搜索

[14893] 2019-12-03_互联网企业如何有效落地SDL

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-12-03_互联网企业如何有效落地SDL 互 联 网 企 业 如 何 有 效 落 地 S D L h a c k e r y e a h   F r e e B u f   2 0 1 9 - 1 2 - 0 3 前 言 前 言 笔 者 在 实 施 笔 者 在 实 施 S D L 方 面 有 多 年 的 经 验 ， 实 施 过 微 软 厚 重 的 方 面 有 多 年 的 经 验 ， 实 施 过 微 软 厚 重 的 S D L ， 实 施 过 互 联 网 企 业 粗 糙 的 ， 实 施 过 互 联 网 企 业 粗 糙 的 S D L ， 目 前 在 落 地 标 准 ， 目 前 在 落 地 标 准 化 自 动 化 的 化 自 动 化 的 S D L ， 在 此 将 我 的 经 验 分 享 出 来 。 为 了 让 大 家 更 好 的 理 解 ， 在 此 将 我 的 经 验 分 享 出 来 。 为 了 让 大 家 更 好 的 理 解 S D L 实 施 的 过 程 ， 本 文 尽 量 以 口 语 化 叙 事 实 施 的 过 程 ， 本 文 尽 量 以 口 语 化 叙 事 的 方 式 描 述 的 方 式 描 述 S D L 实 施 的 过 程 。 当 然 每 家 公 司 的 实 施 的 过 程 。 当 然 每 家 公 司 的 d e v o p s 和 实 际 的 开 发 流 程 不 一 样 ， 所 以 实 施 和 实 际 的 开 发 流 程 不 一 样 ， 所 以 实 施 S D L 不 能 照 搬 照 套 ， 不 能 照 搬 照 套 ， 还 是 得 结 合 自 己 公 司 的 实 际 情 况 。 还 是 得 结 合 自 己 公 司 的 实 际 情 况 。 越 来 越 多 的 安 全 招 聘 J D 要 求 会 S D L 建 设 ， 比 如 安 全 负 责 人 、 安 全 专 家 、 w e b 安 全 等 。 很 多 企 业 招 聘 J D 写 了 要 求 会 建 设 S D L ， 但 是 他 们 对 S D L 建 设 的 目 标 可 能 不 太 清 楚 。 或 许 有 个 模 糊 的 概 念 S D L 是 保 障 开 发 安 全 的 ， 只 是 看 到 别 家 在 招 聘 S D L e r 所 以 自 己 也 要 招 个 S D L e r 。 甚 至 面 试 的 时 候 压 根 不 会 问 与 S D L 相 关 的 任 何 知 识 ， 等 真 正 开 始 着 手 建 设 S D L 的 时 候 就 是 摸 着 石 头 过 河 ， 很 容 易 被 微 软 厚 重 的 S D L 建 设 思 路 带 偏 。 一 、 一 、   企 业 为 什 么 要 做 企 业 为 什 么 要 做 S D L ? 我 们 熟 知 的 安 全 防 御 手 法 大 多 是 边 界 防 控 ， 例 如 对 外 通 过 反 向 代 理 只 开 放 8 0 和 4 4 3 端 口 ， 一 般 还 会 在 反 向 代 理 后 面 串 行 一 个 w a f 做 攻 击 拦 截 。 边 界 防 控 实 施 起 来 比 较 容 易 而 且 安 全 收 益 也 非 常 可 观 ， 所 以 是 企 业 建 设 初 期 必 做 的 事 情 。 但 是 对 于 正 常 开 放 出 去 的 服 务 如 何 保 证 它 的 安 全 呢 ？ 传 统 的 做 法 是 在 产 品 上 线 前 经 过 安 全 测 试 或 者 安 全 扫 描 ， 这 种 做 法 比 较 局 限 。 首 先 安 全 人 员 的 测 试 水 品 参 差 不 齐 很 难 测 全 ， 其 次 很 多 公 司 的 测 试 环 境 与 线 上 环 境 区 别 较 大 ， 在 测 试 环 境 测 试 完 后 往 往 没 有 发 现 漏 洞 上 线 后 却 被 黑 客 利 用 了 。 