搜索

[14544] 2019-09-03_默安科技云舒：十五年后，重谈安全开发体系

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-09-03_默安科技云舒：十五年后，重谈安全开发体系 默 安 科 技 云 舒 ： 十 五 年 后 ， 重 谈 安 全 开 发 体 系 影 武 者 实 验 室   F r e e B u f   2 0 1 9 - 0 9 - 0 3 一 、 自 序 一 、 自 序 前 些 时 候 我 讲 了 点 前 些 时 候 我 讲 了 点 “ 欺 骗 防 御 欺 骗 防 御 ” 的 事 情 ， 并 且 预 言 了 它 的 发 展 趋 势 。 没 想 到 ， 突 如 其 来 的 一 场 全 国 范 围 的 攻 防 演 的 事 情 ， 并 且 预 言 了 它 的 发 展 趋 势 。 没 想 到 ， 突 如 其 来 的 一 场 全 国 范 围 的 攻 防 演 练 让 它 爆 红 。 在 攻 防 博 弈 中 ， 防 御 方 第 一 次 抢 到 了 一 点 先 机 ， 给 攻 击 者 带 来 了 一 些 不 确 定 性 。 我 相 信 ， 随 着 这 练 让 它 爆 红 。 在 攻 防 博 弈 中 ， 防 御 方 第 一 次 抢 到 了 一 点 先 机 ， 给 攻 击 者 带 来 了 一 些 不 确 定 性 。 我 相 信 ， 随 着 这 次 演 练 ， 欺 骗 防 御 产 品 将 会 得 到 更 加 普 遍 的 使 用 ， 继 续 改 变 后 续 的 攻 防 模 式 。 次 演 练 ， 欺 骗 防 御 产 品 将 会 得 到 更 加 普 遍 的 使 用 ， 继 续 改 变 后 续 的 攻 防 模 式 。 这 让 我 有 些 高 兴 ， 写 点 东 西 也 许 真 的 可 以 给 安 全 行 业 带 来 一 点 帮 助 。 那 么 ， 我 就 再 多 写 一 点 ， 聊 聊 安 全 开 发 — — 其 实 这 也 是 我 创 业 后 做 产 品 的 先 后 顺 序 。 写 这 篇 文 章 ， 希 望 除 了 帮 助 攻 防 ， 还 能 帮 助 到 打 算 准 备 创 业 的 人 — — 了 解 一 点 关 于 “ 做 什 么 ” 的 决 策 思 路 和 方 法 。 二 、 为 什 么 重 谈 安 全 开 发 二 、 为 什 么 重 谈 安 全 开 发 微 软 大 概 在 2 0 0 4 年 左 右 就 开 始 准 备 安 全 开 发 体 系 （ S D L ， S e c u r i t y   D e v e l o p m e n t   L i f e c y c l e ） 方 面 的 理 论 框 架 ， 2 0 0 8 年 正 式 公 布 了 第 一 版 。 距 离 今 天 1 0 年 了 ， 对 于 I T 行 业 来 说 ， 相 当 于 已 经 过 了 1 个 世 纪 。 为 什 么 我 要 在 2 0 1 6 - 2 0 1 7 年 之 间 去 搞 一 个 老 掉 牙 的 东 西 ？ 简 单 地 说 ， 因 为 行 业 变 了 ， 需 求 来 了 。 微 软 S D L 安 全 开 发 体 系 这 几 年 ， 大 家 都 在 说 云 计 算 给 很 多 行 业 带 来 了 改 变 ， 我 想 借 助 一 两 个 例 子 ， 把 具 体 的 变 化 是 什 么 讲 讲 。 先 看 银 行 。 早 几 年 ， 我 们 要 转 账 要 汇 款 ， 必 须 拿 号 然 后 在 柜 台 排 队 ， 银 行 的 工 作 人 员 操 作 他 们 的 业 务 系 统 帮 我 们 完 成 交 易 ， 旁 人 根 本 接 触 不 到 银 行 的 业 务 系 统 。 但 随 着 现 在 业 务 的 云 化 和 互 联 网 化 发 展 ， 银 行 有 了 手 机 银 行 ， 有 了 微 信 银 行 各 种 互 联 网 业 务 ， 每 个 人 都 是 自 己 操 作 业 务 ， 每 个 人 都 可 以 触 碰 到 银 行 的 业 务 系 统 ， 这 里 面 也 包 括 黑 客 。 