搜索

[16262] 2020-12-30_DevSecOps实践与技术专场圆满落幕！畅谈软件应用安全开发

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-30_DevSecOps实践与技术专场圆满落幕！畅谈软件应用安全开发 D e v S e c O p s 实 践 与 技 术 专 场 圆 满 落 幕 ！ 畅 谈 软 件 应 用 安 全 开 发 k i r a z h o u   F r e e B u f   2 0 2 0 - 1 2 - 3 0 安 全 正 在 从 附 加 项 变 成 融 入 企 业 体 系 架 构 的 基 因 ， 而 安 全 正 在 从 附 加 项 变 成 融 入 企 业 体 系 架 构 的 基 因 ， 而 D e v S e c O p s 是 这 一 趋 势 的 重 要 表 现 形 式 之 一 。 是 这 一 趋 势 的 重 要 表 现 形 式 之 一 。 1 2 月 3 0 日 ， D e v S e c O p s 实 践 与 技 术 专 场 在 魔 都 爆 场 举 行 ， 本 次 专 场 的 出 品 人 是 中 国 信 息 通 信 研 究 院 云 大 所 治 理 与 审 中 国 信 息 通 信 研 究 院 云 大 所 治 理 与 审 计 部 副 主 任 牛 晓 玲 、 悬 镜 安 全 计 部 副 主 任 牛 晓 玲 、 悬 镜 安 全 C E O 子 芽 ， 由 腾 讯 云 产 品 安 全 负 责 人 张 祖 优 主 持 。 子 芽 ， 由 腾 讯 云 产 品 安 全 负 责 人 张 祖 优 主 持 。 今 日 骤 降 的 气 温 也 没 有 阻 止 参 会 的 热 情 ， 会 场 里 几 乎 座 无 虚 席 D e v S e c O p s ， 软 件 供 应 链 安 全 的 机 遇 与 挑 战 ， 软 件 供 应 链 安 全 的 机 遇 与 挑 战 陈 钟   北 京 大 学 教 授 、 网 络 与 信 息 安 全 实 验 室 主 任
因 疫 情 转 为 线 上 分 享 S o l a r W i n d s 的 供 应 链 A P T 攻 击 事 件 在 1 2 月 被 曝 出 ， 且 安 全 影 响 仍 在 持 续 。 针 对 供 应 链 的 投 毒 攻 击 、 定 向 攻 击 ， 正 在 折 射 出 软 件 供 应 链 中 的 巨 大 安 全 隐 患 。 目 前 ， 软 件 开 源 化 的 趋 势 带 来 供 应 链 的 开 源 化 ， 进 一 步 造 成 相 关 安 全 问 题 浮 现 。 随 着 攻 击 面 增 大 ， 需 要 加 强 供 应 链 审 查 ， 从 第 三 方 开 源 组 件 、 自 研 代 码 通 用 漏 洞 、 自 研 代 码 业 务 逻 辑 漏 洞 等 维 度 综 合 审 计 。 这 一 背 景 下 ， 强 调 安 全 需 要 贯 穿 整 个 业 务 生 命 周 期 的 每 一 个 环 节 的 D e v S e c O p s ， 越 来 越 被 企 业 接 受 、 应 用 ， 且 D e v S e c O p s 体 系 日 益 成 熟 ， 相 关 方 法 论 和 技 术 实 践 也 日 趋 完 善 。 从 市 场 角 度 看 ， 全 球 开 发 市 场 需 求 稳 步 增 长 ， 从 国 内 法 律 法 规 看 ， 相 关 网 络 安 全 保 护 、 审 查 制 度 逐 渐 细 化 。 这 些 对 于 软 件 开 发 来 说 是 挑 战 与 机 遇 并 存 ， 而 国 内 围 绕 D e v S e c O p s 的 研 讨 也 逐 渐 增 多 ， 一 些 厂 商 聚 焦 于 开 发 安 全 。 就 D e v S e c O p s 在 国 内 落 地 实 施 这 一 问 题 ， 陈 钟 提 出 了 一 些 建 议 开 展 全 方 位 的 软 件 供 应 链 安 全 防 护 方 法 和 技 术 研 究 建 立 国 家 层 面 的 软 件 供 应 链 安 全 监 管 评 测 体 系 提 升 网 站 中 开 源 软 件 源 代 码 的 防 篡 改 防 伪 造 技 术 等 防 护 水 平 推 动 新 技 术 在 软 件 供 应 链 安 全 领 域 的 应 用 ， 从 根 本 上 保 证 可 靠 此 外 ， D e v S e c O p s 还 需 解 决 风 险 与 信 任 的 平 衡 、 从 源 头 做 好 威 胁 治 理 、 考 虑 人 为 因 素 和 攻 防 对 抗 等 问 题 。 