搜索

[14867] 2019-11-26_论企业如何快速建立SDL流程

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-11-26_论企业如何快速建立SDL流程 论 企 业 如 何 快 速 建 立 S D L 流 程 黑 客 小 平 哥   F r e e B u f   2 0 1 9 - 1 1 - 2 6 前 言 前 言 今 年 很 多 比 较 大 的 互 联 网 公 司 开 始 试 行 今 年 很 多 比 较 大 的 互 联 网 公 司 开 始 试 行 S D L 落 地 ， 但 是 由 于 相 关 资 料 文 档 有 限 ， 导 致 落 地 困 难 ， 今 天 这 篇 文 章 落 地 ， 但 是 由 于 相 关 资 料 文 档 有 限 ， 导 致 落 地 困 难 ， 今 天 这 篇 文 章 就 旨 在 讨 论 一 下 企 业 就 旨 在 讨 论 一 下 企 业 S D L 如 何 快 速 落 地 问 题 ， 题 主 落 地 如 何 快 速 落 地 问 题 ， 题 主 落 地 S D L 时 间 并 不 是 很 长 ， 一 两 年 时 间 而 已 ， 但 是 一 样 是 从 时 间 并 不 是 很 长 ， 一 两 年 时 间 而 已 ， 但 是 一 样 是 从 零 开 始 ， 过 程 艰 难 ， 不 论 成 功 与 否 ， 一 样 有 所 得 ， 写 出 来 大 家 讨 论 一 下 。 零 开 始 ， 过 程 艰 难 ， 不 论 成 功 与 否 ， 一 样 有 所 得 ， 写 出 来 大 家 讨 论 一 下 。 一 、 一 、 S D L 实 施 定 位 实 施 定 位 开 始 就 不 讲 微 软 那 一 套 流 程 了 ， 先 借 鉴 一 下 （ 这 张 图 忘 了 从 哪 位 大 佬 P P T 截 下 来 的 了 ， 侵 权 可 删 ） ： 这 张 图 很 好 的 诠 释 了 整 个 D e v S e c O p s 如 何 实 施 ， 很 多 人 觉 得 S D L 做 起 来 和 业 务 有 很 多 冲 突 ， 推 不 下 去 ， 其 实 不 然 ， S D L 重 点 所 做 的 就 是 ： 依 附 和 控 制 。 依 附 和 控 制 听 起 来 矛 盾 ， 但 是 实 际 并 不 矛 盾 。 要 想 明 白 这 两 个 词 的 含 义 ， 必 须 要 清 晰 做 S D L 流 程 的 目 的 ， 那 就 是 将 安 全 手 段 前 置 ， 安 全 问 题 最 小 化 ， 降 低 后 期 维 护 成 本 。 那 依 附 什 么 ？ 依 附 整 个 D e v O p s 各 个 流 程 ， 当 然 了 ， 很 多 公 司 没 有 完 整 的 D e v O p s ， 没 关 系 ， 我 们 可 以 跟 着 走 ， 适 当 增 减 ， 也 就 是 研 发 流 程 到 哪 我 们 就 在 哪 。 控 制 什 么 ？ 如 果 安 全 没 有 控 制 手 段 ， 那 结 果 肯 定 就 是 个 摆 设 。 我 们 不 需 要 控 制 他 们 实 施 的 细 节 ， 我 们 可 以 控 制 主 业 务 系 统 的 命 门 ， 如 发 版 和 结 项 。 二 、 二 、 S D L 落 地 三 要 素 落 地 三 要 素 要 想 做 好 企 业 的 S D L 建 设 ， 个 人 认 为 三 个 因 素 至 关 重 要 ： 公 司 制 度 、 团 队 支 持 、 S D L 工 程 师 。 公 司 制 度 ： 大 部 分 公 司 处 于 初 始 阶 段 ， 没 有 任 何 安 全 建 设 方 面 的 经 验 、 文 档 以 及 工 具 ， 甚 至 公 司 高 层 对 这 方 面 严 重 忽 视 ， 摆 个 样 子 就 行 ， 这 导 致 S D L 实 际 落 地 非 常 困 难 ， 基 本 就 是 摆 设 。 如 果 公 司 之 前 已 经 有 相 关 的 实 施 经 验 ， 那 么 推 动 起 来 要 方 便 的 多 ， S D L 工 程 只 需 要 在 原 有 的 基 础 上 优 化 拓 展 就 行 了 。
