搜索

[15801] 2020-09-02_从SDLC到DevOps下的广义应用安全管控体系

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-09-02_从SDLC到DevOps下的广义应用安全管控体系 从 S D L C 到 D e v O p s 下 的 广 义 应 用 安 全 管 控 体 系 贾 凯   F r e e B u f   2 0 2 0 - 0 9 - 0 2 前 言 前 言 1 7 年 起 ， 我 们 引 入 建 立 了 适 合 内 部 研 发 的 S D L C 流 程 ， 在 传 统 的 研 发 模 式 下 ， 一 个 需 求 从 意 向 拆 分 到 用 户 故 事 ， 再 到 开 发 子 任 务 ， 一 次 迭 代 大 多 都 要 经 过 2 周 以 上 的 时 间 。 经 过 重 人 力 运 营 的 严 格 S D L C 活 动 （ 各 业 务 开 发 条 线 配 备 一 名 或 多 名 专 职 安 全 运 营 人 力 进 入 开 发 团 队 深 度 运 营 ） ， 完 成 下 来 基 本 上 可 以 极 大 的 降 低 应 用 安 全 风 险 。 但 随 着 这 两 年 公 司 I T 人 力 迅 速 扩 张 ， 以 及 各 类 业 务 需 求 的 爆 发 增 长 ， 推 动 着 敏 捷 开 发 的 迭 代 周 期 不 断 缩 短 ， 倒 逼 研 发 模 式 向 D e v O p s 转 型 。 这 种 状 态 下 ， 重 人 力 运 营 的 S D L C 逐 渐 成 为 整 个 开 发 流 程 中 的 短 板 ， 对 于 动 辄 数 千 个 应 用 的 组 织 来 说 ， 也 只 能 挑 选 重 要 的 业 务 系 统 执 行 S D L C ， 大 量 内 网 应 用 无 人 力 覆 盖 ， 而 且 在 新 时 期 对 更 频 繁 、 快 捷 、 可 靠 以 及 智 能 的 要 求 下 ， 愈 发 凸 显 出 这 种 模 式 的 缺 点 ， 由 此 必 须 转 变 思 维 ， 建 设 在 敏 捷 模 式 下 的 广 义 应 用 安 全 体 系 。 S D L C 模 式 模 式 S D L C 是 定 义 在 安 全 团 队 及 研 发 团 队 共 同 配 合 下 的 安 全 活 动 ， 在 对 需 求 做 完 安 全 评 审 以 后 ， 除 了 最 终 需 要 安 全 团 队 执 行 的 安 全 测 试 外 其 余 都 需 要 研 发 团 队 独 立 完 成 。 安 全 需 求 识 别 ： 安 全 需 求 识 别 ： 研 发 团 队 架 构 师 识 别 哪 些 需 求 是 涉 及 到 的 安 全 。 安 全 设 计 环 节 ： 安 全 设 计 环 节 ： 安 全 团 队 针 对 开 发 子 任 务 给 出 指 导 性 安 全 c h e c k l i s t ， 开 发 团 队 针 对 涉 及 到 的 接 口 做 安 全 设 计 。 安 全 设 计 审 查 ： 安 全 设 计 审 查 ： 开 发 团 队 架 构 师 对 安 全 设 计 做 审 查 ， 评 估 安 全 设 计 无 问 题 即 可 进 入 正 常 编 码 环 节 。 这 几 个 环 节 下 来 ， 如 果 由 开 发 完 全 独 自 执 行 ， 对 于 安 全 意 识 不 够 强 的 研 发 同 事 来 说 ， 安 全 设 计 的 质 量 无 法 保 证 ， 这 个 时 候 基 本 上 是 安 全 团 队 在 测 试 过 程 中 对 发 现 的 安 全 漏 洞 进 行 溯 源 ， 定 位 安 全 设 计 及 审 查 环 节 的 问 题 ， 做 常 态 化 的 检 查 。 在 重 要 系 统 实 践 了 一 个 时 期 后 ， 绝 大 数 研 发 团 队 的 安 全 意 识 及 安 全 编 码 能 力 得 到 了 极 大 提 升 ， 遗 留 到 测 试 环 境 下 的 漏 洞 数 也 大 幅 减 少 。 当 然 ， S D L C 的 推 行 需 要 领 导 的 大 力 支 持 。 但 在 实 践 中 也 发 现 存 在 一 些 安 全 设 计 质 量 不 佳 的 情 况 ， 仔 细 定 位 下 来 发 现 基 本 上 是 ： 1 、 新 入 职 的 员 工 即 使 经 过 强 制 安 全 培 训 后 ， 安 全 设 计 及 安 全 编 码 依 旧 质 量 不 足 ；
