搜索

[14252] 2019-06-20_我是怎么把研发安全做“没”了的

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-20_我是怎么把研发安全做“没”了的 我 是 怎 么 把 研 发 安 全 做 “ 没 ” 了 的 默 安 科 技 刘 隽 良   F r e e B u f   2 0 1 9 - 0 6 - 2 0 我 叫 王 大 锤 ， 万 万 没 想 到 ， 我 成 了 马 栏 山 不 省 心 集 团 的 研 发 安 全 工 程 师 我 叫 王 大 锤 ， 万 万 没 想 到 ， 我 成 了 马 栏 山 不 省 心 集 团 的 研 发 安 全 工 程 师 … … 这 一 定 是 对 我 的 终 极 考 验 ， 相 信 用 这 一 定 是 对 我 的 终 极 考 验 ， 相 信 用 不 了 多 久 我 就 会 升 职 加 薪 ， 当 上 总 经 理 ， 出 任 不 了 多 久 我 就 会 升 职 加 薪 ， 当 上 总 经 理 ， 出 任 C E O ， 迎 娶 白 富 美 ， 走 向 人 生 巅 峰 。 想 想 ， 还 有 点 小 激 动 。 ， 迎 娶 白 富 美 ， 走 向 人 生 巅 峰 。 想 想 ， 还 有 点 小 激 动 。 言 归 正 传 ， 老 板 说 ， 我 的 职 责 是 在 研 发 同 事 的 日 常 研 发 过 程 中 不 同 环 节 介 入 不 同 安 全 能 力 ， 从 而 实 现 对 项 目 进 行 上 线 前 安 全 质 量 管 控 。 再 详 细 点 说 就 是 在 下 面 图 里 的 开 发 编 码 和 测 试 阶 段 ， 介 入 安 全 厂 商 不 同 商 用 工 具 进 行 安 全 检 测 和 修 复 ， 并 且 以 制 度 形 式 完 善 落 地 效 果 。 想 想 我 王 大 锤 是 什 么 人 ， 这 点 小 事 在 我 手 里 简 直 信 手 拈 来 ， 一 想 到 自 己 接 下 来 的 无 限 前 景 ， 简 直 … . 嘿 嘿 嘿 。 说 干 就 干 ， 首 先 ， 是 研 发 环 节 ， 简 单 说 就 是 程 序 员 写 代 码 的 环 节 ， 这 个 环 节 我 们 马 栏 山 不 省 心 集 团 介 入 的 是 标 准 的 S A S T （ 静 态 应 用 安 全 测 试 ） 。 把 项 目 源 码 导 入 ， 它 就 会 自 动 化 利 用 已 有 规 则 进 行 安 全 检 查 ， 嘿 你 别 说 ， 这 工 具 还 挺 灵 光 ， 一 个 项 目 就 能 扫 出 3 0 0 0 + 漏 洞 ！ 再 来 我 把 漏 洞 报 告 提 交 给 研 发 人 员 修 复 ， 我 的 工 作 就 万 事 大 吉 啦 ！ 然 而 我 还 是 T o o   Y o u n g ， 研 发 同 事 没 一 会 就 拎 着 平 底 锅 过 来 找 我 说 ， 他 们 拿 着 报 告 测 试 了 前 5 0 0 个 漏 洞 ， 居 然 有 4 5 0 个 是 误 报 ， 于 是 他 们 当 场 炸 毛 ， 要 求 我 给 他 们 验 证 这 3 0 0 0 + 个 漏 洞 哪 些 需 要 他 们 修 复 ， 否 则 他 们 不 处 理 该 报 告 。
O M G ， 光 一 个 项 目 就 3 0 0 0 + 个 漏 洞 等 着 让 我 去 一 一 验 证 ， 我 哪 还 有 时 间 去 完 成 我 的 工 作 进 度 ， 一 想 到 老 板 还 在 等 我 的 部 门 产 出 ， 我 仿 佛 看 到 了 各 色 奖 金 在 离 我 而 去 。 