课程背景
公司运用系统承载核心业务、资料处理和对外服务，已成为网络攻击、资料泄露和业务隐患的要害入口。传统安全事务往往集中在上线前测试或者上线后处置，容易出现安全要求前置不足、开发进程管控薄弱、漏洞修复闭环不完整、运行监测和应急响应脱节等等问题。
运用安全需要贯穿诉求、规划、开发、测试、发布、营运和应急全进程。只有将安全要求嵌入研发流程，将漏洞治理接入变更发布，将运行监测联动应急处置，才能形成可管控、可追踪、可改进的运用安全生命周期。
本课围绕运用安全生命周期流程管控展开，重点解说安全开发、上线准入、运行监测、漏洞应急和上手复盘等等内容，支援参训者构筑从开发到营运的运用安全管控轮廓。
课程收益
●
领会运用安全生命周期和
DevSecOps轮廓，掌握云原生架构下的开发流程变化，认识开源软件隐患并构筑开源治理的基本办法，将安全要求前置到研发进程
●
掌握开发进程安全管控要点，包括安全漏洞识别、安全提测要求、测试流程规划、
CVSS漏洞定级准则以及分级修复时间要求，形成可执行的开发安全规范
● 弄懂货品架构安全的核心办法，包括安全左移理念、系统三层架构（基础设施、平台、运用）的安全问题识别，以及安全评审红线的实践实例和查验要点
●
掌握
DAST动态测试和SAST静态测试等等常见漏洞扫描抓手的原理、采用办法和结果拆解，能够根据扫描报告准确判断漏洞隐患等级并指导开发队伍完成修复
● 弄懂运行阶段安全营运和常态化监测制度，掌握攻防上手防守方事务要求，能够拟定应急响应预案并促成应急闭环，形成监测、处置、复盘、改进的持续营运本领
课程大纲
首讲：
运用安全生命周期和
DevSecOps
一，认识
DevSecOps
1. Gartner首次提出“DevOpsSec”概念
2. RSA年度大会DevSecOps延展
二，
DevSecOps生命周期
1. 规划阶段
2. 开发阶段
3. 构筑阶段
4. 测试阶段
5. 发布阶段
6. 交付阶段
7. 部署阶段
8. 操作阶段
9. 监控阶段
——各个阶段形成自动化路径
三，云原生架构中的开发流程
云原生：
云原生
“Cloud Native”是一种构筑和运行运用程序的办法，是一套技艺架构和办法论
1. 云原生重塑软件开发和流程
2. 云原生的安全挑战
3. 云原生供给链安全实践
四、开源软件安全
开源软件：
一般免费提供，可供任何人采用、查验、修改和重新分发
1. 开源软件现况
2. 开源软件的隐患和挑战
——为何要做开源软件安全监测？
实例：
国内某银行
CMS 0day漏洞被发现，黑客将控标的业务系统
3. 开源软件、开源组件采用管控和开发测试流程
4. 开源治理轮廓
1）开源资产的梳理
2）开源软件采用和管控
3）漏洞跟踪
4）隐患管控
5）开源软件的退出管控
次讲：开发进程安全管控
一、安全漏洞
重点关注
4个方面
1. 开源组件
2. 静态代码扫描
3. 自动化测试
4. 人工代码审核
二，安全测试
1. 安全提测要求
提交：
根据《本公司货品和资讯系统安全提测作业规范》要求开展提测前准备
2. 安全测试流程
1）白盒安全测试专项
2）开源组件扫描
3）重点货品人工代码审计
3. 安全测试用例
——规划被测货品或者运用测试用例
三、漏洞定级
1. 定级准则：CVSS（Common Vulnerability Scoring System，通用评核漏洞办法）
2. 实际定级
1）严重
2）高危
3）中危
4）低危
四，漏洞修复
时间要求：
针对不同途径，发现的不同级别漏洞都有对应修复时间要求
五、安全开发指南
1. 开发安全规划
2. 开发环境安全
3. 开发组件安全
4. 编码安全规范
5. 安全编译
6. 代码保护
三讲：货品架构安全
一、开发安全左移
1. 安全和软件质量现象一致
1）85%的缺陷都是在开发人员编码时引入
2）当下大多缺陷都是在测试阶段发现
3）缺陷的修复事务越往后成本越大
2. 货品安全漏洞的生产源
1）架构规划缺陷
2）编码忽视安全
3）配置发生错误
二、构筑安全红线
——系统架构拆解：
1. 基础设施层安全问题
1）容器漏洞
2）云平台漏洞
2. 平台层安全问题
