搜索

[15263] 2020-04-17_漫谈SDL：开篇明义

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-17_漫谈SDL：开篇明义 漫 谈 S D L ： 开 篇 明 义 若 水 行   F r e e B u f   2 0 2 0 - 0 4 - 1 7 S D L 只 是 方 法 论 ， 忌 为 只 是 方 法 论 ， 忌 为 S D L 而 而 S D L 一 、 一 、 s d l 是 什 么 是 什 么 我 的 看 法 : “ s d l 是 安 全 研 发 生 命 周 期   , 一 个 方 法 论 ,   理 念 是 安 全 左 移 ,   通 过 各 种 方 法 、 工 具 、 流 程 , 设 计 和 交 付 更 安 全 的 软 件 , 以 期 望 降 低 安 全 成 本 , 最 终 还 是 为 了 保 护 企 业 和 用 户 的 资 产 ” 一 图 胜 千 言 , 简 化 版 s d l   ( 偷 个 懒 , 太 多 了 , 概 念 性 的 东 西 不 多 说 了 , 我 就 默 认 看 的 都 是 做 过 至 少 了 解 过 s d l 的 ; ) 简 化 版 s d l 二 、 为 什 么 要 二 、 为 什 么 要 s d l 成 本 成 本 , 应 急 成 本 、 修 复 成 本 、 法 律 成 本 应 急 成 本 、 修 复 成 本 、 法 律 成 本 … … 越 来 越 多 的 安 全 事 件 、 漏 洞 、 法 规 要 求 越 来 越 多 的 安 全 事 件 、 漏 洞 、 法 规 要 求 ,   这 些 成 本 也 愈 加 明 显 这 些 成 本 也 愈 加 明 显 , 安 全 左 移 的 需 求 也 愈 发 迫 切 安 全 左 移 的 需 求 也 愈 发 迫 切 ; 从 传 统 应 用 安 全 ( 注 重 线 上 漏 洞 应 急 、 安 全 测 试 ) 到 S D L ( 全 链 路 ) 其 实 也 代 表 社 会 及 软 件 行 业 对 安 全 的 需 求 和 了 解 越 发 深 入 , 从 一 个 “ 必 须 解 决 的 问 题 之 一 ” 发 展 到 “ 应 满 足 的 最 低 要 求 之 一 ” , 在 欧 美 这 个 历 程 大 概 花 了 1 0 - 1 2 年 , 在 我 国 , 可 能 还 需 要 3 - 5 年 左 右 时 间 , ( 也 许 更 快 , 从 这 个 角 度 看 ( 应 用 ) 安 全 应 该 还 是 在 黄 金 时 代 初 期 ) ; 这 里 放 一 张 s d l 的 发 展 历 程 , f r o m   微 软 官 网 h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / s e c u r i t y e n g i n e e r i n g / s d l / a b o u t 这 张 图 里 的 信 息 量 还 是 比 较 大 的 , 感 兴 趣 的 可 以 去 了 解 下 , 包 括 T w C ( m i c r o s o f t - t r u s t w o r t h y - c o m p u t i n g ) 、 微 软 、 思 科 和 A d o b e 在 s d l 方 面 的 共 同 协 作 倡 导 等 ;
