DevSecOps 並非只是在開發流程中新增安全工具或檢查清單，而是從根本上改變開發文化和流程，將安全性融入每個環節。這需要開發、安全和維運團隊緊密合作，分享安全責任，並持續改進安全實踐。從程式碼撰寫、測試、佈署到維運，每個階段都必須考慮安全性，並實施相應的安全控制措施，才能有效降低風險，構建更安全的應用程式。
DevSecOps ：整合安全性到軟體開發生命週期
DevSecOps 是一種實踐，旨在將安全性整合到軟體開發的每個階段，從程式碼建立到佈署和之後。這種方法確保安全性在每個階段都是首要考量，從而導致更安全、更可靠的應用程式。
簡單：開發和操作
DevSecOps 涵蓋了廣泛的主題，包括：
- 安全編碼實踐：學習如何撰寫能夠抵禦常見安全威脅（如 SQL 注入、跨站指令碼攻擊和緩衝區溢位）的程式碼。
- 威脅模型：學習如何識別應用程式中的潛在安全漏洞，並根據其影響和發生可能性進行優先排序。
- 安全測試：學習不同的安全測試型別（如滲透測試、漏洞掃描和程式碼審查），以及如何將其整合到 DevSecOps 工作流程中。
- 基礎設施安全：學習如何保護支援應用程式的基礎設施，包括伺服器、網路和資料函式庫。
- 合規性和法規：學習合規性要求和法規（如 GDPR、HIPAA 和 PCI-DSS），以及如何確保應用程式符合這些標準。
- 事件回應：學習如何快速有效地回應安全事件，將對組織和客戶的影響降至最低。
應用程式安全
應用程式安全（AppSec）威脅是指可能存在於軟體應用程式中的安全風險和漏洞。這些威脅可能源於各種來源，包括軟體錯誤、編碼錯誤、設計缺陷和不充分的安全控制。AppSec 威脅可能導致資料洩露、資訊竊取、財務損失、聲譽受損和法律責任。
為了應對 AppSec 威脅，已經開發了各種標準和框架。其中一些最重要的包括：
- OWASP 十大：開放網頁應用程式安全計畫（OWASP）十大是一份對網頁應用程式最關鍵的安全風險清單。它被廣泛用於軟體開發中。
- PCI DSS：支付卡產業資料安全標準（PCI DSS）是一套為保護信用卡資料而設計的安全標準。它要求商家和服務提供者實施各種安全控制，以防止未經授權的存取卡holder 資料。
- ISO 27001：國際標準化組織（ISO）27001 是一份資訊安全管理系統標準。它提供了一個框架，用於實施控制和流程，以保護敏感資訊，包括軟體應用程式。
- NIST 網路安全框架：國家標準與技術研究所（NIST）網路安全框架是一套，用於管理和降低網路安全風險。它提供了一個框架，用於組織識別、保護、偵測、回應和還原安全事件。
- BSIMM：構建安全性成熟度模型（BSIMM）是一個軟體安全框架，提供了一個衡量組織軟體安全計畫成熟度的指標。它識別了最佳實踐和基準，用於實施一個成功的軟體安全計畫。
- CSA：雲端安全聯盟（CSA）提供了安全雲端計算的。其雲端控制矩陣提供了一個框架，用於組織評估雲端的安全性。
預防 OWASP 十大漏洞的作弊表
| 型別 | 漏洞 | 規則/政策 |
|---|---|---|
| A1: 注入 | SQL 注入 | 使用預備陳述式和引數化查詢。清除輸入並驗證引數。 |
| A1: 注入 | NoSQL 注入 | 使用具有內建保護的引數化查詢。清除輸入並驗證引數。 |
網路安全威脅：瞭解並防禦
在網路安全領域中，各種攻擊手法層出不窮，對系統和使用者的安全構成重大威脅。瞭解這些威脅的特點和防禦方法是保護網路安全的關鍵。以下將介紹幾種常見的網路安全威脅及其防禦策略。
1. LDAP 注入攻擊
