安全实践

背景调查

我们期待优秀人才的加入，继续积极塑造我们建立的安全为本文化。在当地法律允许的情况下，我们会对所有新进员工进行背景调查，从而协助推动此过程。根据职位的不同，背景调查可能包括犯罪记录检查、教育背景核查、就业情况核查和信用检查。

信任记分卡

We’re focused on ensuring that trust (including security, anti-abuse, compliance, etc.) is front and center of mind across our entire product suite. To this end, we’ve implemented an monitoring and accountability system referred to as “product trust scorecards” to measure the trust and security posture of all products at Atlassian. This is an automated process Atlassian has created whereby we use a broad range of criteria (e.g. current vulnerabilities, training coverage, compliance alignment, and recent security incidents) to provide an overall trust score for each of our products.

借助此评分流程，每个产品团队都能客观地了解哪些信任领域需要关注，并确定需要解决的现有差距以及解决这些差距的行动。信任记分卡流程还能让 Atlassian Trust 组织轻松跟踪所有产品在一段时间内的信任跟踪情况，尤其是在我们的产品套件不断扩展的情况下。

安全参与

我们的产品安全团队开展战略性参与活动，这些活动旨在进行有时限的安全评估，以识别技术威胁，尤其是关键平台或产品领域的技术威胁。主要成果是安全漏洞识别和补救，以持续改善我们平台或产品领域的安全状况。

定向安全保障

产品安全团队还运行一项安全审查流程，为各个软件项目提供安全保障。使用基于风险的流程来排定重点保障活动的优先顺序，并确定需要采取哪些行动来降低项目风险。根据确定的风险级别，保障活动包括以下各项的组合：

• 威胁建模
• 设计审查
• 代码审查（手动和工具辅助）
• 安全测试
• 独立保障（借助第三方专家研究人员和顾问）

正如我们在本文其他章节所述，我们还设立了一项行业领先的“缺陷赏金计划”，借助值得信赖的众包安全研究人员小组来提供持续的安全保障。

通过威胁建模确保安全设计

在我们产品的规划和设计阶段进行威胁建模，以便在项目面临复杂威胁或涉及安全关键功能开发时更好地了解安全风险。这包括在我们的工程师、安全工程师、架构师和产品经理之间举行桌面/头脑风暴会议，以识别相关威胁并确定其优先顺序。这些信息将馈入设计过程，并确保实施适当的控制措施。它还有助于在开发的后期阶段进行定向审查和测试。

代码分析

我们建立了一个自动化代码分析平台（称为“安全助手”），涵盖 Atlassian 的所有代码存储库。此平台运行各种静态分析工具（并不断增添和改进），以协助确保我们代码的整体安全性。无论何时在存储库中提出拉取请求，该平台都会：

• 查找并确定可能引发漏洞的过时代码依赖项（下文阐述漏洞管理方法时会深入讨论）
• 识别代码存储库中任何意外或无意泄露机密的情况（例如，身份验证令牌或加密密钥）
• 进行分析，以确定任何可能在代码中引发漏洞的可疑编码模式

安全知识库

为确保我们打造出尽可能安全的产品，我们保证开发人员都能获得所需的支持，不断地在应知晓的相关安全问题和威胁方面积累知识。为此，我们在内部维护了一个应用安全知识库，供开发人员随时访问。

安全测试

我们的安全测试方法是围绕“持续保障”概念构建的，它不仅利用了有针对性的时间点渗透测试，而且还有使用众包缺陷赏金计划的持续测试模型。我们相信，这种多管齐下的方法能最大限度增加我们发现漏洞的机会，并为客户提供尽可能安全的产品。有关更多信息，请参阅我们关于外部安全测试方法的专题文章；同时，下方也提供了我们测试措施的摘要：

• Atlassian 安全审查 - 如上所述，我们的产品安全团队会定期开展安全审查计划，包括安全测试。测试包括代码审查和应用安全测试，针对的是风险评估中强调的薄弱环节。
• Atlassian 的安全测试团队 - 我们有一个内部渗透测试团队，该团队采用基于风险的方法对业务领域（无论是云环境、新产品或功能，还是内部系统和工具）进行白盒（代码和工程师辅助）安全评估。我们还与专业安全咨询公司合作，对我们的产品和基础架构进行白盒渗透测试。
• Atlassian 的红队 – 我们在内部设立一支红队，其职责是模拟对手试图识别和利用我们的系统、流程和环境中存在的漏洞，从而确保我们能够尽快识别和解决这些漏洞。
• 缺陷赏金计划 - 我们还利用 Bugcrowd 的可信安全研究人员社区来运行备受赞誉的缺陷赏金计划，从而持续识别产品中的漏洞，并最终让不良分子发现和利用这些漏洞的代价随着时间推移而不断提高。我们的缺陷赏金计划已多次被评为业界最佳。缺陷赏金计划涵盖了我们 25 种以上的产品或环境，涉及服务器产品、移动应用和云产品等。

