Подводные камни внедрения Security Development Lifecycle

SECR 2018
Александр Болдырев
Исследователь безопасности ПО, Код Безопасности

Безопасность современного программного обеспечения достигается применением комплекса практик безопасной разработки на всех стадиях жизненного цикла.

Давайте рассмотрим основные подходы к внедрению системы обеспечения безопасной разработки (SDL), а также положительные и негативные моменты с которыми вам придется столкнуться при переходе от теории к практике.

Transcript

1. Подводные камни Security Development Lifecycle Болдырев А.Г. Компания «Код Безопасности» Software Engineering Conference Russia 2018 October 12-13 Moscow
2. Цель доклада: • обзор практики внедрения статического анализа • знакомство с методологией SDL Я - исследователь безопасности ПО 1. Опыт работы в области ИБ более 10 лет 2. Аудит безопасности собственных продуктов 3. Исследование защищенности информационных систем 4. Email: boldyrev_pnz@mail.ru
3. Жизненный цикл разработки программного обеспечения
4. Результат Ожидания Реальность
5. Waterfall 1 Проектирование 2 Дизайн 3 Кодирование 4 Тестирование 5 Поддержка
6. Agile
7. SDL for waterfall Core Security Training Establish Security Requirements Create Quality Gates/Bug Bars Security & Privacy Risk Assessment Establish Design Requirements Analyze Attack Surface Treat Modeling Use Approved Tools Deprecate Unsafe Functions Static Analysis Dynamic Analysis Fuzz Testing Attack Surface Review Incident Response Plan Final Security Review Release Archive Execute Incident Response Plan Training Requirements Design Implementation Verification Release Response
8. SDL for agile Core Security Training Establish Security Requirements Create Quality Gates/Bug Bars Security & Privacy Risk Assessment Establish Design Requirements Analyze Attack Surface Treat Modeling Use Approved Tools Deprecate Unsafe Functions Static Analysis Dynamic Analysis Fuzz Testing Attack Surface Review Incident Response Plan Final Security Review Release Archive Execute Incident Response Plan Training Requirements Design Implementation Verification Release Response
9. SDL vs ГОСТ Процесс Фаза SDL ГОСТ Р 56939 Обучение сотрудников Training Меры при менеджменте людских ресурсов Определение требования безопасности Requirements Меры при анализе требований ПО Моделирование угроз Design Меры при проектировании архитектуры Доверенные средства разработки Implementation Меры при менеджменте инфраструктуры среды разработки Статический анализ исходных текстов ПО Implementation Меры при конструировании ПО Динамический анализ Verification Меры при выполнении квалификационного тестирования Тестирование на проникновение Verification Меры при выполнении квалификационного тестирования Фаззинг-тестирование Verification Меры при выполнении квалификационного тестирования Реагирование на инцидент Release, Response Меры при решении проблем ПО в процессе эксплуатации
10. Verification Dynamic Analysis Fuzz Testing Attack Surface Review Статический анализ в SDL Training Core Security Training Requirements Establish Security Requirements Create Quality Gates/Bug Bars Security & Privacy Risk Assessment Design Establish Design Requirements Analyze Attack Surface Treat Modeling Use Approved Tools Deprecate Unsafe Functions Static Analysis Implementation Release Incident Response Plan Final Security Review Release Archive Response Execute Incident Response Plan Статический анализ
11. Статический анализ исходных текстов ПО Этапы внедрения: • Составление перечня языков программирования • Выбор статического анализатора • Внедрение статического анализа • Анализ и обработка результатов
12. Статический анализ исходных текстов ПО 1: #include <iostream> 2: void test_func(int unknown_value){ 3: int check_var; 4: if (unknown_value) 5: {сheck_var = 5;} 6: std::cout<<"hi"<<std::endl; 7: if (!unknown_value) 8: {std::cout<<check_var;}//если unknown_value=0 9: }
13. 1: #include <iostream> 2: void test_func(int unknown_value){ 3: int check_var; 4: if (unknown_value) 5: {сheck_var = 5;} 6: std::cout<<"hi"<<std::endl; 7: if (!unknown_value) 8: {std::cout<<check_var;} 9: } Граф достижимых состояний
14. Граф потока выполнения 1: #include <iostream> 2: void test_func(int unknown_value){ 3: int check_var; 4: if (unknown_value) 5: {сheck_var = 5;} 6: std::cout<<"hi"<<std::endl; 7: if (!unknown_value) 8: {std::cout<<check_var;} 9: }
15. Внедрение статического анализа Сppcheck plugin Scan-build plugin
16. Проблемы внедрения статического анализа и пути решения Этап Проблема Решение Составление перечня языков программирования Нет Выбор статического анализатора Большой выбор, разные методы Использование нескольких технологий анализа, апробирование на тестовых примерах Внедрение статического анализа Знание условий сборки, ограничение реализации Тесное сотрудничество с командой разработки Анализ и обработка результатов Большое количество “ложных” срабатываний Тонкая настройка статического анализатора под конкретный проект, введение процесса автоматической отбраковки “ложных” срабатываний
17. Выводы • Выполнили обзор основных подходов к разработке ПО (waterfall и agile) • Рассмотрели фазы методологии SDL • Убедились, что ГОСТ Р 56939-2016 не противоречит SDL • Выделили проблемы и пути их решения при внедрении статического анализа, как части SDL
18. Спасибо за внимание!