赋 能 企 业 安 全 开 发 ： 赋 能 企 业 安 全 开 发 ： D e v S e c O p s 最 新 标 准 解 读 最 新 标 准 解 读 牛 晓 玲   中 国 信 息 通 信 研 究 院 云 大 所 治 理 与 审 计 部 副 主 任 在 牛 晓 玲 看 来 ， D e v S e c O p s 是 安 全 的 文 化 的 渗 透 ， 是 制 度 流 程 和 工 具 的 集 成 ， 也 是 由 学 习 和 实 践 驱 动 的 战 略 ， 它 并 非 一 刀 切 的 全 能 方 法 或 是 使 用 单 一 工 具 的 技 术 就 能 行 之 有 效 的 。
因 疫 情 转 为 线 上 分 享 据 悉 ， 2 0 2 0 年 7 月 ， 由 中 国 信 息 通 讯 研 究 院 牵 头 制 定 的 D e v O p s 能 力 成 熟 度 系 列 标 准 在 联 合 国 I T U - T 成 功 获 批 。 从 设 计 模 型 上 看 ， 该 系 列 标 准 分 为 五 级 能 力 成 熟 度 ， 并 包 含 5 大 域 ： D e v O p s 研 发 过 程 、 应 用 设 计 、 安 全 及 风 险 管 理 、 评 估 方 法 、 系 统 和 工 具 。 其 中 ， 在 安 全 及 风 险 管 理 标 准 框 架 中 ， 分 四 个 部 分 ： 控 制 总 体 风 险 、 控 制 开 发 过 程 中 的 风 险 、 控 制 交 付 过 程 风 险 、 控 制 运 营 过 程 风 险 。 整 个 过 程 强 调 的 是 人 要 为 安 全 负 责 ， 将 安 全 阶 段 不 断 左 移 形 成 安 全 闭 环 。 如 控 制 总 体 风 险 中 ， 就 是 先 把 安 全 内 建 于 开 发 、 交 付 、 运 营 过 程 中 ， 提 取 共 性 的 安 全 要 求 （ 组 织 建 设 、 人 员 管 理 、 基 础 设 施 及 第 三 方 管 理 等 ） ， 再 落 实 到 开 发 、 交 付 、 运 营 各 自 阶 段 ， 进 行 针 对 性 的 风 险 监 测 与 管 理 。 最 后 ， 牛 晓 玲 同 样 对 D e v S e c O p s 的 发 展 趋 势 提 出 了 一 些 预 测 ， 包 括 C I / C D （ 持 续 集 成 和 持 续 交 付 ） 流 水 线 中 的 自 动 化 安 全 性 、 人 工 智 能 和 机 器 学 习 的 应 用 、 无 服 务 和 零 信 任 模 型 的 应 用 、 K 8 s 安 全 性 和 混 合 云 的 采 用 ， 以 及 在 实 践 过 程 中 企 业 将 更 加 关 注 配 置 的 正 确 性 和 最 佳 实 践 。 D e v S e c O p s 敏 捷 安 全 技 术 落 地 实 践 探 索 敏 捷 安 全 技 术 落 地 实 践 探 索 子 芽   悬 镜 安 全 C E O D e v S e c O p s 正 在 被 广 泛 接 受 ， 但 在 实 际 应 用 中 ， 并 不 是 所 有 政 企 用 户 都 适 合 直 接 套 用 通 用 D e v S e c O p s 实 践 经 验 ， 还 要 根 据 自 身 组 织 发 展 现 状 、 业 务 目 标 及 应 用 场 景 做 进 一 步 适 配 探 索 。
当 然 ， 在 讨 论 如 何 利 用 D e v S e c O p s 解 决 软 件 应 用 安 全 开 发 的 问 题 之 前 ， 子 芽 分 享 了 其 对 于 问 题 产 生 的 一 些 看 法 。 众 所 周 知 ， 软 件 工 程 存 在 2 个 共 识 ： 1 、 系 统 一 定 会 有 未 被 发 现 的 安 全 漏 洞 ， 比 如 在 1 0 0 0 行 代 码 中 就 有 2 ~ 4 0 个 逻 辑 漏 洞 ； 2 、 现 代 应 用 都 是 组 装 的 而 非 纯 自 研 。 