另 外 ， 上 线 之 前 发 现 安 全 问 题 其 实 是 比 较 滞 后 的 ， 这 个 时 候 再 去 修 改 问 题 成 本 比 较 高 。 众 多 的 产 品 线 只 能 靠 投 入 人 力 资 源 去 跟 踪 测 试 ， 这 个 成 本 也 是 相 当 高 的 。 S D L 将 安 全 活 动 嵌 入 到 整 个 研 发 流 程 中 去 ， 从 立 项 需 求 评 审 、 开 发 代 码 扫 描 、 测 试 漏 洞 扫 描 、 发 布 基 础 环 境 检 查 、 上 线 实 时 安 全 监 控 与 检 查 这 些 环 节 逐 步 保 证 研 发 流 程 的 安 全 ， 做 到 尽 可 能 将 安 全 问 题 往 前 移 ， 建 立 流 水 线 的 日 常 安 全 任 务 保 证 安 全 横 向 ( 全 面 覆 盖 所 有 的 研 发 项 目 ) 、 纵 向 ( 对 一 个 研 发 项 目 各 个 环 节 加 入 安 全 检 查 ) 的 覆 盖 率 。 流 水 化 、 标 准 化 、 自 动 化 才 能 保 证 更 高 效 的 解 决 研 发 的 安 全 问 题 。 二 、 二 、   微 软 如 何 实 施 微 软 如 何 实 施 S D L 下 面 是 一 张 只 要 讲 S D L 就 必 须 贴 的 图 。 这 个 是 微 软 官 网 上 的 一 张 S D L 实 施 流 程 图 。 很 多 互 联 网 企 业 实 施 S D L 会 严 格 按 照 这 张 图 来 ， 最 后 导 致 因 为 实 施 起 来 太 繁 重 而 不 得 落 地 。 甚 至 据 我 所 知 很 多 乙 方 企 业 在 给 甲 方 提 供 咨 询 服 务 的 时 候 也 会 严 格 按 照 这 个 流 程 来 讲 ， 这 真 的 是 只 知 其 形 不 知 其 神 。 微 软 的 S D L 实 施 比 较 厚 重 ， 并 不 太 适 合 互 联 网 企 业 。 从 下 面 的 实 施 步 骤 中 可 以 看 出 ， 微 软 的 S D L 的 实 施 步 骤 都 是 一 环 扣 一 环 而 且 每 一 环 的 而 且 实 施 周 期 长 、 参 与 人 员 多 、 实 施 的 技 术 要 求 高 。 对 于 微 软 这 种 软 件 供 应 商 来 说 这 种 S D L 实 施
是 适 合 的 ， 比 如 像 w o r d 这 样 的 产 品 需 要 成 年 累 月 的 时 间 才 能 完 成 开 发 ， 那 么 安 全 在 这 个 过 程 中 就 能 占 据 稍 微 多 点 的 时 间 把 握 每 一 个 步 骤 的 安 全 性 。 但 是 对 于 互 联 网 企 业 敏 捷 开 发 和 高 迭 代 明 显 就 不 适 合 了 。 以 下 是 微 软 S D L 实 施 的 步 骤 以 及 特 点 : 1 、 安 全 培 训 、 安 全 培 训 微 软 对 于 一 个 项 目 开 始 实 施 S D L 之 前 一 定 要 做 安 全 培 训 ， 培 训 要 求 参 与 人 员 多 ， 而 且 培 训 周 期 长 ， 如 果 互 联 网 企 业 这 么 做 势 必 会 拖 延 项 目 周 期 。 培 训 对 象 ： 开 发 人 员 、 测 试 人 员 、 项 目 经 理 、 产 品 经 理 培 训 内 容 ： 安 全 设 计 、 威 胁 建 模 、 安 全 编 码 、 安 全 测 试 、 隐 私 等 2 、 安 全 要 求 、 安 全 要 求 项 目 确 立 前 与 项 目 经 理 或 产 品 所 有 者 进 行 沟 通 ， 确 定 安 全 的 要 求 。 3 、 安 全 和 隐 私 风 险 评 估 、 安 全 和 隐 私 风 险 评 估 安 全 风 险 评 估 （ S R A ） 和 隐 私 风 险 评 估 （ P R A ） 用 于 确 定 软 件 中 需 要 深 入 评 析 的 功 能 环 节 。 