2 、 研 发 团 队 懈 怠 情 况 。 为 此 我 们 建 设 了 漏 洞 积 分 漏 洞 积 分 ， 每 个 漏 洞 关 闭 时 都 必 须 对 应 到 漏 洞 开 发 人 员 / 小 组 / 部 门 ， 积 分 到 达 一 定 限 度 后 ， 强 制 进 行 安 全 考 试 ， 回 炉 接 受 再 教 育 再 次 进 行 安 全 培 训 （ 类 似 驾 照 违 规 重 新 考 试 ） 。 此 外 依 据 这 些 数 据 对 研 发 团 队 针 对 性 的 培 训 宣 导 ， 持 续 根 据 执 行 结 果 进 行 周 期 回 溯 检 查 。 D e v O p s 下 的 应 用 安 全 管 控 体 系 下 的 应 用 安 全 管 控 体 系 在 以 上 的 模 式 下 ， 互 联 网 的 业 务 系 统 经 过 严 格 的 S D L C 后 再 进 行 发 布 ， 安 全 问 题 得 到 了 保 障 。 但 随 着 执 行 经 验 的 积 累 ， 问 题 也 随 之 而 来 ： 1 、 如 开 篇 所 说 ， 在 向 D e v O p s 转 型 的 过 程 中 ， 动 辄 每 周 1 次 或 多 次 的 发 版 频 率 下 ， 安 全 人 力 介 入 作 为 开 发 流 程 中 关 键 的 节 点 显 然 成 为 了 瓶 颈 ， 业 务 需 求 的 快 速 增 长 给 人 工 评 审 及 人 工 安 全 测 试 带 来 巨 大 压 力 ； 2 、 在 人 力 方 面 ， 显 然 不 可 能 无 休 止 增 加 投 入 ， 更 重 要 的 是 安 全 工 程 师 水 平 差 异 导 致 各 业 务 线 的 安 全 性 差 异 ， 人 永 远 无 法 作 为 一 个 衡 量 安 全 管 控 标 准 的 尺 度 ； 3 、 虽 然 互 联 网 应 用 已 用 此 方 投 入 大 量 人 力 堆 了 下 来 ， 但 面 对 规 模 更 大 、 更 复 杂 的 内 网 应 用 怎 么 管 ？ 用 脚 想 也 不 能 生 搬 硬 套 ； 4 、 理 想 状 态 下 S D L C 应 该 是 研 发 团 队 自 驱 执 行 的 ， 安 全 一 直 在 深 度 介 入 、 带 领 的 安 全 开 发 流 程 ， 不 利 于 研 发 团 队 安 全 能 力 的 长 效 实 质 提 升 ， 可 能 安 全 工 程 师 一 松 懈 ， 安 全 执 行 标 准 就 下 降 。 所 以 当 安 全 把 控 的 效 率 及 覆 盖 面 上 有 了 更 高 要 求 时 ， 要 根 本 解 决 这 个 困 境 ， 首 要 的 是 改 变 环 境 ， 通 过 安 全 基 建 去 创 造 优 化 安 全 开 发 的 环 境 ， 重 新 设 计 构 建 适 用 的 应 用 安 全 管 控 体 系 。 “ 要 求 — 检 查 — 管 控 — 防 护 ” 从 应 用 的 整 个 生 命 周 期 来 说 ， 这 是 应 用 安 全 管 控 的 主 干 思 维 流 程 ， 应 用 的 变 更 大 部 分 都 体 现 为 需 求 ， 在 对 研 发 流 程 上 各 类 纬 度 的 要 求 都 可 以 体 现 在 对 需 求 的 要 求 提 示 上 。 从 应 用 的 整 个 生 命 周 期 来 说 ， 这 是 应 用 安 全 管 控 的 主 干 思 维 流 程 ， 应 用 的 变 更 大 部 分 都 体 现 为 需 求 ， 在 对 研 发 流 程 上 各 类 纬 度 的 要 求 都 可 以 体 现 在 对 需 求 的 要 求 提 示 上 。 