DevSecOps在腾讯云的落地实践
新一代灰盒安全测试技术实践分享
IAST主要关键技术
无需专业技术背景，普通测试人员透明众测完成业务安全测试旁路部署不影响正常业务流执行和通信效率。透明部署，不影响正常测试工作和用户使用流程。
被动IAST插桩-动态污点追踪技术
误报及漏报高于主动IAST无数据重放、无脏数据可处理签名、加密接口
主动IAST插桩-交互式缺陷定位技术
应用包检测
制品库
拉取构件
Docker镜像构件推送
KubernetesDeploy
服务检测
Kubernetes回滚
客户内部漏洞跟踪管理平台
DevOps敏捷安全平台
UI test
质量红线
docker run
技术要求：
1）整个流程十几分钟，测试用例覆盖度可度量(类数量、请求数量)；2）质量红线设定很关键（漏洞等级、对应CVE是否有POC、应用内外网属性等）；3）要求批量自动化安装部署，支持热加载；4）支持自研私有协议和开发框架。
很难验证利用
可验证利用
使用风险
脏数据、大流量
无
无
使用成本
较低
高，人工排查误报
低，基本没有误报
漏洞详情
参数、请求响应
代码行数、执行流
请求响应、代码行数、数据流
CI/CD支持
低
高
高
漏洞种类覆盖
可发现配置、运维、运行时层面漏洞
更偏向应用代码漏洞
更偏向应用本身漏洞，难以回显带外也可发现
任何一项新兴技术出现，都有时代的背景和其适用的场景。
IAST方案实践期待
新一代灰盒安全测试平台智慧闭环漏洞管理
l 漏洞发现
l 问题沟通
l 修复整改
l 漏洞复查
DevSecOps敏捷安全
第9章云原生应用 场景敏捷安全探索
第8章 DevSecOps 设计参考与建设指
导
第10章 DevSecOps 落地实践案例
8.1 DevSecOps落地挑战 8.2 DevSecOps设计参考 8.3 DevSecOps建设指导 8.4 SDL向DevSecOps的转型 8.5其他安全挑战 8.6建议及思考 8.7总结
目录分析
0 1
为什么要写 这本书
0 2
读者对象
0 3
本书特色
0 4
如何阅读本 书
0 6
致谢
0 5
勘误和支持
第1章初识开 发安全
第2章全面认 识SDL
1.1软件开发与SDLC 1.2 SDLC中的阶段性安全活动 1.3开发安全现状分析 1.4安全左移在SDLC中的意义 1.5总结
2.1 SDL概述 2.2常见的SDL模型和框架 2.3 SDL体系建设 2.4 SDL体系建设面临的挑战 2.5总结
12.1开源软件 12.2开源软件安全 12.3开源许可证分析 12.4开源治理 12.5开源治理落地实践案例 12.6总结
13.1 Log4j 2.x远程代码执行漏洞 13.2 SolarWinds供应链攻击事件 13.3 GPL3.0开源许可证侵权事件 13.4总结
第五部分趋势与思考
14.1 DevSecOps敏捷安全趋势思考 14.2 DevSecOps敏捷安全技术演进 14.3总结
9.1云原生概述 9.2云原生安全 9.3云原生安全与DevSecOps 9.4云原生下的敏捷安全落地实践 9.5总结
10.1国内行业头部企业实践 10.2国际大型组织创新实践 10.3总结
第12章开源安全治 理落地实践
devsecops标准
devsecops标准
DevSecOps 是一套实用且面向目标的方法，用于确保系统安全。
它被定义为通过与 IT 安全团队、软件开发人员和运营团队合作，在标准DevOps 周期中建立关键安全原则的过程。
目前，国内已经发布了《研发运营一体化（DevOps）能力成熟度模型》系列标准，这是由工信部牵头，云计算开源产业联盟、高效运维社区、BATJ等顶级互联网公司以及各大金融、通信企业共同制定的国内外首个DevOps系列标准，是最完整、最权威、最具行业指导性的研发运营一体化（DevOps）能力标准之一。
DevSecOps 是基于 DevOps 体系的安全实践框架，通过一系列的安全控制措施，将安全性集成到软件交付流程的各个阶段，赋能研发团队高效安全交付业务价值。
态势感知+MDR
态势感知+MDR为应对日益复杂的网络安全态势，提升行业用户整体安全运营能力，3月31日紫光股份旗下新华三集团正式发布“北望”新一代态势感知系统，充分释放“云智原生”的全栈技术能力，大幅提升在不同场景下，针对已知及未知威胁的分析、预警、溯源及处置能力，构建全局视角的业务安全运营平台。
依托新华三集团云网安一体化的主动安全能力，“北望”新一代态势感知系统搭载业内首个UMA统一元数据引擎，以及AI降噪、AI制导等创新自研技术，能实现对各类网络安全问题的全息感知、精准决策和协同自愈，从而构建起完善可靠的安全防护体系，为百行百业数字化转型构筑安全基石。