说 难 听 点 ， 早 几 年 银 行 的 业 务 系 统 就 算 有 漏 洞 又 怎 么 样 ？ 黑 客 很 难 进 行 攻 击 ， 但 是 现 在 业 务 直 接 对 外 开 放 之 后 攻 击 面 就 大 了 ， 他 们 对 安 全 开 发 就 有 了 更 高 的 要 求 。 证 券 行 业 也 是 类 似 。 另 外 一 个 有 意 思 的 行 业 是 智 能 设 备 。 这 几 年 关 于 摄 像 头 、 路 由 器 等 设 备 的 漏 洞 研 究 不 少 ， 但 是 是 否 有 很 多 新 的 漏 洞 ？ 我 看 不 多 。 更 多 的 是 H T T P 请 求 里 面 输 入 命 令 直 接 执 行 ， 是 C S R F ， 是 栈 溢 出 ， 是 登 录 绕 过 。 这 些 行 业 ， 原 本 是 一 些 偏 制 造 的 行 业 ， 但 是 现 在 突 然 互 联 网 化 了 ， 功 能 复 杂 了 ， 对 所 有 人 开 放 了 ， 互 联 网 业 务 W E B 那 一 套 漏 洞 ， 要 重 新 走 一 遍 了 。
其 它 受 到 互 联 网 化 云 化 的 冲 击 ， 业 务 模 式 发 生 很 大 变 化 的 行 业 ， 还 有 很 多 。 5 G 到 来 之 后 ， 永 远 在 线 的 系 统 会 更 多 。 这 些 都 是 需 要 人 去 帮 助 建 立 安 全 开 发 体 系 的 对 象 ， 否 则 就 只 能 在 网 络 蠕 虫 的 威 胁 面 前 瑟 瑟 发 抖 。 所 以 我 们 去 搞 了 S D L 这 么 一 个 看 起 来 老 掉 牙 的 东 西 。 三 、 为 什 么 是 我 们 来 搞 三 、 为 什 么 是 我 们 来 搞 那 么 多 的 大 安 全 公 司 ， 很 多 人 可 以 讲 ， 为 什 么 是 我 又 出 来 呢 ？ S D L 这 东 西 ， 核 心 关 键 是 落 地 ， 结 合 立 项 、 开 发 、 测 试 、 发 布 整 个 流 程 体 系 来 落 地 。 一 般 来 说 ， 大 的 安 全 公 司 可 能 对 这 个 不 是 太 了 解 ， 容 易 搞 成 虚 的 。 相 比 而 言 ， 大 型 互 联 网 公 司 的 甲 方 人 员 最 了 解 S D L ， 他 们 讲 最 合 适 。 但 是 他 们 没 有 来 讲 ， 那 么 从 大 型 互 联 网 公 司 出 来 的 我 就 比 较 适 合 搞 这 个 事 情 ， 有 经 验 ， 了 解 安 全 和 研 发 的 关 系 ， 了 解 立 项 、 研 发 、 发 布 的 整 个 体 系 。 我 记 得 2 0 0 6 年 时 候 ， B 2 B 主 站 、 淘 宝 主 站 X S S 漏 洞 都 是 数 以 万 计 的 ， 但 是 在 严 格 的 S D L 体 系 下 很 快 得 到 了 根 治 ， 阿 里 现 在 是 国 内 安 全 做 得 最 好 的 企 业 之 一 。 四 、 最 佳 实 践 四 、 最 佳 实 践 4 . 1   S D L 的 本 质 的 本 质 S D L 的 目 标 主 要 是 两 个 ， 增 强 安 全 性 和 降 低 成 本 。 某 种 意 义 上 ， 如 果 将 “ 增 强 安 全 性 ” 当 作 必 须 满 足 的 要 求 ， 那 么 降 低 成 本 就 成 了 S D L 的 唯 一 目 标 了 。 这 里 的 成 本 主 要 是 漏 洞 修 复 成 本 。 漏 洞 发 现 得 越 晚 ， 修 复 成 本 越 高 ， 如 果 是 线 上 运 营 的 系 统 被 爆 出 漏 洞 ， 修 复 成 本 除 了 下 线 、 修 复 、 重 新 上 线 导 致 的 业 务 损 失 成 本 、 人 员 成 本 之 外 ， 甚 至 还 包 括 了 消 除 公 关 事 件 影 响 方 面 的 成 本 。 