从开发到运营：应用安全生命周期流程管控

第 一讲：运用安全生命周期和DevSecOps

一，认识DevSecOps

1. Gartner首次提出“DevOpsSec”概念

2. RSA年度大会DevSecOps延展

二，DevSecOps生命周期

1. 规划阶段

2. 开发阶段

3. 构筑阶段

4. 测试阶段

5. 发布阶段

6. 交付阶段

7. 部署阶段

8. 操作阶段

9. 监控阶段

——各个阶段形成自动化路径

三，云原生架构中的开发流程

云原生：云原生“Cloud Native”是一种构筑和运行运用程序的办法，是一套技艺架构和办法论

1. 云原生重塑软件开发和流程

2. 云原生的安全挑战

3. 云原生供给链安全实践

四、开源软件安全

开源软件：一般免费提供，可供任何人采用、查验、修改和重新分发

1. 开源软件现况

2. 开源软件的隐患和挑战

——为何要做开源软件安全监测？

实例：国内某银行CMS 0day漏洞被发现，黑客将控标的业务系统

3. 开源软件、开源组件采用管控和开发测试流程

4. 开源治理轮廓

1）开源资产的梳理

2）开源软件采用和管控

3）漏洞跟踪

4）隐患管控

5）开源软件的退出管控

次讲：开发进程安全管控

一、安全漏洞

重点关注4个方面

1. 开源组件

2. 静态代码扫描

3. 自动化测试

4. 人工代码审核

二，安全测试

1. 安全提测要求

提交：根据《本公司货品和资讯系统安全提测作业规范》要求开展提测前准备

2. 安全测试流程

1）白盒安全测试专项

2）开源组件扫描

3）重点货品人工代码审计

3. 安全测试用例

——规划被测货品或者运用测试用例

三、漏洞定级

1. 定级准则：CVSS（Common Vulnerability Scoring System，通用评核漏洞办法）

2. 实际定级

1）严重

2）高危

3）中危

4）低危

四，漏洞修复

时间要求：针对不同途径，发现的不同级别漏洞都有对应修复时间要求

五、安全开发指南

1. 开发安全规划

2. 开发环境安全

3. 开发组件安全

4. 编码安全规范

5. 安全编译

6. 代码保护

三讲：货品架构安全

一、开发安全左移

1. 安全和软件质量现象一致

1）85%的缺陷都是在开发人员编码时引入

2）当下大多缺陷都是在测试阶段发现

3）缺陷的修复事务越往后成本越大

2. 货品安全漏洞的生产源

1）架构规划缺陷

2）编码忽视安全

3）配置发生错误

二、构筑安全红线

——系统架构拆解：

1. 基础设施层安全问题

1）容器漏洞

2）云平台漏洞

2. 平台层安全问题

1）pg CVE-2019-9193漏洞

2）/api/v1/ssid未放权访问

3. 运用软件层安全问题

——硬编码SSH私钥导致的凭据泄露漏洞

三、安全评审实践（红线实例拆解）

红线1：开源组件选型时，选项采用SCE开展扫描，确保无高危、超危漏洞

红线2：未放权接口中，当存在高危操作时，未添加有效保护制度，并且保护制度中未考虑防篡改、防伪造

高危操作类型：免密登录，HA同步、配置导入或者配置还原等等功能

红线3：业务运用日志未记录，或者将未脱敏的敏感资讯记录日志中

四讲：常见漏洞扫描抓手

一、DAST动态运用程序安全测试（黑盒测试）

原理：能够探测整个正在运行的运用程序、API或者WEB环境并查验不安全行为

1. 常见黑盒扫描抓手

1）AWVS

2）NESSUS

3）APPScan

4）NSFOCUS RSAS

5）Xray

6）BurpSuite

2. 扫描结果拆解

实例：BurpSuite结果拆解

二、SAST静态运用安全测试（白盒测试）

原理：拆解源代码发现安全问题

1. 常见抓手

1）Seay

2）Rips

3）Kunlun-M

4）Semgrep

5）fortify

6）Coverity

7）代码卫士

8）CodeQL

2. 扫描结果拆解

实例：代码卫士扫描结果拆解

五讲：运行阶段安全营运和常态化监测

一、IT新形势以及攻防对抗趋势

1. 数智化转型下的IT技艺变革

2. 2023HW攻击手段以及攻击路径

3. 国家HW攻击手段的演变趋势

4. 常态化演习的攻击手段

——社工-运用系统漏洞-集权系统Nday-0day

5. 银行/证券在攻防演习中成绩较好的原因

1）良好的网络隔离架构

2）专精的一线营运队伍

3）安全左移，拉升内生安全

二、安全营运的意义

1. 网络安全的本质：动态的、面向进程的人和人之间的对抗

2. 纵深防御架构和滑动标尺模型

三、安全营运内容

1. 安全营运的参考准则

1）《金融网络安全 网络安全营运中心建设指南》

2）“平战融合”安全营运轮廓

抓手：SMART模型

2. 安全营运流程/制度建设

3. 营运指标管控

1）资产纳管率

2）资产安全覆盖率

3）漏洞平均发现周期

4）病毒感染率

5）安全经过平均响应时间

4. 营运动作准则化——形成各类SOP

第六讲：攻防上手、重保服务和应急闭环

一、攻防演习要害点收束

1. 国 家 级攻防演习来由

2. 国 家 级攻防演习历程

3. 过往演习经典战法

1）0day漏洞利用拿下标的系统

2）API攻击导致资料泄露

3）供给链攻击导致代码泄露

二、演习防守方的事务要求

1. 高层促成和重视

2. 安全协同，持续对抗

3. 平战融合，持续安全运行

——演习前的准备事务：七大差事拆解

差事1：互联网暴露面防护

差事2：安全隐患排查和加固

差事3：办公职场安全

差事4：社会工程学防范

差事5 ：供给链隐患排查

差事6：应急响应预案

差事7：云安全隐患排查

差事8：集权类隐患排查

差事9：资料安全隐患排查

课程收束：

本课以运用安全生命周期为主线，将开发安全，测试准入、运行监测和应急闭环贯穿起来，支援参训者领会运用安全不是单一测试动作，而是一套覆盖研发、交付、营运全进程的流程管将控度。

借助课程研习，参训者应能够从业务诉求、架构规划、代码开发、组件选型、安全测试、上线发布、漏洞治理，运行监测、应急处置和复盘改进等等环节识别要害将控点，促成安全要求前置、安全测试嵌入、安全营运联动和安全问题闭环。

课后作业：写一篇关于HW技战法，实操中，在真实对抗环境中怎样借助已有的技艺手段，增强架构防御本领

老师简介

Introduction to lecturers

弄懂更多

博闻智咨询|张振中老师