搜索

[13530] 2018-12-14_合规就代表安全了吗？那可以不一定

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2018-12-14_合规就代表安全了吗？那可以不一定 合 规 就 代 表 安 全 了 吗 ？ 那 可 以 不 一 定 F r e d d y   F r e e B u f   2 0 1 8 - 1 2 - 1 4 前 言 前 言 2 0 1 8 年 ， 年 ， 5 G 标 准 、 中 芯 案 件 ， 使 得 技 术 博 弈 、 话 语 权 博 弈 持 续 发 酵 ， 深 刻 改 变 着 数 字 经 济 的 利 益 格 局 和 安 全 格 标 准 、 中 芯 案 件 ， 使 得 技 术 博 弈 、 话 语 权 博 弈 持 续 发 酵 ， 深 刻 改 变 着 数 字 经 济 的 利 益 格 局 和 安 全 格 局 。 局 。 G D P R 落 地 已 经 半 年 有 余 ， 我 国 《 网 络 安 全 法 》 也 正 式 实 施 一 年 了 ， 全 球 范 围 内 围 绕 网 络 安 全 、 数 据 保 护 落 地 已 经 半 年 有 余 ， 我 国 《 网 络 安 全 法 》 也 正 式 实 施 一 年 了 ， 全 球 范 围 内 围 绕 网 络 安 全 、 数 据 保 护 等 重 要 制 度 立 法 、 执 法 和 司 法 活 动 都 在 积 极 推 动 。 但 是 一 部 分 企 业 在 合 规 过 程 中 往 往 被 一 叶 障 目 ， 以 为 合 规 了 等 重 要 制 度 立 法 、 执 法 和 司 法 活 动 都 在 积 极 推 动 。 但 是 一 部 分 企 业 在 合 规 过 程 中 往 往 被 一 叶 障 目 ， 以 为 合 规 了 数 据 就 安 全 了 ， 真 的 是 这 样 吗 ？ 数 据 就 安 全 了 ， 真 的 是 这 样 吗 ？ 概 述 概 述 企 业 中 的 开 发 部 门 和 网 络 安 全 部 门 的 责 任 划 分 、 目 标 和 动 机 有 着 很 大 的 不 同 ， 不 可 避 免 地 会 产 生 诸 多 冲 突 。 在 新 应 用 、 新 功 能 的 开 发 过 程 中 ， 企 业 一 般 通 过 引 入 代 码 扫 描 工 具 来 确 保 安 全 ， 以 便 在 上 线 之 前 发 现 漏 洞 并 进 行 修 复 。 但 是 随 着 企 业 合 规 需 求 的 不 断 上 升 ， 对 于 一 些 企 业 而 言 ， 网 络 安 全 建 设 的 重 心 转 向 了 如 何 满 足 法 律 法 规 的 监 管 ， 这 就 有 可 能 出 现 本 末 倒 置 引 发 的 问 题 。 这 里 举 一 个 来 自 于 电 子 支 付 领 域 的 典 型 例 子 。 对 于 存 储 了 用 户 财 产 信 息 的 支 付 系 统 来 说 ， 应 当 以 确 保 所 在 目 标 系 统 和 数 据 的 机 密 性 、 完 整 性 和 可 用 性 为 前 提 。 但 是 合 规 性 需 求 一 来 ， 对 于 质 量 安 全 评 估 员 （ Q S A ） 而 言 获 得 支 付 卡 行 业 数 据 安 全 标 准 （ P C I - D S S ） 认 证 就 变 成 最 高 优 先 级 事 件 了 。 比 如 2 0 0 8 年 H e a r t l a n d 支 付 系 统 数 据 泄 露 的 例 子 ， 虽 然 有 点 老 ， 但 是 说 明 的 问 题 很 典 型 。 就 是 到 了 现 在 ， 它 还 是 有 史 以 来 最 大 的 数 据 泄 漏 事 件 之 一 ， 当 年 超 过 1 亿 人 的 个 人 信 息 和 支 付 卡 数 据 被 盗 ， 超 过 6 0 0 家 公 司 受 到 影 响 ， 损 失 总 额 达 数 亿 美 元 。 H e a r t l a n d 符 合 P C I - D S S ， 在 发 现 违 规 行 为 的 两 周 前 刚 刚 通 过 合 规 审 计 。 造 成 该 事 件 的 原 因 是 攻 击 者 通 过 S Q L 注 入 漏 洞 成 功 渗 透 到 系 统 内 部 ， 并 非 是 零 日 攻 击 或 A P T 。 漏 洞 所 在 模 块 是 用 于 处 理 支 付 卡 数 据 ， 因 此 不 在 P C I Q S A 的 审 核 范 围 内 。 合 规 与 安 全 建 设 合 规 与 安 全 建 设 合 规 计 划 与 安 全 建 设 应 当 作 为 两 条 轨 道 同 时 进 行 ， 合 规 计 划 不 应 管 理 安 全 计 划 的 运 作 。 任 何 行 业 标 准 下 的 要 求 应 当 作 为 组 织 的 安 全 底 线 ， 而 不 是 终 极 目 标 。 合 规 团 队 的 目 标 是 满 足 最 低 安 全 标 准 ， 这 些 标 准 由 第 三 方 定 义 ， 不 会 考 虑 每 个 企 业 的 独 特 业 务 背 景 ， 只 是 推 进 某 种 业 务 功 能 而 不 是 强 制 保 证 全 面 安 全 。