包 括   ①   项 目 的 哪 些 部 分 在 发 布 前 需 要 建 立 威 胁 模 型 ？ ②   哪 些 部 分 在 发 布 前 需 要 进 行 安 全 设 计 评 析 ？ ③   哪 些 部 分 需 要 由 不 属 于 项 目 团 队 且 双 方 认 可 的 小 组 进 行 渗 透 测 试 ？ ④   是 否 存 在 安 全 顾 问 认 为 有 必 要 增 加 的 测 试 或 分 析 ？ ⑤   模 糊 测 试 的 具 体 范 围 ？ ⑥   隐 私 对 评 级 的 影 响 。 4 、 威 胁 建 模 、 威 胁 建 模 微 软 的 威 胁 建 模 推 荐 S T R I D E   模 型 ， 但 是 这 仅 仅 也 只 是 一 个 模 型 而 已 ， 威 胁 建 模 对 人 员 的 要 求 很 高 ， 必 须 懂 很 多 方 面 的 知 识 才 能 做 好 威 胁 建 模 。 举 个 例 子 ， 现 在 对 一 个 区 块 链 系 统 做 威 胁 建 模 ， 但 是 如 果 安 全 人 员 连 区 块 链 都 不 知 道 是 什 么 那 么 就 算 再 会 用 S T R I D E   模 型 评 估 出 来 的 安 全 问 题 也 是 比 较 浅 显 的 。 另 外 威 胁 建 模 需 要 深 入 了 解 业 务 ， 需 要 业 务 方 一 起 参 与 进 来 ， 对 于 时 间 消 耗 和 人 力 消 耗 比 较 大 。 5 、 静 态 分 析 、 静 态 分 析 这 里 静 态 分 析 就 是 代 码 审 计 ， 一 般 是 多 方 人 员 参 与 审 计 ， 审 计 周 期 较 长 。 6 、 模 糊 测 试 、 模 糊 测 试 做 完 代 码 审 计 后 难 免 也 会 有 遗 漏 所 以 还 要 做 一 个 黑 盒 测 试 ， 微 软 采 用 的 是 大 规 模 发 送 f u z z 数 据 测 试 系 统 的 安 全 性 。 7 、 上 线 ， 应 急 响 应 、 上 线 ， 应 急 响 应 留 下 第 三 方 联 系 方 式 运 维 同 事 ， 网 络 监 控 同 事 ， 并 加 入 到 应 急 响 应 计 划 中 来 。 三 、 三 、   互 联 网 企 业 如 何 实 施 互 联 网 企 业 如 何 实 施 S D L 很 多 人 理 解 S D L 就 是 个 流 程 ， 不 错 流 程 确 实 是 S D L 中 的 一 部 分 ， 但 是 S D L 的 流 程 需 要 达 到 一 个 什 么 样 的 目 标 ， 以 及 达 到 这 样 的 目 标 需 要 什 么 样 的 技 术 支 持 ， 可 能 主 动 去 思 考 的 人 不 多 了 。
S D L 设 计 图 实 施 S D L 想 要 获 取 一 个 比 较 好 的 收 益 ， 公 司 的 d e v o p s 建 设 的 越 完 善 越 好 。 S D L 流 程 一 定 要 跟 d e v o p s 很 好 的 契 合 起 来 这 样 才 能 达 到 最 大 的 收 益 比 ， 这 也 就 是 为 什 么 小 公 司 不 建 议 做 S D L 。 如 图 所 示 S D L 就 与 d e v o p s 紧 密 结 合 起 来 的 。 为 了 有 效 管 理 项 目 的 开 发 周 期 内 各 个 阶 段 面 临 的 风 险 和 自 动 化 识 别 风 险 ， 我 们 将 S D L 平 台 设 计 成 两 大 部 分 。 S D L 平 台 主 要 分 为 两 大 部 分 ： 项 目 与 风 险 管 理 、 风 险 识 别 系 统 。 项 目 与 风 险 管 理 部 分 ， 该 部 分 会 以 项 目 为 维 度 将 一 个 项 目 的 风 险 贯 穿 到 需 求 、 开 发 、 测 试 、 发 布 、 运 行 这 几 个 阶 段 ， 在 每 个 阶 段 我 们 可 以 清 晰 的 管 理 存 在 的 风 险 和 修 复 情 况 。 