目 前 ， 普 遍 存 在 的 应 用 软 件 安 全 问 题 源 于 复 杂 的 内 外 因 ， 其 中 外 因 主 要 是 开 源 软 件 的 盛 行 以 及 开 源 环 境 、 开 源 人 员 带 来 的 攻 击 面 增 多 、 漏 洞 隐 患 。 而 内 因 则 包 括 业 务 应 用 复 杂 与 攻 击 面 的 正 相 关 、 开 源 框 架 复 用 及 软 件 扩 展 等 情 况 。 复 杂 的 安 全 成 因 下 ， 子 芽 认 为 ， 企 业 最 需 要 优 先 考 虑 的 D e v S e c O p s 实 践 基 础 应 该 是 A S T — — 白 盒 、 黑 盒 、 灰 盒 。 白 盒 更 加 适 合 安 全 团 队 相 对 成 熟 且 具 备 运 营 能 力 的 甲 方 ， 在 通 用 化 方 面 不 够 完 善 ， 黑 盒 偏 向 漏 扫 ， 侧 重 于 上 线 运 营 阶 段 ， 而 灰 盒 （ I A S T ） 对 于 应 用 自 身 风 险 检 测 更 有 效 果 。 广 义 的 I A S T 还 包 含 了 流 量 学 习 和 日 志 分 析 等 更 多 模 式 和 能 力 ， 一 般 适 用 于 超 过 5 0 人 的 组 织 ， 可 以 在 组 织 边 界 处 配 置 流 量 镜 像 辅 助 插 桩 ， 了 解 测 试 资 产 。 此 外 ， 子 芽 还 介 绍 了 被 动 的 I A S T — — 动 态 污 点 追 踪 ， 默 认 业 务 输 入 不 可 信 ， 在 污 点 汇 聚 点 判 断 是 否 为 高 危 操 作 ， 以 及 主 动 I A S T — — 基 于 应 用 插 桩 探 针 的 交 互 式 缺 陷 定 位 ， 至 于 用 户 端 流 量 代 理 技 术 更 适 合 小 规 模 网 站 的 深 度 测 试 。 复 杂 的 企 业 环 境 对 I A S T 技 术 的 落 地 提 出 了 更 多 的 要 求 。 综 合 来 看 ， 落 地 需 要 重 点 结 合 企 业 实 际 环 境 。 从 从 D e v S e c O p s 看 安 全 产 品 的 自 身 安 全 看 安 全 产 品 的 自 身 安 全 聂 君   奇 安 信 集 团 首 席 安 全 官 兼 网 络 安 全 部 总 经 理 安 全 产 品 存 在 安 全 漏 洞 ， 看 似 悖 论 ， 但 其 实 是 产 品 从 需 求 到 面 向 市 场 的 过 程 中 难 以 避 免 的 问 题 。 首 先 ， 企 业 的 产 品 组 织 之 间 存 在 不 同 安 全 水 位 ， 且 相 关 人 员 的 安 全 意 识 和 安 全 能 力 差 异 较 大 ， 导 致 难 以 统 一 安 全 管 理 。 其 次 ， 安 全 产 品 类 型 多 ， 还 可 能 存 在 安 全 需 求 与 正 常 功 能 存 在 矛 盾 的 情 况 ， 再 加 上 产 品 形 态 从 客 户 端 覆 盖 到 服 务 端 ， 形 态 多 样 ， 开 发 语 言 应 有 尽 有 ， 缺 乏 标 准 S D K 。 除 了 产 品 研 发 的 企 业 内 部 问 题 ， 还 有 产 品 长 生 命 周 期 导 致 对 外 暴 露 面 多 ， 如 存 在 老 版 本 被 攻 击 或 被 曝 出 漏 洞 ， 导 致 管 理 维 护 难 度 大 。
因 疫 情 转 为 线 上 分 享 基 于 安 全 产 品 面 临 的 复 杂 安 全 问 题   ， 聂 君 从 流 程 、 技 术 和 安 全 文 化 三 个 维 度 提 出 解 决 思 路 。 流 程 ： 产 品 安 全 “ 左 移 ” ， 安 全 提 测 流 程 、 安 全 卡 点 嵌 入 开 发 流 程 、 外 部 漏 洞 处 理 流 程 、 产 品 管 理 流 程 技 术 ： 打 造 层 层 检 测 的 安 全 测 试 工 具 链 ， 联 动 代 码 仓 库 和 测 试 环 境 数 据 ， 自 动 化 或 联 动 功 能 测 试 进 行 安 全 测 试 安 全 文 化 ： 可 以 对 安 全 产 品 进 行 打 分 、 建 立 横 纵 向 安 全 组 织 ， 覆 盖 产 品 安 全 全 生 命 周 期 的 处 置 ， 打 通 产 品 从 需 求 交 付 到 售 后 的 环 节 ， 针 对 各 产 品 线 建 立 沟 通 渠 道 聂 君 强 调 ， 没 有 一 家 D e v S e c O p s 的 实 践 可 以 原 封 不 动 的 照 搬 照 抄 ， 而 安 全 活 动 嵌 入 、 安 全 运 营 思 路 、 技 术 难 点 攻 克 等 方 法 和 思 路 可 以 参 考 。 