型导入

支持的导入方式

Itemis Secure 导入数据点

8.4 威胁项目查看

点击威胁项目可查看详细信息，包括威胁、损害和其他属性。

9. 产品里程碑管理

9.1 里程碑概念

里程碑用于跟踪产品版本的网络安全进度，每个里程碑代表开发生命周期中的关键检查点。

核心概念

9.2 KPI状态

9.3 内置KPI

9.4 里程碑模板

管理员可配置可重用的里程碑模板：

• 包含名称、描述和预定义KPI列表
• KPI目标值可在模板中调整
• 模板不包含截止日期
• 模板编辑/删除不影响已创建的里程碑

9.5 里程碑跟踪

里程碑状态

10. 产品安全驾驶舱

10.1 驾驶舱概述

产品安全驾驶舱（CSMS Cockpit）提供产品安全态势的全局视图：

10.2 核心功能

10.3 驾驶舱组成

摘要区

安全活动评分

11. 权限与访问控制

11.1 产品级权限管理

产品支持细粒度的权限控制：

• 为特定用户或用户组分配产品角色
• 用户权限是所有分配角色的并集
• 权限在产品级别生效（适用于所有版本）

11.2 权限规则

11.3 产品删除

注意：删除最后一个版本将删除整个产品。

12. 报告导出

12.1 支持的报告类型

12.2 导出操作

产品页面 Actions 区域提供以下导出功能：

• 报告生成（SBOM、测试报告）
• 访问权限管理
• 版本管理
• 产品删除

附录：产品管理最佳实践

产品建模建议

产品页面列信息

文档版本：1.0 适用平台版本：Cybellum Platform 3.11 文档生成日期：2026-06-10