所 以 需 要 在 产 品 上 线 之 前 建 设 安 全 开 发 体 系 ， 尽 可 能 早 的 发 现 、 解 决 安 全 问 题 。 最 直 观 的 做 法 就 是 安 全 部 门 在 产 品 上 线 前 拿 漏 洞 扫 描 器 扫 描 一 下 ， 有 问 题 打 回 去 改 造 。 这 里 其 实 就 是 S D L 的 本 质 所 在 ， 安 全 前 移 。 完 整 的 开 发 体 系 ， 可 能 包 括 产 品 需 求 设 计 、 架 构 设 计 、 编 码 、 测 试 、 安 全 检 查 、 上 线 运 营 等 几 个 步 骤 ， 更 早 些 年 是 用 漏 扫 扫 描 线 上 系 统 ， 后 来 意 识 到 了 越 早 解 决 成 本 越 低 ， 就 在 上 线 前 扫 描 ， 往 前 移 了 一 步 。 继 续 深 入 下 去 ， 安 全 还 可 以 进 一 步 前 移 ， 上 线 前 安 全 审 查 期 前 移 到 Q A 测 试 期 ， 前 移 到 开 发 期 ， 前 移 到 产 品 需 求 期 。
S D L 方 案 架 构 图 安 全 前 移 的 挑 战 在 于 目 标 群 体 其 实 是 不 懂 安 全 的 ， 比 如 Q A ， 比 如 研 发 ， 这 就 要 求 安 全 部 门 通 过 一 系 列 产 品 赋 能 给 他 们 。 相 对 应 的 安 全 产 品 ， 可 能 是 黑 盒 扫 描 （ D A S T ： 动 态 应 用 安 全 测 试 ） 、 灰 盒 扫 描 （ I A S T ： 交 互 式 应 用 安 全 测 试 ） 、 白 盒 扫 描 （ S A S T ： 静 态 应 用 安 全 测 试 ） 、 威 胁 建 模 ， 以 及 全 流 程 的 开 发 安 全 培 训 。 总 结 起 来 S D L 的 本 质 就 2 个 关 键 词 — — 前 移 、 赋 能 （ 赋 能 是 实 现 安 全 前 移 必 须 的 条 件 ） 。 4 . 2   如 何 落 地 如 何 落 地 安 全 部 门 想 落 地 S D L ， 要 永 远 记 着 一 句 话 ： S D L 项 目 不 是 安 全 自 己 的 项 目 ， 是 安 全 和 产 品 、 研 发 、 Q A 一 起 的 项 目 。 做 S D L 的 基 调 ， 得 先 明 白 这 几 个 部 门 之 间 的 关 系 ， 再 定 下 来 。 很 多 时 候 ， 研 发 和 安 全 是 对 立 部 门 ， 插 句 题 外 话 运 维 部 门 和 安 全 部 门 也 经 常 是 对 立 部 门 。 阿 里 曾 经 就 有 人 抱 怨 过 安 全 部 门 是 东 厂 阉 党 ， 权 势 熏 天 只 管 自 己 业 绩 不 管 众 人 死 活 。 这 并 非 完 全 是 低 级 吐 槽 ， 确 实 存 在 安 全 人 员 动 一 下 嘴 运 维 和 研 发 可 能 就 要 跑 断 腿 的 状 况 ， 改 代 码 、 打 补 丁 回 归 测 试 等 等 一 大 堆 烦 心 活 要 干 。 因 此 ， 挑 战 安 全 部 门 ， 打 脸 ， 很 多 时 候 是 大 家 乐 意 看 到 乐 意 干 的 事 情 。 另 外 ， 企 业 里 面 多 半 有 了 完 整 的 已 经 使 用 了 很 多 年 的 开 发 测 试 发 布 工 具 链 以 及 平 台 。 如 果 安 全 人 员 想 把 研 发 和 测 试 从 原 有 体 系 里 面 拉 出 来 ， 是 一 件 非 常 困 难 的 事 情 ， 更 别 说 在 拉 出 来 是 因 为 安 全 部 门 想 “ 领 导 ” 他 们 去 做 一 些 “ 原 本 不 属 于 ” 他 们 的 工 作 ， 比 如 说 安 全 测 试 。 不 能 期 望 每 个 人 都 能 够 站 在 足 够 高 的 高 度 ， 去 理 解 安 全 理 解 整 体 业 务 。 所 以 做 S D L 的 基 调 就 是 柔 和 低 侵 入 、 低 误 报 多 建 议 。 