搜索

[29565] 2018-05-24_软件安全开发生命周期（S-SDLC）企业实践TOP10

文档创建者：s7ckTeam
浏览次数：72
最后更新：2025-01-19
2018-05-24_软件安全开发生命周期（S-SDLC）企业实践TOP10 　 T O P   1 　 　 T O P   2 　 软 件 安 全 开 发 生 命 周 期 （ S - S D L C ） 企 业 实 践 T O P   1 0 S e c Z o n e   O W A S P   2 0 1 8 - 0 5 - 2 4 O W A S P   S - S D L C 项 目 ， 是 O W A S P 中 国 首 个 在 O W A S P 全 球 发 起 的 研 究 项 目 ， 并 在 过 去 的 一 年 中 取 得 了 多 项 重 要 项 目 进 展 。 软 件 安 全 开 发 生 命 周 期 （ 简 称 S - S D L C ） 最 早 由 微 软 创 建 ， 即 微 软 S D L 。 S - S D L C 近 年 正 被 全 球 安 全 行 业 和 大 量 软 件 产 品 研 发 企 业 所 重 视 ， 国 内 越 来 越 多 的 互 联 网 企 业 、 金 融 类 企 业 和 其 他 企 业 也 已 纷 纷 开 始 实 施 S - S D L C 。 但 大 多 数 企 业 在 S - S D L C 的 实 施 过 程 中 都 或 多 或 少 存 在 一 些 问 题 ， 导 致 实 施 效 果 存 在 不 理 想 的 情 况 。 作 为 O W A S P S - S D L C 项 目 的 发 起 方 和 牵 头 方 ， O W A S P 中 国 结 合 S e c Z o n e 多 年 的 S - S D L C 落 地 实 践 和 服 务 经 验 ， 总 结 了 最 重 要 的 1 0 条 经 验 ， 以 帮 助 国 内 企 业 更 好 的 实 施 S - S D L C 。 企 业 必 须 自 上 而 下 推 行 企 业 必 须 自 上 而 下 推 行 S - S D L C 实 施 ， 且 有 相 应 的 组 织 结 构 支 撑 实 施 ， 且 有 相 应 的 组 织 结 构 支 撑 企 业 要 实 施 S - S D L C ， 单 靠 传 统 的 信 息 安 全 部 门 或 几 个 网 络 安 全 人 员 是 不 行 的 ， 必 须 由 公 司 领 导 层 自 上 而 下 去 推 行 。 之 所 以 必 须 是 自 上 而 下 推 行 ， 一 个 重 要 的 原 因 就 是 S - S D L C 的 实 施 并 不 是 只 有 信 息 安 全 部 门 投 入 就 可 以 了 。 S - S D L C 会 与 研 发 部 门 的 各 个 环 境 深 度 结 合 ， 需 会 与 研 发 部 门 的 各 个 环 境 深 度 结 合 ， 需 要 研 发 部 门 的 积 极 支 持 和 全 体 参 与 要 研 发 部 门 的 积 极 支 持 和 全 体 参 与 。 另 外 ， 安 全 对 于 大 部 分 企 业 而 言 ， 能 直 接 看 到 的 是 成 本 投 入 增 加 ， 而 产 出 收 益 却 是 隐 性 的 ， 并 不 会 因 为 做 了 S - S D L C 就 能 看 到 产 品 的 直 接 销 售 收 益 。 因 此 ， 不 管 是 对 于 研 发 部 门 还 是 其 他 部 门 ， 都 很 难 有 主 动 实 施 S - S D L C 的 动 力 。 微 软 在 推 行 时 ， 是 由 比 尔 . 盖 茨 亲 自 发 邮 件 要 求 员 工 停 下 手 上 所 有 的 工 作 后 才 开 始 实 施 ； 而 华 为 则 是 由 C E O 担 任 全 球 网 络 安 全 委 员 会 主 任 来 推 行 实 施 。 也 就 是 说 ， 如 果 没 有 高 层 领 导 自 上 而 下 的 也 就 是 说 ， 如 果 没 有 高 层 领 导 自 上 而 下 的 要 求 ， 安 全 部 门 推 行 要 求 ， 安 全 部 门 推 行 S - S D L C 只 会 是 一 厢 情 愿 。 只 会 是 一 厢 情 愿 。 相 信 很 多 安 全 部 门 在 推 行 S - S D L C 时 ， 都 会 遇 到 研 发 团 队 不 配 合 而 导 致 无 法 推 行 或 推 行 效 果 不 理 想 的 情 况 。 