没 办 法 ， 为 了 大 局 考 虑 ， 我 决 定 放 松 在 研 发 阶 段 的 安 全 检 查 ， 毕 竟 ， 我 们 还 有 后 面 测 试 环 节 的 安 全 介 入 不 是 ~ 测 试 环 节 我 们 马 栏 山 不 省 心 集 团 介 入 的 是 标 准 的 D A S T （ 动 态 应 用 安 全 测 试 ） ， 也 就 是 俗 称 的 漏 扫 ， 方 式 是 在 测 试 环 节 将 项 目 地 址 提 供 给 某 商 用 工 具 ， 该 工 具 会 自 动 构 造 请 求 与 项 目 交 互 ， 随 着 测 试 时 间 越 长 ， 工 具 构 造 的 请 求 能 够 进 入 的 项 目 功 能 逻 辑 分 支 就 越 多 ， 检 测 深 度 就 越 完 善 ， 效 果 就 越 好 ， 而 且 由 于 是 动 态 测 试 ， 误 报 率 的 情 况 比 S A S T 简 直 不 知 道 好 到 哪 里 去 ！ 然 而 事 实 告 诉 了 我 ， 我 不 仅 T o o   Y o u n g ， 而 且 还 N a i v e 。 我 忽 略 了 一 个 严 重 的 问 题 ， 集 团 研 发 项 目 进 度 普 遍 较 快 ， 各 环 节 里 程 碑 时 间 都 较 为 紧 凑 ， 研 发 人 员 工 作 量 、 交 付 压 力 普 遍 较 大 ， 故 在 有 限 时 间 下 ， 习 惯 性 将 主 要 精 力 聚 焦 在 功 能 问 题 ， 主 观 意 识 上 未 将 研 发 安 全 归 为 己 任 ， 加 上 D A S T 工 具 和 规 章 的 介 入 会 在 一 定 程 度 上 打 乱 他 们 工 作 安 排 和 进 度 ， 所 以 实 际 使 用 过 程 中 D A S T 的 介 入 扫 描 时 间 、 深 度 往 往 不 尽 如 人 意 。 很 多 研 发 、 测 试 人 员 故 意 就 只 拿 它 测 了 个 大 概 ， 拿 我 们 安 全 工 具 “ 走 过 场 ” ， 漏 洞 依 然 遗 留 ， 导 致 上 线 后 的 项 目 安 全 能 力 “ 千 疮 百 孔 ” 。
看 着 手 拿 白 帽 子 漏 洞 报 告 的 老 板 逐 渐 垮 下 来 的 嘴 角 ， 我 不 禁 感 到 丝 丝 凉 意 … … 于 是 决 定 拿 出 我 最 后 的 倔 强 。 既 然 项 目 已 经 上 线 ， 不 敢 贸 然 做 业 务 切 割 的 排 查 ， 于 是 我 购 买 了 最 为 一 流 的 W A F ， 把 规 则 控 制 得 天 衣 无 缝 ， 什 么 ？ 你 说 我 有 S Q L 注 入 ？ 有 X S S ？ 有 本 事 利 用 给 我 看 呐 ！ 然 而 ， 万 万 没 想 到 ， 运 维 同 事 说 我 的 W A F 拦 截 干 扰 了 他 们 的 正 常 业 务 ， 要 求 我 交 出 W A F 的 规 则 控 制 权 ， 由 他 们 进 行 拦 截 规 则 管 控 ， 于 是 所 有 规 则 被 他 们 限 制 到 最 宽 松 ， “ 为 正 常 业 务 让 路 ” ， 一 同 被 让 进 来 的 ， 还 有 一 众 数 不 清 的 攻 击 利 用 手 段 ， 于 是 ， 我 最 后 的 倔 强 ， 分 崩 离 析 。 我 是 王 大 锤 ， 我 成 了 马 栏 山 不 省 心 集 团 的 研 发 安 全 工 程 师 ， 万 万 没 想 到 ， 最 终 一 通 操 作 之 后 ， 我 从 研 发 到 测 试 甚 至 上 线 后 的 安 全 建 设 全 部 名 存 实 亡 ， 成 功 把 研 发 安 全 做 “ 没 ” 了 。 。 。 看 着 这 摊 狼 藉 ， 一 想 到 已 经 没 法 升 职 加 薪 ， 当 上 总 经 理 ， 出 任 C E O ， 迎 娶 白 富 美 ， 走 向 人 生 巅 峰 ， 我 最 终 决 定 抄 起 《 企 业 安 全 从 入 门 到 跑 路 》 ， 开 辟 另 一 番 天 地 。
