cairis.org 安全测评
安全需求建模平台
⚡ 评分构成
各维度得分依据公开资料与字段推算,加权后即综合评分,仅供参考。
- Apache 许可证开源免费，便于审计、二次开发和教学使用
- 覆盖需求、安全、风险、架构与 UX 数据，范围比单一威胁建模工具更广
- 支持环境和使用上下文，可分析不同用户群体对资产价值、风险影响和威胁的差异
- 可自动生成模型和多视图，降低大型模型手工维护成本
- 提供 API、导入能力和 Docker 分发方式，适合集成到既有工具链
- 正文未提供企业级支持 SLA、托管服务或商业订阅说明
- 部署和依赖管理可能需要一定开源工具运维能力，文本称在 Ubuntu 上效果最好
- 未披露权限管理、审计日志、告警通知等运行期管理能力
- 合规能力主要提到潜在 GDPR 问题验证和 DPIA 文档生成，未见认证资质信息
深度测评
是什么
CAIRIS（Computer Aided Integration of Requirements and Information Security）是一个开源平台，目标是在软件设计早期把安全、可用性和需求工程结合起来。它不是运行时防火墙、EDR 或漏洞扫描器，而是面向设计期的安全需求、威胁建模、风险分析和安全架构建模工具。
核心能力
在防护类型上，CAIRIS 主要覆盖安全需求工程、威胁建模、风险合理化、攻击面分析和隐私设计验证。它可集中管理资产、对策、需求、人物画像、风险、架构组件等工件，并自动生成 12 类设计视图，包含人员、风险、需求、架构和物理位置等角度。其特色是支持“环境”与使用上下文建模，可表达不同用户群体对资产价值、威胁、漏洞和风险影响的差异。工具还能随设计演进自动生成 DFD 等威胁模型，并利用攻击模式与候选安全架构模式评估攻击面。
部署、集成与合规
部署方式以自部署为主。CAIRIS 在 Apache Software License 下免费开源，源码位于 GitHub；文本称其可运行在支持依赖的平台上，Ubuntu 表现最好，也可在 Mac OS X、Windows 运行，并提供 Docker 容器。集成方面提供 CAIRIS API，可构建设计应用或接入既有工具链，并支持从 wiki、电子表格和开源攻击模式仓库等来源导入数据。合规方面，CAIRIS 可发现潜在 GDPR 合规问题并生成 GDPR DPIA 文档，但未披露 ISO、SOC、等保等认证。
定价与优缺点
定价上，CAIRIS 免费开源；项目方提到可购买咨询帮助采用，但没有公开价格。优点是功能覆盖面广，能把需求、UX、安全和架构统一建模，且自动生成模型和视图，适合复杂系统。缺点是企业级 SLA、权限审计、告警通知、托管服务和商业报价信息不足；自部署和扩展也需要一定技术能力。
适合谁与中国访问
CAIRIS 适合软件安全架构师、需求工程团队、威胁建模人员、UX 研究人员，以及国防、医疗、交通、水处理等关键基础设施项目和高校教学。中国访问情况正文未提供，判定为未知；若 GitHub 或演示环境访问不稳定，可考虑自托管源码，或评估 OWASP Threat Dragon、Microsoft Threat Modeling Tool、IriusRisk、ThreatModeler 等替代品。
本测评基于公开资料整理,不构成购买建议,请以 cairis.org 官网实际信息为准。
中文卖点
开源安全与可用性建模工具，开发者价值高。
官网快照
价格走势
用户评价
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。