有 了 自 上 而 下 的 要 求 ， 企 业 还 要 有 相 应 的 组 织 结 构 支 撑 ， 而 合 理 的 组 织 结 构 是 保 障 S - S D L C 实 施 效 果 的 基 础 。 因 为 S - S D L C 在 实 施 过 程 中 会 产 生 大 量 新 的 工 作 内 容 和 新 的 工 作 流 程 ， 而 这 部 分 工 作 内 容 和 工 作 职 责 混 乱 不 清 ， 将 直 接 影 响 S - S D L C 的 执 行 效 率 和 实 施 效 果 。 S - S D L C 要 与 企 业 的 质 量 管 理 体 系 相 结 合 要 与 企 业 的 质 量 管 理 体 系 相 结 合 不 少 企 业 实 施 S - S D L C 时 ， 将 S - S D L C 作 为 一 个 独 立 的 流 程 来 操 作 。 这 使 得 企 业 需 要 投 入 大 量 额 外 资 源 来 支 撑 S - S D L C 整 个 流 程 的 运 转 ， 且 实 施 的 质 量 得 不 到 保 障 。 因 此 ， S - S D L C 的 实 施 效 果 往 往 达 不 到 预 期 。 安 全 本 质 上 是 产 品 的 一 种 质 量 属 性 。 安 全 本 质 上 是 产 品 的 一 种 质 量 属 性 。 在 质 量 管 理 领 域 ， 业 界 已 有 成 熟 的 方 法 和 流 程 ， 比 如 ： I S O 9 0 0 1 、 C M M 等 级 ， 这 些 都 用 来 保 障 产 品 的 质 量 。 大 部 分 企 业 都 设 置 有 质 量 部 门 ， 并 设 置 有 质 量 管 理 人 员 角 色 。 但 安 全 往 往 因 为 专 业 性 强 ， 缺 乏 成 熟 的 管 理 方 法 和 流 程 ， 再 加 上 安 全 部 门 的 存 在 ， 因 此 产 品 质 量 部 门 通 常 不 关 心 产 品 的 安 全 问 题 。 在 在 S - S D L C 落 地 的 过 程 中 ， 将 安 全 工 程 活 动 标 准 化 ， 并 纳 入 产 品 的 质 量 体 系 ， 是 保 障 落 地 的 过 程 中 ， 将 安 全 工 程 活 动 标 准 化 ， 并 纳 入 产 品 的 质 量 体 系 ， 是 保 障 S - S D L C 实 施 效 果 的 基 础 。 实 施 效 果 的 基 础 。 举 个 例 子 来 说 ： S - S D L C 企 业 实 践 企 业 实 践 T O P   1 0
　 T O P   3 　 　 T O P   4   问 当 产 品 的 某 项 安 全 指 标 没 有 达 到 要 求 时 ， 质 量 部 门 有 权 否 决 产 品 的 上 市 发 布 或 上 线 运 营 ？ 建 立 合 适 的 人 员 培 训 体 系 建 立 合 适 的 人 员 培 训 体 系 在 在 S - S D L C 实 施 的 过 程 中 ， 安 全 不 仅 仅 是 软 件 安 全 专 家 的 事 ， 而 是 实 施 企 业 所 有 人 的 事 。 实 施 的 过 程 中 ， 安 全 不 仅 仅 是 软 件 安 全 专 家 的 事 ， 而 是 实 施 企 业 所 有 人 的 事 。 仅 靠 几 个 安 全 专 家 很 难 保 证 企 业 所 有 产 品 的 安 全 质 量 ， 而 信 息 安 全 部 门 或 网 络 安 全 部 门 面 对 软 件 开 发 往 往 也 力 不 从 心 。 S - S D L C 虽 然 整 体 涉 及 软 件 产 品 的 安 全 开 发 生 命 周 期 ， 偏 重 于 方 法 和 流 程 ， 但 人 的 因 素 同 样 至 关 重 要 。 对 于 同 样 的 方 法 、 同 样 的 流 程 和 同 样 的 工 具 ， 如 果 实 施 人 员 的 安 全 开 发 思 想 意 识 和 技 术 能 力 不 同 ， 其 产 生 的 实 施 效 果 差 异 也 会 非 常 大 。 比 如 ： 某 公 司 的 安 全 部 门 要 求 所 有 口 令 都 在 h a s h 后 再 存 储 ， 而 开 发 人 员 就 将 口 令 设 计 成 h a s h 之 后 的 结 果 ， 让 人 看 了 哭 笑 不 得 。 