S D L   T i m e L i n e 无 论 怎 么 看 , S D L 的 最 终 目 的 还 是 “ 设 计 和 交 付 更 安 全 的 软 件 , 以 期 望 降 低 安 全 成 本 , 最 终 还 是 为 了 保 护 企 业 和 用 户 的 资 产 “ , 为 了 解 决 应 用 安 全 的 问 题 , 这 一 点 不 能 忘 记 , 也 就 是 说 , 如 果 你 在 做 S D L 的 时 候 , 做 的 事 情 不 能 为 这 个 目 的 服 务 , 那 是 没 有 意 义 的 三 、 实 际 建 设 中 三 、 实 际 建 设 中 s d l 的 误 区 及 痛 的 误 区 及 痛 这 里 说 一 下 S D L 建 设 中 常 见 的 几 种 误 解 、 误 区 , 以 及 带 来 的 痛 ; 1 、 领 导 对 s d l 的 “ 误 解 ” , 如 : “ 灵 丹 妙 药 ” : 觉 得 s d l 一 上 , 应 用 安 全 能 一 下 子 缓 解 , 不 再 是 老 大 难 投 入 少 : 觉 得 s d l 很 容 易 就 能 实 现 , 招 一 两 个 安 全 工 程 师 就 能 落 地 , 最 多 再 搞 搞 自 动 化 ( 一 个 人 的 s d l , 甚 至 一 个 人 的 安 全 部 ) 实 现 快 : 从 哪 里 听 到 看 到 S D L 的 这 一 套 流 程 、 工 具 和 效 果 , 就 想 照 搬 过 来 , 直 接 复 用 , 快 速 实 现 … … 总 的 来 说 就 是 “ 期 望 过 高 + 资 源 很 少 ” 2 、 其 它 部 门 对 S D L 的 感 受 或 “ 误 解 ” , 比 如 找 事 的 , 因 为 需 要 相 关 同 学 给 到 配 合 , 信 息 同 步 、 做 出 相 应 a c t i o n , 举 几 个 例 子 : 需 求 对 应 产 品 , 要 同 步 需 求 信 息 、 评 审 会 议 信 息 、 填 写 c h e c l i s t 或 问 答 表 、 根 据 安 全 建 议 修 改 需 求 业 务 逻 辑 ( 或 流 程 图 ) 、 上 线 要 满 足 安 全 要 求 才 能 上 线 开 发 对 应 研 发 : 要 同 步 代 码 提 交 信 息 给 代 码 审 计 、 要 按 照 安 全 标 准 进 行 开 发 、 要 更 新 升 级 存 在 漏 洞 的 三 方 包 、 要 修 复 安 全 测 试 出 的 漏 洞 集 成 发 布 对 应 研 发 及 应 用 运 维 : 要 添 加 三 方 包 检 测 ( N d a y 及 版 权 ) 、 对 接 白 盒 扫 描 、 对 接 自 动 化 测 试 ( I A S T 、 D A S T 、 S A S T ) 测 试 对 应 Q A : 同 步 测 试 进 度 、 同 步 测 试 用 例 评 审 会 信 息 、 测 试 数 据 环 境 账 号 等 等 p m o : 每 个 环 节 都 要 管 , 都 要 参 与 , 你 们 是 不 是 p m o 啊
… … 3 、 安 全 人 员 对 s d l 的 实 施 误 区 S D L   过 程 图 示 完 全 照 搬 : 比 如 上 面 的 s d l 过 程 图 示 , 各 种 规 范 、 自 动 化 上 来 就 整 一 堆 , 推 给 各 部 门 团 队 心 急 : 没 摸 清 公 司 安 全 状 况 , 没 理 清 背 景 、 需 求 就 上 马 拿 来 主 义 , 生 搬 硬 套 , 而 不 是 因 地 制 宜 : 举 个 例 子 , 在 上 家 公 司 经 过 两 年 摸 索 、 建 设 , 结 合 d e v o p s 做 成 了 一 些 安 全 自 动 化 的 东 西 , 到 新 公 司 想 在 半 年 内 就 把 原 来 的 这 套 搭 建 起 来 , 但 这 家 公 司 没 有 相 应 的 d e v o