搜索

[12388] 2018-02-22_自动化合规测试工具InSpec2.0促进DevSecOps发展

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-02-22_自动化合规测试工具InSpec2.0促进DevSecOps发展 自 动 化 合 规 测 试 工 具 I n S p e c   2 . 0 促 进 D e v S e c O p s 发 展 A n g e l a Y   F r e e B u f   2 0 1 8 - 0 2 - 2 2 在 当 前 的 网 络 空 间 形 势 下 ， 软 件 开 发 者 需 要 在 开 发 阶 段 就 考 虑 到 安 全 问 题 ， 因 此 应 用 程 序 上 线 前 针 对 各 种 法 律 法 规 的 合 规 测 试 也 极 为 重 要 。 合 规 测 试 实 施 起 来 困 难 且 耗 时 ， 测 试 结 果 也 常 常 受 人 为 影 响 。 一 月 份 ， 西 雅 图 一 家 软 件 自 动 化 公 司 一 月 份 ， 西 雅 图 一 家 软 件 自 动 化 公 司   C h e f   S o f t w a r e   进 行 了 一 项 调 查 ， 结 果 显 示 进 行 了 一 项 调 查 ， 结 果 显 示   7 4 ％ ％   的 开 发 团 队 需 要 手 动 评 估 的 开 发 团 队 需 要 手 动 评 估 软 件 合 规 性 问 题 ， 其 中 一 半 都 需 要 手 动 补 救 问 题 。 此 外 ， 软 件 合 规 性 问 题 ， 其 中 一 半 都 需 要 手 动 补 救 问 题 。 此 外 ， 5 9 ％ ％   的 组 织 没 有 评 估 代 码 合 规 性 就 投 入 生 产 运 营 ； 而 的 组 织 没 有 评 估 代 码 合 规 性 就 投 入 生 产 运 营 ； 而 一 旦 出 现 问 题 ， 有 一 旦 出 现 问 题 ， 有   5 8 ％ ％   的 组 织 需 要 花 费 几 天 时 间 才 能 解 决 。 而 的 组 织 需 要 花 费 几 天 时 间 才 能 解 决 。 而   C h e f   公 司 发 布 的 公 司 发 布 的   I n S p e c   2 . 0   工 具 可 以 将 法 律 工 具 可 以 将 法 律 法 规 整 合 进 开 发 部 署 阶 段 ， 甚 至 实 现 自 动 化 操 作 ， 进 而 大 大 节 省 人 力 ， 促 进 法 规 整 合 进 开 发 部 署 阶 段 ， 甚 至 实 现 自 动 化 操 作 ， 进 而 大 大 节 省 人 力 ， 促 进   D e v S e c O p s   的 发 展 。 的 发 展 。   数 据 泄 露 涉 及 合 规 问 题 数 据 泄 露 涉 及 合 规 问 题 本 月 早 些 时 候 ， A W S   S 3   存 储 桶 中 又 暴 露 了 两 个 独 立 的 数 据 库 。 而 有 安 全 研 究 人 员 表 示 ， 上 周 ， 联 邦 快 递 也 加 入 了 泄 露 大 家 族 ， 其 数 据 库 在   A W S   S 3   上 泄 露 ， 泄 露 的 内 容 包 括 “ 美 国 和 国 际 公 民 扫 描 的 超 过   1 1 9 , 0 0 0   份 文 件 ， 包 含 护 照 、 驾 驶 执 照 和 安 全   I D   等 信 息 。 ” 上 述 案 例 以 及   2 0 1 7   年 其 他   A W S   S 3   相 关 的 数 据 泄 露 事 件 都 有 一 个 共 同 且 简 单 的 原 因 ： 数 据 库 设 置 为 公 开 访 问 。 而 由 此 造 成 的 潜 在 合 规 影 响 则 非 常 复 杂 。 例 如 ， 如 果 联 邦 快 递 泄 露 的 “ 国 际 公 民 ” 信 息 有 一 个 是 欧 盟 公 民 信 息 ， 欧 盟 的 “ 一 般 数 据 保 护 条 例 ” （ G D P R ， 2 0 1 8   年   5   月 生 效 ） 就 可 能 使 联 邦 快 递 承 担 高 达 其 全 球 收 入   4 ％   的 罚 款 。 联 邦 快 递   2 0 1 7   年 的 收 入 约 为   6 0 0   亿 美 元 ， 因 此 可 能 涉 及 的 罚 款 就 会 达 到   2 4   亿 美 元 。
事 实 上 ， 大 部 分 数 据 泄 露 的 原 因 很 可 能 只 是 简 单 的 人 为 错 误 ， 这 也 恰 恰 反 映 了 安 全 与 合 规 的 软 件 开 发 中 一 个 更 大 的 问 题 ： 它 涉 及 多 个 利 益 相 关 者 ， 具 有 不 同 的 优 先 级 ， 并 在 一 定 程 度 上 涉 及 不 同 的 表 达 语 言 。 C h e f   公 司 的 产 品 营 销 总 监   J u l i a n   D u n n   表 示 ： 高 级 别 合 规 官 员 通 常 在 高 度 模 糊 的   W o r d   文 档 中 明 确 规 定 合 规 性 要 求 。 但 是 在 实 施 层 面 上 ， 一 个 企 业 就 算 有 负 责 系 统 的   D e v O p s   人 员 ， 但 他 们 不 理 解 含 糊 不 清 的   W o r d   文 档 ， 他 们 只 了 解 代 码 、 计 算 机 系 统 和 应 用 程 序 。 