LDAP（Lightweight Directory Access Protocol）注入攻擊是一種透過操縱LDAP查詢陳述式來實作非法存取或竊取敏感資訊的攻擊方式。為了防禦這種攻擊，開發人員應該使用引數化查詢並對特殊字元進行轉義，以確保輸入的資料不會被誤認為LDAP命令。
防禦策略：
- 使用引數化查詢：這樣可以確保使用者輸入的資料不會被直接拼接到LDAP查詢陳述式中，從而避免注入攻擊。
- 對特殊字元進行轉義：對使用者輸入的資料進行轉義，可以防止攻擊者注入惡意LDAP命令。
2. 命令執行攻擊
命令執行攻擊（Command Injection）是指攻擊者透過操縱使用者輸入的資料來執行任意系統命令，從而實作非法目的的一種攻擊方式。為了防禦這種攻擊，應該使用安全的API或函式庫，並對使用者輸入的資料進行嚴格的驗證和過濾。
防禦策略：
- 使用安全的API或函式庫：選擇不允許任意命令執行的API或函式庫，可以有效地防止命令執行攻擊。
- 對使用者輸入的資料進行驗證和過濾：嚴格檢查使用者輸入的資料，可以防止攻擊者注入惡意命令。
3. 身份驗證和會話管理漏洞
身份驗證和會話管理是網路應用程式中的關鍵組成部分。弱密碼和會話固定攻擊是常見的安全漏洞。為了防禦這些漏洞，應該實施強密碼策略，包括複雜度要求和定期密碼更新，並使用多因素身份驗證。
防禦策略：
- 實施強密碼策略：強制使用者使用複雜的密碼，並定期更新密碼，可以提高密碼的安全性。
- 使用多因素身份驗證：除了密碼之外，要求使用者提供額外的身份驗證因素，可以更好地保護使用者帳戶的安全。
4. 會話固定攻擊
會話固定攻擊（Session Fixation）是指攻擊者透過操縱使用者的會話ID來實作非法存取的一種攻擊方式。為了防禦這種攻擊，應該在使用者登入和登出時重新生成會話ID，並使用安全的Cookie標誌（如HttpOnly和Secure）。
防禦策略：
- 重新生成會話ID：在使用者登入和登出時重新生成會話ID，可以防止攻擊者利用固定的會話ID進行攻擊。
- 使用安全的Cookie標誌：設定HttpOnly和Secure標誌，可以防止JavaScript存取和攔截Cookie，從而提高會話的安全性。
5. 跨站指令碼攻擊（XSS）
跨站指令碼攻擊（Cross-Site Scripting, XSS）是指攻擊者透過注入惡意指令碼來實作非法目的的一種攻擊方式。為了防禦這種攻擊，應該對所有使用者輸入的資料進行嚴格的過濾和轉義，特別是來自不可信任源的資料，如URL、表單和Cookie。
防禦策略：
- 對使用者輸入的資料進行過濾和轉義：對所有使用者輸入的資料進行嚴格的過濾和轉義，可以防止攻擊者注入惡意指令碼。
- 使用輸出編碼：對輸出的資料進行編碼，可以防止XSS攻擊。
透過瞭解和應用上述防禦策略，可以有效地提高網路應用程式的安全性，保護使用者的敏感資訊和系統資源。
網站安全漏洞防護
儲存型XSS攻擊防禦
為了防止儲存型XSS攻擊，需要對使用者生成的內容進行過濾，以防止惡意指令碼被儲存。同時，使用輸出編碼可以有效地防止XSS攻擊。這些措施可以確保網站的安全性，防止攻擊者透過儲存型XSS攻擊取得敏感資訊或進行惡意操作。
許可權控制漏洞防禦
許可權控制漏洞是網站安全的一個重要方面。實作適當的存取控制和授權檢查可以有效地防止直接物件參照（IDOR）攻擊。這需要確保只有授權的使用者才能存取特定的物件或服務，從而保護網站的安全性和使用者的隱私。
軟體錯誤風險
軟體錯誤風險是網站安全的一個重要因素。CWE/SANS Top 25是一份由玄貓（CWE）和SANS研究所編制的最危險的25種軟體錯誤列表。這份列表可以幫助開發人員和安全專家識別和修復軟體中的潛在安全漏洞。