以下报告中发现的任何安全漏洞都会在我们的内部 Jira 中进行跟踪，它们通过缺陷赏金计划的引入流程进入我们系统，而且来自缺陷赏金计划的任何发现都将根据我们的安全漏洞服务级别目标 (SLO) 进行分类和跟踪。

• 下载最新的 Atlassian 缺陷赏金报告 (2025-12)
• 下载最新的 Jira Align 缺陷赏金报告 (2025-12)
• 下载最新的 Opsgenie 缺陷赏金报告 (2025-12)
• 下载最新的 Statuspage 缺陷赏金报告 (2025-12)
• 下载最新的 Trello 缺陷赏金报告 (2025-12)

漏洞管理

Atlassian 一直致力于降低我们产品、服务和基础架构中漏洞的严重程度和发生频率，同时确保已识别的漏洞尽快得到修复。为此，我们采用了一种多管齐下且不断改进的漏洞管理方法，同时将自动化和手动流程用于识别、跟踪和修复我们产品和基础设施中的漏洞。

我们可通过各种不同的来源识别安全漏洞，例如：自动扫描程序、内部安全审查、客户报告和公开缺陷赏金计划。一旦识别漏洞，就会在我们专门构建的全公司漏洞跟踪 Jira 项目中记录一张工作单，并将其分配给相关系统所有者或工程团队。通过采用集中化方法，我们能够利用 Automation 实现主动通知、自动上报和企业通报，从而确保及时修复漏洞。

有关更多信息，请参阅我们专门就 Atlassian 漏洞管理方法撰写的文章。

基础设施

我们使用一系列漏洞检测工具，在我们的基础设施中定期运行来自动扫描和识别漏洞。具体包括：

• 网络扫描 – 识别我们环境中活跃的服务、开放的端口和运行的应用程序，以及网络级别的所有漏洞
• 持续资产发现 – 在外部网络边界进行持续的资产发现和安全分析。另外还有在内部开发的资产清点和发现机制
• AWS 配置监控 – 根据建立的配置基准来监控我们 AWS 环境的配置

我们不断地审核可用的最新工具，如果认为它们能增强我们的漏洞检测能力，就会将其添加到我们使用的套件中。

产品

在我们的开发流程中，除了前文提到的缺陷赏金计划，我们还使用了一系列工具，尽力在客户和用户访问我们产品之前，更多地识别出产品中的漏洞和缺陷并加以防范。我们借助一个平台将这些工具部署到我们的代码存储库。具体包括如下内容：

• Atlassian 的大部分服务是使用 Docker 容器镜像来部署的。这些镜像提供了一个封装的独立环境，包含相关的系统库、工具、配置设置和任何其他所需的依赖项，可以让我们的产品在运行时无视具体的机器配置参数。我们将完整的容器安全扫描流程集成到 CI/CD 管道中，面向所有部署到我们开发、暂存或生产环境中的容器
• 我们的产品和服务依赖于众多开源库。我们搭配使用各种内部构建、开源和商业工具，来扫描和识别依赖项，并将其与已知安全漏洞数据库进行比对

此外，如果有用户在正常使用产品期间发现漏洞，我们欢迎其告知我们，并就提交的任何漏洞迅速做出响应。在调查和回应问题时，我们也会向提交者通报最新消息。

正如前文所述，我们采用了一个称为“同行审查，绿色构建”(PRGB) 的流程；这意味着，对产品的任何代码更改都会由一名或多名同事进行审查，以识别这项变更可能导致的所有问题。

我们有正式成文的缺陷修复政策来规定解决产品中安全问题的时限，具体取决于缺陷的严重程度。

此处提供了有关我们缺陷修复政策的更多信息。另外，还可以访问我们对外公开的缺陷跟踪器，了解最近修复的缺陷以及我们正在为各种产品解决的缺陷。

事件响应

Atlassian 采取一种全面的方法来处理安全事件。在我们看来，安全事件是对客户数据、Atlassian 数据或 Atlassian 服务的机密性、完整性或可用性造成负面影响的任何情形。