每 个 人 都 使 用 不 同 的 工 具 ， 因 此 导 致 沟 通 失 败 ， 进 而 只 会 减 慢 整 个 合 规 过 程 。 自 动 化 产 品 促 进 自 动 化 产 品 促 进   D e v S e c O p s   发 展 发 展 借 由 调 查 报 告 的 发 布 ， C h e f   S o f t w a r e   也 宣 布 上 线 其   I n S p e c   2 . 0   合 规 自 动 化 产 品 。 2 0 1 5   年 ， C h e f   S o f t w a r e   收 购 德 国 初 创 公 司   V u l c a n o S e c   后 ， 在   V u l c a n o S e c   已 有 技 术 的 基 础 上 发 展 出 了   I n S p e c   技 术 。 最 新 版 本 的   I n s p e c t   提 升 了 性 能 并 增 加 了 新 的 线 程 。   C h e f   声 称 ， 与   I n S p e c   1 . 0   相 比 ，   I n S p e c   2 . 0   在   W i n d o w s   上 的 性 能 提 升 了   9 0 % （ 在   L i n u x / U n i x 上 提 升 了   3 0 ％ ） 。 I n S p e c   的 一 大 用 途 是 解 决   2 0 1 7   年 问 题 频 发 的   A W S   S 3   存 储 桶 的 合 规 性 问 题 。 I n S p e c   2 . 0   可 以 验 证   A W S   和   A z u r e   策 略 （ 甚 至 能 移 除 意 外 公 开 访 问 的   S 3   存 储 桶 中 的 敏 感 数 据 ） ， 还 更 新 了   3 0   多 内 置 资 源 。 它 提 供 了 一 个 简 单 易 懂 的 代 码 类 方 法 来 定 义 合 规 要 求 ， 然 后 定 期 检 查 公 司 的 基 础 设 施 （ 包 括 云 和 本 地 ） 是 否 符 合 要 求 。 这 种 代 码 语 言 中 的 “ i t   { s h o u l d   h a v e _ m f a _ e n a b l e d } ” 和 “ i t   { s h o u l d _ n o t   h a v e _ a c c e s s _ k e y } ” 等 代 码 可 以 解 决 A W S   S 3   存 储 桶 暴 露 的 问 题 。 此 外 ， 合 规 制 度 要 求 数 据 库 设 置 访 问 控 制 。 在   R e d   H a t   L i n u x   系 统 中 ， I n S p e c   代 码 包 含 “ c o n t r o l ‘ e n s u r e _ s e l i n u x _ i n s t a l l e d ’ d o ” 和 “ i t   { s h o u l d   b e _ i n s t a l l e d } ” 。
然 后 ， I n S p e c   会 定 期 检 查 基 础 架 构 ， 并 检 测 是 否 遵 守 合 规 规 定 或 细 则 的 要 求 ， 这 也 是   I n S p e c   循 环 过 程 中 “ 检 测 、 修 正 、 自 动 化 ” 的 一 部 分 。 检 测 有 助 于 相 关 人 员 看 见 当 前 的 合 规 状 态 ， 以 完 成 审 计 、 推 动 决 策 ； 修 正 则 是 纠 正 问 题 以 提 高 性 能 和 安 全 性 ； 自 动 化 可 以 加 快 应 用 程 序 部 署 和 持 续 性 的 代 码 风 险 管 理 。 I n S p e c   可 以 在 自 动 化 阶 段 帮 助 客 户 ， 提 供 符 合 常 规 法 规 要 求 的 预 定 义 配 置 文 件 。 不 过   I n S p e c   从 根 本 上 说 是 一 种 通 用 的 工 具 包 ， 用 于 表 达 规 则 以 及 规 则 所 带 来 的 积 极 和 消 极 的 结 果 ， 因 此 它 可 以 处 理 软 合 规 （ 法 规 ） 也 可 以 搞 定   G D P R 、 P C I 、 S O X   等 大 部 头 的 法 律 。 前 几 年 ， 软 件 开 发 一 直 推 崇   D e v O p s ， 以 避 免 孤 立 的 软 件 开 发 与 部 署 。 而 现 在 越 来 越 多 的 安 全 法 规 也 在 推 动 D e v S e c O p s   的 发 展 ， 将 安 全 融 入 开 发 部 署 之 中 。   I n S p e c   工 具 能 自 动 将 安 全 和 合 规 融 入 代 码 开 发 过 程 ， 形 成 一 个 功 能 完 善 的   D e v S e c O p s   环 境 ， 不 但 没 有 抑 制 反 而 是 提 升 了 软 件 开 发 的 敏 捷 性 ， 这 也 是   I n S p e c   2 . 0   的 另 一 个 自 动 成 效 ， 推 动 了   D e v S e c O p s   的 发 展 。 * 参 考 来 源 ： S e c u r i t y W e e k ， A n g e l a Y   编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理