整 体 的 建 设 思 路 可 类 比 为 现 代 化 交 通 治 理 的 逻 辑 ， 将 应 用 的 构 建 、 测 试 到 发 布 线 比 作 一 条 高 速 公 路 ： 将 安 全 介 入 执 行 的 S D L C 比 作 载 客 大 巴 ， 安 全 是 司 机 ； 将 开 发 团 队 独 自 执 行 S D L C 比 作 自 驾 ； 应 用 安 全 的 执 行 要 求 是 交 通 法 规 ； 检 查 手 段 是 高 速 上 的 各 类 传 感 器 （ 测 试 器 、 探 头 等 ） ； 管 控 手 段 是 上 高 速 的 收 费 站 ， 也 可 以 是 驾 照 的 扣 分 制 度 ； 防 护 手 段 即 是 高 速 上 的 应 急 车 道 … 如 何 保 证 高 速 公 路 上 车 辆 有 序 、 高 效 、 安 全 的 行 驶 ， 即 是 我 们 应 用 安 全 管 控 体 系 建 设 运 营 的
启 发 参 照 。 这 么 一 想 ， 豁 然 开 朗 … 执 行 要 求 执 行 要 求 执 行 要 求 中 ， 不 论 是 作 为 S D L C 中 接 口 安 全 设 计 c h e c k l i s t 要 求 ， 或 是 数 据 共 享 管 控 要 求 、 隐 私 合 规 要 求 、 监 测 埋 点 需 求 等 其 他 广 义 上 的 各 类 研 发 要 求 ， 这 些 都 可 以 作 为 提 示 项 ， 放 入 需 求 阶 段 （ 研 发 管 理 平 台 ） 或 者 接 口 设 计 阶 段 （ 接 口 管 理 系 统 ） 中 的 安 全 提 示 。 在 内 网 应 用 需 求 上 提 供 基 于 问 答 式 的 安 全 自 检 解 决 方 案 ， 后 期 可 以 做 到 更 加 具 体 细 致 ， 对 涉 及 尽 可 能 多 的 场 景 抽 象 出 一 些 需 求 场 景 的 评 审 c h e c k l i s t 。 编 码 阶 段 编 码 阶 段 接 口 设 计 中 ， 将 S D L C 涉 及 的 接 口 安 全 c h e c k l i s t 作 为 接 口 设 计 （ 新 增 / 修 改 ） 的 必 要 属 性 。 使 用 内 部 嵌 入 安 全 组 件 的 开 发 框 架 ， 例 如 将 e s a p i 改 进 为 适 合 内 部 框 架 的 安 全 组 件 集 成 到 开 发 框 架 中 ， 供 开 发 自 行 选 择 使 用 。 在 编 码 环 节 ， 提 供 嵌 入 I D E 的 安 全 编 码 助 手 插 件 （ 开 源 工 具 二 次 开 发 改 进 ） ， 供 开 发 人 员 自 助 进 行 代 码 扫 描 ， 前 移 代 码 扫 描 环 节 。
测 试 阶 段 测 试 阶 段 在 D E V / S I T 测 试 环 节 ， 提 供 浏 览 器 插 件 ， 供 开 发 / 测 试 人 员 自 助 进 行 动 态 扫 描 ， 前 移 动 态 扫 描 环 节 。 检 查 阶 段 检 查 阶 段 检 查 手 段 是 关 键 一 环 ， 需 要 做 到 有 要 求 必 有 检 出 的 能 力 。 检 查 手 段 是 关 键 一 环 ， 需 要 做 到 有 要 求 必 有 检 出 的 能 力 。 这 里 需 要 建 设 一 系 列 检 查 手 段 ， 包 括 S D L C 执 行 规 范 质 量 检 查 、 基 于 流 量 的 D A S T 、 基 于 堆 栈 的 I A S T 、 基 于 代 码 的 S A S T 、 基 于 包 库 的 组 件 及 依 赖 检 查 、 人 工 安 全 测 试 的 五 种 检 查 手 段 。 S D L C 执 行 检 查 （ 质 量 、 规 范 ） ， 通 过 检 测 的 版 本 迭 代 漏 洞 溯 源 S D L C 执 行 过 程 质 量 。