網路安全框架
網路安全框架是管理和減少網路安全風險的一個重要工具。NIST網路安全框架由玄貓（NIST）開發，提供了一個全面的框架來幫助組織管理和減少網路安全風險。這個框架包括了一系列的最佳實踐和，幫助組織建立一個強大的網路安全體系。
型別漏洞規則/政策參考
| 型別 | 漏洞 | 規則/政策參考 |
|---|---|---|
| A4 | 許可權控制漏洞 | 實作適當的存取控制和授權檢查 |
| A5 | 安全組態錯誤 | 不要在錯誤訊息或日誌中揭露敏感資訊，使用自定義錯誤頁面 |
| A6 | 不安全的密碼儲存 | 使用強大、最新的加密演算法和金鑰，實作適當的金鑰管理和儲存實踐 |
| A7 | 不足夠的傳輸層保護 | 使用加密的傳輸層協定，例如HTTPS |
網路安全風險評估與應對
網路通訊安全
為了確保網路通訊的安全，應該使用HTTPS協定，配合安全的加密演算法和強大的加密技術。同時，應該停用不安全的協定，如SSLv2和SSLv3，以防止因為協定漏洞而導致的安全風險。
物件序列化安全
在進行物件序列化時，應該驗證和確認序列化物件的完整性和可信度。應該避免接受來自不信任來源的序列化物件，以防止因為序列化漏洞而導致的安全風險。
軟體更新與維護
為了確保軟體和函式庫的安全，應該保持所有軟體和函式庫更新到最新的安全補丁。同時，應該監控漏洞並儘快應用補丁，以防止因為軟體漏洞而導致的安全風險。
安全日誌與監控
為了能夠快速偵測和應對安全事件，應該實施強大的安全日誌和監控實踐。可以使用SIEM工具和警示系統來監控安全事件，並儘快回應和處理安全事件。
風險評估模型
評估風險時，可以考慮以下幾個因素：
- 潛在損害：如果漏洞被利用，可能造成的損害有多大？
- 可複製性：攻擊者複製漏洞的難易程度是多少？
- 可利用性：攻擊者實際利用漏洞的難易程度是多少？
- 受影響使用者：有多少使用者或系統受到玄貓的影響？
DREAD風險評估模型是一種評估風險的方法，考慮以下幾個因素：
- 可發現性：攻擊者發現漏洞的難易程度是多少？
- 可複製性：攻擊者複製漏洞的難易程度是多少？
- 可利用性：攻擊者實際利用漏洞的難易程度是多少？
- 可損害性：如果漏洞被利用，可能造成的損害有多大？
透過DREAD風險評估模型，組織可以為特定的漏洞賦予一個評分，並根據這個評分來確定哪些漏洞具有最高風險，應該優先處理。
資訊安全開發生命週期（SDL）核心訓練
資訊安全開發生命週期（SDL）是一種系統化的方法，旨在整合安全性到軟體開發的每個階段。以下是SDL核心訓練的要求和過程：
設定安全需求
在開始任何軟體開發專案之前，必須建立明確的安全需求。這包括定義專案的安全目標、風險承受度和相關的法規遵從性要求。這一步驟確保開發團隊瞭解專案的安全期望，並能夠根據這些需求進行設計和實施。
建立品質閘門/錯誤欄
品質閘門和錯誤欄是用於確保軟體符合特定的安全和品質標準的機制。這些閘門和欄可以幫助識別和修復安全漏洞，從而提高整體的軟體安全性。
執行安全和隱私風險評估
安全和隱私風險評估是識別潛在安全風險和隱私問題的關鍵步驟。這些評估有助於開發團隊瞭解軟體的攻擊面，並採取措施來減輕風險。
建立設計需求
在設計階段，開發團隊必須建立明確的安全設計需求。這包括定義安全架構、資料加密和存取控制等安全功能。
執行攻擊面分析減少
攻擊面分析是識別軟體中可能被攻擊者的潛在入口點的過程。透過減少攻擊面，開發團隊可以降低軟體被攻擊的風險。
使用威脅模型
威脅模型是一種用於識別和減輕潛在安全威脅的方法。這種模型有助於開發團隊瞭解軟體的安全風險，並採取措施來保護它。