王 大 锤 的 从 业 经 历 ， 相 信 大 家 都 会 有 所 感 触 。 那 不 妨 我 们 今 天 就 来 分 析 一 些 问 题 出 在 哪 里 ， 以 及 应 该 如 何 进 行 应 对 。 简 单 归 纳 起 来 ， 上 述 问 题 的 核 心 无 非 是 S A S T 误 报 高 无 法 落 地 、 D A S T 过 度 依 赖 构 造 请 求 的 准 确 率 ， 导 致 的 不 定 量 漏 报 ； 以 及 上 述 两 个 环 节 对 研 发 过 程 的 侵 入 性 ， 而 导 致 的 落 地 推 进 阻 力 ， 最 终 使 得 安 全 不 得 不 以 被 动 防 御 的 姿 态 运 用 在 项 目 上 线 之 后 。 那 反 过 来 说 ， 如 果 我 们 能 够 解 决 D A S T 的 漏 报 问 题 ， 通 过 新 型 技 术 进 一 步 精 化 其 检 测 能 力 ， 并 以 该 环 节 为 安 全 保 证 基 础 反 推 研 发 环 节 S A S T 的 规 则 构 建 ， 实 现 规 则 告 警 “ 少 而 精 ” ， 解 决 S A S T 的 高 误 报 问 题 ， 同 时 在 这 两 个 环 节 做 到 柔 和 无 感 知 ， 不 更 改 相 关 人 员 原 有 工 作 方 式 ， 降 低 落 地 阻 力 ， 上 述 的 各 种 问 题 ， 是 不 是 就 能 解 决 了 呢 ？ 这 正 是 默 安 科 技 正 在 专 注 的 主 要 方 向 之 一 — — 研 发 安 全 技 术 革 新 ， 通 过 完 整 自 研 “ 服 务 + 工 具 + 平 台 ” S D L 全 流 程 方 案 ， 基 于 微 软 经 典 S D L （ 安 全 开 发 生 命 周 期 ） 模 型 ， 将 赋 能 服 务 贯 穿 需 求 分 析 、 架 构 设 计 、 研 发 、 测 试 回 归 以 及 发 布 迭 代 全 流 程 。 微 软 S D L （ 安 全 开 发 生 命 周 期 ） 模 型 通 过 赋 能 将 专 业 安 全 能 力 赋 予 研 发 各 环 节 人 员 ， 并 在 各 环 节 提 供 不 同 工 具 （ S T A C 、 S A S T 、 I A S T 、 常 态 化 安 全 运 营 ） ， 使 赋 能 知 识 真 实 应 用 落 地 ， 最 终 以 统 一 平 台 展 示 、 分 析 、 回 归 、 闭 环 安 全 问 题 ， 并 向 安 全 部 提 供 S I E M ( 安 全 信 息 和 事 件 管 理 ) ， 根 据 各 流 程 频 现 的 漏 洞 类 型 、 研 发 人 员 知 识 盲 区 等 再 次 提 供 针 对 性 培 训 和 制 定 规 章 制 度 ， 实 现 制 度 精 准 逆 推 落 地 。 测 试 环 节 以 交 互 式 安 全 测 试 （ I A S T ） 替 换 原 有 D A S T ， 交 互 式 应 用 程 序 安 全 测 试 通 过 无 感 知 的 方 式 获 取 功 能 测 试 人 员 测 试 交 互 流 量 ， 并 以 此 取 代 动 态 应 用 安 全 测 试 的 自 行 构 造 模 式 ， 同 时 基 于 模 糊 测 试 （ f u z z ） 思 想 对 流 量 进 行 攻 击 代 码 随 机 插 入 和 攻 击 流 量 构 建 ， 自 动 化 对 被 测 程 序 进 行 安 全 测 试 ， 并 在 测 试 过 程 中 借 助 插 桩 监 控 平 台 对 被 测 程 序 的 运 行 轨 迹 进 行 实 时 跟 踪 和 介 入 ， 一 旦 攻 击 流 量 触 发 安 全 问 题 ， 插 桩 平 台 不 仅 可 以 第 一 时 间 捕 获 安 全 问 题 ， 精 确 定 位 到 漏 洞 所 在 的 代 码 文 件 、 行 数 、 函 数 及 参 数 。 通 过 这 种 方 式 ， 交 互 式 应 用 安 全 测 试 既 能 保 证 检 出 漏 洞 的 有 效 性 ， 有 效 降 低 误 报 漏 报 率 ， 还 能 够 精 准 定 位 漏 洞 ， 帮 助 研 发 人 员 更 好 地 进 行 漏 洞 修 复 和 回 归 ， 有 效 提 升 测 试 过 程 安 全 检 测 能 力 。 同 时 ， I A S T 的 新 型 测 试 模 式 还 可 以 覆 盖 更 多 传 统 D A S T 无 法 触 及 的 安 全 范 畴 ， 包 括 逻 辑 类 漏 洞 检 测 自 动 化 、 双 向 加 密 数 据 获 取 等 ， 实 现 更 为 良 好 的 安 全 检 测 能 力 。