风 险 识 别 系 统 部 分 ， 该 部 分 分 为 三 大 块 ， 在 开 发 阶 段 C I / C D 构 建 之 后 会 主 动 触 发 代 码 扫 描 引 擎 进 行 代 码 风 险 扫 描 ， 在 测 试 阶 段 C I / C D 集 成 测 试 会 将 流 量 重 放 到 灰 盒 扫 描 平 台 做 到 实 时 自 动 化 漏 洞 扫 描 ， 在 运 行 阶 段 各 种 监 控 和 检 查 系 统 会 实 时 汇 报 项 目 的 健 康 状 态 。 1 、 安 全 培 训 、 安 全 培 训 在 微 软 官 网 上 实 施 S D L 第 一 个 步 骤 就 是 要 做 安 全 培 训 。 那 么 对 于 互 联 网 企 业 产 品 迭 代 快 ， 推 崇 敏 捷 开 发 ， 在 产 品 开 发 前 把 产 品 经 理 、 开 发 、 测 试 召 集 一 起 做 个 安 全 培 训 合 适 么 ？ 显 然 不 适 合 ， 相 信 没 有 一 个 互 联 网 公 司 愿 意 这 么 做 ， 这 样 太 影 响 研 发 效 率 了 。 这 个 时 候 我 们 就 要 借 助 外 部 资 源 了 ， 比 如 有 些 互 联 网 公 司 每 个 月 都 会 举 办 一 次 技 能 培 训 ， 这 个 时 候 安 全 开 发 培 训 可 以 穿 插 进 去 ， 有 些 公 司 有 内 部 的 学 习 网 站 也 可 以 上 传 安 全 开 发 教 程 。 培 训 内 容 包 含 ： 安 全 开 发 规 范 、 漏 洞 原 理 和 危 害 知 识 科 普 、 安 全 部 门 的 管 理 制 度 、 安 全 红 线 等 。 最 好 是 能 跟 公 司 的 考
试 制 度 结 合 起 来 ， 这 样 才 能 更 好 的 巩 固 大 家 的 安 全 知 识 。 也 就 是 说 我 们 的 安 全 培 训 是 常 规 性 的 工 作 ， 而 不 是 在 一 个 项 目 开 始 前 一 定 要 进 行 安 全 培 训 。 2 、 需 求 评 审 阶 段 、 需 求 评 审 阶 段 在 笔 者 看 来 这 个 阶 段 才 是 S D L 实 施 一 个 项 目 的 真 正 开 始 。 在 微 软 的 S D L 模 型 中 是 将 需 求 和 设 计 分 开 的 ， 但 是 这 里 选 择 将 两 者 合 并 。 这 个 阶 段 要 解 决 以 下 问 题 ： 1 ) 对 于 互 联 网 企 业 立 项 多 需 求 多 ， 如 何 第 一 时 间 捕 获 到 这 些 立 项 信 息 ? 如 何 集 中 化 管 理 这 些 项 目 信 息 ? 由 于 这 个 问 题 的 出 现 ， S D L 平 台 也 就 孕 育 而 出 了 。 在 这 里 我 们 将 S D L 流 程 分 成 5 个 节 点 。 正 如 上 面 的 S D L 设 计 图 所 示 ， S D L 平 台 会 定 期 同 步 最 新 的 项 目 需 求 ， 安 全 人 员 可 以 第 一 时 间 去 跟 进 项 目 。 2 ） 对 于 互 联 网 企 业 需 求 如 此 之 多 ， 安 全 评 审 如 何 做 到 有 效 覆 盖 ？ 如 何 将 安 全 与 业 务 解 耦 出 来 , 避 免 安 全 人 员 将 更 多 时 间 投 入 到 业 务 了 解 上 ？ 有 些 互 联 网 企 业 按 照 产 品 线 投 入 安 全 人 员 去 参 与 现 场 需 求 评 审 ， 但 是 这 么 做 想 要 覆 盖 如 此 多 的 项 目 还 是 比 较 吃 力 的 ， 需 要 投 入 较 多 的 人 力 ， 需 要 深 入 了 解 业 务 逻 辑 比 较 花 费 时 间 。 