搜索

[6539] 2020-03-03_2020RSAC：关于安全每个开发人员都需要知道这10件事

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-17
2020-03-03_2020RSAC：关于安全每个开发人员都需要知道这10件事 2 0 2 0 R S A C ： 关 于 安 全   每 个 开 发 人 员 都 需 要 知 道 这 1 0 件 事 小 E   E 安 全   2 0 2 0 - 0 3 - 0 3 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网   w w w . e a s y a q . c o m            
E 安 全 3 月 3 日 讯 ， 在 2 0 2 0 年 R S A C 大 会 召 开 期 间 ， 除 了 展 览 之 外 专 家 意 见 分 享 会 成 了 R S A 大 会 的 又 一 大 关 注 焦 点 ， 网 安 专 家 会 基 于 自 己 多 年 经 验 和 最 新 的 研 究 给 予 参 展 厂 家 和 研 究 开 发 人 员 不 少 价 值 非 凡 的 建 议 。 C h r i s t o p h e r   J .   R o m e o （ （ S e c u r i t y   J o u r n e y C E O ） 也 在 ） 也 在 R S A 期 间 发 表 了 演 讲 ， 基 于 网 络 安 全 行 业 给 了 开 发 人 员 期 间 发 表 了 演 讲 ， 基 于 网 络 安 全 行 业 给 了 开 发 人 员 1 0 条 重 要 的 条 重 要 的 建 议 。 建 议 。 C h r i s t o p h e r   J .   R o m e o 表 示 他 的 建 议 适 用 于 应 用 安 全 程 序 开 发 者 ， 厂 家 中 层 主 管 人 表 示 他 的 建 议 适 用 于 应 用 安 全 程 序 开 发 者 ， 厂 家 中 层 主 管 人 员 和 高 管 人 员 员 和 高 管 人 员 。 在 演 讲 最 初 ， 他 表 示 对 于 研 究 人 员 而 言 开 发 应 用 安 全 程 序 的 根 本 目 标 并 不 是 “ 零 漏 洞 ” ， 因 为 “ 零 漏 洞 ” 是 不 可 能 实 现 的 。 首 先 开 发 人 员 应 该 把 目 标 定 为 更 快 地 修 复 系 统 漏 洞 以 及 尽 可 能 地 发 现 更 多 漏 洞 信 息 。 同 时 ， 相 关 安 全 厂 家 也 不 要 将 所 有 安 全 问 题 归 咎 于 开 发 人 员 ， 而 是 应 该 从 可 衡 量 的 角 度 出 发 尽 可 能 以 改 善 组 织 结 构 来 提 升 安 全 状 况 。 随 后 ， 他 还 对   “ 哪 些 人 应 该 对 安 全 负 责 ”   进 行 了 数 据 调 查 和 分 析 ， 数 据 调 查 结 果 如 下 图 所 示 ， 有 有 8 1 % 也 就 是 大 部 分 的 受 调 查 者 认 为 安 全 责 任 还 是 应 该 由 开 发 者 承 担 ， 也 就 是 大 部 分 的 受 调 查 者 认 为 安 全 责 任 还 是 应 该 由 开 发 者 承 担 ， 只 有 只 有 2 1 % 的 受 调 查 者 认 为 责 任 应 该 由 整 体 团 队 组 织 负 责 。 的 受 调 查 者 认 为 责 任 应 该 由 整 体 团 队 组 织 负 责 。   R o m e o 认 为 这 个 数 据 表 示 了 大 部 分 的 人 依 旧 还 是 没 有 把 安 全 责 任 从 单 一 的 开 发 人 员 上 转 移 到 团 队 中 去 ， 这 表 示 开 发 人 员 面 临 着 巨 大 压 力 。 同 时 ， 在 整 体 数 据 调 查 过 程 中 ， 只 有 十 分 之 三 的 程 序 维 护 人 员 认 为 自 己 具 有 高 安 十 分 之 三 的 程 序 维 护 人 员 认 为 自 己 具 有 高 安 全 性 知 识 全 性 知 识 ， 他 认 为 这 个 数 据 潜 在 巨 大 安 全 风 险 ， 即 使 开 发 者 尽 力 做 好 了 安 全 产 品 开 发 ， 后 期 维 护 人 员 的 安 全 意 识 缺 失 也 会 大 大 降 低 产 品 安 全 系 数 。 