壹 钱 包 安 全 开 发 体 系 壹 钱 包 安 全 开 发 体 系 3 . 0 落 地 实 践 落 地 实 践 汪 永 辉   中 国 平 安 壹 钱 包 安 全 架 构 师 汪 永 辉 以 壹 钱 包 的 安 全 开 发 体 系 变 化 为 例 ， 分 享 了 安 全 开 发 过 程 中 的 经 验 。 首 先 1 . 0 阶 段 建 立 一 定 规 范 , 让 安 全 开 发 体 系 建 立 团 队 知 道 自 己 在 做 什 么 （ 一 般 覆 盖 研 发 、 测 试 、 运 维 、 运 营 等 多 个 职 能 人 员 ） ， 2 . 0 阶 段 开 始 引 入 更 多 的 安 全 工 具 ， 在 发 现 、 识 别 、 验 证 环 节 更 高 效 ， 而 3 . 0 阶 段 则 是 把 规 范 和 工 具 融 入 到 整 个 流 程 之 中 。 4 . 0 开 始 考 虑 量 化 ， 比 方 漏 洞 时 效 性 ， 量 化 漏 洞 修 复 时 间 。 最 后 5 . 0 阶 段 就 是 综 合 考 虑 成 本 问 题 、 技 术 与 工 具 、 组 织 之 间 的 孤 岛 是 否 真 正 打 破 等 。 目 前 ， 壹 钱 包 安 全 开 发 体 系 3 . 0 落 地 过 程 中 ， 将 安 全 融 入 开 发 的 相 关 实 践 策 略 包 括 提 供 专 用 工 具 、 赋 能 研 发 ， 以 及 做 好 管 理 ， 与 体 系 内 各 个 角 色 达 成 安 全 共 识 。 如 同 汪 永 辉 所 说 ， 信 息 安 全 人 人 有 责 ， 必 须 把 强 调 安 全 意 识 流 行 起 来 … … S e c u r i t y   B y   D e f a u l t ： ： M y B a t i s 框 架 下 框 架 下 S Q L 注 入 解 决 方 案 注 入 解 决 方 案 汪 昱   快 手 高 级 安 全 工 程 师
在 落 地 D e v S e c O p s 的 大 背 景 下 ， 我 们 发 现 S Q L 注 入 依 旧 是 “ 顽 固 ” 的 安 全 问 题 。 汪 昱 认 为 ， 探 索 M y B a t i s 框 架 （ 在 国 内 外 使 用 度 都 非 常 高 的 O R M 框 架 ） 下 的 S Q L 注 入 解 决 方 案 ， 是 帮 助 研 发 近 乎 零 成 本 实 现 S e c u r i t y   B y   D e f a u l t 的 必 要 手 段 。 可 以 说 ， 对 于 大 多 数 漏 洞 都 难 以 用 静 态 检 测 技 术 进 行 零 误 报 的 检 测 ， 而 将 漏 洞 检 测 转 化 为 合 理 的 规 范 检 测 是 大 型 甲 方 的 常 见 解 决 方 式 。 那 么 ， 什 么 样 的 规 范 是 合 理 的 ， 什 么 样 的 规 范 不 会 引 起 R D 反 弹 ？ 比 如 预 编 译 就 是 一 个 典 型 的 例 子 ， 还 有 o r d e r   b y 一 定 要 校 验 等 。 规 范 检 测 的 过 程 就 是 把 污 点 净 化 转 换 成 了 标 准 化 过 程 ， 这 时 候 误 报 解 决 就 简 单 多 了 。 为 了 保 证 规 范 的 强 执 行 ， 也 可 以 基 于 正 确 编 码 方 式 做 一 个 白 名 单 限 制 ， 规 范 代 码 ， 这 样 一 来 ， S Q L 注 入 问 题 也 就 自 然 而 然 地 解 决 了 。 总 体 来 看 ， 要 实 现 M y B a t i s 框 架 下 的 静 默 安 全 ， 首 先 M y B a t i s 本 身 就 是 一 个 强 安 全 模 型 ， 另 外 可 以 根 据 o r d e r   b y 扩 展 方 法 来 实 现 静 默 安 全 。 报 告 发 布 ： 《 报 告 发 布 ： 《 D e v S e c O p s   行 业 洞 察 报 告 行 业 洞 察 报 告   ( 2 0 2 0 年 年 ) 》 》
