軟體安全建設【學習筆記】

0x00 背景

         學習研讀了釘釘安全白皮書，将一些關鍵點記錄如下：

0x01 全鍊路安全防護

1、用戶端安全

應用完整性

    重新編譯

    加殼保護

    修改指令調用順序

 環境可信性

    模拟器運作檢測

    越獄和 ROOT 檢測

    終端程序注入檢測

    提供應用沙箱環境

    病毒檢測

資料機密性

    安全加密

    安全沙箱

    安全簽名

賬号安全風控

    阿裡巴巴自建的賬号安全風控體系

        賬号和裝置風險、異常行為

    其他擴充的賬号安全控制措施

        雙因子驗證(2FA)、生物特征識别、同僚關系識别

2、傳輸安全

基于 SSL/TLS 協定的私有安全通信協定 LWS

    釘釘端到端的通信鍊路加密、簽名，防止竊聽、篡改

3、服務端安全

    應用安全

        安全開發生命周期管理體系

            人員教育訓練

            安全需求

            安全開發

            安全測試

            項目釋出

            安全營運與應急響應階段

    資料庫安全

        資料庫管理平台 iDB

            資料庫統一認證、權限管理、資料變更、庫表同步以及操作安全稽核

         CloudDBA

            系統化、專業化的資料庫診斷優化能力

    中間件安全

        分布式權限系統進行身份識别和通路控制

4、 基礎設施安全

實體安全

    電子計算機機房設計規範》（GB50174）、《電信專用房屋設計規範（YD5003-2014）

    人員進出機房通路登記

    實體監控巡檢層面

    線上業務定時自動巡檢和定期人工檢查,有效發現異常報警資訊

    實體安全指引和操作安全管理規程

網絡安全

    異常流量清洗平台監測管控

    不同安全區域

        嚴格的通路控制和路由政策

        流量分光鏡像和 flow 采樣

            流量DPI/DFI 分析和監控

主機安全

    管控機制

        剪裁不必要的服務、最小化開啟業務所需的服務和端口

    通路管理

        事前預警機制

             SSO 內建 AD 域和阿裡安全用戶端的 OTP 實作主機登入雙因素驗證鑒權

            網絡層通路控制政策和虛拟安全通路組實作基于 IP 位址和端口的安全控制

            自動化的通路控制政策 review 工具每天檢查政策合規情況

        事中檢測機制

            主機部署入侵檢測 agent

            堡壘機的運維監控以及目标主機日志審計

            鏡像漏洞掃描工具直接掃描軟體倉庫

            基線掃描工具

             APT 對抗

                自研 agent 覆寫辦公終端和生産伺服器等服務深度內建

        事後響應機制

            安全算法模型，計算釘釘業務雲、管、端的異常行為分布以及入侵特征

            漏洞一鍵止血、未知漏洞快速響應、惡意檔案雲端清除、

系統更新檔使用 ksplice 實作快速灰階驗證和更新

5、資料安全

     DSMM 的各項安全要求

     資料産生

        按照資料類型、敏感程度、資料價值等相關屬性明确資料分類分級标準

        所有資料按照政策規範要求實施分類管控、分級授權

    資料傳輸

        面向網際網路

            接入統一應用網關

                 TLS 加密以及證書統一管理

        面向内部

            統一接入加密機

                加密機 API 實作不同應用的簽名、認證和加密

    資料使用

        釘釘前端應用層面

            涉敏頁面全部數字水印處理

        服務端應用層面

            統一接入權限管理系統

                詳細說明

        資料庫操作層面

            增删改查的操作指令全程監控，記錄檔集中存儲，操作流量實時分析

    資料存儲

        對稱密鑰算法 AES-256-GCM 實施整庫加密保護

        根據使用者可信裝置資訊生成唯一的密鑰

        可按需設定使用者聊天資訊自動銷毀

        服務端每個應用采用獨立密鑰，每個企業密鑰各不相同，硬體加密系統統一管理