我们有一个界定明确的内部框架，内含针对不同事件类型编写的行动手册。该框架囊括了我们在事件响应的所有阶段上需要采取的步骤，以确保我们的流程保持一致、可以重复并且效率突出。其中包括事件检测与分析、事件分类、遏制、消除和恢复。我们在事件响应流程中使用自己的产品来支持这种一致性，例如 Confluence、Jira 和 Bitbucket 等：

• Confluence 可用于在一个集中位置创建、记录和更新我们的响应流程
• Jira 可用于创建工作单，以全程跟踪（潜在和实际的）安全事件的响应流程进度
• Bitbucket 可用于开发基于代码的解决方案，以响应某些事件引起的特定极端问题

对我们的产品和基础架构进行全面、集中的日志记录与监控，以确保在协调高效响应方面经验丰富的高素质待命事件经理的支持下，能快速检测潜在的事件。我们还与一批外部专家建立关系，协助我们尽可能高效地开展调查并做出响应。

如果已确认的事件涉及客户的数据，我们会根据流程告知相关客户。我们也有可靠的事后审查流程，帮助我们从事件中汲取经验教训，以改进我们的实践方法，并让恶意行为者以后更难得逞。有关更多信息，请参阅我们 Atlassian Trust Center 中关于安全事件管理方法的专题文章。

安全检测计划

在威胁日益复杂的情况下，Atlassian 认识到有必要加强我们的事件管理方法，因此推出了我们所谓的“安全检测计划”。检测计划旨在持续监控 Atlassian 环境，以检测针对 Atlassian 及其客户的恶意活动，并向 Atlassian 的安全事件和事件管理平台发送警报。

我们的检测团队专注于定期创建新的检测，调整和改进现有的检测，并使检测响应自动化。他们的工作涉及多个维度，包括产品、攻击类型和日志来源等，从而确保我们的检测覆盖范围尽可能有效并且全面。

这项计划旨在确保我们不仅能从容应对当前面临的威胁，还能充分预测未来的威胁形势并做好准备。我们的安全自动化工程团队还开发了一款工具来标准化我们创建的检测，以确保我们执行的检测具有高度的一致性和质量，我们相信这在业内尚属首次。

有关我们的安全检测计划的更多信息，请访问此页面。

Red Team 计划

Atlassian Red Team 的使命是不断提高 Atlassian 抵御复杂攻击的能力。他们从敌对的角度出发，发现我们在技术、物理和社会方面的漏洞，从而挑战我们团队在真实条件下的反应能力。此方法可让我们为 Atlassian 开发并推动有效的安全改进措施。我们的方法可帮助 Atlassian 评估威胁、保护我们的资产并对真实攻击做出适当响应。

Atlassian 的 Red Team 专注于全方位对抗性仿真。我们会模拟最有可能针对公司的攻击者，并尽力渗透和破坏关键系统。之后，我们会通知所有相关人员，并共同实施长期且可持续的解决方案来解决所发现的安全漏洞。

• 衡量和改进检测和响应计划的有效性
• 在 Atlassian 安全态势和能力方面产生重大的积极变化
• 加深对我们自身的弱点以及应对现实世界攻击的能力的了解

供应商风险管理

在 Atlassian 与任何第三方供应商（包括承包商和云服务提供商）合作时，我们致力于确保这些合作不会以任何方式危害我们的客户或其数据。为此，我们的法律和采购团队会对任何拟议的第三方供应商合约进行审查。如果确定某项合约存在任何中等、高或严重的风险，则由安全、合规、风险和法律团队进行额外的风险评估。持续的尽职调查也会通过后续审查进行—在合同续签时或根据合约的风险等级定期进行。

此外，Atlassian 要求供应商在与我们合作过程中遵守最低安全要求。相关要求会通过纳入到我们的供应商合约来实施。具体要求取决于合作的风险等级，包括：

• SAML2.0/SSO 与 Atlassian 单一登录平台的集成
• 使用未淘汰的算法对传输中和静止时的数据进行加密
• 建立充分的日志记录机制，为 Atlassian 提供与潜在安全事件相关的信息

Atlassian Marketplace

Atlassian Marketplace 是一个可供产品用户购买各种应用的平台，这些应用或是能为 Atlassian 产品添加功能，或是能使我们的产品与第三方工具连接。尽管 Marketplace 上的大多数应用是由第三方开发人员发布，但 Atlassian 采取了诸多措施来确保安全性依然是 Marketplace 生态系统的核心组成部分。其中包括：

Cloud 应用安全要求 - Atlassian 定义了一系列所有 Marketplace 应用均须满足的最低要求。这些要求具有强制性，旨在让所有应用统一遵循安全最佳实践。了解更多