柔 和 是 指 一 定 要 依 附 在 企 业 原 有 的 开 发 测 试 平 台 来 做 ， 安 全 相 关 的 产 品 接 入 S V N 接 入 J e n k i n s 接 入 J i r a ， 支 持 L D A P 等 第 三 方 认 证 ， 努 力 去 适 应 他 们 的 体 系 ， 减 少 需 要 对 方 改 变 或 者 操 作 的 地 方 。 同 时 ， 安 全 产 品 要 将 误 报 控 制 在 非 常 低 的 限 度 ， 并 且 提 供 非 常 简 洁 清 晰 干 脆 的 解 决 办 法 ， 这 一 点 也 是 能 把 安 全 赋 能 给 Q A 和 开 发 的 先 决 条 件 。 说 难 听 点 ， 误 报 了 研 发 和 测 试 都 会 感 知 到 ， 马 上 来 找 麻 烦 ， 误 报 也 确 实 也 影 响 到 了 他 们 的 本 职 工 作 。 漏 报 了 他 们 不 知 道 ， 也 不 会 影 响 他 们 的 工 作 ， 而 且 即 使 知 道 了 也 不 会 主 动 出 来 找 安 全 部 门 打 自 己 。 基 调 有 了 ， 那 么 ， 威 胁 建 模 、 S A S T 、 I A S T 和 D A S T 等 4 个 产 品 ， 怎 么 落 地 效 果 最 好 且 最 经 济 就 非 常 清 楚 了 。 我 的 判 断 是 先 I A S T 再 S A S T 然 后 威 胁 建 模 。 至 于 D A S T 可 以 不 放 进 S D L 项 目 中 ， 而 是 由 安 全 人 员 自 己 运 营 ， 检 查 线 上 运 营 中 的 业 务 。 4 . 2 . 1 .   I A S T 先 做 I A S T 是 因 为 相 比 S A S T 它 的 误 报 更 低 ， 相 比 D A S T ， 它 实 施 使 用 更 简 单 ， 扫 描 更 全 面 ， 而 且 和 Q A 原 本 的 工 作 结 合 更 容 易 。 我 认 为 I A S T 最 好 需 要 提 供 4 种 接 入 模 式 ： 代 理 模 式 、 流 量 镜 像 模 式 、 插 桩 模 式 以 及 日 志 平 台 模 式 ， 确 保 能 够 适 应 企 业 复 杂 的 业 务 场 景 。 其 中 代 理 模 式 和 插 桩 模 式 是 必 需 的 。 在 最 常 见 的 代 理 模 式 下 ， D A S T 爬 虫 难 以 爬 取 的 某 些 a j a x 页 面 、 J S 拼 接 链 接 、 登 录 后 页 面 通 过 代 理 比 较 简 单 就 能 扫 描 到 ， 更 关 键 的 是 I A S T 扫 描 对 业 务 逻 辑 覆 盖 得 全 面 。 举 例 说 ， 一 个 表 单 要 填 写 手 机 号 码 然 后 提 交 。 D A S T 能 识 别 到 表 单 但 是 它 不 知 道 这 里 是 要 手 机 号 码 ， 只 能 填 写 随 机 的 字 符 或 者 数 字 ， 服 务 端 检 查 不 是 手 机 号 码 ， 那 么 是 手 机 号 码 的 那 个 业 务 流 程 是 永 远 无 法 覆 盖 到 的 。 而 Q A 原 本 就 要 手 工 或 者 自 动 化 点 击 链 接 ， 测 试 功 能 ， 覆 盖 所 有 业 务 分 支 ， 他 们 会 测 试 填 写 手 机 号 码 和 非 手 机 号 码 的 情 况 ， I A S T 会 捕 获 到 这 两 种 情 况 下 的 流 量 然 后 进 行 攻 击 变 换 测 试 ， 发 现 各 自 的 问 题 。