p s 、 I T 能 力 支 持 , 业 务 场 景 、 产 品 类 型 也 不 同 , 结 果 费 了 大 力 做 出 来 却 效 果 不 理 想 ; 更 甚 者 , 直 接 网 上 找 来 一 些 就 去 推 广 , 自 然 被 产 品 、 研 发 怼 的 鼻 青 脸 肿 , 后 续 工 作 也 不 好 开 展 ; 没 有 自 己 的 节 奏 : 尤 其 是 遇 到 上 面 描 述 的 领 导 时 , 容 易 被 牵 着 走 , 结 果 也 很 不 好 软 性 能 力 不 足 , 受 环 境 影 响 过 大 : 在 好 的 环 境 下 有 好 的 同 事 配 合 可 以 干 好 , 而 遇 到 自 己 不 喜 欢 的 环 境 、 同 事 , 就 干 不 好 这 些 感 受 或 “ 误 解 ” 、 “ 误 区 ” , 加 上 工 作 或 环 境 中 的 问 题 ,   会 带 来 S D L 推 行 、 落 地 时 的 各 种 困 难 , 比 如 : 领 导 的 要 求 不 现 实 被 领 导 牵 着 鼻 子 走 , 乱 了 步 子 同 步 信 息 不 及 时 、 忘 了 甚 至 不 愿 同 步 问 卷 填 写 随 意 填 , 不 一 定 真 实 正 确 漏 洞 没 修 复 就 要 上 线 , 带 伤 上 阵 修 复 时 间 一 拖 再 拖 , 要 跟 在 后 面 催 只 要 安 全 没 卡 点 , 就 可 以 不 用 c a r e 一 段 时 间 后 没 成 果 , 领 导 或 他 人 甚 至 自 己 都 觉 得 没 价 值 … … 这 样 下 来 , 搞 得 自 己 和 大 家 都 很 累 , 也 没 成 果 , 最 终 黯 然 离 场 或 混 吃 等 死 … 四 、 应 该 怎 么 做 四 、 应 该 怎 么 做
S D L 只 是 方 法 论 ， 忌 为 S D L 而 S D L 为 什 么 会 有 上 面 那 些 误 解 、 误 区 , 投 入 与 预 期       “ 既 要 马 儿 跑 得 快 , 还 不 给 马 儿 吃 草 ” 理 解 偏 差 , 且 太 强 调 S D L , 一 定 成 度 上 将 其 “ 神 话 ” 了 不 同 的 人 知 识 储 备 、 能 力 、 “ 屁 股 ” 都 不 相 同 , 有 理 解 偏 差 很 正 常 , 但 要 避 免 “ 神 话 ” 、 “ 过 分 超 出 预 期 ” ; 工 作 开 展 方 式 问 题 , 这 个 不 能 说 是 谁 的 问 题 , 只 能 说 结 果 不 好 , 我 们 要 去 改 进 ; 另 外 还 有 就 是 我 们 的 软 能 力 ( 如 沟 通 、 协 调 协 作 、 管 理 、 价 值 观 等 等 ) 不 足 , 需 要 加 强 , 安 全 从 业 者 多 数 是 技 术 出 身 , 这 个 问 题 也 是 技 术 同 学 的 通 病 , 但 企 业 安 全 建 设 , 尤 其 是 s d l 需 要 跨 部 门 、 沟 通 协 作 的 地 方 格 外 多 , 那 么 出 问 题 时 不 足 也 凸 显 了 ; 应 该 怎 么 做 1 、 也 是 前 提 , 定 好 安 全 的 战 略 目 标 ( 长 期 目 标 ) : 要 做 成 什 么 样 的 安 全 , 实 现 什 么 样 的 效 果 , 可 以 不 用 那 么 明 确 , 大 致 期 望 即 可 , 也 是 要 跟 领 导 传 达 安 全 需 要 时 间 , 需 要 资 源 , 是 个 长 期 投 入 、 长 期 建 设 的 事 情 ; 2 、 同 样 也 是 前 提 , 定 出 中 短 期 的 安 全 工 作 , 根 据 风 险 评 估 ( 安 全 现 状 ) 来 制 定 , 同 时 最 好 能 估 算 出 之 前 、 现 在 的 安 全 成 本 , 这 样 在 S D L 一 段 时 间 后 , 可 以 对 比 体 现 价 值 ; 3 、 摸 索 出 适 合 这 家 企 业 的 打 法 节 奏 , 要 根 据 业 务 、 团 队 、 I T 能 力 、 同 事 等 等 因 素 来 定 , 需 要 有 个 摸 索 过 程 , 不 同 阶 段 、 相 应 的 项 目 o r 工 具 或 平 台 ; 摸 索 的 过 程 靠 自 己 , 共 通 之 处 可 以 借 鉴 ( 后 面 有 机 会 展 开 ~ ) 4 、 应 用 安 全 的 合 理 性 , 开 展 的 背 景 要 明 确 ( 问 b o s s 、 问 l e a d e r 、 问 自 己 ) , 有 答 案 了 再 做 后 面 的 事 情 , 且 要 通 晒 同 步 对 齐 ; 5 、 有 些 弯 路 是 必 须 要 走 的 : 摸 索 的 过 程 , 找 出 合 适 的 方 法 , 同 时 也 是 给 相 关 部 门 、 团 队 、 人 一 个 了 解 接 受 的 时 间 , 这 个 过 程 绕 不 过 去 也 有 必 要 ; 6 、 跟 直 属 领 导 常 沟 通 、 常 同 步 , 方 式 很 多 : 开 会 、 主 动 讨 论 、 周 报 ( 如 周 报   描 述 重 点 项 目 、 解 决 什 么 问 题 、 遇 到 什 么 问 题 和 困 难 , 需 要 什 么 协 助 ; 不 用 太 细 ) 7 、 定 期 安 全 情 况 报 告 , 可 以 分 环 节 分 对 象 来 , 比 如 漏 洞 管 理 情 况 、 比 如 某 业 务 的 迭 代 需 求 及 测 试 用 例 评 审 、 安 全 测 试 结 果 ; 体 现 价 值 , 涮 存 在 感 , 获 得 认 同 ; 8 、 提 升 软 能 力 , 建 议 根 据 冰 山 模 型 + 学 习 提 升 管 理 能 力 另 外 在 公 司 安 全 建 设 战 略 甚 至 战 术 层 面 另 外 在 公 司 安 全 建 设 战 略 甚 至 战 术 层 面 , 不 要 过 分 强 调 不 要 过 分 强 调 “ 要 做 要 做 S D L ” , 个 人 认 为 沿 用 个 人 认 为 沿 用 “ 应 用 安 全 应 用 安 全 ” 这 个 词 会 好 很 多 这 个 词 会 好 很 多 , 包 包 括 减 少 不 必 的 沟 通 成 本 和 超 预 期 的 情 况 括 减 少 不 必 的 沟 通 成 本 和 超 预 期 的 情 况 , 尤 其 是 在 资 源 不 足 , “ 一 个 人 S D L ” 、 甚 至 “ 一 个 人 安 全 部 ” 的 情 况 下 , 好 好 把 基 础 的 东 西 做 起 来 ,   用 能 争 取 到 资 源 , 解 决 主 要 的 风 险 , 就 一 个 字 “ 稳 ” ; 徐 徐 图 之 ,   其 他 的 留 给 时 间 ( 拿 多 少 钱 办 多 少 事 , 话 糙 理 不 糙 ) ; 如 果 时 间 不 能 解 决 , 那 … . 