搜索

[15889] 2020-09-24_安全产品怎么就不安全了？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-09-24_安全产品怎么就不安全了？ 安 全 产 品 怎 么 就 不 安 全 了 ？ 原 创   S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 9 - 2 4 安 全 产 品 漏 洞 频 发 ， 由 此 引 发 的 一 系 列 安 全 事 件 也 让 人 唏 嘘 ， 这 些 事 件 本 身 不 禁 让 人 们 想 反 问 一 句 ， 安 全 产 品 怎 么 就 不 安 全 了 ？ 本 期 话 题 就 “ 安 全 产 品 的 安 全 问 题 ” 展 开 讨 论 ， 如 果 你 也 对 这 一 话 题 感 兴 趣 ， 有 不 一 样 的 思 考 ， 可 在 文 末 评 论 区 留 言 互 动 ~
安 全 产 品 常 见 的 安 全 问 题 有 哪 些 安 全 产 品 常 见 的 安 全 问 题 有 哪 些 @ d a w e n j u n 安 全 产 品 就 像 是 一 个 简 化 版 的 服 务 器 ， 终 端 的 常 见 的 问 题 ， 例 如 系 统 漏 洞 等 软 件 问 题 ， 风 扇 故 障 等 硬 件 问
题 ， 弱 口 令 等 基 线 问 题 都 会 时 有 发 生 @   t o d d d d n a 以 前 有 3 6 0 提 权 ， c h k r o o t k i t 提 权 ， o s s e c 提 权 @ 网 空 闲 话 网 空 闲 话 安 全 设 计 、 安 全 开 发 、 安 全 测 试 、 安 全 响 应 ， 整 个 流 程 都 有 问 题 能 用 、 好 用 、 管 用 、 爱 用 。 现 在 多 数 停 留 在 能 用 ， 勉 强 能 用 阶 段 安 全 产 品 自 身 的 安 全 问 题 涉 及 哪 些 因 素 安 全 产 品 自 身 的 安 全 问 题 涉 及 哪 些 因 素 @ d a w e n j u n 环 境 因 素 ， （ 不 限 于 天 花 板 漏 水 的 机 房 、 落 了 N 层 灰 的 楼 顶 ） ， 这 些 可 能 导 致 安 全 产 品 的 硬 件 问 题 系 统 因 素 ， 很 多 安 全 产 品 系 统 虽 说 是 定 制 化 的 ， 但 还 是 l i n u x 的 底 层 ， 部 分 也 包 含 W e b 界 面 ， 很 难 保 证 没 有 漏 洞 人 员 因 素 ： 研 发 人 员 没 有 足 够 安 代 码 安 全 设 计 意 识 时 ， 会 产 生 很 多 漏 洞 问 题 @   t o d d d d n a 安 全 相 关 的 产 品 ， 是 人 类 用 代 码 编 写 的 ， 同 样 也 会 有 漏 洞 ， 而 且 危 害 更 大 ， 因 为 ， 很 多 安 全 产 品 运 行 的 权 限 都 很 高 @ s n a i l 2 3 3 3 安 全 产 品 ， 研 发 开 发 ， 开 发 以 后 没 有 经 过 安 全 人 员 测 试 ， 进 而 导 致 r c e 之 类 的 相 关 漏 洞 甲 方 购 买 产 品 以 后 ， 没 有 更 改 产 品 的 弱 口 令 等 ， 导 致 弱 口 令 入 侵 ， 对 于 弱 口 令 ， 安 全 厂 商 应 该 在 产 品 出 售 以 后 ， 要 求 客 户 第 一 次 登 录 后 ， 强 制 更 改 口 令 措 施 安 全 产 品 厂 商 ， 急 于 赚 钱 ， 在 管 理 模 式 上 ， 安 全 人 员 和 研 发 人 员 ， 只 是 在 检 测 方 式 上 进 行 沟 通 交 流 ， 安 全 人 员 没 有 在 产 品 整 个 生 命 周 期 进 行 跟 随 ， 导 致 安 全 漏 洞 层 出 不 穷 安 全 公 司 ， 研 发 流 动 大 ， 新 招 进 来 的 人 员 没 有 经 过 开 发 规 范 培 训 等 ， 导 致 我 行 我 素 的 事 情 出 现 ， 也 是 安 全 问 题 出 现 的 问 题 之 一 有 些 项 目 竟 然 是 实 习 生 参 与 ， 刚 毕 业 或 者 没 毕 业 的 实 习 生 ， 没 有 任 何 经 验 ， 安 全 意 识 ， 心 理 问 题 等 还 不 成 熟 ， 甚 至 把 源 码 公 开 发 布 ， 有 些 竟 然 传 到 g i t h u b 有 些 公 司 也 是 迫 于 甲 方 要 求 压 力 ， 领 导 压 力 ， 一 个 项 目 急 于 应 付 ， 以 完 成 任 务 为 目 标 ， 故 安 全 问 题 ， 必 然 暴 露 @ 网 空 闲 话 网 空 闲 话 开 发 环 节 问 题 很 多 ， 一 群 没 有 安 全 开 发 经 验 的 程 序 员 ， 写 出 一 堆 问 题 代 码 ， 代 码 缺 陷 发 生 率 是 千 分 之 六 根 源 ， 投 入 不 够 。 