问 如 何 让 所 有 研 发 人 员 都 了 解 并 关 注 软 件 安 全 开 发 ？ 答 建 立 一 套 合 适 的 培 训 体 系 是 较 好 的 业 界 实 践 。 这 里 的 培 训 强 调 的 是 体 系 化 的 软 件 安 全 开 发 培 训 ， 而 不 是 安 全 部 门 内 部 组 织 的 信 息 安 全 知 识 培 训 或 攻 防 渗 透 技 术 培 训 ， 因 为 对 于 不 同 的 部 门 、 不 同 的 岗 位 、 不 同 的 人 员 ， 其 安 全 的 认 知 意 识 和 技 术 能 力 也 是 不 一 样 的 。 简 单 来 说 ， 建 议 将 安 全 培 训 分 成 不 同 的 等 级 ， 且 不 同 等 级 面 向 不 同 类 型 的 人 员 群 体 。 比 如 ： 软 件 安 全 开 发 意 识 培 训 可 以 面 向 所 有 人 、 软 件 安 全 编 码 培 训 可 只 面 向 开 发 和 测 试 人 员 ， 而 网 络 攻 击 技 术 培 训 可 只 面 向 安 全 专 业 人 员 。 另 外 ， 另 外 ， 需 要 让 所 有 研 发 人 员 需 要 让 所 有 研 发 人 员 宏 观 的 理 解 宏 观 的 理 解 S - S D L C 方 法 与 流 程 ， 有 助 于 让 每 个 研 发 人 员 认 知 其 与 方 法 与 流 程 ， 有 助 于 让 每 个 研 发 人 员 认 知 其 与 S - S D L C 流 程 中 上 、 下 游 角 色 的 互 动 关 系 ， 也 有 助 于 让 每 流 程 中 上 、 下 游 角 色 的 互 动 关 系 ， 也 有 助 于 让 每 个 研 发 人 员 理 解 每 一 个 个 研 发 人 员 理 解 每 一 个 S - S D L C 的 工 作 环 节 对 整 体 产 品 安 全 的 重 要 性 。 的 工 作 环 节 对 整 体 产 品 安 全 的 重 要 性 。 目 前 ， 中 国 信 息 安 全 测 评 中 心 认 证 的 “ 注 册 软 件 安 全 开 发 人 员 （ C W A S P   C S S D ） ” 人 员 资 质 ， 能 为 企 业 初 步 解 决 有 关 研 发 人 员 对 S - S D L C 意 识 认 知 和 技 能 掌 握 的 问 题 。 用 度 量 体 系 将 用 度 量 体 系 将 S - S D L C 实 施 效 果 可 视 化 实 施 效 果 可 视 化 对 于 企 业 的 研 发 高 层 领 导 来 说 ， 最 关 注 的 还 是 S - S D L C 实 施 效 果 。 如 何 让 S - S D L C 实 施 效 果 可 视 化 ， 是 S - S D L C 实 施 过 程 中 需 要 注 意 的 重 要 问 题 。 如 果 研 发 高 层 领 导 看 不 到 如 果 研 发 高 层 领 导 看 不 到 S - S D L C 的 实 施 效 果 ， 那 就 意 味 着 可 能 失 去 研 发 高 层 领 导 对 的 实 施 效 果 ， 那 就 意 味 着 可 能 失 去 研 发 高 层 领 导 对 S - S D L C 实 施 的 持 续 支 持 和 资 源 投 入 ， 实 施 的 持 续 支 持 和 资 源 投 入 ， 从 而 导 致 从 而 导 致 S - S D L C 实 施 失 败 。 实 施 失 败 。 S - S D L C 实 施 的 效 果 本 身 就 是 隐 性 的 。 微 软 在 这 个 问 题 上 也 没 法 给 出 立 竿 见 影 的 效 果 ， 但 今 天 W i n d o w s 操 作 系 统 的 安 全 性 要 比 在 S - S D L C 实 施 前 的 W i n d o w s   X P 好 多 了 ， 尽 管 今 天 的 W i n d o w s 操 作 系 统 还 是 有 很 多 安 全 漏 洞 ， 但 安 全 性 的 增 强 并 不 是 简 单 地 从 漏 洞 数 量 上 进 行 对 比 ， 而 是 漏 洞 发 现 的 难 度 、 漏 洞 利 用 的 难 度 和 漏 洞 被 利 用 的 影 响 都 比 之 前 有 了 明 显 的 改 善 。 因 此 ， 作 为 S - S D L C 实 施 人 员 ， 需 要 在 实 施 S - S D L C 前 给 研 发 部 门 高 层 领 导 一 个 相 对 合 理 的 预 期 ： 世 界 上 没 有 世 界 上 没 有 1 0 0 % 的 安 全 ， 不 能 保 证 的 安 全 ， 不 能 保 证
