Продължавайте да откривате и отстранявате уязвимости
ЗавършеноСъздайте непрекъснат процес от откриване на уязвимост до проверено отстраняване в продукционната среда. Разберете пропуска в поддръжката, който успешен прототип може да скрие.
Проверете разбирането сиПриложение не е променяно три месеца. Последното му сканиране на зависимости е преминало успешно при пускане. Кое твърдение е подкрепено?Направете упражнението
Какво ще научите
- Обяснете защо непроменен софтуер се нуждае от постоянен преглед на сигурността.
- Свържете различните типове сканиране с покритието и ограниченията им.
- Проследете констатация през приоритизация, поправка, внедряване и проверка.
Работещ прототип може да стане неподдържана услуга
Vibe coding може бързо да създаде полезен прототип. Продукционният риск нараства, когато хората продължат да го използват без текуща поддръжка на сигурността. Това е сериозен пропуск: софтуерът остава изложен на риск, докато създателят му смята работата за завършена.
Пропускът е организационен, както и технически. Скенер може да съществува без отговорник. Констатация може да има отговорник без път за пускане. Поправка, приета чрез merge, може да остави стария продукционен артефакт да работи.
Оценете действителната платформа за разработка и конфигурацията ѝ. Някои инструменти предоставят функционалности за сигурност. Продуктов етикет не установява дали внедреното Ви приложение получава непрекъснато сканиране и проверени поправки.
Сканирайте, когато доказателствата могат да се променят
Изпълнявайте подходящи проверки върху предложени промени и изградени артефакти. Преоценявайте поддържаните версии по график, защото информацията в известията се променя без commit. Задействайте допълнителен преглед при относимо известие, промяна в излагането на риск или инцидент.
Пазете обхвата изричен. Определете хранилища, клонове, lockfile-ове, образи, внедрени digest-и, среди за изпълнение и работни среди. Включете приложенията, които вече не получават нови функционалности, но все още обслужват потребители.
Неуспешно сканиране означава липсващи доказателства. Наблюдавайте актуалността на сканиранията, неуспехите на източниците на известия, грешките при удостоверяване, неподдържаните компоненти и пропуските в покритието. Празен списък с констатации след неуспешна задача не е чист резултат.
Използвайте различни проверки за различни въпроси
| Проверка | Полезно покритие | Важно ограничение |
|---|---|---|
| Анализ на софтуерния състав, или SCA | Известни уязвимости в зависимости, включително определени транзитивни пакети | Не установява правилността на правата за достъп в приложението |
| Статично тестване на сигурността на приложението, или SAST | Несигурни кодови конструкции, чието откриване се поддържа от инструмента | Може да пропусне поведение при изпълнение и да даде констатации, нуждаещи се от оценка |
| Сканиране за тайни стойности | Разпознаваеми образци на данни за удостоверяване в сканираното съдържание | Премахнат низ може да остави валидни данни за достъп другаде |
| Проверки на инфраструктура и конфигурация | Определени нарушения на политики в сканираните ресурси или конфигурация | Конфигурацията в хранилището може да се различава от работещата среда |
| Разрешено динамично тестване | Поведение на работещо приложение в тествания обхват | Изисква разрешение, подходящи данни и внимание към страничните ефекти |
Комбинирайте тези проверки с преглед и подходящи тестове за сигурност. Не твърдете, че което и да е сканиране доказва липса на уязвимости.
Проследете измислена констатация до продукционната среда
| Време | Събитие | Действително състояние |
|---|---|---|
| Понеделник 09:00 | Ново известие посочва засегната PDF зависимост | Съществуващите версии се нуждаят от оценка |
| Понеделник 09:15 | Планирано сканиране открива продукционната версия | Констатацията е открита, не поправена |
| Понеделник 10:00 | Отговорник потвърждава излагането на риск и избира поддържана поправка | Отстраняването е планирано |
| Понеделник 13:00 | Тестовете преминават успешно и PR с поправката е приет чрез merge | Хранилището е поправено; продукционната среда все още се нуждае от внедряване |
| Понеделник 14:00 | Pipeline внедрява поправения образ | Новият артефакт работи; проверката остава |
| Понеделник 14:20 | Сканирането на артефакта и регресионните проверки на експорта преминават успешно | Поправката е проверена в обхвата на проверките |
Приоритизирайте според тежест, доказателства за експлоатиране, излагане на риск, засегнати данни и налични мерки. Каталогът на CISA помага да се открие известно експлоатиране. Той е един вход, а не пълна оценка на риска. Каталог на CISA.
Временно изключение изисква доказателства, отговорник, компенсиращи контроли и срок или условие за преразглеждане. Ако няма поправка, обмислете разрешено временно решение, ограничаване на функционалност или премахване на засегнатия компонент.
Затворете пропуска в поддръжката
Измервайте времето до оценка и проверено отстраняване по приоритет. Проследявайте просрочените изключения, остарелите сканирания, засегнатите продукционни версии и повтарящите се констатации. Намаляващ брой констатации може да отразява и намалено покритие; прегледайте знаменателя.
Taiga Maintaining сканира свързаните хранилища след промени и периодично. Записва констатации и свързва отстраняването с инициативи и прегледани промени. Проверете състоянието на сканирането и текущото документирано поведение. Maintaining.
Вашият pipeline все още се нуждае от подходящи контролни точки за пускане. Отговорникът за услугата все още трябва да потвърди внедряването и правилната работа. Тази непрекъсната верига е част от експлоатацията на AI софтуерна фабрика, включително за продукти, чиято първа версия е започнала като прототип.
Направете упражнението
Използвайте измислената времева линия в този урок. Определете къде екипът би могъл погрешно да обяви успех. Определете условията за сканиране, известието при неуспех, отговорника за отстраняване, проверката на пуснатата версия и срока на временно изключение.
Изтеглете работния лист (Markdown)Премахването на тази отметка изтрива целия напредък, запазен в този браузър.
Напредъкът остава в този браузър. Без акаунт и проследяване.
Източници и допълнително четене
- NIST: Secure Software Development Framework ↗
- CISA: Known Exploited Vulnerabilities Catalog ↗
- Taiga docs: Maintaining ↗