团 队 支 持 ： 目 前 大 部 分 公 司 都 有 自 己 的 安 全 团 队 ， 没 有 的 可 能 也 有 相 应 的 外 包 人 员 。 日 常 的 渗 透 、 审 计 工 作 基 本 就 是 这 部 分 人 在 完 成 ， 其 实 这 是 S D L 建 设 的 中 坚 力 量 ， 整 个 S D L 工 程 最 多 最 繁 杂 的 流 程 全 部 依 靠 这 部 分 人 员 。 S D L 工 程 师 ： 第 三 个 重 要 因 素 就 是 S D L 工 程 师 ， 作 为 S D L 建 设 中 最 关 键 的 部 分 ， S D L 工 程 师 意 味 着 整 个 落 地 效 果 的 关 键 因 素 ， S D L 工 程 师 的 人 选 必 须 具 备 综 合 处 理 能 力 ， 不 然 很 艰 难 。 三 、 三 、 S D L 工 程 师 工 程 师 既 然 S D L 工 程 师 作 为 整 个 S D L 落 地 的 关 键 因 素 ， 那 我 们 就 单 独 讨 论 下 S D L 工 程 师 的 职 责 与 作 用 。 现 状 ： 大 部 分 人 眼 中 的 S D L 工 程 师 是 个 吃 力 不 讨 好 ， 还 忙 成 狗 的 工 作 ， 特 别 是 公 司 安 全 团 队 就 一 两 个 人 的 时 候 ， 那 么 整 个 事 情 基 本 就 是 S D L 工 程 师 一 个 人 干 了 ， 像 流 程 建 设 、 文 档 编 辑 、 渗 透 测 试 、 代 码 扫 描 、 人 工 审 计 、 需 求 审 核 、 等 级 保 护 等 等 ， 不 得 不 说 这 是 个 庞 大 的 工 作 量 。 定 位 ： 那 么 S D L 工 程 师 如 何 从 庞 大 的 工 作 量 中 抽 身 出 来 ？ 那 就 是 定 位 转 变 或 者 叫 思 维 转 变 。 基 本 上 S D L 工 程 师 都 是 技 术 出 身 ， 自 身 定 位 也 是 个 安 全 技 术 人 员 ， 事 必 躬 亲 ， 事 实 上 不 会 技 术 的 S D L 工 程 师 也 很 艰 难 。 但 是 作 为 S D L 工 程 师 我 们 自 身 定 位 就 是 从 执 行 者 转 变 为 检 验 者 。 S D L 工 程 师 的 实 际 职 责 是 把 控 整 个 项 目 流 程 的 安 全 走 向 ， 确 保 整 个 产 品 周 期 的 安 全 都 在 把 控 之 中 ， 作 为 决 策 人 ， 必 须 创 建 相 关 安 全 流 程 、 安 全 文 档 以 及 制 定 安 全 计 划 和 验 收 安 全 执 行 效 果 。 那 么 其 它 的 测 试 、 扫 描 、 审 计 等 工 作 谁 来 做 ？ 可 以 是 研 发 、 测 试 、 公 司 安 全 部 、 外 包 公 司 等 等 ， 安 全 部 人 特 别 少 的 情 况 下 可 以 是 由 测 试 或 者 其 它 人 员 使 用 工 具 完 成 。 那 么 S D L 工 程 师 最 终 所 把 控 的 就 是 最 后 所 执 行 的 效 果 是 否 达 到 自 己 制 定 的 每 个 阶 段 的 安 全 要 求 ， 如 此 S D L 工 程 师 即 可 从 繁 杂 的 事 务 中 抽 身 出 来 建 设 和 管 控 整 体 流 程 。 职 责 ： S D L 工 程 师 的 职 责 可 以 概 况 为 以 下 几 个 方 面 ： S D L 流 程 制 度 建 设 及 优 化 、 降 低 产 品 安 全 风 险 、 降 低 后 期 的 维 护 成 本 。 四 、 四 、 S D L 实 施 目 标 实 施 目 标 S D L 建 设 的 目 的 其 实 很 明 确 ， 就 是 将 安 全 手 段 前 置 ， 尽 可 能 的 降 低 产 品 安 全 风 险 ， 减 少 后 期 的 维 护 成 本 。 