zoukankan      html  css  js  c++  java
  • 【笔记】网易微专业-Web安全工程师-05.WEB安全体系建设

    课程概述

    未知攻,焉知防?通过前面的课程我们掌握了各种攻击技巧,本课将教会大家如何在企业进行安全建设,达到知攻知防的境界,这也是各个公司最终需要的安全人才。

    课程大纲

    第一节.SDL介绍 

    第二节.漏洞和事件处理

    第三节.安全运营概述


    1. SDL介绍

    安全开发生命周期(Security Development Lifecycle)

    培训:核心安全培训

    需求:安全需求分析/质量要求,Bug数量/安全和隐私风险评估

    设计:设计需求分析/减小攻击面

    实施:使用指定工具/启用不安全函数/静态解析

    验证:动态分析/模糊测试/威胁模型和攻击面分析

    发布:事件响应计划/最终安全评析/发布存档

    响应:执行事情响应计划

    更多内容详见:https://www.microsoft.com/en-us/sdl

    2. 漏洞和安全处理

    2.1 发现安全问题:

    安全需求分析:项目初期接入,提前发现安全问题。如使用Web框架和语言的选型建议,敏感信息如密码的保存方案,是否有上传功能等等。

    漏洞处理:通过扫描器发现安全问题,自动化,周期性执行。

    事件处理:主要方式包括白盒测试和黑盒测试,通常以黑盒测试为主。

    入侵检测:项目上线之后进行监控,包含多种检测方式,通过监控入侵行为发现安全问题。

    日志分析:项目上线之后分析日志,通过分析日志发现安全问题。常见模式有可疑日志+人工分析,可疑日志+扫描器。

    建立SRC:安全应急响应中心,通过安全爱好者发现安全问题。

    与漏洞搜集平台合作:借助漏洞平台的力量和影响力,通过漏洞平台发现安全问题。

    其它渠道:黑产卧底,与执法部门合作等等。

    2.2 处理安全漏洞

    防御:输入检查(在服务端检查;数据合法性校验:类型、范围。长度;尽量使用白名单),输出清理(报错信息等);针对性防御(cookie采用httponly);WAF(Web Application Firewall)。

    修复:漏洞知识库(提供详细漏洞说明和修复方法,需要落地可执行),漏洞修复周期(需要有时间限制,根据漏洞危害等级限定漏洞修复周期),漏洞复查(需要安全团队复查,业务方和开发不可信)。

    2.3 安全事件处理

    分类:入侵/攻击/信息泄露

    分级:低危/中危/高危

    安全事件应急响应流程:事件确认,事件汇报,事件处理,归档和复盘。

      

    3. 安全运营概述

    发现和修复安全问题,防御体系建设和快速响应攻击,SDL落实推动

    如何落地?

    对内工作:安全扫描(周期性,定期检测保障安全),安全漏洞预警(关注重大漏洞和时间,提前部署防御方案,提前提供解决方案),应急响应,安全监控与入侵检测(通过监控发现安全问题,及时响应与处理)。

    对外工作结合:建立外部沟通渠道和流程(提供统一对外沟通的邮件和IM工具,提供安全相关的沟通群,提供外部反馈问题的网站),安全圈关系(了解著名安全公司和安全圈子,积极参加安全会议,积极融入安全圈进行合作),品牌建设(参加合作会议,举办安全会议,打造安全产品,成立安全实验室)。

  • 相关阅读:
    【vue开发问题-解决方法】(六)axios报错问题,Cannot read property 'protocol' of undefined
    【vue开发问题-解决方法】(五)vue Element UI 日期选择器获取日期格式问题 t.getTime is not a function
    【vue开发问题-解决方法】(四)vue Element UI使用中.$scopedSlots.default is not a function 报错
    【vue开发问题-解决方法】(三)axios拦截器,post请求问题处理,异步请求封装
    【vue开发问题-解决方法】(二)element UI日期控件失效RangeError:Maximum call stack size exceeded
    【vue开发问题-解决方法】(一)在style中设置background-image时路径问题
    异常分析
    如何理解spring MVC
    解决项目不编译4大clean
    java中的生产者模式
  • 原文地址:https://www.cnblogs.com/kplayer/p/8467740.html
Copyright © 2011-2022 走看看