　 T O P   5 　 　 T O P   6 　 　 T O P   7 　 S - S D L C 实 施 后 就 不 会 再 有 漏 洞 了 ； 也 不 是 实 施 了 实 施 后 就 不 会 再 有 漏 洞 了 ； 也 不 是 实 施 了 S - S D L C 后 安 全 就 可 以 高 枕 无 忧 了 。 但 这 也 并 不 意 味 着 就 完 全 看 不 到 效 果 。 后 安 全 就 可 以 高 枕 无 忧 了 。 但 这 也 并 不 意 味 着 就 完 全 看 不 到 效 果 。 如 何 让 S - S D L C 实 施 的 效 果 可 视 化 ， 比 较 好 的 做 法 是 建 立 一 套 度 量 体 系 ， 通 过 度 量 的 方 法 让 S - S D L C 实 施 的 效 果 可 视 化 出 来 。 度 量 体 系 本 身 也 是 一 套 复 杂 的 工 程 ， 比 如 说 业 界 的 O W A S P S A M M 和 B S I M M 就 是 复 杂 的 评 估 度 量 体 系 。 实 施 人 员 可 以 选 取 一 些 比 较 直 观 且 容 易 实 施 的 工 程 活 动 ， 体 现 工 程 能 力 的 成 熟 度 提 升 ， 这 个 和 软 件 成 熟 度 C M M 类 似 。 另 外 ， 也 要 有 结 果 性 的 数 据 ， 比 如 ： 可 以 对 测 试 发 现 的 安 全 问 题 进 行 分 级 ， 建 立 一 个 S - S D L C 实 施 前 的 基 线 ， 再 看 S - S D L C 实 施 后 每 一 年 的 问 题 发 展 趋 势 。 产 品 的 安 全 目 标 决 定 产 品 的 安 全 目 标 决 定 S - S D L C 的 过 程 的 过 程 完 整 的 S - S D L C 包 含 众 多 的 活 动 ， 而 同 样 的 活 动 在 不 同 企 业 的 投 入 弹 性 空 间 也 非 常 大 ， 以 威 胁 建 模 为 例 ， 有 的 产 品 可 能 只 花 半 天 时 间 ， 而 有 的 产 品 可 能 需 要 花 一 个 月 甚 至 更 长 时 间 。 笔 者 在 S - S D L C 实 施 的 过 程 中 同 样 遇 到 过 很 多 类 似 问 题 ： 这 个 活 动 需 不 需 要 做 ？ 这 个 活 动 需 不 需 要 做 ？ 这 个 活 动 需 要 做 到 什 么 程 度 ？ 这 个 活 动 需 要 做 到 什 么 程 度 ？ 这 个 活 动 需 求 投 入 多 少 人 ？ 这 个 活 动 需 求 投 入 多 少 人 ？ 对 于 这 些 问 题 ， 并 没 有 统 一 的 答 案 。 因 为 不 同 的 产 品 所 处 的 环 境 不 一 样 ， 面 临 的 风 险 也 不 一 样 。 但 我 们 可 以 给 出 基 本 的 判 断 原 则 。 这 些 原 则 的 基 本 出 发 点 就 是 产 品 的 安 全 目 标 是 什 么 ？ 这 些 原 则 的 基 本 出 发 点 就 是 产 品 的 安 全 目 标 是 什 么 ？ 安 全 目 标 说 起 来 容 易 ， 但 要 说 清 楚 ， 就 不 是 一 件 容 易 的 事 了 。 很 多 专 业 的 安 全 人 员 往 往 更 多 的 考 虑 安 全 技 术 ， 而 忽 略 了 安 全 目 标 。 技 术 应 该 是 用 来 支 撑 目 标 的 达 成 ， 所 以 当 目 标 不 清 楚 的 情 况 下 ， 很 难 判 断 一 项 技 技 术 应 该 是 用 来 支 撑 目 标 的 达 成 ， 所 以 当 目 标 不 清 楚 的 情 况 下 ， 很 难 判 断 一 项 技 术 的 使 用 是 否 合 理 ？ 这 些 技 术 是 否 足 够 ？ 这 就 导 致 了 很 多 企 业 当 前 的 一 个 现 象 ： 安 全 的 投 入 好 像 是 一 个 无 底 洞 ， 不 知 道 什 么 时 候 才 术 的 使 用 是 否 合 理 ？ 这 些 技 术 是 否 足 够 ？ 这 就 导 致 了 很 多 企 业 当 前 的 一 个 现 象 ： 安 全 的 投 入 好 像 是 一 个 无 底 洞 ， 不 知 道 什 么 时 候 才 能 做 完 。 