该 干 嘛 干 嘛 吧     ( 基 操 勿 6 ) 各 方 面 也 都 是 再 向 成 熟 趋 势 走 的 各 方 面 也 都 是 再 向 成 熟 趋 势 走 的 , 包 括 技 术 、 整 体 包 括 技 术 、 整 体 I T 能 力 、 公 司 管 理 能 力 、 公 司 管 理 , 对 安 全 的 投 入 等 等 对 安 全 的 投 入 等 等 ,   安 全 治 理 安 全 治 理   工 作 是 要 基 工 作 是 要 基 于 这 些 因 素 来 开 展 的 于 这 些 因 素 来 开 展 的 ; 理 清 楚 做 S D L 的 目 的 , 找 到 背 景 , 顺 理 成 章 开 展 ; 不 忘 来 路 , 始 知 归 处 ; 五 、 总 结 五 、 总 结 & 后 续 后 续 : S D L 只 是 一 个 方 法 论 , 只 是 一 种 手 段 ， 而 不 是 目 的 ， 安 全 左 移 理 念 , 目 的 是 设 计 与 交 付 更 安 全 的 软 件 , 来 保 护 公 司 及 用 户 资 产 , 同 时 降 低 安 全 的 成 本 ; 如 果 盲 目 为 了 如 果 盲 目 为 了 S D L 而 而 S D L , 完 全 完 全 f o l l o w   S D L   , 结 果 必 然 是 悲 惨 的 结 果 必 然 是 悲 惨 的 , 就 算 你 能 完 全 实 现 就 算 你 能 完 全 实 现 , 那 最 直 接 的 就 是 没 业 务 了 那 最 直 接 的 就 是 没 业 务 了 , 公 公 司 就 搞 安 全 了 司 就 搞 安 全 了 …   因 地 制 宜 因 地 制 宜 , 适 合 自 己 的 才 是 最 好 的 适 合 自 己 的 才 是 最 好 的 , 我 们 做 我 们 做 S D L 其 实 真 正 花 时 间 去 思 考 解 决 的 就 是 找 到 合 适 的 方 其 实 真 正 花 时 间 去 思 考 解 决 的 就 是 找 到 合 适 的 方
法 将 法 将 S D L 方 法 论 落 地 来 达 到 目 标 方 法 论 落 地 来 达 到 目 标 , 这 个 顺 序 我 们 要 明 确 这 个 顺 序 我 们 要 明 确 , 通 俗 一 点 说 通 俗 一 点 说 : 有 些 弯 路 是 必 须 要 走 的 有 些 弯 路 是 必 须 要 走 的 ; 方 法 论 是 一 种 以 解 决 问 题 为 目 标 的 理 论 体 系 或 系 统 ， 通 常 涉 及 对 问 题 阶 段 、 任 务 、 工 具 、 方 法 技 巧 的 论 述 。 方 法 论 会 对 一 系 列 具 体 的 方 法 进 行 分 析 研 究 、 系 统 总 结 并 最 终 提 出 较 为 一 般 性 的 原 则 。 当 然 有 许 多 工 具 、 经 验 是 就 在 那 里 , 也 值 得 我 们 去 借 鉴 的 , 涉 及 对 问 题 阶 段 、 任 务 、 工 具 、 方 法 技 巧 , 都 能 够 提 炼 到 一 些 共 通 的 东 西 , 这 些 后 面 具 体 展 开 , 这 里 先 说 一 下 大 致 的 思 路 ; s d l 建 设 思 路 首 先 确 定 我 们 的 产 品 是 有 安 全 问 题 的 ， 以 前 有 过 ( 比 如 外 部 白 帽 测 试 ) ， 现 在 也 有 ， 以 后 也 会 有 ， 这 个 跟 b u g 是 一 个 道 理 . 那 么 怎 么 就 能 更 安 全 ， 目 前 就 是 在 做 测 试 , 我 们 在 测 试 S D L 这 个 方 法 是 否 可 行 ， 类 似 我 们 要 采 购 某 个 产 品 工 具 ， 我 们 要 先 测 ， 测 功 能 ， 测 性 能 ， 测 效 果 ; 分 步 骤 在 进 行 . 试 点 ， 是 一 个 很 常 用 的 手 段 , ( 在 流 程 、 工 具 、 效 果 、 不 同 业 务 线 适 用 度 都 需 要 做 试 点 ) , 在 一 家 企 业 要 做 s d l 时 , 第 一 个 试 点 就 是 测 试 s d l 流 程 能 否 在 这 家 企 业 跑 通 ， 能 否 工 作 运 转 起 来 ； 同 时 也 会 测 效 果 ， 能 否 提 升 安 全 ， 但 这 块 后 续 还 会 有 试 点 项 目 来 进 行 验 证 ； 第 一 个 试 点 建 议 找 比 较 稳 定 的 项 目 ， 来 测 流 程 是 比 较 合 适 的 。 