Marketplace 缺陷赏金计划 - Atlassian 设有一流的 Marketplace 缺陷赏金计划，旨在提高所有 Marketplace 应用的安全性和可信度。参与该计划的 Marketplace 合作伙伴可通过激励安全研究人员发现漏洞，在安全风险出现前主动进行防范。应用必须参与此计划才能获得 Cloud Fortified 徽章。了解更多

Marketplace 渗透测试计划 - Atlassian 针对 Marketplace 应用开展了一项渗透测试计划，旨在提供超越自动扫描和缺陷赏金计划的更深层次安全保障。Marketplace 合作伙伴可根据自身应用复杂度规划范围、申请并接受定制化渗透测试，测试结果会直接同步至 Atlassian 的漏洞补救流程。了解更多

Ecoscanner - Atlassian 的 Ecoscanner 平台会持续对所有 Marketplace Cloud 应用执行安全检查。借助 Ecoscanner，Atlassian 会持续监控所有 Marketplace Cloud 应用是否存在常见安全漏洞，从而确保我们生态系统的安全性。了解更多

漏洞管理 - Atlassian 确保 Marketplace 合作伙伴及时处理来自各种来源的安全漏洞。我们搭建了一套完备的漏洞管理系统，可跟踪、同步漏洞信息，并将漏洞分配给对应合作伙伴，全程严格遵守 SLA，保障整个生态系统具备稳固的安全态势。了解更多

安全缺陷修复政策 - 为了确保 Atlassian 生态系统中所有应用的安全性，所有 Marketplace 合作伙伴均须遵守适用于 Atlassian Marketplace 上列出的所有应用的安全缺陷修复 SLA。如果检测到漏洞，合作伙伴需及时修复漏洞。了解更多

合作伙伴验证 - Atlassian 会对 Marketplace 合作伙伴开展身份与经营实体验证，让客户安心查找、安装各类应用。其中包括客户身份尽调 (KYC) 核验以验证政府颁发的身份证件、经营主体尽调 (KYB) 核验以确认经营实体合法性，以及进行制裁筛查，以确保合作伙伴不存在关联受制裁实体、或是曾被 Marketplace 封禁的情况。合作伙伴还需填写安全调查问卷，用于评估其应用的安全实践与管控措施，确保每款应用在面向客户发布前均达到 Atlassian 安全标准。这套尽职审查流程能够保障 Atlassian Marketplace 内所有应用均源自已核验、可信赖的合作方，并且应用的开发与运营均遵循安全规范。了解更多

“隐私和安全”选项卡 - 为了提高 Marketplace 的信任度并增加安全指标的可见性，我们在云应用的 Marketplace 列表用户界面中引入了“隐私和安全”选项卡。“隐私和安全”选项卡提供了有关云应用遵循的隐私、安全、数据处理和合规做法的详细信息。了解更多

Atlassian Marketplace Trust Center提供了有关 Marketplace 中安全性方法的更多信息。

政策与风险管理计划

Atlassian 以 ISO 27001 信息安全管理系统标准为基础，制定了信任管理计划 (TMP)。该计划纳入了客户的安全需求，形成了 Atlassian 独有的一系列安全要求，同时兼顾了各种国际安全标准中列出的控制措施。

接着，我们会思考这些控制措施是否适合我们特定的环境和公司，并寻找最适合的方式来实施这些控制措施。我们的 TMP 有多个支柱：

• 我们的政策管理计划 (PMP) – PMP 构成了我们 TMP 的基石。它由一系列安全策略构成，涵盖 ISO 27001 标准和云安全联盟的云控制矩阵 (CCM) 中所列各项领域。我们将创建的安全策略提供给内部的所有团队，确保他们了解在安全方面应达到的标准。这些政策每年都会更新，尤其是当我们发现需对安全性方法进行修改的新威胁和风险时。您可在此处查看我们技术策略的摘录。
• 我们的风险管理计划 (RMP) – 我们对环境和产品进行持续的风险评估以衡量当前面临的风险，并确保现有控制措施能有效管控这些风险。风险评估的执行方式视评估的环境/产品而异。例如，对于我们的产品，通常是技术风险评估或代码审查。不过，我们也会考虑并设法揭示更高级别的业务风险。我们通过开展年度风险评估来支持我们的企业风险管理计划，且至少每个季度都会实施各种项目来缓解已发现的风险。如需有关我们企业风险管理方法的更多信息，请访问 Atlassian Trust Center。

我们的 TMP 包括每周合规性状况审查和其他会议，并在内部做相应记录，以确保其继续有效执行。