使用批准工具
使用批准工具是確保軟體開發過程中使用的工具和技術符合安全標準的重要步驟。這包括選擇安全的程式語言、框架和函式庫。
退役不安全函式
不安全函式可能會導致安全漏洞，因此退役這些函式是提高軟體安全性的重要步驟。
執行靜態分析
靜態分析是一種用於檢查軟體程式碼的方法，無需執行程式碼。這種分析有助於識別程式碼中的安全漏洞和其他問題。
執行動態分析
動態分析是一種用於檢查軟體行為的方法，需要執行軟體。這種分析有助於識別軟體中的安全漏洞和其他問題。
執行模糊測試
模糊測試是一種用於測試軟體對異常輸入的反應的方法。這種測試有助於識別軟體中的安全漏洞和其他問題。
進行攻擊面審查
攻擊面審查是檢查軟體中可能被攻擊者的潛在入口點的過程。這種審查有助於開發團隊瞭解軟體的安全風險，並採取措施來保護它。
建立事件回應計劃
事件回應計劃是一份用於應對安全事件的計劃。這份計劃應該包括事件回應程式、溝通策略和復原步驟等內容。
進行最終安全審查
最終安全審查是檢查軟體是否符合安全標準和需求的過程。這種審查有助於確保軟體是安全的，並符合相關法規的要求。
認證、發布和歸檔
認證、發布和歸檔是軟體開發生命週期中的最後幾個步驟。這包括獲得必要的認證、發布軟體和歸檔相關檔案和資料。
SDL核心訓練包括以下幾個階段：
- 訓練：提供相關的安全知識和技能，以確保開發團隊瞭解安全需求和最佳實踐。
- 設計：建立安全設計需求，包括定義安全架構、資料加密和存取控制等安全功能。
- 實施：實施安全功能，包括使用批准工具、退役不安全函式和執行靜態分析等。
- 驗證：執行動態分析、模糊測試和攻擊面審查等，以確保軟體符合安全標準。
- 發布：獲得必要的認證、發布軟體和歸檔相關檔案和資料。
透過遵循SDL核心訓練，開發團隊可以確保軟體是安全的，並符合相關法規的要求。
OWASP SAMM 企業安全實踐分類別
OWASP SAMM 將安全實踐分為四個主要的商業類別，分別是：
策略與指標（Strategy and metrics）
這一類別關注的是企業如何制定安全策略、設定安全目標以及衡量安全績效的指標。它涉及到企業安全戰略的制定、安全投資的評估以及安全成果的衡量。
政策與合規（Policy and compliance）
這一類別著重於企業如何建立安全政策、確保合規性以及管理安全相關的法律和法規。它涵蓋了安全政策的制定、合規性審查以及風險管理。
教育與指導（Education and guidance）
這一類別關注的是企業如何為員工提供安全知識和技能的教育，以及如何提供安全最佳實踐的指導。它涉及到安全意識培訓、安全技術指導以及安全文化建設。
威脅評估（Threat assessment）
這一類別著重於企業如何識別和評估潛在的安全威脅，包括對企業資產和資料的威脅。它涵蓋了威脅模型的建立、風險評估以及安全控制措施的制定。
OWASP SAMM 安全實踐模型
OWASP SAMM 提供了一個全面性的安全實踐模型，包括五個主要的安全實踐類別：
- Governance：關注於企業安全治理，包括安全策略、政策和指標的制定。
- Construction：著重於軟體開發過程中的安全實踐，包括安全設計、編碼和測試。
- Verification：關注於軟體開發過程中的安全驗證，包括安全審查、測試和評估。
- Operations：著重於軟體系統營運過程中的安全實踐，包括環境加固、事件回應和安全監控。
每個類別都包含多個安全實踐，例如：
- Governance：
- 制定安全策略
- 建立安全政策
- 設定安全指標
- Construction：
- 安全設計