此 外 ， R o m e o 还 阐 述 了 安 全 开 发 人 员 目 前 面 临 的 两 大 难 题 ， 首 先 是 有 调 查 数 据 表 示 有 8 3 % 开 发 人 员 担 心 开 发 人 员 担 心 他 们 使 用 的 开 放 源 代 码 是 不 安 全 的 他 们 使 用 的 开 放 源 代 码 是 不 安 全 的 。 其 次 ， 几 乎 所 有 的 开 发 人 员 都 知 道 ， 安 全 固 然 重 要 ， 但 是 他 们 可 以 分 配 的 时 间 很 有 限 ， 4 8 % 的 开 发 人 员 表 示 他 们 没 有 足 够 时 间 的 开 发 人 员 表 示 他 们 没 有 足 够 时 间 花 费 在 系 统 安 全 运 营 上 。 花 费 在 系 统 安 全 运 营 上 。
开 发 人 员 都 需 要 知 道 的 开 发 人 员 都 需 要 知 道 的 1 0 件 事 件 事 每 个 人 都 是 安 全 人 员 ， 安 全 需 求 无 处 不 在 每 个 人 都 是 安 全 人 员 ， 安 全 需 求 无 处 不 在 在 网 安 行 业 内 ， 安 全 系 统 研 发 和 维 护 都 是 依 托 于 安 全 人 员 的 基 础 上 ， 以 组 织 安 全 文 化 脉 搏 为 例 ， 需 要 对 安 全 卫 士 观 点 进 行 收 集 ， 对 技 术 领 域 进 行 回 顾 并 找 出 薄 弱 环 节 。 在 组 织 安 全 层 面 ， 安 全 人 员 应 该 进 行 公 开 交 流 ， 简 化 方 法 、 语 言 和 框 架 的 选 择 ， 并 提 供 足 够 的 安 全 指 导 。 安 全 是 盟 友 ， 而 不 是 对 手 安 全 是 盟 友 ， 而 不 是 对 手 安 全 人 员 应 该 意 识 到 他 们 责 任 不 在 于 隐 藏 漏 洞 ， 而 是 需 要 制 定 安 全 计 划 和 安 全 形 成 紧 密 的 关 系 ， 更 有 助 于 达 成 有 价 值 的 合 作 关 系 。 与 此 同 时 ， 安 全 团 队 和 安 全 人 员 的 成 功 是 紧 密 联 系 在 一 起 的 ， 因 此 在 公 司 层 面 应 该 制 定 相 对 应 核 心 安 全 文 化 ， 可 以 引 起 开 发 人 员 的 共 鸣 ， 同 时 公 司 应 该 为 开 发 人 员 提 供 安 全 培 训 ， 以 提 高 开 发 人 员 安 全 开 发 的 能 力 。 不 可 能 有 永 远 安 全 的 系 统 不 可 能 有 永 远 安 全 的 系 统   要 采 取 要 采 取 风 险 风 险 防 范 的 措 施 防 范 的 措 施 R o m e o 表 示 ， 在 制 定 风 险 防 范 措 施 时 ， 需 要 管 理 者 考 虑 您 的 组 织 是 如 何 描 述 安 全 性 的 ， 如 何 看 待 安 全 性 的 。 并 且 ， 重 点 是 确 定 是 否 存 在 基 于 当 前 风 险 的 防 范 方 法 。 O W A S P 工 具 是 安 全 资 源 的 宝 库 工 具 是 安 全 资 源 的 宝 库
在 演 讲 中 ， R o m o e 介 绍 了 O W A S P 工 具 的 重 要 性 。 同 时 他 表 示 在 这 个 建 议 中 ， 安 全 人 员 最 先 要 做 的 是 验 证 O W A S P 资 源 是 否 已 经 包 含 在 已 有 的 应 用 安 全 程 序 中 。 随 后 他 介 绍 了 1 0 个 比 较 好 用 的 Q W A S P 工 具 ， 同 时 提 醒 安 全 人 员 应 该 集 成 Z A P 和 进 行 依 赖 项 检 查 。 第 三 方 开 源 漏 洞 信 息 非 常 猖 獗 第 三 方 开 源 漏 洞 信 息 非 常 猖 獗 根 据 2 0 1 9 年 国 家 软 件 供 应 链 S o n a t y p e 和 N P M 未 来 的 J a v a S c r i p t 主 题 报 告 显 示 ， 使 用 v u l n s 下 载 J a v a 组 件 占 比 : 6 . 1 % ( 2 0 1 5 ) 、 5 . 5 % ( 2 0 1 6 ) 、 1 2 . 1 % ( 2 0 1 7 ) 和 1 0 . 