这 个 时 候 我 们 就 需 要 根 据 公 司 的 业 务 特 征 提 炼 出 安 全 风 险 检 查 c h e c k l i s t 。 这 里 我 根 据 我 们 公 司 的 业 务 特 征 梳 理 出 了 认 证 、 授 权 、 访 问 控 制 、 传 输 安 全 、 加 密 安 全 、 日 志 审 计 安 全 、 数 据 安 全 等 这 些 大 项 ， 大 项 里 面 包 含 一 些 细 分 的 小 项 。 当 我 们 获 取 到 项 目 需 求 之 后 S D L 平 台 会 自 动 发 送 安 全 评 审 c h e c k l i s t 给 业 务 团 队 ， 业 务 团 队 填 写 完 安 全 评 审 c h e c k l i s t 之 后 ， 安 全 团 队 成 员 可 进 一 步 评 估 。 如 果 发 现 有 异 常 项 再 跟 业 务 团 队 沟 通 ， 确 实 存 在 安 全 风 险 就 提 交 给 业 务 方 进 行 整 改 。 在 这 里 要 强 调 一 下 ， 我 们 可 以 事 先 在 S D L 管 理 后 台 预 置 一 些 场 景 名 称 与 对 应 风 险 的 威 胁 建 模 列 表 ， 发 现 风 险 后 安 全 人 员 只 用 拖 动 场 景 名 称 标 签 来 生 成 风 险 列 表 并 自 动 知 业 务 方 进 行 整 改 。 3 、 开 发 阶 段 、 开 发 阶 段 开 发 阶 段 采 用 独 立 的 代 码 扫 描 引 擎 对 接 C I / C D ， S D L 平 台 只 做 项 目 与 对 应 代 码 风 险 的 管 理 工 作 ， 并 由 代 码 扫 描 引 擎 将 漏 洞 代 码 同 步 给 S D L 平 台 上 开 发 节 点 进 行 展 示 。 当 开 发 流 程 进 入 到 C I / C D 的 开 发 节 点 的 时 候 ， C I / C D 会 调 用 代 码 扫 描 引 擎 的 接 口 告 知 扫 描 对 应 项 目 的 代 码 仓 库 。 在 这 个 阶 段 主 要 考 虑 的 是 代 码 扫 描 准 确 性 的 问 题 。 常 见 的 代 码 扫 描 器 有 f o r t i f y 、 c h e c k m a r x 这 两 款 都 是 优 秀 的 商 业 版 静 态 代 码 扫 描 器 。 F o r t i f y 扫 描 基 本 原 理 是 把 各 种 语 言 的 源 代 码 转 为 一 种 统 一 的 中 间 语 言 代 码 ， 基 于 语 法 语 义 和 规 则 进 行 代 码 扫 描 ， 对 数 据 流 分 析 主 要 负 责 收 集 代 码 中 的 变 量 传 递 流 向 ， 同 时 收 集 变 量 的 净 化 情 况 。 根 据 中 间 代 码 分 析 代 码 漏 洞 ， 并 得 出 报 告 。 F o r t i f y 在 输 入 源 和 危 险 函 数 识 别 上 还 是 比 较 准 确 的 ， 但 是 参 数 净 化 识 别 这 块 却 有 些 无 能 为 力 。 如 下 图 如 果 i n t v a l 是 自 定 义 函 数 ， f o r t i f y 根 本 没 法 识 别 出 来 这 个 参 数 是 否 真 的 有 效 过 滤 了 ， 因 此 这 也 是 f o r t i f y 产 生 大 量 误 报 的 来 源 了 。 另 外 f o r t i f y 也 不 支 持 灵 活 的 代 码 规 则 编 写 ， 在 发 现 新 的 漏 洞 的 时 候 也 无 法 编 写 规 则 造 成 许 多 不 便 利 。