火 眼 、 卡 巴 ， 早 期 问 题 漏 洞 频 发 ， 这 些 年 很 少 听 说 了 @ s i 1 e n c e
主 要 原 因 是 大 家 对 安 全 厂 商 的 要 求 和 对 普 通 软 件 厂 商 的 期 望 是 不 一 样 的 ， 大 家 从 内 心 普 遍 认 为 安 全 厂 商 的 对 安 全 的 理 解 会 更 加 深 刻 会 更 加 注 重 代 码 的 规 范 ， 规 避 更 多 的 安 全 风 险 ， 这 是 普 遍 的 用 户 期 望 ； 但 是 实 际 上 很 多 安 全 厂 商 的 研 发 过 程 ， 并 没 有 很 多 专 业 的 安 全 人 员 参 与 ； 很 多 资 深 的 研 发 、 架 构 师 本 质 上 对 安 全 的 理 解 深 度 还 不 是 很 够 ， 加 上 目 前 很 多 厂 商 为 了 赶 进 度 ， 导 致 开 发 周 期 缩 短 安 全 测 试 之 类 的 操 作 ， 无 论 是 时 间 上 还 是 人 力 上 都 需 要 更 加 的 投 入 另 外 一 个 方 面 ， 即 使 是 安 全 公 司 其 实 安 全 人 员 的 地 位 也 很 一 般 ， 多 数 还 是 以 安 服 居 多 在 研 发 过 程 看 来 只 是 一 个 不 写 代 码 的 交 付 人 员 而 已 ， 最 多 算 是 一 个 测 试 人 员 产 出 远 远 没 有 一 个 开 发 来 的 多 ， 而 且 招 聘 难 度 大 ， 懂 攻 防 与 代 码 的 安 全 人 员 往 往 薪 资 要 求 更 高 一 个 企 业 要 做 S D L 需 要 投 入 大 量 的 成 本 ， 如 果 没 有 很 坚 定 的 决 心 和 大 领 导 的 支 持 ， 很 难 做 起 来 ； 安 全 工 作 毕 竟 是 在 给 业 务 部 门 找 麻 烦 ， 业 务 开 发 部 门 又 是 企 业 盈 利 的 主 要 来 源 ， 二 者 和 谐 共 处 难 度 较 大 @ j a r y 安 全 公 司 的 开 发 也 只 是 普 通 的 程 序 员 ， 如 果 安 全 公 司 内 部 并 不 注 重 S D L C ， 不 进 行 内 部 测 试 、 安 全 攻 防 、 安 全 宣 导 ， 那 跟 其 他 的 软 件 开 发 是 一 样 的 ， 还 记 得 某 服 2 0 1 8 的 时 候 ， 企 业 内 部 安 全 都 还 没 搭 建 呢 ？ 你 说 怎 么 保 证 产 品 安 全 ？ @ 水 木 逸 轩 水 木 逸 轩 我 自 己 毕 设 写 S r c 的 时 候 也 出 现 过 这 种 问 题 ， 开 发 不 规 范 ， 只 是 赶 着 功 能 实 现 ， 但 是 公 司 不 得 S D L 吗 ? @ T o r j a n 另 外 就 是 测 评 机 构 测 评 内 体 系 没 有 太 多 考 虑 安 全 产 品 的 漏 洞 问 题 ， 大 多 数 是 功 能 性 问 题 ， 不 难 发 现 大 多 数 的 安 全 产 品 都 有 资 质 安 全 产 品 之 间 又 存 在 重 复 造 轮 子 ， 问 题 怎 么 不 会 层 出 不 穷 对 乙 方 来 说 ， 安 全 产 品 就 是 业 务 ,   业 务 居 然 都 不 关 注 安 全 问 题 @ 宽 字 节 安 全 实 验 室 宽 字 节 安 全 实 验 室 不 遵 守 安 全 开 发 规 范 ， 不 注 重 研 发 成 本 的 投 入 圈 钱 圈 惯 了 ， 为 啥 要 费 力 不 讨 好 地 弄 S D L 公 关 代 替 安 全 ， 既 能 剩 下 S D L 的 经 费 与 精 力 ， 还 能 快 速 敏 捷 地 开 发 @ C y A n o g e N 其 实 部 分 大 公 司 不 可 否 认 存 在 上 层 很 强 无 论 是 管 理 ， 眼 界 ， 技 术 都 很 强 。 