但 是 理 想 和 现 实 总 是 有 差 距 ， 所 以 我 们 作 为 实 际 落 地 必 须 坚 持 深 度 防 御 、 适 度 安 全 两 条 准 则 ， 我 们 不 做 绝 对 安 全 ， 这 样 太 理 想 化 ， 后 期 可 能 会 带 来 不 必 要 的 矛 盾 ， 影 响 项 目 流 程 进 度 ， 增 加 成 本 。 五 、 五 、 S D L 建 设 流 程 建 设 流 程 那 么 S D L 实 施 落 地 的 流 程 还 是 依 附 在 D e v O p s 上 ， 如 何 具 体 实 施 ？ 此 时 我 将 S D L 整 个 生 命 周 期 分 为 三 个 阶 段 ： 前 期 、 中 期 、 后 期 。 前 期 前 期 准 备 阶 段 准 备 阶 段 作 为 整 个 S D L 流 程 的 开 始 ， 准 备 阶 段 尤 为 重 要 ， 整 个 S D L 工 程 能 否 执 行 或 者 能 否 顺 利 执 行 ， 就 取 决 去 此 阶 段 ， 此 阶 段 我 们 需 要 准 备 事 项 如 下 ： 1 、 获 取 公 司 相 关 政 策 或 者 高 层 领 导 支 持 前 面 说 过 ， S D L 最 大 的 阻 力 不 是 项 目 有 多 复 杂 ， 而 是 公 司 制 度 或 者 高 层 领 导 的 态 度 决 定 的 。 S D L 作 为 整 个 项 目 研 发 流 程 的 依 附 工 作 ， 如 果 仅 仅 是 依 附 ， 那 S D L 将 无 法 推 行 ， 因 为 缺 乏 约 束 力 ， 不 能 有 效 的 控 制 整 个 安 全 流 程 的 走 向 。 那 么 此 时 的 安 全 负 责 人 必 须 制 定 相 关 的 流 程 计 划 ， 取 得 高 层 领 导 支 持 ， 并 设 置 整 理 安 全 流 程 项 目 控 制 权 ， 如 ： 版 本 控 制 权 。 2 、 指 定 S D L 工 程 师 S D L 工 程 师 作 为 整 个 S D L 工 程 建 设 的 关 键 因 素 ， S D L 工 程 师 除 了 技 术 及 沟 通 能 力 之 外 ， 最 重 要 的 是 S D L 工 程 师 的 自 身
定 位 ： 检 验 者 而 非 执 行 者 。 S D L 工 程 师 只 需 要 对 项 目 每 个 阶 段 的 整 理 执 行 效 果 检 验 ， 检 验 包 括 ： 流 程 是 否 合 理 、 安 全 问 题 是 否 遗 漏 、 效 果 是 否 达 标 。 3 、 整 理 相 关 支 持 文 档 S D L 相 关 工 作 需 要 大 量 文 档 支 持 ，   包 括 编 码 规 范 、 合 规 文 档 、 基 线 加 固 文 档 、 需 求 文 档 等 等 。 4 、 准 备 相 关 工 具 C I /   C D 中 的 安 全 工 具 、 漏 洞 扫 描 工 具 、 源 码 扫 描 工 具 、 漏 洞 管 理 工 具 、 集 成 工 具 等 等 立 项 阶 段 立 项 阶 段 此 阶 段 S D L 工 程 师 必 须 参 与 立 项 评 审 ， 我 们 重 点 关 注 ： 产 品 架 构 安 全 、 第 三 方 组 件 安 全 或 者 提 出 其 它 安 全 规 范 及 文 档 。 培 训 阶 段 培 训 阶 段 此 阶 段 分 为 两 部 分 ， 一 部 分 前 期 执 行 、 一 部 分 中 期 执 行 ， 这 里 放 一 块 了 。 1 、 前 期 全 员 性 安 全 培 训 前 期 培 训 重 点 是 提 示 项 目 参 与 人 员 的 安 全 意 识 、 研 发 人 员 的 代 码 安 全 意 识 ， 争 对 这 方 面 培 训 即 可 。 2 、 中 期 针 对 性 培 训 周 期 培 训 必 须 针 对 项 目 培 训 ， 比 如 代 码 中 常 出 现 的 问 题 、 测 试 过 程 中 出 现 比 较 多 的 漏 洞 等 。 