根 据 笔 者 的 实 践 结 果 也 验 证 了 采 用 f o r t i f y 扫 描 代 码 会 产 生 大 量 的 误 报 , 大 量 误 报 的 代 码 风 险 推 送 给 业 务 方 会 造 成 业 务 方 的 忽 视 ， 同 时 也 影 响 了 安 全 部 门 的 权 威 性 。 因 此 对 于 安 全 风 险 的 推 送 有 个 原 则 宁 愿 漏 报 也 不 要 大 量 误 报 。 对 此 ， 我 们 采 用 的 基 于 正 则 的 代 码 扫 描 引 擎 ， 在 另 外 一 篇 文 章 中 会 有 详 细 介 绍 。 简 单 介 绍 下 这 个 扫 描 引 擎 的 优 点 1 ） 代 码 开 源 可 以 二 次 开 发 无 缝 对 接 C I / C D 。 2 ） 自 定 义 扫 描 规 则 ， 可 以 针 对 公 司 业 务 特 点 制 定 代 码 扫 描 规 则 。 3 ) 通 过 自 定 义 规 则 可 以 控 制 扫 描 出 现 较 低 的 误 报 。 当 然 缺 点 也 很 明 显 ， 扫 描 引 擎 是 纯 规 则 匹 配 没 法 理 解 上 下 文 语 义 ， 但 是 没 关 系 最 重 要 的 是 扫 描 出 来 的 风 险 要 准 确 。 我 们 可 以 扫 一 些 代 码 规 范 类 的 问 题 。 例 如 ： 不 规 范 函 数 、 S Q L 语 句 拼 接 、 r e d i s 和   M o n g o D B 未 授 权 访 问 、 数 据 库 连 接 信 息 硬 编 码 、 D E B U G   模 式 未 关 闭 、 f a s t j s o n 远 程 代 码 执 行 漏 洞 特 征 代 码 … …   虽 然 扫 描 来 的 这 些 问 题 不 一 定 是 漏 洞 但 一 定 是 代 码 风 险 和 不 规 范 的 写 法 ， 这 样 业 务 方 也 更 容 易 接 受 整 改 。 对 于 检 测 有 明 确 漏 洞 的 代 码 可 以 交 给 运 行 态 代 码 检 测 工 具 i a s t 去 发 现 。 当 然 这 个 阶 段 如 果 是 核 心 业 务 也 可 以 介 入 人 工 代 码 审 计 。 这 个 阶 段 还 有 一 件 重 要 检 查 要 做 — 漏 洞 依 赖 检 查 。 对 于 一 个 j a v a 应 用 肯 定 会 有 各 种 各 样 的 依 赖 j a r 包 ， 常 见 的 漏 洞 依 赖 比 如 s t r u t s 漏 洞 的 c o m m o n s 包 ， f a s t j s o n 漏 洞 的 依 赖 包 。 这 里 我 们 采 用 的 d e p e n d e n c y - c h e c k ， 这 个 工 具 会 通 过 m v n 命 令 解 析 代 码 中 的 所 有 依 赖 并 和 漏 洞 库 的 依 赖 版 本 进 行 比 对 。 这 里 有 个 问 题 需 要 解 决 ， 代 码 中 很 多 依 赖 是 底 层 依 赖 ， 牵 一 发 而 动 全 身 。 底 层 依 赖 在 单 个 项 目 中 进 行 整 改 难 度 较 大 ， 所 以 我 们 需 要 对 漏 洞 库 进 行 梳 理 。 对 于 底 层 依 赖 要 做 专 项 整 改 ， 对 于 上 层 依 赖 可 以 在 单 个 项 目 中 升 级 。 4 、 测 试 阶 段 、 测 试 阶 段 同 样 这 个 阶 段 将 使 用 独 立 的 漏 洞 扫 描 引 擎 对 接 C I / C D ， S D L 平 台 只 是 做 项 目 与 对 应 漏 洞 的 管 理 工 作 ， 并 由 漏 洞 扫 描 引 擎 将 漏 洞 信 息 同 步 给 S D L 平 台 测 试 节 点 进 行 展 示 。 当 开 发 流 程 进 入 到 C I / C D 测 试 节 点 的 时 候 ， C I / C D 会 将 流 量 重 放 到 漏 洞 扫 描 引 擎 进 行 扫 描 。 这 个 阶 段 同 样 存 在 扫 描 准 确 性 的 问 题 。 对 于 传 统 的 黑 盒 扫 描 A W V S 、 A P P S C A N 、 自 定 义 的 基 于 p o c 的 扫 描 都 存 在 扫 描 误 报 的 问 题 。 这 个 在 做 自 动 化 扫 描 的 时 候 由 于 误 报 信 息 太 多 也 不 被 业 务 方 接 受 。 那 么 这 里 我 采 用 的 是 I A S T 灰 盒 扫 描 ， 在 我 的 另 一 篇 文 章 中 有 介 绍 这 里 不 赘 述 。 I A S T 原 理 分 析 以 及 在 S D L 中 的 应 用