试 点 过 程 中 会 发 现 很 多 问 题 , 不 仅 是 流 程 或 安 全 知 识 技 能 、 工 具 , 还 有 公 司 环 境 、 人 等 方 面 的 , 这 些 不 同 企 业 所 特 有 的 问 题 是 更 需 要 思 考 去 解 决 的 ;   总 结 出 问 题 、 尝 试 解 决 方 法 、 ( 比 如 沟 通 成 本 高 , 能 否 有 方 便 沟 通 双 方 的 方 法 , 工 具 ? 比 如 覆 盖 率 低 , 比 如 不 配 合 等 等 , 详 见 上 面 的 困 难 ) 那 如 果 测 试 结 果 发 现 S D L 不 管 用 ， 不 能 跑 通 ， 或 者 不 能 使 我 们 更 安 全 ， ( 当 然 不 太 可 能 ， 毕 竟 这 个 是 业 界 比 认 可 的 ， 但 不 同 场 景 公 司 是 有 自 己 的 特 殊 性 ， 就 不 适 用 通 用 别 人 公 司 的 方 法 ) ， 或 者 遇 到 各 种 问 题 ,   效 果 没 我 们 想 象 中 的 好 ， 那 我 们 就 换 一 种 方 法 ， 或 者 参 考 / 添 加 一 些 方 法 、 元 素 ， 比 如 S A M M ， 比 如 以 前 的 测 试 修 复 模 式 ， 比 如 B S I M M , 比 如 事 件 驱 动 ， 比 如 威 胁 建 模 等 等 ， 或 者 取 这 些 方 法 的 优 点 ， 来 做 一 个 适 合 自 己 的 东 西 出 来 ， 当 然   我 们 也 可 以 继 续 把 这 个 东 西 叫 做 S D L ， 只 要 结 果 是 对 的 就 好 ， 是 能 提 升 我 们 产 品 安 全 性 即 可 。 当 然   这 些 话 没 必 要 对 老 板 去 讲 ， 老 板 只 要 结 果 。 我 们 在 过 程 中 去 做 去 改 进 即 可 去 拿 到 结 果 。 实 在 要 说 ， 就 一 句 话 ： 我 们 在 不 断 改 进 ， 得 到 更 适 合 我 们 自 己 的 方 法 来 进 行 。 那 么 目 前 看 来 ， 阔 以 提 取 到 的 通 用 元 素 的 是 什 么 ( 设 计 交 付 更 安 全 的 软 件 的 要 素 ) , 比 如 ： 流 程 ( 阔 以 借 鉴 P M P ， 项 目 管 理 方 面 知 识 ) 工 具 化 自 动 化 人 员 及 能 力 威 胁 建 模 ( 安 全 分 析 设 计 能 力 ) … … 接 下 来 就 是 如 何 将 这 些 元 素 在 自 己 的 公 司 里 / 场 景 下 实 现 、 串 联 、 运 转 到 落 地 应 用 ; 这 些 元 素 在 不 同 企 业 里 落 地 时 的 共 通 点 , 以 及 涉 及 的 软 能 力 提 升 , 凸 显 价 值 等 等
后 续 一 个 一 个 展 开 , 先 挖 坑 , 待 填 ( 但 愿 不 会 太 监 ) S D L - 建 设 的 两 种 模 式 S D L — 与 d e v s e c o p s S D L — 人 员 及 能 力 之 冰 山 模 型 与 S D L 建 设 … … * 本 文 作 者 ： 若 水 行 ， 转 载 请 注 明 来 自 本 文 作 者 ： 若 水 行 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理