224王建強-貨運場景下的SDL實踐（17頁）.pdf

《224王建強-貨運場景下的SDL實踐（17頁）.pdf》由會員分享，可在線閱讀，更多相關《224王建強-貨運場景下的SDL實踐（17頁）.pdf（17頁珍藏版）》請在三個皮匠報告上搜索。

1、王建強王建強/網絡安全負責人網絡安全負責人/貨拉拉貨拉拉2020 年入職貨拉拉，負責網絡安全建設，主要負責多云環境下的網絡側威脅感知、加固、防護，以及安全能力左移，安全基礎能力建設等。演講主題：貨運場景下的演講主題：貨運場景下的SDL實踐實踐貨運場景下的 SDL 實踐貨拉拉-網絡安全負責人-王建強TOC關于我SDL 是什么？為什么要搞 SDL？SDL 如何從 0 到 1 落地？SDL 集合實際的場景SDL 效果一攬關于我1.2020 年加入貨拉拉，負責網絡安全建設。2.主要負責多云環境下的網絡側威脅感知、加固、防護，以及安全能力左移，安全基礎能力建設等。SDL 是什么？Security Dev

2、elopment Lifecycle（安全開發生命周期），是微軟提出的從安全角度指導軟件開發過程的管理模式,是一種專注于軟件開發安全保障的流程。SDL 的理念是在整個軟件開發生命周期的所有階段都加入安全管控，盡可能在更早期發現應用安全風險，從而能有效管控應用漏洞，降低安全治理成本。為什么要搞 SDL？01 SDL以“安全左移”為理念、以“安全融入軟件開發”為核心，目的是幫助企業發現安全問題，提升安全質量，降低安全成本，保護企業和用戶資產。02在軟件開發各階段中更多地引入針對項目安全和用戶隱私問題的解決方案，最終保證各個系統和 App 用戶的安全。03通過在軟件開發的生命周期中融入安全相關的流程

3、規范，建立一套安全風險防范發現機制，從而將安全風險降到最低，安全漏洞減到最少。SDL 左移理念安全“左移”理念指的是：在軟件開發生命周期中嵌入安全動作，更早地發現并解決安全漏洞問題，那么對安全成本和安全風險來說都是最有利的。SDL 如何從 0 到 1 落地?安全培訓1.產研安全意識培訓2.產研安全基礎培訓 3.SDL 流程培訓需求階段1.在需求階段規范產品業務等，提前識別需要規避的安全風險 系統設計階段1.技術方案攻擊面分析，威脅建模 2.設計缺陷及時整改3.安全準出1.提供公司所有在用語言編碼規范，以及 IDE 插件等 2.自動化掃描代碼，在研發階段及時暴露問題以及修復1.自動黑盒測試，Fu

4、zzing 測試、以及人工測試2.攻擊面 Review,發現問題，及時修復系統設計研發階段 測試階段發布維護1.安全應急預案制定2.安全準出，高風險業務禁止上線，規避風險 SDL 從 0 到 1 風險問題歸類漏洞類風險01可直接獲取系統權限問題直接獲取移動客戶端權限問題對業務有影響的越權敏感操作問題可對業務造成較大資產損失的漏洞數據安全類風險02嚴重的C4、C3級別敏感信息泄漏或訪問問題各種密鑰等應硬編碼問題 安全合規及設計風險03直接導致影響核心系統業務穩定性或大范圍影響用戶問題對業務有影響的嚴重邏輯設計缺陷和流程缺陷直接可造成公司大額資損的問題、公司業務持續性的合規問題SDL 從 0 到

5、1 落地節奏2按業務實際場景，調整優化各個環節，風險驅動3盡可能自動化所有環節，自動化驅動1先搭框架，每個環節先具備能力，事件或者問題驅動SDL 集合實際的場景 業務需求：需要一個短鏈系統，來實現短信等運營。1.分布式結構 2.使用 zookeeper 分配機器以及數量范圍3.使用負載均衡4.使用 RDS 5.使用分布式緩存加速訪問 Contd實現方案SDL 結論SDL 關切點 設計功能點MySQL 查詢等是否存在 DoS 風險？MySQL 賬號密碼是否最小化授權？MySQL 賬號密碼是否硬編碼或者在本地環境變量中？存入 MySQL 2需要持久化Redis 配置是否做過加固？緩存擊穿是否有會對

6、系統有 DoS 風險？賬號密碼 存入 MySQL 3需要使用緩存加速是否確認存在水平越權？管理賬號是否有雙因素？是否有內容準入，比如非公司域名，禁止轉換 賬號綁定4管控需要做賬號隔離 轉換過需要做防止遍歷措施 程不可逆Base62 轉換1短鏈接需要足夠短Contd設計階段1.流量評估，URL 長度考慮，數據存儲模型 2.SDL:是否有防止遍歷的機制？實現階段1.實現技術棧選型，編碼實現規范 2.SDL：代碼掃描，使用框架（包含開源）是否有已知漏洞？密鑰是否硬編碼，或者在環境變量上線運營階段1.SDL:及時卡點，存在問題禁止上線，上線準入，需要具備 Web 防護能力。測試階段1.測試環境被動掃描

7、,是否有通用 Web 漏洞，以及信息泄露2.是否有水平越權，以及被 DoS 的風險01020304貨拉拉 SDL 效果一攬漏洞外部曝光比例降低65%外部上報漏洞占比全部漏洞的比例降低漏洞復發率降低 30%已知漏洞再次發生的占比降低 SDL 召回率 85%(漏洞總數-外曝漏洞數)/漏洞總數 回顧總結安全培訓階段安全培訓到位需求階段需求提出方需要及時對安全問題進行方案的修改實現前規避風險系統設計階段需求提出者、系統設計者需要識別需求、設計方案是否存在安全問題研發階段高危以上安全問題修復完成后，研發方才可發起提測需求實現后安全驗收測試階段高危以上安全問題修復完成后，測試方才可發布測試報告上線后應急響應閉環上線運營階段高危以上安全問題修復完成后或安全評估緩解防護措施可以兜底，發布方才可發布發布計劃，執行發布漏洞需按照漏洞管理規定時間完成修復 實現中降低風險