其 次 ， 在 代 理 模 式 下 ， 多 个 Q A 人 员 进 行 安 全 测 试 ， I A S T 可 以 通 过 智 能 化 自 动 身 份 权 限 识 别 、 交 叉 访 问 的 方 式 ， 检 测 水 平 越 权 、 垂 直 越 权 漏 洞 。 这 种 业 务 逻 辑 方 面 的 漏 洞 ， 基 本 上 就 是 D A S T 的 死 穴 。 插 桩 模 式 是 代 理 模 式 的 反 面 。 代 理 模 式 需 要 配 置 客 户 端 设 备 ， 而 插 桩 则 是 配 置 服 务 端 设 备 ， 一 般 由 运 维 人 员 把 a g e n t 统 一 分 发 到 测 试 服 务 器 ， 或 者 在 d e v o p s 流 程 中 打 包 进 去 。 某 些 场 景 下 ， 代 理 模 式 比 较 难 以 适 应 ， 比 如 说 双 向 H T T P S 加 密 、 内 容 自 定 义 加 密 、 不 接 受 脏 数 据 、 存 在 c s r f   t o k e n 、 存 在 大 量 验 证 码 等 场 景 。 插 桩 分 为 主 动 扫 描 和 被 动 扫 描 ， 个 人 觉 得 污 点 传 染 这 种 被 动 模 式 更 优 。 如 果 涉 及 到 测 试 时 候 的 脏 数 据 等 问 题 ， 污 点 传 染 模 式 就 是 唯 一 的 选 择 。 目 前 来 说 ， J A V A 、 . N e t 、 P H P 、 N o d e J S 、 P y t h o n 都 有 比 较 成 熟 的 插 桩 方 案 。 插 桩 的 关 键 是 性 能 和 稳 定 性 。 可 能 需 要 在 r u n t i m e 里 面 插 入 万 级 别 的 h o o k 点 ， 截 获 数 据 的 输 入 和 复 制 传 播 ， 少 一 个 点 就 会 漏 掉 大 量 的 漏 洞 。 H o o k 点 多 ， 容 易 影 响 应 用 启 动 时 间 ， 降 低 性 能 ， 影 响 Q A 人 员 的 工 作 体 验 ， 这 里 就 是 核 心 竞 争 力 所 在 。 另 外 几 个 模 式 比 较 简 单 ， 主 要 是 为 了 更 好 的 集 成 性 。 如 果 想 要 更 好 ， 还 可 以 提 供 W E B   A P I ， 方 便 Q A 人 员 写 脚 本 做 全 自 动 的 测 试 ， 和 D e v O p s 流 程 整 合 得 更 紧 密 。 通 过 部 署 I A S T 产 品 ， Q A 完 成 本 职 工 作 的 质 量 测 试 时 ， I A S T 系 统 自 动 完 成 一 份 安 全 报 告 ， 相 当 于 一 份 时 间 完 成 两 份 工 作 。 然 后 两 份 报 告 由 Q A 直 接 提 交 给 研 发 整 改 ， 减 少 了 安 全 部 门 这 一 个 环 节 ， 提 高 效 率 。 基 本 上 ， I A S T 部 署 完 成 ， 就 可 以 将 应 用 安 全 做 到 8 0 分 。 4 . 2 . 2 .   S A S T S A S T 最 大 的 问 题 就 是 误 报 和 漏 报 同 样 突 出 。 一 个 系 统 ， 有 2 0 个 漏 洞 ， S A S T 扫 描 一 下 可 能 报 告 1 0 0 个 漏 洞 ， 其 中 1 0 个 是 真 的 漏 洞 9 0 个 是 误 报 。 在 大 部 分 公 司 里 面 ， 以 现 阶 段 这 种 研 发 与 安 全 的 关 系 ， 肯 定 是 用 不 起 来 的 。 另 一 个 角 度 ， S A S T 可 以 发 现 的 这 1 0 个 漏 洞 ， I A S T 一 般 也 能 发 现 。 这 么 看 ， S A S T 似 乎 毫 无 价 值 ， 是 不 是 不 要 做 ？ 不 是 ， 还 是 得 做 。 因 为 S A S T 可 以 把 漏 洞 的 发 现 和 修 复 闭 环 在 研 发 阶 段 ， 连 Q A 都 无 需 介 入 ， 是 将 安 全 继 续 前 移 了 一 大 步 。 那 么 关 键 问 题 就 是 怎 么 做 ， 既 能 够 保 留 成 本 低 的 优 势 ， 又 能 去 除 误 报 漏 报 带 来 的 危 害 呢 ？ A I 肯 定 是 一 个 方 案 ， 哪 一 天 A I 看 代 码 像 最 有 经 验 的 安 全 研 究 人 员 一 样 ， S A S T 就 成 熟 了 。 在 A I 不 靠 谱 的 时 候 ， 我 的 想 法 是 通 过 体 系 来 解 决 。 目 前 最 靠 谱 的 S A S T ， 应 该 以 误 报 率 为 核 心 指 标 ， 通 过 多 漏 报 的 方 式 来 减 少 误 报 ， 然 后 逐 步 调 优 ， 在 控 制 误 报 的 情 况 下 ， 逐 步 减 少 漏 报 。 这 样 ， S A S T 产 品 才 能 真 正 用 起 来 。 简 单 说 ， 2 0 个 漏 洞 ， S A S T 报 告 1 2 个 漏 洞 ， 里 面 有 8 个 是 真 的 ， 4 个 是 误 报 。 这 种 情 况 下 ， 研 发 可 以 在 不 找 安 全 的 情 况 下 内 部 消 化 掉 。 漏 掉 的 漏 洞 怎 么 办 ？ 后 面 还 有 I A S T ， 它 来 补 足 。 相 对 于 甲 方 人 员 来 说 ， 单 产 品 的 误 报 是 万 恶 之 源 ， 而 漏 报 则 可 以 通 过 体 系 来 补 足 。 就 像 一 块 木 板 有 1 个 洞 ， 第 二 块 木 板 有 2 个 洞 ， 第 三 块 木 板 有 1 个 洞 。 当 我 们 把 三 块 木 板 叠 加 到 一 起 变 成 一 个 体 系 ， 每 块 木 板 的 洞 位 置 不 同 ， 互 相 补 上 ， 体 系 是 不 漏 水 的 。 而 误 报 是 没 救 的 ， 一 旦 产 生 ， 在 当 下 就 需 要 耗 费 资 源 去 处 理 ， 用 出 去 了 的 资 源 是 收 不 回 来 的 ， 就 像 在 清 水 里 面 滴 入 了 一 滴 墨 水 。 体 系 的 力 量 就 在 于 在 每 个 阶 段 做 每 个 阶 段 最 擅 长 的 事 情 ， 强 行 在 一 个 阶 段 解 决 所 有 问 题 就 会 事 倍 功 半 ， 甚 至 完 全 没 法 工 作 。 所 以 我 认 为 ， 当 前 阶 段 直 接 部 署 S A S T 除 了 合 规 之 外 ， 对 安 全 并 没 有 实 质 性 的 帮 助 ， 意 义 不 大 。 一 定 要 以 I A S T 为 基 础 ， S A S T 作 为 锦 上 添 花 ， 把 一 小 部 分 漏 洞 提 前 到 研 发 阶 段 发 现 并 修 复 — — 虽 然 这 部 分 漏 洞 I A S T 同 样 能 发 现 ， 但 是 越 早 发 现 修 复 成 本 越 低 。 漏 洞 修 复 方 案 ， 尽 可 能 的 细 化 ， 不 仅 仅 是 字 句 描 述 ， 而 是 要 带 代 码 示 例 。 最 好 的 办 法 是 S A S T 自 带 安 全 组 件 库 ， 可 以 是 独 立 的 库 ， 能 够 和 用 户 使 用 的 框 架 继 集 成 更 好 ， 这 样 修 复 方 案 可 以 更 明 确 ， 细 化 到 函 数 名 称 。 不 然 修 复 方 面 ， 可 能 还 是 需 要 安 全 人 员 介 入 ， 目 的 就 没 有 完 全 达 成 。 这 个 组 件 库 ， 在 安 全 培 训 的 时 候 做 讲 解 的 基 础 ， 安 全 培 训 没 有 明 确 的 步 骤 ， 任 何 时 候 都 可 以 开 始 ， 而 且 是 要 长 期 的 周 期 性 执 行 ， 贯 彻 整 个 研 发 体 系 。 S A S T 实 质 性 的 工 作 ， 除 了 代 码 安 全 检 查 之 外 ， 还 有 很 大 一 部 分 在 软 件 成 分 分 析 （ S C A ） ， 也 即 供 应 链 安 全 。 研 发 写 代 码 可 能 使 用 某 一 个 开 源 的 第 三 方 库 ， 这 个 库 又 引 用 了 另 外 的 库 ， 最 终 给 产 品 带 来 未 知 的 不 可 控 风 险 。 S C A 要 能 够 自 动 化 识 别 这 些 第 三 方 组 件 ， 并 且 和 漏 洞 库 对 接 ， 发 现 问 题 。 如 果 再 扩 展 一 下 产 品 风 险 的 范 畴 ， 还 能 够 包 括 第 三 方 库 的 l i c e n s e 风 险 ， 比 如 说 程 序 员 无 意 识 的 引 入 了 G P L 3 授 权 的 组 件 。