    資料共享

        對外資料開放共享

            保護使用者隐私

            必要性和最小化

            合規性

    資料銷毀

        存儲媒體出資料中心遵照 DoD 5220.22-M、NIST 800-88 标準

        清除資料、磁盤消磁以及實體銷毀

    資料安全審計

        全鍊路風險檢測感覺體系

            語境分析、行為過濾和專家營運，實時檢測

            異常資料通路記錄。如登入失敗、權限更新、非法通路、敏感資料下載下傳

6、安全營運

反入侵

    大資料安全分析平台

        終端行為日志、網絡安全日志、系統運作及入侵檢測日志、WAF 防護日志以及網絡流量、基線檢查等資訊

        模式比對、沙盒分析、機器學習、專家經驗等規則

    異常流量清洗平台

        一鍵處置，保障業務系統的安全性和客戶資料的隐私性

紅藍對抗

    計劃性進行滲透測試工作

    攻防演練平台

        内置曆史攻擊資料、漏洞庫、基礎資産資訊和專家經驗

    安全衆測

        定期邀請 ASRC 白帽子開展

應急響應

    安全事件應急管理平台

        在安全事件發現階段

             OpenAPI 與黑白盒掃描産品以及威脅情報系統、ASRC 等平台打通

        安全事件處置階段

            安全應急響應專家 7x24 小時實時響應

            已知類型安全事件

            未知類型安全事件

        安全事件溯源階段

            按需收集受影響的業務端、管、雲的活動日志

            全面還原安全事件發生過程

            針對性的整改加強

            如有需要，配合公檢法部門進行立案處理

        安全事件複盤階段

            定期組織人員進行複盤，總結分析事件根本原因

            針對性提升事前管控、事中檢測機制和流程

0x02 安全合規

1、體系建設

依據标準

    《中華人民共和國網絡安全法》

     ISO27001、ISO27018、PCIDSS、SOC 2/3、GDPR、TrustE 以及資訊安全等級保護等國内外标準和最佳實踐

十四個控制域的安全體系

    規範的四級文檔架構和可配置的度量體系

    安全流程基本實作線上化，過程資料名額化，營運度量平台化

2、擁抱監管

資訊安全等級保護：三級

ISO27001:2013 資訊安全管理體系

    資訊安全管理體系（ISMS）

    産品研發、業務營運、安全保障、營銷推廣等全生命周期

    每一位“責任人”按照明确的“規範”、遵守标準的“流程”并輸出有效的過程“記錄表單”

ISO/IEC27018:2014雲端隐私保護标準

    資料收集、使用、存儲等必須獲得使用者授權

    使用者對其存儲的資料具備完全的控制權和合理的透明度

SOCⅡ安全審計報告

    Report on System and Organization Controls

    報告的内容架構和格式由美國注冊會計師協會（AICPA）制定

    企業安全性、過程完整性、可用性、保密性和隐私性相關的服務控制

3、内控審計

    安全管理工作的合理性、安全控制措施的有效性

        安全合規團隊

            定量和定性的風險評估和安全審計

4、廉正合規

    日常業務開展過程

        《商業行為準則》、《員工紀律制度》、《安全紅線》等安全規章制度

        發現洩露使用者隐私、惡意篡改使用者資料、非授權執行違規操作等異常行為

        視情況給予處罰，嚴重情況下予以辭退處分，并永不錄用

0x03 生态安全

1、生态閉環

一體化解決方案

    安全端容器、私有安全加密通道、安全雲容器

應用市場

    專項治理和持續監測審計

2、安全賦能

    第三方應用上線稽核流程及标準

         ISV 準入要求以及 PHP、JAVA、H5 等安全開發規範

        第三方 ISV 以及企業開發者建立和培養安全梯隊

3、應用監管

微應用在應用市場上線前

    開發者需送出安全測試報告

        釘釘安全專家稽核并驗收通過

微應用上架後

    授權釘釘安全專家進行安全評估

        符合規範要求的微應用将在釘釘應用市場

        獲得安全認證的标簽

對第三方開發者上線的微應用

    應用市場異常監控和安全掃描

前文思維導圖

下載下傳連結

歡迎大家分享更好的思路，熱切期待^^_^^ !