测 试 环 节 有 了 I A S T 这 样 强 力 的 安 全 支 持 后 ， S A S T 将 不 再 是 割 裂 的 一 环 ， 我 们 就 可 以 在 S A S T 部 分 进 行 规 则 精 简 ， 确 保 只 检 出 与 其 核 心 规 则 匹 配 的 安 全 问 题 ， 所 有 与 其 规 则 匹 配 度 较 低 ， 存 在 “ 模 棱 两 可 ” 情 况 的 潜 在 安 全 隐 患 ， S A S T 均 可 以 通 过 反 馈 机 制 交 由 下 一 环 节 的 I A S T 部 分 进 行 实 际 运 行 攻 击 测 试 。 换 言 之 ， 通 过 阶 梯 式 检 测 方 案 ， 在 研 发 不 同 阶 段 介 入 最 为 适 合 的 检 测 方 式 和 最 优 检 测 规 则 ， 确 保 在 每 个 流 程 上 都 只 检 出 真 实 漏 洞 。 而 所 有 需 要 确 认 的 漏 洞 ， 交 由 I A S T 过 程 使 用 真 实 漏 洞 攻 击 代 码 进 行 检 测 ， 确 保 更 为 有 效 的 真 实 漏 洞 检 出 概 率 并 降 低 误 报 导 致 的 人 工 分 析 成 本 。 同 时 S A S T 通 过 与 g i t 、 s v n 等 代 码 仓 库 联 动 ， 自 动 化 拉 取 全 量 或 增 量 代 码 进 行 代 码 安 全 检 查 ， 以 波 谷 时 间 检 测 方 式 在 上 班 时 间 前 根 据 提 交 历 史 以 邮 件 形 式 同 时 相 关 责 任 人 ， 降 低 对 相 关 人 员 工 作 方 式 更 改 和 落 地 阻 力 。 通 过 上 述 测 试 和 研 发 环 节 的 安 全 建 设 ， 大 量 漏 洞 得 已 在 项 目 上 线 前 被 解 决 ， 故 上 线 后 的 安 全 能 力 将 不 再 必 须 以 被 动 防 御 的 姿 态 进 行 。 同 时 ， 上 线 迭 代 的 项 目 安 全 风 险 来 源 已 不 仅 仅 只 有 其 本 身 ， 该 项 目 使 用 的 服 务 器 、 服 务 器 提 供 的 中 间 件 以 及 项 目 本 身 这 三 个 维 度 均 可 能 是 风 险 来 源 ， 故 默 安 科 技 建 议 用 户 使 用 常 态 化 安 全 运 营 方 案 ， 对 项 目 上 线 后 所 在 的 服 务 器 资 产 、 中 间 件 以 及 项 目 本 身 进 行 7 * 2 4 小 时 周 期 性 安 全 检 查 ， 相 当 于 有 一 个 安 全 团 队 或 渗 透 测 试 工 程 师 全 天 候 管 理 线 上 资 产 、 站 点 以 及 中 间 依 赖 的 安 全 问 题 ， 有 效 确 保 安 全 健 壮 性 。 在 上 述 环 节 完 成 后 ， 我 们 则 可 以 进 行 最 后 一 轮 安 全 前 置 ， 即 项 目 需 求 分 析 、 架 构 设 计 环 节 基 于 业 务 场 景 的 威 胁 建 模 （ S T A C ） ， 以 威 胁 建 模 赋 能 和 提 供 针 对 性 c h e c k l i s t 方 式 教 会 需 求 分 析 和 架 构 审 计 人 员 对 项 目 内 场 景 潜 在 风 险 进 行 识 别 和 剥 离 ， 通 过 威 胁 建 模 针 对 性 提 出 安 全 方 案 ， 用 于 后 续 研 发 等 环 节 的 解 决 或 规 避 ， 完 成 S D L 的 最 后 一 环 ， 真 正 实 现 从 需 求 分 析 、 架 构 设 计 、 研 发 、 测 试 以 及 上 线 运 营 五 个 环 节 的 安 全 能 力 全 方 位 介 入 。
回 到 文 章 开 头 的 故 事 ， 主 人 公 王 大 锤 如 果 能 够 拥 有 这 样 的 系 统 化 专 业 方 案 ， 相 信 他 想 把 研 发 安 全 做 “ 没 ” 都 难 ~ * 本 文 作 者 ： 刘 隽 良 本 文 作 者 ： 刘 隽 良 @ 默 安 科 技 ， 转 载 请 注 明 来 自 默 安 科 技 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理