3 %   ( 2 0 1 8 ) 与 此 同 时 在 2 0 1 8 年 下 载 的 n p m 模 块 中 有 1 1 % 拥 有 关 键 v u l n s ( 5 1 % 拥 有 v u l n s ) ， 这 表 明 第 三 方 开 源 漏 洞 数 值 占 比 还 是 比 较 高 的 。 对 此 ， R o m e o 建 议 在 分 析 处 理 第 三 方 和 开 源 软 件 的 过 程 中 ， 安 全 组 织 首 先 应 该 确 认 开 发 人 员 在 编 写 代 码 和 构 建 管 道 时 使 用 的 工 具 集 是 否 具 有 安 全 性 。 安 全 系 统 的 开 发 是 具 有 生 命 周 期 的 安 全 系 统 的 开 发 是 具 有 生 命 周 期 的 R o m e o 表 示 ， 安 全 系 统 的 开 发 是 具 有 生 命 周 期 的 ， 因 此 他 建 议 开 发 人 员 先 分 析 安 全 系 统 的 开 发 生 命 周 期 ， 一 个 正 确 的 开 头 是 非 常 重 要 的 。 安 全 公 司 可 以 调 查 并 提 供 安 全 可 见 性 工 具 ， 同 时 在 系 统 生 产 中 进 行 防 御 。 没 有 集 成 的 安 全 性 没 有 集 成 的 安 全 性       就 不 可 能 有 真 正 的 就 不 可 能 有 真 正 的 D e v O p s R o m e o 表 示 ， 对 此 安 全 开 发 人 员 应 该 考 虑 到 D e v O p s 管 道 的 不 同 阶 段 ， 并 分 析 每 个 步 骤 的 安 全 性 集 成 ， 这 一 点 是 非 常 重 要 的 。 与 此 同 时 ， 开 发 团 队 应 该 添 加 额 外 的 工 具 和 自 动 化 来 增 强 系 统 安 全 性 。 秘 密 不 应 该 存 在 于 源 代 码 控 制 系 统 中 秘 密 不 应 该 存 在 于 源 代 码 控 制 系 统 中 对 于 这 一 点 建 议 ， R o m e o 表 示 安 全 开 发 人 员 应 该 了 解 在 源 代 码 控 制 中 保 守 秘 密 和 密 钥 的 必 要 性 ， 不 能 将 密 码 存 在 于 源 代 码 控 制 系 统 中 ， 同 时 安 全 人 员 应 在 代 码 提 交 时 自 动 执 行 秘 密 嗅 探 工 具 对 此 进 行 检 测 。 D o c k e r 和 和 K u b e r n e t e s 并 不 是 安 全 产 品 并 不 是 安 全 产 品 对 此 ， 首 先 公 司 应 该 先 确 定 开 发 人 员 在 体 系 结 构 中 对 D o c k e r 和 K u b e r n e t e s 的 依 赖 程 度 ， 然 后 安 全 组 织 应 该 对 D o c k e r 和 K u b e r n e t e s 巨 大 的 安 全 邻 近 特 性 进 行 分 析 ， 并 且 将 信 息 传 达 给 安 全 人 员 。 需 要 熟 悉 下 一 代 需 要 熟 悉 下 一 代 A p p S e c 的 战 术 使 用 的 战 术 使 用
R o m e o 将 A p p S e c 战 术 包 含 ： R A S P 运 行 时 应 用 程 序 进 行 自 我 保 护 ， I A S T 使 用 交 互 应 用 程 序 进 行 安 全 测 试 ， S C A 软 件 组 合 分 析 和 C W P P C l o u d 工 作 负 载 保 护 平 台 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 干 货   |   R S A C   主 题 演 讲 简 介 （ 下 ） R S A C 专 家 分 享 ： 欧 洲 网 络 安 全 法 案 分 析 及 其 对 厂 家 的 影 响 前 瞻 ｜ 2 0 2 0   R S A   C o n f e r e n c e ： 网 络 安 全 的 根 本 是 人 在 保 护 人 美 国 V o a t z 选 举 投 票 应 用 发 现 漏 洞       可 能 更 改 或 暴 露 选 民 投 票 方 式 美 国 国 防 部 新 网 安 标 准 二 ： 网 安 成 熟 度 等 级 划 分 和 新 增 变 化 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理