5 、 发 布 阶 段 、 发 布 阶 段 如 果 公 司 是 容 器 化 部 署 ， 在 发 布 阶 段 会 进 行 镜 像 基 线 检 查 。 这 里 会 调 用 h a r b o r 接 口 检 查 仓 库 的 镜 像 安 全 性 。 如 果 是 虚 拟 化 部 署 ， 在 发 布 阶 段 会 进 行 系 统 基 线 检 查 。 这 里 可 以 使 用 n e s s u s 或 者 H I D S 进 行 检 查 。 同 时 在 这 个 阶 段 也 会 对 前 面 阶 段 所 发 现 的 问 题 进 行 拦 截 不 准 发 布 。 我 们 定 义 的 拦 截 标 准 有 权 限 提 升 漏 洞 、 资 损 漏 洞 、 数 据 泄 露 漏 洞 、 其 他 高 危 漏 洞 。 6 、 上 线 阶 段 、 上 线 阶 段 上 线 阶 段 主 要 做 的 事 情 是 安 全 检 查 、 安 全 监 控 、 情 报 收 集 。 应 用 方 面 检 查 ： 将 u r l 添 加 到 黑 盒 扫 描 系 统 进 行 定 期 扫 描 。 系 统 方 面 检 查 ： n e s s u s 定 期 扫 描 系 统 漏 洞 ， h a r b o r 定 期 检 查 镜 像 漏 洞 。 代 码 方 面 检 查 ： 阶 段 性 对 线 上 仓 库 的 代 码 进 行 代 码 扫 描 ， 同 时 跟 新 代 码 扫 描 规 则 。 w a f 安 全 监 控 ： 定 期 关 注 w a f 拦 截 信 息 。 i d s 安 全 监 控 ： 查 看 内 网 异 常 流 量 。 h i d s ： 查 看 服 务 器 异 常 进 程 、 文 件 信 息 等 。 四 、 四 、   S D L 建 设 的 目 标 建 设 的 目 标 自 动 化 和 高 覆 盖 率 ： S D L 平 台 能 实 时 获 取 各 业 务 方 的 立 项 信 息 ， 自 动 化 通 知 业 务 方 完 成 安 全 风 险 检 查 c h e c k l i s t ， 进 入 到 C I C D 流 程 能 自 动 化 进 行 代 码 风 险 扫 描 、 自 动 化 进 行 漏 洞 扫 描 ， 对 于 发 现 的 高 危 风 险 在 发 布 的 时 候 能 进 行 拦 截 。 标 准 化 ： 根 据 项 目 的 人 日 和 重 要 等 级 进 行 排 序 优 先 将 安 全 资 源 投 入 到 重 要 项 目 。 对 于 S D L 各 个 阶 段 制 定 安 全 风 险 等 级 ， 超 过 风 险 等 级 的 项 目 禁 止 发 布 。 对 于 需 要 进 行 人 工 安 全 测 试 和 代 码 审 计 的 重 点 项 目 ， 要 按 照 事 先 制 定 的 安 全 测 试 标 准 和 代 码 审 计 标 准 进 行 ， 防 止 有 遗 漏 的 测 试 项 。 准 确 性 ： S D L 中 的 代 码 风 险 扫 描 和 漏 洞 扫 描 两 个 引 擎 要 保 证 扫 描 的 准 确 性 。 在 这 当 中 代 码 扫 描 规 则 是 自 己 编 写 的 可 以 保 证 准 确 性 ， i a s t 扫 描 是 基 于 上 下 文 语 义 分 析 可 以 做 到 0 误 报 。 * 本 文 作 者 ： 本 文 作 者 ： h a c k e r y e a h ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理