通 过 s p l u n k 自 动 化 分 析 S D L C 执 行 规 范 、 制 定 违 规 通 报 。 D A S T 被 动 + 主 动 式 的 动 态 扫 描 器 （ 主 动 模 式 下 ， 积 累 归 集 流 量 中 采 集 到 的 报 文 ， 替 换 登 录 态 随 时 执 行 主 动 全 量 扫 描 ） ， 可 参 看 之 前 文 章 《 被 动 式 漏 洞 扫 描 平 台 建 设 之 路 》 。 S A S T 嵌 入 到 C I 流 水 线 任 务 下 的 静 态 扫 描 器 ， 确 保 每 次 g i t 的 代 码 提 交 都 经 过 安 全 检 测 。 【 存 量 及 增 量 控 制 】 建 设 另 一 种 思 路 下 的 I A S T 能 力 ， 与 A P M 监 测 工 具 合 作 ， 记 录 堆 栈 数 据 ， 离 线 准 实 时 检 测 安 全 漏 洞 ， 可 参 看
之 前 文 章 《 企 业 快 速 部 署 I A S T / R A S P 能 力 的 一 种 新 思 路 》 。 其 中 在 被 动 扫 描 器 + I A S T 的 模 式 下 ， 可 以 做 到 部 分 场 景 下 越 权 漏 洞 的 检 测 。 （ 2 次 替 换 c o o k i e 发 包 ， 对 比 带 入 的 s q l 语 句 ） 建 设 解 决 增 量 及 存 量 的 组 件 安 全 依 赖 扫 描 能 力 ， 可 参 看 之 前 文 章 《 通 用 组 件 安 全 治 理 三 步 走 实 践 》 。 在 人 工 测 试 环 节 ， 对 于 重 要 应 用 的 重 要 需 求 流 转 到 人 工 测 试 环 节 ， 执 行 安 全 测 试 任 务 。 还 需 要 做 到 的 是 ， 在 自 动 化 检 查 工 具 中 增 加 实 时 提 醒 的 功 能 ， 通 过 跟 接 口 平 台 联 动 ， 将 检 查 内 容 与 要 求 挂 钩 ， 将 安 全 整 改 工 作 尽 量 左 移 ， 一 旦 检 查 出 不 符 合 要 求 的 点 ， 可 以 立 即 通 知 到 相 关 责 任 人 进 行 整 改 ， 在 卡 版 前 给 出 研 发 整 改 时 间 。 管 控 阶 段 管 控 阶 段 通 过 检 查 过 程 中 发 现 的 问 题 ， 将 检 查 结 果 数 据 跟 各 纬 度 的 S R / S S T / 版 本 对 应 起 来 ， 存 入 安 全 运 营 平 台 中 ， 这 样 就 形 成 了 版 本 — 风 险 值 的 维 度 ， 初 期 我 们 定 义 一 些 简 单 的 卡 版 规 则 ， 对 不 符 合 要 求 的 版 本 卡 发 布 ， 例 如 中 高 危 漏 洞 不 可 发 版 ， 没 有 接 入 S S O 不 允 许 发 版 等 。 在 持 续 建 设 后 期 可 以 根 据 各 类 安 全 规 则 给 出 版 本 的 安 全 评 分 及 安 全 检 查 报 告 ， 执 行 更 精 细 的 版 本 安 全 管 控 。 此 外 我 们 还 需 要 一 个 基 础 应 用 安 全 元 数 据 系 统 （ 通 过 同 步 运 维 、 架 构 的 全 部 应 用 基 础 数 据 ） ， 可 以 将 检 查 结 果 对 应 用 打 上 各 类 安 全 标 识 ， 为 长 期 的 应 用 安 全 治 理 工 作 打 好 基 础 ； 结 合 安 全 运 营 平 台 ， 更 便 捷 地 对 各 类 安 全 漏 洞 、 安 全 整 改 项 做 闭 环 跟 进 处 置 。 （ 这 里 要 感 谢 运 维 及 架 构 兄 弟 们 的 支 持 ， 企 业 安 全 的 建 设 水 平 非 常 依 赖 于 组 织 内 部 运 维 及 架 构 上 的 建 设 水 准 ， 这 就 类 似 高 速 公 路 上 跑 的 各 类 汽 车 ， 运 维 架 构 标 准 化 覆 盖 率 上 去 后 安 全 的 建 设 水 到 渠 成 。 ） 防 护 阶 段 防 护 阶 段