那 么 ， 企 业 开 发 流 程 中 的 安 全 建 设 该 如 何 适 应 ？ 每 个 开 发 生 命 周 期 都 必 须 根 据 业 务 需 求 、 开 发 节 奏 和 使 用 的 技 术 进 行 自 定 义 设 计 ， 以 下 五 点 可 以 作 为 参 考 ： 一 、 光 扫 描 是 不 够 的 ， 还 需 要 持 续 跟 踪 和 修 正 一 、 光 扫 描 是 不 够 的 ， 还 需 要 持 续 跟 踪 和 修 正 要 提 升 开 发 流 程 安 全 性 ， 光 扫 描 和 报 告 漏 洞 是 不 够 的 ， 必 须 要 有 能 够 在 整 个 开 发 周 期 中 进 行 全 面 安 全 管 理 的 一 套 工 具 / 系 统 ， 支 持 提 供 以 下 信 息 ： 有 关 开 放 漏 洞 的 最 新 统 计 数 据 ； 统 计 数 据 的 时 间 窗 口 ； 漏 洞 的 历 史 趋 势 ； 安 全 缺 陷 密 度 统 计 和 趋 势 。 该 工 具 应 当 支 持 集 成 基 础 架 构 漏 洞 管 理 报 告 ， 让 高 级 管 理 人 员 明 确 了 解 整 体 风 险 ， 并 了 解 具 体 针 对 哪 些 领 域 。 二 、 推 进 二 、 推 进 S D L C 中 的 安 全 流 程 标 准 化 中 的 安 全 流 程 标 准 化 标 准 化 保 证 每 个 开 发 阶 段 安 全 性 的 必 要 条 件 。 针 对 软 件 开 发 生 命 周 期 （ S D L C ） 而 言 ， 团 队 是 否 遵 循 每 年 一 次 的 大 规 模 部 署 的 瀑 布 流 程 ， 或 者 包 含 持 续 集 成 / 持 续 部 署 通 道 ， 这 些 因 素 并 不 是 最 重 要 的 。 每 个 人 都 知 道 会 进 行 安 全 测 试 ， 比 如 静 态 分 析 / 检 测 并 修 复 任 何 已 识 别 的 漏 洞 。 所 以 要 注 意 的 一 点 是 ， S D L C 还 必 须 包 括 安 全 维 护 这 一 环 节 。 一 旦 推 向 生 产 环 节 ， 项 目 往 往 会 冻 结 ， 有 时 候 开 发 人 员 不 会 参 与 下 一 个 版 本 的 工 作 。 在 源 代 码 中 发 现 新 漏 洞 时 该 怎 么 办 ？ 必 须 有 一 个 持 续 的 版 本 维 护 流 程 来 确 保 安 全 。 三 、 使 用 经 过 验 证 的 技 术 三 、 使 用 经 过 验 证 的 技 术 基 于 知 名 和 成 熟 的 技 术 来 构 建 标 准 化 的 安 全 流 程 可 以 让 安 全 团 队 更 加 专 注 和 专 业 。 分 析 师 熟 悉 语 言 语 法 能 够 协 助 开 发 人 员 ， 针 对 特 定 语 言 和 版 本 定 制 自 动 化 工 具 。 建 立 第 三 方 库 和 框 架 的 索 引 可 以 更 方 便 地 进 行 管 理 ， 在 发 生 问 题 时 快 速 急 行 补 救 ， 并 可 降 低 使 用 流 氓 库 的 可 能 性 。 四 、 上 下 一 心 四 、 上 下 一 心 如 果 高 层 管 理 人 员 三 心 二 意 ， 那 么 就 算 是 世 界 上 最 好 的 安 全 计 划 也 无 计 可 施 ， 安 全 团 队 要 向 管 理 人 员 和 利 益 相 关 方 传 达 安 全 开 发 流 程 的 好 处 ， 能 够 带 来 哪 些 绩 效 上 的 提 升 。 五 、 开 发 人 员 教 育 五 、 开 发 人 员 教 育 在 开 发 时 引 入 漏 洞 是 源 代 码 出 现 问 题 的 根 源 ， 相 当 一 部 分 比 例 的 计 算 机 科 学 专 业 毕 业 生 从 未 接 触 过 最 基 本 的 安 全 实 践 准 则 或 原 则 。 要 解 决 这 个 问 题 需 要 在 安 全 发 展 计 划 中 纳 入 继 续 教 育 这 一 块 的 内 容 而 且 应 当 是 从 全 面 的 安 全 基 础 教 育 开 始 ， 而 不 是 那 种 蜻 蜓 点 水 式 的 培 训 。 形 式 上 可 以 是 午 餐 会 、 学 习 小 组 、 现 场 活 动 等 ， 当 他 们 深 入 了 解 代 码 阶 段 引 入 的 各 种 问 题 让 安 全 团 队 多 么 头 大 时 ， 代 码 质 量 就 会 相 应 提 升 。 * 参 考 来 源 ： 参 考 来 源 ： d a r k r e a d i n g ， ， F r e d d y 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理