深度覆盖行业场景，安全运营能力再跃升当下，全球进入数字驱动新经济发展的新周期，大数据、AI、区块链、物联网等技术成为推动生产、生活方式变革的重要引擎。
但伴随而来的泛在连接，使得传统网络安全保障体系收效渐微。
行业亟需一个功能更加强大、更加智能主动的网络态势“控场”者，以应对数字化带来的变革和挑战。
信通院安全所测评中心副主任、高级工程师徐杨表示，未来网络安全防护的发展将走向“快、准、有效”，如何保证第一时间精准发现、定位威胁并有效处置，同时举一反三排查潜在风险，将成为网络安全建设的重中之重。
在此背景下，新华三集团“北望”新一代态势感知系统应运而生。
该系统面向“业务化、实战化、运营化、智能化、自动化、SaaS化”六大战略方向，并以DevSecOps安全开发运营管理流程平台等八大基础平台和诸多创新技术为支撑，为其构建起全息感知、精准决策、协同自愈三大核心能力，覆盖N个业务场景，实现了安全防御和运营管理水准的全面跃升。
三大“杀手锏”，安全态势全面“控场”作为业内首个态势感知国家标准，《网络安全态势感知技术标准化白皮书》在落地建设方面拥有重要的指导意义。
全国信息安全标准化技术委员会WG5信息安全评估工作组副组长顾健表示，实现安全态势的全面掌握，需要满足数据来源丰富、感知流程规范自动化、感知结果丰富等诸多要求，并且具备预测能力，并能够广泛适用各种行业，各种规模。
李维春-安信证券安全运营实践分享
云安全
公有云安全 容器安全 IAAS安全
水印
数据库审计
身份认证
堡垒机
网络隔离
物理安全
机房安全
外包安全
意识培训
技能培训
CTF
3.2 安全运维
• 健康度检查
①检查Sensor安全监测功能是否正常运行 ②检查Sensor到管理后端的网络通路是否通畅 ③检查Sensor所产生的告警信息到SOC平台的信息采集是否正常运行 ④检查告警通知（邮件、短信与可视化 展示平台）是否正常运行 ⑤检查Sensor、系统接入点是否变更、被规避 ⑥检查流程控制点是否生效、发生变更、被规避
合规型
攻防型
• 依据规范制度， 制订检测规则
• 可以包括覆盖 面、健康度、 正常率
• 单个安全设备 的检测
• 攻击路径的检 测(例如 ATT&ACK)
• 奇技淫巧的检 测
补充
• 攻防演练、检 查审计、事件 处理中发现的 问题
• 情报监测
3.4 响应处置
安全、应用、 OS等日志
SOC
日志中心 告警中心 Usecase 关联分析 情报分析
务实施改进
ITIL“问题管理”
• 每周回顾，寻找共性、 多发常发的问题
• 组织分析原因和解决 方案
• 审批通过 • 专项任务实施改进
3.6 验证与度量
• 结果验证
①红蓝对抗（计划中） ②每年2次攻防演练 ③每年行业攻防演练 ④每年3-4次专项审计（系统、流程、
人）Biblioteka • 度量指标① 防护覆盖面：安全工具覆盖率、正常率 100%
3.1 安全防护
应用安全
黑白盒检测 漏洞扫描
SDL APP安全 网页防篡改
安全架构师岗位职责
安全架构师岗位职责（实用版）编制人：__________________审核人：__________________审批人：__________________编制单位：__________________编制时间：____年____月____日序言下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。
文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢!并且，本店铺为大家提供各种类型的实用资料，如管理制度、企业管理、岗位职责、心得体会、工作总结、工作计划、演讲稿、合同范本、作文大全、其他资料等等，想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by this editor.I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you!And, this store provides various types of practical materials for everyone, such as management systems, enterprise management, job responsibilities, experiences, work summaries, work plans, speech drafts, contract templates, essay compilations, and other materials. If you want to learn about different data formats and writing methods, please pay attention!安全架构师岗位职责第1篇安全架构师岗位职责岗位职责:1、负责物联网终端产品安全研究及安全标准的制修订。