- 安全編碼
- 安全測試
- Verification：
- 安全審查
- 安全測試
- 安全評估
- Operations：
- 環境加固
- 事件回應
- 安全監控
事件回應計劃
事件回應計劃是企業用於應對安全事件的計劃，包括以下步驟：
- 事件發現和報告
- 事件評估和分析
- 事件處理和控制
- 事件還原和重建
這個計劃旨在快速有效地應對安全事件，減少對企業的影響，並確保企業的資產和資料的安全。
DevSecOps
計劃與開發
DevSecOps是一種將安全性整合到軟體開發生命週期中的方法論，而不是將其視為一個獨立的程式。其目的是打造安全可靠的軟體，以滿足企業需求，並保護敏感資料和關鍵基礎設施。實施DevSecOps存在多個驅動因素和挑戰，以下將進行概述。
驅動因素
- 安全問題：隨著網路攻擊的頻率和嚴重性增加，安全性已成為組織的首要優先事項。DevSecOps提供了一種方法，即在軟體開發過程中構建安全性，而不是依賴臨時的安全措施。
- 合規性要求：許多組織需要遵守PCI-DSS、HIPAA和GDPR等法規要求。DevSecOps可以幫助確保遵守這些法規，從而減少風險。
- 敏捷性和速度：DevSecOps可以幫助組織更快速、更敏捷地開發和佈署軟體。透過整合安全性，組織可以減少修復時間和成本，避免由於安全問題引起的延遲。
- 協作：DevSecOps鼓勵開發人員、安全團隊和營運團隊之間的協作。透過這種協作，團隊可以構建更安全、更可靠的軟體。
挑戰
- 文化障礙：DevSecOps需要組織進行文化轉變，開發人員、安全團隊和營運團隊需要在協作中共同工作。這對於具有孤立文化的組織來說可能是一個挑戰。
- 技能不足：DevSecOps需要一系列技能，包括開發、安全和營運。找到具備這些技能的人才可能很困難，尤其是在競爭激烈的就業市場中。
- 工具和自動化：DevSecOps依賴工具和自動化來將安全性整合到開發過程中。實施和維護這些工具可能很具有挑戰性，尤其是對於資源有限的小型組織。
安全合規檢查清單
- 身份驗證：確保應用程式正確實施身份驗證機制。
- 會話管理：確保會話管理機制能夠保護使用者資料。
- 存取控制：實施適當的存取控制機制，以限制未經授權的存取。
- 惡意輸入處理：確保應用程式能夠處理惡意輸入，並防止SQL注入和跨站點指令碼攻擊等攻擊。
- 輸出編碼/轉義：確保應用程式正確編碼和轉義輸出資料，以防止跨站點指令碼攻擊。
- 密碼學：實施適當的密碼學機制，以保護資料機密性和完整性。
- 錯誤處理和日誌記錄：實施強大的錯誤處理和日誌記錄機制，以快速回應安全事件。
- 資料保護：確保應用程式正確保護敏感資料，包括加密和存取控制。
- 通訊安全：實施安全的通訊協定，例如HTTPS，以保護資料在傳輸過程中的安全。
- HTTP安全組態：確保Web應用程式的HTTP組態是安全的，包括使用安全的標頭和Cookie。
DevSecOps 已成為軟體開發生命週期中不可或缺的一環。貫穿本文的各種安全議題，從程式碼撰寫、威脅建模、安全測試到基礎設施防護，皆凸顯了將安全性內建於開發流程的重要性。分析DevSecOps 的核心概念可以發現，它並非單純的技術堆積疊，而是一種文化轉變，需要開發、安全和維運團隊緊密合作。技術限制深析顯示，技能缺口和工具整合仍是DevSecOps 落地的主要挑戰，企業需要投入資源培養人才和建立自動化流程。玄貓認為，DevSecOps 的發展趨勢將更注重自動化安全測試、AI 驅動的威脅偵測和雲原生安全整合。對於追求快速迭代和安全可靠的企業而言，積極擁抱 DevSecOps 並非僅是選項，而是必然趨勢。