S A S T 的 部 署 ， 一 般 有 两 种 模 式 ， I D E 插 件 和 代 码 仓 库 集 成 。 基 于 前 文 的 柔 和 低 侵 入 ， 我 毫 不 犹 豫 的 会 选 择 代 码 仓 库 集 成 模 式 。 研 发 人 员 完 成 一 天 的 工 作 ， 上 传 代 码 然 后 回 家 了 。 S A S T 产 品 检 测 到 代 码 仓 库 里 面 的 变 化 ， 晚 上 进 行 安 全 检 查 ， 第 二 天 程 序 员 打 开 电 脑 收 到 邮 件 ， 告 诉 他 昨 天 的 代 码 有 几 个 安 全 问 题 ， 有 什 么 风 险 ， 用 实 例 演 示 应 该 如 何 修 复 。 整 个 过 程 对 于 程 序 员 来 说 完 全 是 无 感 知 的 ， 什 么 额 外 的 投 入 都 不 用 ， S A S T 产 品 用 起 来 如 喝 水 一 样 自 然 — — 这 里 也 是 为 什 么 我 极 力 抗 拒 误 报 的 原 因 ， 否 则 程 序 员 收 到 说 有 1 0 0 个 漏 洞 的 邮 件 ， 马 上 怒 火 冲 天 提 着 早 餐 就 来 安 全 部 门 了 。 4 . 2 . 3 .   威 胁 建 模 威 胁 建 模 安 全 再 往 前 移 一 步 就 到 了 产 品 设 计 环 节 ， 对 应 的 安 全 就 是 威 胁 建 模 。 其 实 以 现 在 的 技 术 水 平 ， 安 全 越 往 前 移 ， 控 制 力 度 越 差 ， 对 产 品 最 终 的 安 全 提 升 越 小 。 I A S T 是 效 果 最 好 的 环 节 ， S A S T 是 锦 上 添 花 ， 威 胁 建 模 就 是 花 上 再 添 花 了 。 通 过 问 答 式 表 单 ， 让 P D 选 择 产 品 功 能 需 求 ， 系 统 自 动 生 成 一 份 安 全 需 求 文 档 ， 然 后 架 构 师 依 据 这 份 文 档 来 进 行 安 全 设 计 。 问 题 在 于 生 成 的 这 个 安 全 需 求 文 档 是 纯 粹 的 指 导 性 意 义 ， 没 有 任 何 可 以 自 动 检 查 的 手 段 ， 容 易 流 于 表 面 。 所 以 建 议 是 最 后 做 ， 不 缺 钱 的 时 候 ， 有 总 比 没 有 好 。 4 . 3   简 单 总 结 简 单 总 结 S D L 方 案 要 柔 和 、 低 侵 入 ， 不 改 变 研 发 和 Q A 的 工 作 习 惯 ， 不 增 加 他 们 的 工 作 量 ， 认 证 、 使 用 方 式 都 要 接 入 原 本 的 研 发 流 程 系 统 ， 不 能 另 起 炉 灶 。 安 全 测 试 优 先 控 制 误 报 ， 允 许 漏 报 ， 所 有 的 修 复 建 议 和 方 案 要 以 安 全 组 件 库 为 基 础 ， 细 化 到 用 哪 个 函 数 的 程 度 。 先 上 I A S T ， 把 安 全 做 到 8 0 分 。 然 后 上 S A S T ， 锦 上 添 花 做 到 8 5 分 。 安 全 培 训 贯 彻 始 终 ， 基 于 安 全 组 件 库 来 讲 安 全 ， 做 到 有 的 放 矢 。 最 后 ， 有 钱 可 以 搞 搞 威 胁 建 模 。 * 本 文 作 者 ： 本 文 作 者 ： 默 安 科 技 默 安 科 技 _ 影 武 者 实 验 室 ， 转 载 请 注 明 来 自 影 武 者 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理