devsecops方法论
devsecops方法论
DevSecOps是一种结合开发（Dev）、安全（Sec）和运营（Ops）的软件开发方法论，旨在将安全性融入到整个软件开发生命周期中。
这种方法论的目标是在快速交付高质量的软件的同时，确保软件的安全性、稳定性和可靠性。
DevSecOps通过在软件开发的全生命周期中引入安全性来实现这一目标。
这包括对代码质量、漏洞扫描、漏洞修复、安全审计等进行持续的集成、测试和部署。
通过在整个软件开发周期中始终关注安全性，DevSecOps可以更有效地减少安全漏洞，提高软件质量，并减少安全威胁对软件的影响。
DevSecOps这个概念最早是在2017年美国RSA大会上提出的，它从DevOps的概念延伸和演变而来。
其核心理念是：安全是IT团队中每个人的责任，需要贯穿从开发到运营整个业务生命周期的每一个环节，只有这样才能提供有效的安全保障。
DevSecOps通过加强内部安全测试，主动搜寻安全漏洞，及时修复漏洞、控制风险，实现与业务流程的良好整合。
这种方法论有助于提高软件的安全性，减少安全漏洞，并提高软件质量。
以上内容仅供参考，如需更多信息，建议查阅关于DevSecOps的资料、文献，或者咨询软件工程专家。
实践之后,我们来谈谈如何做好威胁建模
处理成本的合理方式不同层级的业务负责人视角物理安全领域的例子
威胁建模补充
等级、优先级、修复成本负责人、排期、安全测试结果解决方案记录结果
解决威胁的抽象原则
纵深防御、最小权限原则5A原则：身份认证、授权、访问控制、可审计、资产保护
5A原则
业务理解开发架构、逻辑架构避免安全措斷影响业务需求标志完成威胁建模
参与人员要求
了解产品的设计和接入文档，不需专业知识。负责人需具备四个基本技术能力：1. 安全技术、安全机制、攻击方法等的理解。2. 了解业务、流程、产品之间的关系。3. 有组织策略资源来推动项目实施。4. 结合安全规划、流程、治理模型符合纵深防御原则。
威胁评审软实力要求
了解业务至少在一定程度上。具备合格的文档编写能力。优化企业研发安全流程。有意愿传播安全能力，增强安全团队话语能力。
威胁建模的历史
威胁建模的起源可以追溯到1994年，包括攻击树和威胁树等概念。微软在1999年提出STRIDE助记符来识别威胁。2002年比尔·盖茨发布了《可信任计算备忘录》宣言，推动了威胁建模的采用。
威胁建模的应用
威胁建模有助于识别系统设计缺陷，减少风险敞口，和降低修复成本。它推动了DevSecOps文化的落地，将风险管理嵌入产品生命周期。满足合规要求，包括PCI DSS、GDPR、HIPAA等。
结语
威胁建模的成功标志业务方成为安全提升的主动贡献者
修复问题的高标准
安全团队需要合理复查威胁并进行合理处置。不仅依赖于内部的工单系统，还要记录在业务的研发管理系统。确保每个风险在双周沟通会上按时解决。
持续威胁建模
威胁建模不是一次性活动，而是持续的过程。在双周沟通会上进行简短沟通，识别困难和安全需求。通过反复执行威胁建模，识别大量的安全风险。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
管控内网机器及服务的非必要/非安 全开放，减少黑客入侵入口
新产品上线安全检查与审批
在产品上线流程嵌入安全检查流程，保障产品在 上线前已收敛大部分安全问题并做相关安全加固
ToB场景需求的安全检查与审批
针对ToB的一些如合作开发等特殊场景做安全评估、 检查与审批，避免非安全操作带来的数据泄露等损失
上线前自动化扫描
基于测试环境测试流量的被动式Web漏洞 扫描，实现对上线前基础漏洞的发现收敛
周期自动化巡检
安全规范检查、Web漏扫基于线 上流量及域名的周期安全扫描
人工黑盒测试
人工不定期模拟黑客攻击对 线上产品安全进行渗透测试
人工代码审计
基于业务版本的 关键功能、API， 从代码层面审计 发现安全问题
DevSecOps三个关键点 人和文化
持续进行安全意识培训，鼓励团队自治，每个人为参与到安全，为安全负责，达成共识和认知
流程
整合流程，定期做代码检查、红蓝对抗， 建立安全情报机制，有可度量衡的安全 指标，加强与业务部门的协作等
2. 复杂的产品形态与研发场景 • 自研、合作研发、OEM等 • SaaS、PaaS、IaaS • 专有云、私有云、公有云、混合云
复杂的产品体系及人员组织
3. 多样化的技术栈与架构 • C、JAVA、GO、PHP、Python、NodeJS… • Web应用、APP、客户端、小程序… • 各种中间件、一些新型架构等
为什么要实践DevSecOps