1）pg CVE-2019-9193漏洞
2）/api/v1/ssid未放权访问
3. 运用软件层安全问题
——硬编码SSH私钥导致的凭据泄露漏洞
三、安全评审实践（红线实例拆解）
红线
1：开源组件选型时，选项采用SCE开展扫描，确保无高危、超危漏洞
红线
2：未放权接口中，当存在高危操作时，未添加有效保护制度，并且保护制度中未考虑防篡改、防伪造
高危操作类型：
免密登录，
HA同步、配置导入或者配置还原等等功能
红线
3：业务运用日志未记录，或者将未脱敏的敏感资讯记录日志中
四讲：常见漏洞扫描抓手
一、
DAST动态运用程序安全测试（黑盒测试）
原理：
能够探测整个正在运行的运用程序、
API或者WEB环境并检
查不安全行为
1. 常见黑盒扫描抓手
1）AWVS
2）NESSUS
3）APPScan
4）NSFOCUS RSAS
5）Xray
6）BurpSuite
2. 扫描结果拆解
实例：
BurpSuite结果拆解
二、
SAST静态运用安全测试（白盒测试）
原理：
拆解源代码发现安全问题
1. 常见抓手
1）Seay
2）Rips
3）Kunlun-M
4）Semgrep
5）fortify
6）Coverity
7）代码卫士
8）CodeQL
2. 扫描结果拆解
实例：
代码卫士扫描结果拆解
五讲：运行阶段安全营运和常态化监测
一、
IT新形势以及攻防对抗趋势
1. 数智化转型下的IT技艺变革
2. 2023HW攻击手段以及攻击路径
3. 国家HW攻击手段的演变趋势
4. 常态化演习的攻击手段
——社工-运用系统漏洞-集权系统Nday-0day
5. 银行/证券在攻防演习中成绩较好的原因
1）良好的网络隔离架构
2）专精的一线营运队伍
3）安全左移，拉升内生安全
二、安全营运的意义
1. 网络安全的本质：动态的、面向进程的人和人之间的对抗
2. 纵深防御架构和滑动标尺模型
三、安全营运内容
1. 安全营运的参考准则
1）《金融网络安全 网络安全营运中心建设指南》
2）“平战融合”安全营运轮廓
抓手：
SMART模型
2. 安全营运流程/制度建设
3. 营运指标管控
1）资产纳管率
2）资产安全覆盖率
3）漏洞平均发现周期
4）病毒感染率
5）安全经过平均响应时间
4. 营运动作准则化——形成各类SOP
第六讲：攻防上手、重保服务和应急闭环
一、攻防演习要害点收束
1. 国家级攻防演习来由
2. 国家级攻防演习历程
3. 过往演习经典战法
1）0day漏洞利用拿下标的系统
2）API攻击导致资料泄露
3）供给链攻击导致代码泄露
二、演习防守方的事务要求
1. 高层促成和重视
2. 安全协同，持续对抗
3. 平战融合，持续安全运行
——演习前的准备事务：七大差事拆解
差事
1：互联网暴露面防护
差事
2：安全隐患排查和加固
差事
3：办公职场安全
差事
4：社会工程学防范
差事
5 ：供给链隐患排查
差事
6：应急响应预案
差事
7：云安全隐患排查
差事
8：集权类隐患排查
差事
9：资料安全隐患排查
课程收束：
本课以运用安全生命周期为主线，将开发安全，测试准入、运行监测和应急闭环贯穿起来，支援参训者领会运用安全不是单一测试动作，而是一套覆盖研发、交付、营运全进程的流程管将控度。
借助课程研习，参训者应能够从业务诉求、架构规划、代码开发、组件选型、安全测试、上线发布、漏洞治理，运行监测、应急处置和复盘改进等等环节识别要害将控点，促成安全要求前置、安全测试嵌入、安全营运联动和安全问题闭环。
课后作业：
写一篇关于
HW技战法，从实践看，在真实对抗环境中怎样借助已有的技艺手段，增强架构防御本领
老师简介
Introduction to lecturers
弄懂更多
博闻智咨询|张振中老师
适合谁听
研发管人人员、项目经理、开发人员、测试人员、运维人员、安全管人人员。建议同一家企业 3 人以上同来，课堂上直接改造本企业的实际问题——单人参加也能学到方法，但带不走可用的成果。
交付流程
课前：顾问访谈 2 位管理者，收集现状与问题清单，讲师据此调整案例。课中：讲授与演练各占一半，产出可直接用的工具与方案。课后：7 天内提交改进建议，30 天内一次线上答疑。