底 层 部 门 可 能 就 会 有 种 开 始 摸 鱼 的 心 态 @ 潇 然 潇 然 安 全 产 品 的 开 发 过 程 中 ， 由 于 成 本 投 入 ， 人 员 安 全 能 力 和 意 识 等 原 因 导 致 安 全 产 品 本 身 就 会 存 在 安 全 漏 洞 ， 真 正 在 安 全 产 品 研 发 过 程 中 实 行 S D L 的 应 该 不 多 吧 ， 所 以 会 导 致 安 全 产 品 不 安 全 。 像 提 高 业 务 系 统 安 全 一 样 ， 将 安 全 产 品 的 各 个 过 程 也 都 严 格 把 控 ， 肯 定 会 提 高 安 全 产 品 的 安 全 水 平 的 如 何 加 强 安 全 产 品 的 如 何 加 强 安 全 产 品 的 “ 安 全 性 安 全 性 ”
@ d a w e n j u n 从 技 术 和 服 务 两 个 角 度 考 虑 ， 技 术 角 度 的 话 ， 打 铁 还 需 自 身 硬 ， 在 新 型 号 、 版 本 出 来 前 ， 做 好 黑 盒 、 灰 盒 或 者 白 盒 测 试 ， 先 把 部 分 问 题 在 内 部 规 避 。 服 务 角 度 的 话 ， 对 于 发 现 的 安 全 问 题 做 好 应 急 响 应 措 施 ， 例 如 发 现 漏 洞 ， 先 为 用 户 提 供 规 避 措 施 ， 然 后 尽 快 提 供 升 级 补 丁 ， 将 影 响 降 至 最 低 @ q i n g x p 9 贴 一 段 谷 歌 的 安 全 开 发 实 践 @ p i l g r i m 做 好 访 问 策 略 ， 身 份 ， 权 限 认 证 ， 能 杜 绝 很 多 安 全 问 题 @ s n a i l 2 3 3 3 综 合 一 句 话 ， 既 然 做 安 全 的 ， 肯 定 有 安 全 技 术 人 员 ， 安 全 技 术 人 员 一 定 要 跟 随 产 品 生 产 的 整 个 生 命 周 期 。 是 杜 绝 问 题 的 有 效 手 段 之 一 @ T o r j a n 得 把 安 全 拆 2 部 分 来 看 ， 一 部 分 安 全 产 品 开 发 ， 一 部 分 是 安 全 服 务 ， 安 全 服 务 这 块 质 量 不 做 过 多 的 描 述 ， 但 是 安 全 产 品 开 发 其 实 跟 传 统 的 产 品 开 发 是 一 个 层 面 ， 只 是 使 用 场 景 不 同 ， 那 么 都 是 产 品 是 不 是 应 该 按 照 成 熟 的 应 用 安 全 开 发 流 程 来 生 产 其 他 其 他 @ 宽 字 节 安 全 实 验 室 宽 字 节 安 全 实 验 室 安 全 公 司 的 安 全 产 品 开 发 竟 然 不 懂 安 全 开 发 规 范 ， 这 本 身 就 很 朋 克 @ j a r y 安 全 技 术 人 员 是 要 去 创 造 效 益 的 ， 而 不 是 专 门 来 做 内 部 安 全 的 现 在 的 安 全 厂 商 招 的 安 全 人 员 都 是 去 填 坑 的 ， 这 个 坑 跳 到 那 个 坑 @ s i 1 e n c e 安 全 技 术 人 员 创 造 收 益 ？ 直 观 的 价 值 体 现 ， 不 就 是 做 安 服 ， 在 领 导 眼 里 就 是 卖 人 头 。 远 远 不 如 做 产 品 卖 盒 子 ， 一 次 开 发 可 以 各 种 复 制 利 用 。 成 本 才 能 降 下 来 踩 过 坑 的 资 深 技 术 人 员 ， 因 为 年 龄 大 待 遇 搞 被 嫌 弃 ； 新 毕 业 的 萌 新 ， 依 靠 更 高 的 性 价 比 获 得 了 工 作 机 会 继 续
踩 坑 @ s n a i l 2 3 3 3 创 造 效 益 ， 应 该 先 满 足 自 己 产 品 的 普 适 性 ， 产 品 的 安 全 可 靠 性 ， 才 能 稳 步 前 行 本 期 话 题 你 还 有 什 么 想 说 的 嘛 ？ 欢 迎 留 言 评 论 参 与 互 动 ~ 此 外 ， F r e e B u f 会 定 期 开 展 不 同 的 精 彩 话 题 讨 论 ， 想 了 解 更 多 话 题 和 观 点 ， 快 来 扫 码 加 入 群 聊 吧 ~ ~ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理