DevOps已经是在逐步落地实践 而安全的滞后性会成为 DevOps的掣肘，DevSecOps 势在必行！
为什么要前置？
应用生命周期各阶段中，修复漏洞的成本随着开发生命周期推移而逐步上升
X100 X10 X2
研发
测试
发布
运营
从SDL到DevSecOps
从SDL到DevSecOps
Hale Waihona Puke 工具与新架构的不匹配…
02 从边界建立起的安全防线
当前核心关注点
1. 产品不出安全问题 • 产品不出严重危害的安全问题 • 产品不出简单易发现安全问题
2. 保障核心数据安全 • 有效发现入侵事件，保障内网安全 • 减少入侵入口
安全管控
域名申请安全审批
管控腾讯云等域名的使用，减少域名滥用情况，降 低对腾讯云官网等的安全风险
高危端口开放监测
5分钟常见高危端口快速扫描，1小时全端口扫描 全闭环运营流程，全自动化监控、告警、修复、验 证，高效收敛高危端口开放问题。
漏洞情报+资产测绘
漏洞情报 ->资产测绘 ->推进修复
信息泄露监测
自动监测
自研信息泄露监控系统， 进行自动化监测
事件确认
发现泄露信息进行人工运营 确认，推动敏感信息删除
4. 多重组织与人员结构 • 总部、子公司、投资全资子公司、外部企业 • 正式员工、驻场外包、子公司员工、研发外包 • 跨公司、跨BG、跨部门、跨业务线、跨中心
多维度的安全挑战
不同的研发与发布流程
员工安全意识各不相同
产品安全质量参差不齐
无法约束外部引入风险
跨团队的安全落地挑战
安全跟不上产品发布
产品需求发布大于安全
在外，管控域名、外网IP的使用，减少非必要风险暴露面及攻击入口 在内，嵌入产品发布及项目流程，通过安全检查与评估收敛安全问题
有限人力关注重点项目，黑盒测试基于流程进行自动化检查
100
50 1216 6123 2118 3316 3613
0
7月 8月 9月 10月 11月
测评版本数 发现漏洞数
03 基于风险控制的安全体系
产品环境接 入云器
测试测 试功能
云器采 集请求
安全扫 描请求
发现产 品漏洞
基于测试环境流量的上线前扫描
赏金计划
主机安全风险收敛
01 高危端口监控 未知/不可控端口对外开放撕开了 企业安全防御体系的缺口
02 系统漏洞及风险服务巡检 基于系统漏扫进行内网服务器的周 期巡检，发现系统及风险服务
03 风险服务运营收敛 运营推动风险服务的修复与整改， 进而降低内网风险
DevSecOps在腾讯云的落地实践
从混沌到体系化
目录
CONTENTS
1、腾讯云产品体系与安全挑战 2、从边界建立起的安全防线 3、基于风险控制的安全体系 4、DevSecOps的尝试落地
01 腾讯云产品体系与安全挑战
复杂的产品体系及人员组织
1. 庞大的体系与快速迭代 • 50+产品分类，200+一级产品，2、3000二级产品 • 最多日均近10个新产品上线，日常N个版本发布
SDL/传统安全
• 责任：安全团队 • 安全较缓慢，也常置于流程之外 • 大量的人工参与 • 适用大部分业务
DevSecOps
• 责任：安全是每个人的责任 • 柔性嵌入研发运维流程，自动化 • 自动化流程，人更趋向于运营反馈
处理 • 适用于周期较短，迭代较快的业务
并不存在明显的冲突，只是进一步：流程融入、自动化、更多前置，安全文化
复盘 意识提升：总结问题、经典案例、安全培训 整改 整改措施：统计成因、统一措施整改
运营统计
安全演习
• 发现安全风险 • 提升安全意识
• 检验防护能力 • 强化安全体系
04 DevSecOps的尝试落地
三个问题
为什么要做？
怎么做？
先做什么？
什么是DevSecOps
Gartner 在2012年创建了“DevSecOps”的概念 核心理念：安全是整个IT团队（包括开发、测试、运维及安全团队）所有成员的 责任，需要贯穿整个业务生命周期的每一个环节。 “每个人都对安全负责” 安全工作前置，柔和嵌入现有开发流程体系。
很多团队和业务同学有 足够的安全意识，但不 知道该做哪些事，怎么 做是正确的
6篇发文规范，近30篇安全指引
安全检查
安全合规审计
从等保等合规角度要求对指 定产品进行审查和推动整改
安全众测
通过邀请外部安全公司专业人员及外部白 帽子对线上产品进行安全测试和漏洞挖掘
自动化代码审计
对代码的自动化安全漏洞发 现
通报及定级
根据泄露信息严重程度 进行通报和定级处理
安全宣导
对事件责任人及团队进 行安全宣导和再培训
应急响应
漏洞响应流程
漏洞 内部发现：自动化扫描、人工测试 发现 外部报告：TSRC、腾讯云官网安全中心
漏洞 代码修复：协助修复、修复验证、同问题排查 修复 安全防护：WAF防护、安全管控、数保项目
漏洞 漏洞跟踪：工单跟进、分类定级、通知、拉群处置 响应 止损、分析：及时止损、分析成因