因 为 到 项 目 后 期 ， 漏 洞 基 本 都 很 集 中 在 某 几 种 类 型 之 间 。 需 求 阶 段 需 求 阶 段 真 正 的 S D L 工 程 师 的 具 体 工 作 其 实 就 是 从 需 求 阶 段 开 始 ， 此 阶 段 我 们 需 要 做 以 下 事 件 ： 1 、 实 施 风 险 评 估 2 、 制 定 安 全 需 求 表 3 、 发 起 并 参 加 安 全 需 求 评 审 会 议 4 、 针 对 项 目 筛 选 适 用 的 安 全 需 求 规 则 前 期 总 结 前 期 总 结 前 期 阶 段 重 点 工 作 是 了 解 项 目 整 体 架 构 、 制 定 相 关 S D L 流 程 、 编 写 相 关 的 文 档 、 寻 找 合 适 的 工 具 以 及 培 训 相 关 的 人 员 安 全 意 识 。 中 期 中 期 设 计 阶 段 设 计 阶 段 当 需 求 评 审 通 过 之 后 ， 项 目 开 始 进 入 设 计 阶 段 ， 如 果 此 阶 段 之 前 没 有 相 应 的 文 档 支 持 ， 工 作 量 稍 微 大 点 ： 1 、   发 起 并 参 加 需 求 设 计 评 审 2 、   架 构 评 审 3 、 制 定 安 全 编 码 规 范 、 c h e c k l i s t 4 、 提 出 并 解 决 框 架 设 计 安 全 风 险
5 、 提 出 并 解 决 业 务 逻 辑 设 计 安 全 风 险 6 、 威 胁 建 模 开 发 阶 段 开 发 阶 段 整 体 S D L 建 设 进 入 开 发 阶 段 是 整 个 流 程 建 设 的 核 心 部 分 ， 整 个 S D L 建 设 的 大 量 工 作 都 是 围 绕 开 发 阶 段 和 测 试 阶 段 不 断 的 循 环 之 中 ， 源 代 码 扫 描 和 人 工 审 计 等 工 作 也 是 从 这 个 阶 段 快 开 始 介 入 ， 下 图 简 单 介 绍 相 关 流 程 ： 上 图 简 单 阐 述 了 整 个 开 发 阶 段 的 相 关 工 作 以 及 安 全 扫 描 介 入 “ 1 、   代 码 研 发 成 功 之 后 ， 研 发 人 员 进 行 是 否 f i n d s e c b u g s 实 行 自 扫 描 ； 2 、   扫 描 通 过 的 代 码 上 传 到 g i t 后 使 用 j e n k i n s 等 工 具 使 用 f i n d s e c b u g s 等 工 具 动 态 增 量 扫 描 ； 3 、   扫 描 通 过 后 的 代 码 集 成 到 f o r t i f y 或 者 c h e c k m a r k 等 工 具 进 行 人 工 审 计 和 扫 描 （ 此 时 只 是 增 量 代 码 审 计 和 扫 描 ） ， 包 括 第 三 方 组 件 扫 描 ； 4 、   最 后 通 过 的 代 码 部 署 测 试 环 境 等 等 人 工 渗 透 研 发 流 程 结 束 。 备 注 ： 具 体 工 具 配 置 使 用 可 参 照 ： h t t p s : / / x z . a l i y u n . c o m / t / 6 6 2 5 测 试 阶 段 测 试 阶 段 测 试 阶 段 一 般 会 在 研 发 中 期 就 开 始 进 行 ， 会 对 项 目 进 行 模 块 式 测 试 ， 本 次 我 们 只 讨 论 安 全 测 试 ， 包 括 以 下 几 个 方 面 ： 1 、   模 块 性 源 代 码 安 全 审 计 和 扫 描 ； 2 、   第 三 方 组 件 扫 描 ； 3 、   自 动 化 安 全 扫 描 工 具 扫 描 ； 4 、   人 工 渗 透 扫 描 ； 5 、   研 发 后 期 整 体 性 源 代 码 及 三 方 组 件 扫 描 ； 6 、   研 发 后 期 整 体 人 工 渗 透 。 中 期 总 结 中 期 总 结 本 阶 段 我 们 的 工 作 量 大 概 占 整 体 项 目 的 8 0 % ， 基 本 整 个 S D L 流 程 的 核 心 阶 段 就 在 此 时 。 中 期 我 们 的 难 点 就 是 开 发 阶 段