能 做 完 。 这 显 然 不 是 企 业 领 导 者 所 要 的 结 果 。 因 此 ， 在 实 施 S - S D L C 的 过 程 中 ， 定 义 一 个 清 晰 的 安 全 目 标 ， 才 能 使 S - S D L C 的 实 施 过 程 更 加 科 学 合 理 。 威 胁 模 型 可 以 使 产 品 避 免 大 的 设 计 风 险 威 胁 模 型 可 以 使 产 品 避 免 大 的 设 计 风 险 如 果 问 S - S D L C 实 施 过 程 中 有 什 么 过 程 是 特 别 难 的 ， 笔 者 相 信 很 多 真 正 实 施 过 的 企 业 或 专 家 都 会 将 这 一 票 投 给 威 胁 建 模 。 因 为 威 胁 建 模 做 得 太 浅 则 感 觉 没 什 么 效 果 ； 而 做 的 太 深 则 导 致 实 施 难 度 和 投 入 成 本 的 增 加 。 如 何 取 得 深 浅 之 度 的 平 衡 是 威 胁 建 模 的 难 点 所 在 。 如 何 取 得 深 浅 之 度 的 平 衡 是 威 胁 建 模 的 难 点 所 在 。 要 解 决 这 个 问 题 ， 还 得 从 威 胁 建 模 的 本 质 说 起 。 威 胁 建 模 的 本 质 是 建 立 产 品 的 威 胁 模 型 。 而 需 要 通 过 威 胁 建 模 达 到 什 么 样 的 目 的 ， 不 少 安 全 人 员 的 理 解 也 不 太 一 样 。 根 据 笔 者 所 在 团 队 的 实 践 经 验 ， 一 方 面 希 望 专 业 的 安 全 人 员 通 过 威 胁 建 模 发 现 更 多 、 更 深 入 的 产 品 设 计 漏 洞 ， 以 呈 现 威 胁 建 模 的 效 果 ； 另 一 方 面 又 希 望 这 一 过 程 能 工 具 化 ， 使 普 通 的 研 发 人 员 也 能 发 现 同 样 的 问 题 。 但 通 常 实 际 的 效 果 是 ： 经 验 丰 富 的 安 全 人 员 不 通 过 威 胁 建 模 的 方 法 就 能 发 现 该 问 题 ； 而 普 通 的 研 发 人 员 即 使 用 了 威 胁 建 模 的 方 法 ， 也 发 现 不 了 该 问 题 。 对 于 这 一 现 象 ， 并 不 是 威 胁 建 模 本 身 出 了 问 题 ， 而 是 企 业 对 威 胁 建 模 的 使 用 以 及 目 标 预 期 出 了 问 题 ， 威 胁 模 型 的 核 心 作 用 是 通 过 模 型 威 胁 模 型 的 核 心 作 用 是 通 过 模 型 化 的 方 式 来 管 理 威 胁 、 风 险 和 对 应 的 缓 解 措 施 。 威 胁 、 风 险 、 缓 解 措 施 这 三 者 相 辅 相 成 ， 化 的 方 式 来 管 理 威 胁 、 风 险 和 对 应 的 缓 解 措 施 。 威 胁 、 风 险 、 缓 解 措 施 这 三 者 相 辅 相 成 ， S - S D L C 中 中 S T R I D E 威 胁 建 模 方 法 可 以 将 大 威 胁 建 模 方 法 可 以 将 大 颗 粒 度 的 威 胁 结 构 化 ， 从 而 避 免 了 产 品 威 胁 模 型 遗 漏 了 大 颗 粒 度 的 威 胁 ， 保 证 了 威 胁 的 完 整 性 ； 有 了 威 胁 就 会 有 风 险 ， 有 风 险 就 需 颗 粒 度 的 威 胁 结 构 化 ， 从 而 避 免 了 产 品 威 胁 模 型 遗 漏 了 大 颗 粒 度 的 威 胁 ， 保 证 了 威 胁 的 完 整 性 ； 有 了 威 胁 就 会 有 风 险 ， 有 风 险 就 需 要 根 据 风 险 来 设 计 相 应 的 缓 解 措 施 ； 这 就 是 威 胁 建 模 的 核 心 价 值 。 要 根 据 风 险 来 设 计 相 应 的 缓 解 措 施 ； 这 就 是 威 胁 建 模 的 核 心 价 值 。 而 发 现 设 计 漏 洞 ， 实 际 上 就 是 发 现 某 个 威 胁 没 有 相 应 的 缓 解 措 施 或 是 缓 解 措 施 的 设 计 B U G 可 以 被 绕 过 。 这 里 还 有 一 点 值 得 注 意 ， 就 是 所 有 的 缓 解 措 施 都 不 能 1 0 0 % 的 缓 解 风 险 ， 缓 解 措 施 的 目 的 是 通 过 合 适 的 成 本 将 风 险 降 低 到 一 个 可 接 受 的 范 围 内 。
