1、王建强王建强/网络安全负责人网络安全负责人/货拉拉货拉拉2020 年入职货拉拉，负责网络安全建设，主要负责多云环境下的网络侧威胁感知、加固、防护，以及安全能力左移，安全基础能力建设等。演讲主题：货运场景下的演讲主题：货运场景下的SDL实践实践货运场景下的 SDL 实践货拉拉-网络安全负责人-王建强TOC关于我SDL 是什么？为什么要搞 SDL？SDL 如何从 0 到 1 落地？SDL 集合实际的场景SDL 效果一揽关于我1.2020 年加入货拉拉，负责网络安全建设。2.主要负责多云环境下的网络侧威胁感知、加固、防护，以及安全能力左移，安全基础能力建设等。SDL 是什么？Security Dev

2、elopment Lifecycle（安全开发生命周期），是微软提出的从安全角度指导软件开发过程的管理模式,是一种专注于软件开发安全保障的流程。SDL 的理念是在整个软件开发生命周期的所有阶段都加入安全管控，尽可能在更早期发现应用安全风险，从而能有效管控应用漏洞，降低安全治理成本。为什么要搞 SDL？01 SDL以“安全左移”为理念、以“安全融入软件开发”为核心，目的是帮助企业发现安全问题，提升安全质量，降低安全成本，保护企业和用户资产。02在软件开发各阶段中更多地引入针对项目安全和用户隐私问题的解决方案，最终保证各个系统和 App 用户的安全。03通过在软件开发的生命周期中融入安全相关的流程

3、规范，建立一套安全风险防范发现机制，从而将安全风险降到最低，安全漏洞减到最少。SDL 左移理念安全“左移”理念指的是：在软件开发生命周期中嵌入安全动作，更早地发现并解决安全漏洞问题，那么对安全成本和安全风险来说都是最有利的。SDL 如何从 0 到 1 落地?安全培训1.产研安全意识培训2.产研安全基础培训 3.SDL 流程培训需求阶段1.在需求阶段规范产品业务等，提前识别需要规避的安全风险 系统设计阶段1.技术方案攻击面分析，威胁建模 2.设计缺陷及时整改3.安全准出1.提供公司所有在用语言编码规范，以及 IDE 插件等 2.自动化扫描代码，在研发阶段及时暴露问题以及修复1.自动黑盒测试，Fu

4、zzing 测试、以及人工测试2.攻击面 Review,发现问题，及时修复系统设计研发阶段 测试阶段发布维护1.安全应急预案制定2.安全准出，高风险业务禁止上线，规避风险 SDL 从 0 到 1 风险问题归类漏洞类风险01可直接获取系统权限问题直接获取移动客户端权限问题对业务有影响的越权敏感操作问题可对业务造成较大资产损失的漏洞数据安全类风险02严重的C4、C3级别敏感信息泄漏或访问问题各种密钥等应硬编码问题 安全合规及设计风险03直接导致影响核心系统业务稳定性或大范围影响用户问题对业务有影响的严重逻辑设计缺陷和流程缺陷直接可造成公司大额资损的问题、公司业务持续性的合规问题SDL 从 0 到

5、1 落地节奏2按业务实际场景，调整优化各个环节，风险驱动3尽可能自动化所有环节，自动化驱动1先搭框架，每个环节先具备能力，事件或者问题驱动SDL 集合实际的场景 业务需求：需要一个短链系统，来实现短信等运营。1.分布式结构 2.使用 zookeeper 分配机器以及数量范围3.使用负载均衡4.使用 RDS 5.使用分布式缓存加速访问 Contd实现方案SDL 结论SDL 关切点 设计功能点MySQL 查询等是否存在 DoS 风险？MySQL 账号密码是否最小化授权？MySQL 账号密码是否硬编码或者在本地环境变量中？存入 MySQL 2需要持久化Redis 配置是否做过加固？缓存击穿是否有会对

6、系统有 DoS 风险？账号密码 存入 MySQL 3需要使用缓存加速是否确认存在水平越权？管理账号是否有双因素？是否有内容准入，比如非公司域名，禁止转换 账号绑定4管控需要做账号隔离 转换过需要做防止遍历措施 程不可逆Base62 转换1短链接需要足够短Contd设计阶段1.流量评估，URL 长度考虑，数据存储模型 2.SDL:是否有防止遍历的机制？实现阶段1.实现技术栈选型，编码实现规范 2.SDL：代码扫描，使用框架（包含开源）是否有已知漏洞？密钥是否硬编码，或者在环境变量上线运营阶段1.SDL:及时卡点，存在问题禁止上线，上线准入，需要具备 Web 防护能力。测试阶段1.测试环境被动扫描

7、,是否有通用 Web 漏洞，以及信息泄露2.是否有水平越权，以及被 DoS 的风险01020304货拉拉 SDL 效果一揽漏洞外部曝光比例降低65%外部上报漏洞占比全部漏洞的比例降低漏洞复发率降低 30%已知漏洞再次发生的占比降低 SDL 召回率 85%(漏洞总数-外曝漏洞数)/漏洞总数 回顾总结安全培训阶段安全培训到位需求阶段需求提出方需要及时对安全问题进行方案的修改实现前规避风险系统设计阶段需求提出者、系统设计者需要识别需求、设计方案是否存在安全问题研发阶段高危以上安全问题修复完成后，研发方才可发起提测需求实现后安全验收测试阶段高危以上安全问题修复完成后，测试方才可发布测试报告上线后应急响应闭环上线运营阶段高危以上安全问题修复完成后或安全评估缓解防护措施可以兜底，发布方才可发布发布计划，执行发布漏洞需按照漏洞管理规定时间完成修复 实现中降低风险