图 左 ： F r e e B u f 平 台 负 责 人 尤 文   居 中 ： 悬 镜 安 全 C E O 子 芽   图 右 ： 悬 镜 安 全 C O O 董 毅 会 上 ， 悬 镜 安 全 与 F r e e B u f 咨 询 共 同 合 作 发 布 《 D e v S e c O p s 行 业 洞 察 报 告   ( 2 0 2 0 年 ) 》 ， 悬 镜 安 全 C O O 董 毅 对 报 告 做 了 解 读 。 报 告 基 于 收 集 的 1 5 7 1 条 有 效 数 据 的 分 析 结 果 展 示 ， 分 为 调 查 篇 和 洞 见 篇 。 从 调 查 结 果 来 看 ， 受 访 者 （ 开 发 运 维 人 员 为 主 ） 对 D e v S e c O p s 的 认 知 要 明 显 低 于 D e v O p s ， 相 比 而 言 ， D e v S e c O p s 处 于 普 及 、 发 展 阶 段 。 有 趣 的 是 ， 尽 管 大 多 数 人 肯 定 安 全 的 重 要 性 ， 但 8 4 % 的 受 访 者 依 旧 表 示 处 理 软 件 应 用 中 的 安 全 性 问 题 的 时 间 是 不 足 的 。 为 了 解 决 这 一 问 题 ， 受 访 者 采 用 工 具 来 提 升 效 率 。 目 前 使 用 的 应 用 安 全 检 测 工 具 包 括 4 9 % 黑 盒 ， 4 2 % 白 盒 。 而 被 问 及 所 在 单 位 在 什 么 阶 段 进 行 应 用 安 全 检 测 时 ， 发 现 编 码 、 编 码 构 建 、 集 成 这 3 个 全 生 命 周 期 最 靠 前 阶 段 的 安 全 检 测 比 例 仍 然 是 不 令 人 满 意 的 。 更 多 的 调 研 结 果 和 洞 察 可 以 查 看 完 整 版 报 告 ~ 圆 桌 讨 论 圆 桌 讨 论 最 后 的 圆 桌 环 节 中 ， 悬 镜 安 全 C O O 董 毅 、 携 程 信 息 安 全 高 级 总 监 凌 云 以 及 D e v O p s 标 准 工 作 组 核 心 编 写 专 家 赵 锐 共 同 探 讨 了 D e v S e c O p s 的 适 用 场 景 与 实 践 经 验 。
D e v S e c O p s 作 为 S D L 方 法 论 的 一 个 落 地 范 式 ， 但 是 否 适 用 于 所 有 企 业 ？ 凌 云 认 为 ， 对 于 D e v S e c O p s 的 实 践 应 该 基 于 企 业 安 全 现 有 阶 段 和 安 全 框 架 ， 目 前 来 看 更 适 用 于 开 发 、 运 维 已 经 发 展 到 一 定 阶 段 ， 并 且 有 相 关 业 务 和 安 全 发 展 需 求 的 企 业 。 董 毅 进 一 步 补 充 ， 目 前 D e v S e c O p s 的 工 具 链 包 括 安 全 检 测 类 工 具 和 流 程 类 工 具 ， 而 在 实 践 初 期 ， 应 该 从 解 决 具 体 问 题 出 发 ， 如 具 体 的 或 单 一 的 安 全 检 测 类 工 具 的 应 用 。 当 工 具 和 能 力 逐 步 具 备 后 ， 再 向 D e v S e c O p s 框 架 的 更 上 层 移 动 。 赵 锐 指 出 ， 很 多 企 业 只 是 为 了 D e v S e c O p s 而 D e v S e c O p s ， 缺 乏 原 有 基 础 的 考 虑 ， 这 种 做 法 就 非 常 不 合 实 际 。 此 外 ， 人 作 为 安 全 的 要 素 ， 即 便 通 过 工 具 或 流 程 的 高 效 性 应 用 发 现 了 大 量 漏 洞 ， 但 人 员 无 法 有 效 处 理 ， 那 么 问 题 依 然 存 在 。 因 此 ， 将 人 、 工 具 与 流 程 有 效 结 合 起 来 ， D e v S e c O p s 才 能 实 现 成 功 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理