　 T O P   8 　 　 T O P   9 　 安 全 特 性 组 件 化 可 尽 量 避 免 编 码 漏 洞 安 全 特 性 组 件 化 可 尽 量 避 免 编 码 漏 洞 代 码 漏 洞 对 于 软 件 来 说 几 乎 是 不 可 避 免 的 ， 据 数 据 统 计 ， 代 码 量 与 漏 洞 成 正 比 。 即 便 最 早 提 出 和 实 施 方 法 论 的 微 软 ， 也 不 能 保 证 代 码 百 分 之 百 没 有 漏 洞 。 漏 洞 问 题 对 产 品 来 说 是 最 直 观 的 （ 可 直 接 利 用 ） ， 也 是 最 头 痛 的 （ 消 灭 不 了 ） ； 代 码 漏 洞 也 是 漏 洞 问 题 对 产 品 来 说 是 最 直 观 的 （ 可 直 接 利 用 ） ， 也 是 最 头 痛 的 （ 消 灭 不 了 ） ； 代 码 漏 洞 也 是 S - S D L C 需 要 重 点 解 决 的 问 题 需 要 重 点 解 决 的 问 题 。 目 前 多 数 也 认 识 到 这 一 问 题 ， 并 选 择 使 用 代 码 扫 描 工 具 ， 例 如 S A S T 和 D A S T 等 ， 但 这 类 工 具 存 在 致 命 的 缺 陷 ： 误 报 和 漏 报 。 误 报 过 多 造 成 大 量 研 发 资 源 的 浪 费 ， 而 漏 报 过 多 又 会 使 得 工 具 的 应 用 效 果 大 打 折 扣 。 代 码 扫 描 工 具 的 漏 报 和 误 报 是 必 然 存 在 的 ， S - S D L C 中 也 有 如 何 降 低 漏 洞 和 误 报 的 实 践 ， 但 这 更 多 需 要 依 赖 于 新 型 的 安 全 检 测 工 具 去 解 决 。 从 S - S D L C 的 整 体 视 角 上 看 ， 扫 描 工 具 只 能 发 现 部 分 已 存 在 的 代 码 漏 洞 ， 并 不 能 减 少 代 码 漏 洞 的 产 生 ， 属 于 “ 后 端 被 动 式 ” 的 解 决 思 路 。 。 S - S D L C 更 关 注 如 何 减 少 代 码 漏 洞 的 产 生 ， 也 就 是 如 何 从 更 关 注 如 何 减 少 代 码 漏 洞 的 产 生 ， 也 就 是 如 何 从 “ 前 端 前 端 ” 主 动 解 决 问 题 。 主 动 解 决 问 题 。 一 个 比 较 好 的 实 践 就 是 将 产 品 中 的 安 全 特 性 组 件 化 ， 比 如 ： 密 码 算 法 模 块 、 认 证 授 权 模 块 ， 这 些 模 块 都 是 重 要 的 缓 解 措 施 实 现 ， 一 旦 出 问 题 就 导 致 缓 解 措 施 被 绕 过 的 漏 洞 。 因 此 ， 将 这 些 模 块 组 件 化 ， 让 不 同 的 产 品 在 这 些 领 域 都 使 用 公 共 组 件 ， 而 不 用 自 己 开 发 ， 自 然 也 就 不 会 引 入 漏 洞 ； 而 这 些 公 共 的 组 件 则 由 安 全 专 业 团 队 重 点 保 障 。 在 微 软 ， 为 了 避 免 参 数 校 验 问 题 导 致 和 缓 冲 区 溢 出 问 题 ， 由 专 业 的 安 全 团 队 重 写 了 经 常 导 致 漏 洞 的 函 数 （ 如 ： m e m c p y 、 s t r c p y ） , 并 由 一 系 列 自 身 带 有 安 全 校 验 的 函 数 来 代 替 。 这 一 措 施 使 得 产 品 在 很 大 程 度 上 解 决 了 缓 冲 区 溢 出 的 问 题 （ 虽 不 能 全 部 解 决 ， 但 效 果 显 而 易 而 ， 且 投 入 成 本 不 高 ） 。 管 理 第 三 方 软 件 的 风 险 管 理 第 三 方 软 件 的 风 险 不 论 是 传 统 的 软 件 企 业 还 是 新 型 的 互 联 网 企 业 ， 在 软 件 开 发 的 过 程 中 都 免 不 了 要 使 用 第 三 方 组 件 。 第 三 方 组 件 既 包 含 开 源 软 件 ， 也 包 含 商 业 软 件 。 而 且 随 着 软 件 越 复 杂 ， 第 三 方 软 件 的 使 用 数 量 也 越 来 越 多 。 