应 用 发 布 后 ， 研 发 流 程 的 工 作 就 告 一 段 落 ， 我 们 就 需 要 对 线 上 潜 在 的 攻 击 行 为 做 预 警 响 应 处 置 。 建 设 基 于 流 量 的 入 侵 检 测 能 力 ， 流 量 安 全 分 析 ， 我 们 熟 知 的 X X 眼 、 各 类 W A F 的 日 常 运 营 。 建 设 传 统 的 H I D S ， 我 们 熟 知 的 X X 云 等 日 常 的 安 全 运 营 。 建 设 基 于 堆 栈 的 攻 击 告 警 （ R A S P ） ， 这 里 因 为 我 们 的 实 践 思 路 是 通 过 采 集 应 用 堆 栈 日 志 离 线 分 析 ， 所 以 只 是 做 攻 击 行 为 告 警 ， 之 后 再 进 行 人 工 处 置 （ 跟 正 统 的 R A S P 思 维 来 说 差 距 就 是 实 时 阻 断 的 能 力 ， 对 传 统 金 融 行 业 的 业 务 系 统 来 说 ， 实 时 阻 断 还 是 有 些 压 力 的 ， 我 们 的 方 案 只 做 堆 栈 埋 点 ， 在 日 志 消 费 速 率 足 够 的 情 况 下 ， 做 到 实 时 攻 击 行 为 告 警 ， 之 后 人 工 处 置 。 对 这 部 分 如 感 兴 趣 ， 可 参 看 之 前 文 章 《 企 业 快 速 部 署 I A S T / R A S P 能 力 的 一 种 新 思 路 》 。 ） 建 设 新 增 资 产 监 控 及 常 态 安 全 巡 检 ， 掌 控 全 部 的 应 用 资 产 ， 确 保 不 会 遗 漏 安 全 死 角 ， 新 增 应 用 及 映 射 定 时 通 知 安 全 运 营 人 员 ， 确 保 得 到 把 控 。 建 设 最 新 的 通 用 型 安 全 漏 洞 预 警 ， 面 对 新 出 的 安 全 漏 洞 时 及 时 的 分 析 对 公 司 资 产 的 影 响 程 度 。 总 结 到 此 为 止 ， 我 们 从 S D L C 的 思 维 模 式 逐 步 转 变 为 全 生 命 周 期 的 广 义 应 用 安 全 管 控 体 系 。 建 设 这 个 体 系 后 ， 带 给 我 们 几 个 提 升 ： 1 、   提 升 了 安 全 工 作 的 覆 盖 面 及 安 全 运 营 效 率 ， 从 针 对 重 要 应 用 的 安 全 运 营 工 作 转 变 为 对 全 部 应 用 的 体 系 化 安 全 管 控 ， 无 论 是 外 部 还 是 内 部 应 用 皆 在 安 全 运 营 范 围 内 。 2 、   安 全 管 控 线 上 化 标 准 化 ， 在 与 测 试 及 发 布 工 具 联 动 后 ， 从 依 赖 “ 人 工 版 本 把 控 ” 转 变 为 依 靠 “ 系 统 判 断 ” 进 行 版 本 安 全 的 管 控 。 3 、   从 传 统 应 用 安 全 管 控 的 角 度 转 变 为 广 义 安 全 管 控 的 角 度 ， 只 要 涉 及 研 发 流 程 ， 皆 可 通 过 这 个 模 式 来 实 现 “ 要 求 — 检 查 — 管 控 ” 的 整 改 落 地 （ 也 可 解 决 安 全 以 外 的 研 发 整 改 问 题 ） ， 各 类 研 发 的 整 改 皆 可 通 过 各 类 检 查   +   跟 进 闭 环   +   版 本 管 控   来 实 现 “ 消 化 存 量 、 管 控 增 量 消 化 存 量 、 管 控 增 量 ” 的 目 的 ， 这 个 是 非 常 重 要 的 。 4 、   体 系 化 提 升 ， 通 过 检 查 阶 段 的 结 果 ， 反 溯 研 发 过 程 ， 给 出 各 部 门 排 名 ， 从 管 理 手 段 上 提 升 研 发 同 事 的 安 全 能 力 ， 安 全 更 加 可 控 。 5 、   不 再 仅 限 于 发 布 前 的 应 用 安 全 管 控 ， 而 是 贯 穿 了 应 用 全 生 命 周 期 的 安 全 管 控 体 系 。 对 一 个 大 型 的 I T 组 织 来 说 ， 在 后 续 的 运 营 过 程 中 ， 我 们 还 需 要 不 断 拓 展 我 们 的 覆 盖 面 ， 以 及 不 断 优 化 我 们 的 检 测 深 度 ， 还 有 很 多 的 路 要 走 。 本 文 作 者 ： 贾 凯 @ 平 安 银 行 应 用 安 全 团 队 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理