owned this note   changed 6 years ago  
Linked with GitHub

Secure or Die，軟體交付的「安全」實踐

tags: DevOpsDays Taipei 2018 9/12 14:50~15:30 Track A

歡迎來到 DevOps Days 2018 共筆

Image Not Showing Possible Reasons
  • The image file may be corrupted
  • The server hosting the image is unavailable
  • The image path is incorrect
  • The image format is not supported
Learn More →

共筆入口：https://hackmd.io/c/DevOpsDays2018
手機版請點選上方 按鈕展開議程列表。

在大會遇到任何問題都可以在下方的問題回報區中留言
大會問題與建議回報區

系統的安全性在一開始，就在你們需求或規格裡嗎？

以汽車為例：通常是功能先做出來，才考慮安全性。

軟體交付的安全實踐

設計

Threat Modeling：幫助你在系統設計初期找出可能的重大缺陷
Threat Modeling 四步驟

  1. Diagraming
  2. Identifi Threats
  3. Mitigate
  4. validate
  • Trust Boundary

STRIDE Analysis

Reference (BIBLE): Threat Modeling, designing for security

編碼

Secure Coding Dojo

https://github.com/trendmicro/SecureCodingDojo

資安檢查清單（範例）

  • 驗證/授權
  • 機密處理
  • 錯誤處理
  • 資料與輸入

SANS
https://bit.ly/2JgHQsy

建置/測試

  • 靜態程式碼掃描 > 可用Fortify sonarqube?
    • 找尋不安全的程式碼
    • 從工具裡學習安全編碼的知識
  • 第三方函式庫檢查
    • 找尋有安全弱點的第三方函式庫
  • 動態系統掃描
    • 從攻擊者角度來尋找弱點
    • 快速回饋，立即修正安全弱點
    • 做大規模的滲透測試前就保有基本的安全水準

維運

補丁自動化
集中儲存並管理機密資訊

  • HashiCorp Vault link
  • AWS Secrets Manager link

場外聊天室，歡迎在下方喇賽
下午聽到 趨勢科技 好多次。這公司除了美女多，厲害的人(踩雷之後還活下來的)也多

公司最期望的，就是踩到雷之後活下來的人能留下來..

fortify 價格很漂亮，一套要18x 萬

(問題)不知道DevOps (CI/CD)過程中, 是不是就需要加上弱點掃描相關項目(列在test case?)

有一些講者有分享過，可以加入。
build time 就能掃描的比較單純, 加在 build process 就行
runtime 才能掃描的就得專門配置測試環境了

Select a repo