刘国隆金融行业DevSecOps安全测试体系建设与实践.pdfVIP

金融行业DevSecOps安全测试体系

建设与实践

刘国隆华泰证券信息安全专家

注册信息隐私技术专家(IAPP-CIPT)、PMP，曾就职于华为技术有限公

司，拥有多年的安全和隐私保护从业经历。在SDL/DevSecOps、应

用安全设计、安全代码审计、WEB/移动安全测试、GDPR数据安全与

隐私保护等领域具有丰富的经验。目前主要专注于应用安全测试体系

建设、项目安全风险评估、DevSecOps落地、漏洞全生命周期运营与

管理等。

DevSecOps/SDL与安全评估

安全测试工具链

渗透测试与漏洞运营

总结

DevSecOps/SDL与安全评估

上医治未病

安全左移–DevSecOps/SDL让安全贯穿整个软件开发生命周期

根据英国的权威机构InformationSecurityForum的报告《ApplicationSecurity:BringOrdertoChaos》，通过对全球150名应用开

发决策者进行调查后发现，对应用安全的风险管理越早越经济--在运行阶段修复一个漏洞成本是在设计阶段修复同样问题的

成本的30倍。

修复漏洞成本

运行阶段：设计阶段=

30倍

ISF:ApplicationSecurity:BringOrdertoChaos

DevSecOps/SDL—软件安全开发生命周期

在设计、编码、构建、测试、发布、部署等软件开发生命周期各个阶段加入相应的安全活动，并启动安全质量门禁。

金融行业DevSecOps特点：存在大量外购产品、非标准化开发产品未接入DevOps流水线

安全评估流程1.0

通过安全评估流程，实现对软件安全开发生命周期管理

安全需求分源代码安全开源组件安黑盒安全扫生产环境部剩余风险评

架构评审安全设计渗透测试

析扫描全扫描描署验证级与接受

ppppppppp

ppppppp

ppppppp

pp

p

三叉戟—安全评估流程2.0

三叉戟核心功能：

1.轻量级威胁建模自动化

2.安全测试工具聚合集成与自动化

3.数据驱动应用安全风险管理

安全评估1.0安全评估2.0

轻量级威胁建模1.0

威胁建模的核心工作：通过对待建系统的分析，识别相关安全威胁，构建研发项目组必须实

现的安全需求来缓释和控制安全风险。

1.大量的工作需要人工介入

2.威胁分析易产生遗漏

安全评估调查问卷安全威胁库安全需求库安全需求基线

三叉戟—轻量级威胁建模2.0

通过三叉戟实现安全威胁建模自动化

三叉戟—轻量级威胁建模2.0

通过使用用户场景、关键技术架构、数据处理活动等关键因子构成的调查问卷，内嵌轻量级威胁建

模算法，构建相关安全需求，并映射相关安全验证活动

三叉戟—轻量级威胁建模2.0

调查问卷à安全需求分配à安全需求执行à安全需求验证

通过三叉戟可以减少大量的人工分析工作并减少误判

安全测试工具链