从 安 全 的 角 度 看 ， 第 三 方 软 件 也 是 一 个 重 要 的 风 险 源 （ 比 如 ， 前 从 安 全 的 角 度 看 ， 第 三 方 软 件 也 是 一 个 重 要 的 风 险 源 （ 比 如 ， 前 两 年 两 年 O p e n S S L 的 漏 洞 集 中 暴 发 ） 的 漏 洞 集 中 暴 发 ） 。 第 三 方 软 件 不 仅 是 产 品 集 成 的 组 件 ， 开 发 环 境 中 所 用 到 的 工 具 也 要 作 为 第 三 方 软 件 来 对 待 （ X c o d e G h o s t 事 件 大 家 应 该 都 还 记 得 ） 。 第 三 方 软 件 与 自 主 研 发 的 软 件 不 一 样 。 S - S D L C 的 方 法 和 流 程 没 法 覆 盖 开 源 社 区 和 第 三 方 厂 商 。 那 么 如 何 管 理 第 三 方 软 件 的 风 险 ， 也 是 S - S D L C 实 施 过 程 中 面 临 的 一 个 主 要 的 问 题 。 具 体 来 说 ， 笔 者 有 以 下 几 条 好 的 实 践 可 以 供 大 家 参 考 ： 企 业 要 有 清 单 列 表 记 录 哪 些 产 品 使 用 了 哪 些 第 三 方 软 件 。 一 旦 某 个 第 三 方 软 件 出 现 漏 洞 ， 可 以 通 过 清 单 列 表 迅 速 排 查 。 企 业 要 有 清 单 列 表 记 录 禁 用 的 第 三 方 软 件 。 对 于 那 些 安 全 问 题 比 较 多 、 风 险 较 大 的 第 三 软 件 ， 应 加 入 到 这 个 禁 用 清 单 列 表 中 禁 止 使 用 。 对 于 使 用 较 多 且 开 源 的 第 三 方 组 件 ， 建 议 进 行 代 码 扫 描 ， 对 于 发 现 的 漏 洞 ， 提 交 开 源 社 区 ， 并 促 使 开 源 社 区 修 复 。 对 于 第 三 方 软 件 的 使 用 要 有 安 全 性 指 导 （ 主 要 是 规 避 一 些 因 配 置 不 当 引 入 的 安 全 问 题 ） 。 慎 用 对 安 全 问 题 处 理 态 度 消 极 的 厂 商 所 开 发 的 第 三 方 软 件 。 安 全 服 务 化 和 自 动 化 是 实 施 安 全 服 务 化 和 自 动 化 是 实 施 D e v S e c O p s 的 基 础 的 基 础 近 年 来 ， D e v O p s 的 开 发 模 式 已 被 广 泛 应 用 。 D e v O p s 的 核 心 思 想 是 将 开 发 和 运 维 一 体 化 ， 开 发 能 快 速 推 出 产 品 进 行 A B 测 试 ， 通 过 数 个 版 本 的 迭 代 ， 使 产 品 变 得 成 熟 稳 定 ， 同 时 也 使 产 品 功 能 变 得 丰 富 。 在 在 D e v O p s 开 发 模 式 下 ， 传 统 的 开 发 模 式 下 ， 传 统 的 S - S D L C 流 程 在 流 程 在 D e v O p s 模 式 下 显 得 过 于 厚 重 ， 那 么 就 需 要 有 适 用 于 模 式 下 显 得 过 于 厚 重 ， 那 么 就 需 要 有 适 用 于 D e v O p s 流 程 的 流 程 的 S - S D L C ， 这 就 是 ， 这 就 是 D e v S e c O p s 的 由 来 。 由 于 运 维 流 程 也 一 体 化 了 ， 因 此 在 传 统 的 由 来 。 由 于 运 维 流 程 也 一 体 化 了 ， 因 此 在 传 统 S - S D L C 的 安 全 成 本 模 型 也 就 发 生 了 变 化 。 的 安 全 成 本 模 型 也 就 发 生 了 变 化 。 举 个 例 子 来 说 ， 在 传 统 S - S D L C 的 测 试 过 程 中 ， 我 们 要 尽 可 能 的 发 现 所 有 的 安 全 漏 洞 ， 因 为 产 品 一 旦 发 布 ， 漏 洞 的 修 复 成 本 会 很 高 ； 但 在 互 联 网 企 业 自 己 开 发 、 自 己 测 试 、 自 己 运 维 的 D e v O p s 模 式 下 ， 产 品 发 布 后 ， 漏 洞 修 复 的 成 本 并 不 一 定 有 增 加 很 多 。 因 为 运 维 一 体 化 后 ， 漏 洞 一 旦 发 现 ， 响 应 的 时 间 可 控 制 在 一 个 很 短 的 时 间 内 。