和 测 试 阶 段 ， 这 两 个 阶 段 是 一 个 穿 插 交 错 的 过 程 ， 此 过 程 我 们 只 需 要 做 到 适 度 安 全 即 可 。 各 种 安 全 文 档 、 支 持 工 具 是 本 阶 段 的 一 项 重 要 工 作 ， 尽 量 减 少 人 工 投 入 ， 使 用 工 具 代 替 人 工 才 是 S D L 的 核 心 目 的 ， 在 缺 少 工 具 的 情 况 下 ， 寻 找 合 适 的 手 段 建 设 S D L 工 程 师 繁 杂 的 测 试 工 作 ， 整 个 版 本 是 否 放 行 ， 只 需 要 依 据 相 关 的 评 估 报 告 结 果 即 可 。 后 期 后 期 进 入 后 期 阶 段 其 实 整 个 S D L 已 经 完 成 了 ， 但 是 作 为 D e v S e c O p s 整 体 流 程 ， 后 期 维 护 阶 段 安 全 还 是 必 须 介 入 ， 目 前 很 多 企 业 的 后 期 维 护 都 是 依 赖 自 己 的 S R C 系 统 和 第 三 方 漏 洞 平 台 。 此 阶 段 是 一 个 长 期 阶 段 ， 大 概 的 方 式 包 括 ： 1 、   定 期 安 全 培 训 ； 2 、   设 置 安 全 知 识 库 ； 3 、   设 置 应 急 响 应 渠 道 ； 4 、   设 置 漏 洞 管 理 平 台 ； 5 、   运 营 S R C 平 台 或 者 第 三 方 漏 洞 平 台 ； 6 、   开 源 代 码 托 管 平 台 的 信 息 泄 露 监 控 ； 7 、   搭 建 态 势 感 知 平 台 等 等 。 总 结 总 结 整 个 S D L 过 程 流 程 并 不 复 杂 ， 复 杂 的 是 具 体 实 施 细 节 ， 大 概 概 况 相 关 的 难 点 ， 当 然 了 ， 任 何 方 案 都 不 可 能 满 足 所 有 的 实 际 需 求 ， 企 业 还 是 需 要 根 据 自 身 的 实 际 情 况 去 选 择 落 地 S D L ， 寻 找 适 合 自 己 的 才 最 重 要 ： 1 、   第 三 方 框 架 防 治 问 题 ， 可 以 维 护 自 己 的 三 方 框 架 库 ， 定 期 安 全 检 测 。 2 、   扫 描 误 报 过 高 ， 大 量 数 据 筛 选 困 难 ， 可 以 建 立 优 化 整 体 规 则 库 ， 重 点 关 注 中 高 危 漏 洞 ， 配 合 工 具 扫 描 + 人 工 筛 查 的 方 式 进 行 ， 增 量 扫 描 可 排 除 误 报 后 无 需 扫 描 。 3 、   阻 挡 业 务 正 常 流 程 ， 可 根 据 实 际 情 况 ， 做 到 适 度 安 全 ， 有 选 择 的 对 业 务 放 行 。 4 、   业 务 太 多 ， 人 员 不 够 ， 可 以 针 对 重 点 项 目 实 行 S D L 流 程 ， 以 工 具 及 其 它 人 员 配 合 的 方 式 减 少 S D L 工 程 师 不 必 要 的 工 作 量 ， 以 达 到 S D L 工 程 师 作 为 验 收 者 的 目 的 。 5 、   跨 部 门 协 作 困 难 ， 可 以 说 法 公 司 高 层 制 定 相 关 流 程 ， 指 定 对 接 人 。 以 上 S D L 整 体 落 地 依 据 个 人 理 解 ， 大 家 可 以 参 考 ， 有 错 误 和 完 善 的 地 方 大 家 可 以 联 系 我 。 * 本 文 原 创 作 者 ： 黑 客 小 平 哥 ， 本 文 属 于 本 文 原 创 作 者 ： 黑 客 小 平 哥 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理