安全软件生命周期的调整

第2.1节中讨论的安全软件生命周期模型可以与任何软件开发模型集成，并且与域无关。在本节中，提供了有关安全软件生命周期的六种调整的信息。

敏捷软件开发和开发运营

敏捷和持续的软件开发方法是高度迭代的，经常向客户提供新功能-可能快到每天多次或“缓慢”为每两到四周一次。

敏捷软件开发方法可以以功能需求为中心，功能表示为用户故事。SAFECode为敏捷从业者提供实用的软件安全指导。本指南包括一组36个建议的以安全为中心的情景，这些情景的处理方式与以功能为中心的用户情景类似。这些案例基于常见的安全问题，例如OWASP十大个最关键的Web应用程序安全风险中列出的问题。这些故事映射到常见弱点枚举（CWE）标识符（如果适用）。以安全为中心的故事的措辞格式类似于功能故事（即，作为[利益相关者]，我希望[新功能]以便我可以[目标]）。例如，提供了使用此格式的以安全为中心的故事：作为质量保证，我想验证所有用户是否有权访问他们有权使用的特定资源，这些资源映射到CWE-862和CWE-863.以安全为中心的故事进一步细分为可管理和具体的任务，这些任务由团队角色（包括架构师、开发人员、测试人员和安全专家）拥有，并映射到SAFECode基本实践。最后，SAFECode指定了17个操作安全任务。这些任务不直接与故事相关，而是作为持续维护工作（例如，持续验证静态代码分析工具的覆盖范围）或需要特别注意的项目（例如，配置bug跟踪以跟踪安全性）进行处理漏洞）。

通过开发DevOps方法来开发软件，开发和运营紧密结合，以便快速、持续地向最终用户交付价值。Microsoft发布了DevOps安全软件生命周期模型，其中包括运营工程师的活动，以向团队提供快速和早期的反馈，以将安全性构建到。开发运营流程。安全DevOps模型包含8个实践，包括第2.1.1节中讨论的Microsoft安全开发生命周期中12个实践中的8个：

1. 1.    提供培训。如第2.1.1节第1点所述，培训必须包括操作工程师。训练应包括通过部署管道提供的攻击媒介。

2. 2.    定义需求。请参阅第2.1.1节第2点。

3. 3.   定义指标和合规性报告。请参阅第2.1.1节第3点。

4. 4.    使用软件组合分析（SCA）和治理。在选择商业和开源第三方组件时，团队应了解组件中的漏洞可能对系统的整体安全性产生的影响，并考虑在使用它们之前执行更彻底的评估。软件组合分析（SCA）工具（如WhiteSource23）可以帮助许可暴露，提供准确的组件清单，并报告引用组件的任何漏洞。另见第2.1.1节第7点。

5. 5.    执行威胁建模。见第2.1.1节第4点。威胁建模可能被视为减慢了快速的DevOps步伐。但是，在DevOps部署流程下快速部署的产品应具有定义的整体架构，DevOps流程在其中进行更改并添加功能。该体系结构应进行威胁建模，当团队需要更改体系结构时，还应更新威胁模型。对体系结构没有影响的新功能表示对威胁模型的空更改。

6. 6.    使用工具和自动化。见第2.1.1节项目符号8、9和10。团队应仔细选择可集成到工程师的集成开发环境（IDE）和工作流中的工具，以便它们造成的中断最小。使用这些工具的目标是检测缺陷和漏洞，而不是让工程师在日常工程经验之外使用太多工具或异形流程。用作安全DevOps工作流一部分的工具应遵循以下原则：

(a)工具必须集成到持续集成/持续交付（CI/CD）管道中。

(b)工具不得要求超出培训所传授的安全专业知识。

(c)工具必须避免报告问题的高误报率。

1. 7.   确保凭据安全。在预提交期间，必须扫描源文件中的凭据和其他敏感内容，以降低通过CI/CD过程（例如通过基础结构即代码或其他部署脚本）传播敏感信息的风险。CredScan24等工具可以识别凭据泄漏，例如源代码和配置文件中的凭据泄漏。一些常见的凭据类型包括默认密码、硬编码密码、SQL连接字符串和带私钥的证书。

2. 8.    使用持续学习和监控。快速部署的系统通常通过仪器监控应用程序、基础设施和网络的运行状况，以确保系统“正常”运行。此监视还有助于发现偏离正常行为的安全和性能问题。监视也是支持纵深防御策略的重要组成部分，可以减少组织的平均识别时间（MTTI）和平均遏制时间（MTTC）攻击。

原文始发于微信公众号（河南等级保护测评）：安全软件生命周期之安全软件生命周期的调整：敏捷软件开发和开发运营