　 T O P   1 0 　 但 这 并 不 是 说 D e v O p s 之 后 开 发 过 程 中 的 安 全 活 动 就 不 需 要 做 了 ， 只 是 做 的 方 式 会 有 差 异 。 这 个 差 异 主 要 来 自 于 安 全 功 能 的 服 务 化 、 自 动 化 工 具 。 安 全 功 能 服 务 化 本 身 符 合 S O A 架 构 和 微 服 务 架 构 的 演 进 方 向 。 安 全 功 能 服 务 化 后 ， 就 能 将 产 品 的 一 些 安 全 风 险 转 移 到 安 全 服 务 上 。 以 I A M 服 务 为 例 ， 采 用 成 熟 的 I A M 服 务 能 在 很 大 程 度 上 降 低 产 品 在 认 证 和 授 权 方 面 的 问 题 。 A W S 提 供 的 移 动 应 用 账 号 服 务 可 以 让 移 动 应 用 直 接 集 成 ， 而 不 用 担 心 账 号 的 安 全 问 题 ； 或 是 采 用 O A u t h 认 证 方 式 ， 采 用 安 全 性 很 强 的 G o o g l e 、 Q Q 、 微 信 等 知 名 厂 商 的 安 全 认 证 对 接 。 这 样 自 然 就 减 少 了 产 品 研 发 过 程 中 的 安 全 投 入 ， 使 S - S D L C 可 以 变 得 快 起 来 。 另 一 方 面 ， 采 用 工 具 实 现 自 动 化 ， 也 在 很 大 程 度 上 能 减 少 S - S D L C 过 程 的 投 入 。 比 如 ， S e c Z o n e   V u l H u n t e r 灰 盒 安 全 测 试 工 具 ， 能 够 适 用 于 软 件 产 品 开 发 和 测 试 阶 段 ， 并 在 开 发 工 程 师 和 测 试 工 程 师 在 执 行 功 能 测 试 的 同 时 无 感 知 自 动 完 成 安 全 测 试 ， 符 合 D e v O p s 和 敏 捷 开 发 模 式 下 软 件 产 品 快 接 迭 代 、 快 速 交 付 的 要 求 。 S - S D L C 工 具 链 工 具 链 无 论 在 普 通 开 发 、 敏 捷 开 发 还 是 D e v S e c O p s 模 式 下 ， S - S D L C 落 地 的 关 键 都 离 不 开 流 程 体 系 和 高 度 自 动 化 工 具 链 的 融 合 。 根 据 笔 者 所 在 团 队 的 实 践 积 累 ， 若 有 一 个 一 体 化 的 平 台 能 准 确 、 完 整 地 记 录 、 管 理 和 追 踪 软 件 产 品 在 S - S D L C 实 施 过 程 中 的 实 际 情 况 ， 实 现 软 件 产 品 开 发 信 息 在 S - S D L C 流 程 中 跨 活 动 、 跨 角 色 流 动 ， 才 能 真 正 确 保 软 件 产 品 的 安 全 需 求 和 安 全 威 胁 在 开 发 、 测 试 和 部 署 运 维 过 程 中 落 地 。 而 无 论 是 需 求 阶 段 的 需 求 库 、 开 发 与 测 试 的 安 全 测 试 工 具 ， 还 是 其 他 安 全 工 具 ， 都 将 成 为 S - S D L C 工 具 链 中 的 一 环 。 本 文 篇 幅 很 长 ， 很 长 ， 很 长 本 文 篇 幅 很 长 ， 很 长 ， 很 长 ~ ~ ~ 都 是 经 验 之 谈 都 是 经 验 之 谈 小 编 舍 不 得 删 减 ， 恨 不 得 都 加 粗 小 编 舍 不 得 删 减 ， 恨 不 得 都 加 粗 ~ 转 发 转 发 / 分 享 分 享 / 收 藏 收 藏 欢 迎 留 言 讨 论 欢 迎 留 言 讨 论 我 们 要 做 一 个 边 吃 瓜 边 讨 论 的 群 众 ！ 我 们 要 做 一 个 边 吃 瓜 边 讨 论 的 群 众 ！ 遇 到 哪 些 难 题 ？ 诉 诉 苦 ？ 遇 到 哪 些 难 题 ？ 诉 诉 苦 ？ 敢 不 敢 敢 不 敢 @ 老 板 老 板 ~
O W A S P _ C H I N A 应 用 软 件 安 全 研 究 平 台 2 0 1 8 O N     T H E     W A Y 点 击 下 方 留 言 ， 分 享 你 的 故 事 点 击 下 方 留 言 ， 分 享 你 的 故 事 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理