👨🏽‍🌾 👾 🔊 OWASP SAMM के साथ सुरक्षित विकास मानकों को लागू करने पर समय और प्रयास की बचत करें 🤳🏻 👨🏽‍🏭 🙌🏼

5 मार्च, 2020 को OZON कार्यालय में, OWASP समुदाय की मास्को शाखा की अगली बैठक हुई । ऐसा लगता है कि यह बहुत अच्छा निकला, लेकिन हाल ही में मीटिंग सामग्री के साथ एक संक्षिप्त रिपोर्ट हैबे पर प्रकाशित हुई । रिपोर्ट उसी पोस्ट में प्रस्तुत की गई है।oxdef।

OWASP परियोजनाओं के बारे में एक्सप्रेस रिपोर्टों की श्रृंखला को जारी रखते हुए, आज हम OWASP SAMM के बारे में बात करेंगे - सबसे महत्वपूर्ण सामुदायिक परियोजनाओं में से एक। वर्ष की शुरुआत में, इसका दूसरा संस्करण जारी किया गया था - और यह फ्रेमवर्क के बारे में अधिक बात करने का एक अच्छा कारण है।

यह क्या है?

SAMM का मतलब सॉफ्टवेयर एश्योरेंस मैच्योरिटी मॉडल है - और सही तरीके से इसका रूसी में अनुवाद करना मुश्किल है ( जैसे आईटी दुनिया से कई अंग्रेजी शब्द )। यह परियोजना एक सॉफ्टवेयर सुरक्षा मॉडल, एक ज्ञान का आधार और प्रलेखन ढांचा है जो एक सुरक्षित अनुप्रयोग विकास चक्र बनाने में मदद करता है। वास्तव में ऐसा क्या है जब आप किसी कंपनी में आते हैं या एस-एसडीएलसी के दृष्टिकोण से - "फेंग शुई के अनुसार" अपने व्यवसाय में सब कुछ करना चाहते हैं - उन सभी "नियंत्रणों" को लागू करने के लिए जिनके बारे में मैंने सुना था: एसएएसटी, डीएएसटी, अध्ययन और समझें कि कहां से शुरू करें और कहां से आगे बढ़ें।

OWASP SAMM सॉफ्टवेयर विकास में सूचना सुरक्षा के वर्तमान स्तर का मूल्यांकन करता है, और इसके आधार पर यह आपको एक पूर्ण कार्यक्रम बनाने की अनुमति देता है जिसे आप निर्दिष्ट समय सीमा के भीतर समझने योग्य चरणों में लागू कर सकते हैं, आपके पास कार्यान्वयन के लिए गतिविधियों और प्रथाओं की एक सूची होगी - यह एक विशाल प्लस है। इसकी तुलना एक पाठ्यपुस्तक से की जा सकती है जिसे आप खोल सकते हैं और अनुसरण कर सकते हैं।

OWASP SAMM में निम्नलिखित मॉड्यूल होते हैं

मॉडल का विवरण, एसडीएल के निर्माण का दृष्टिकोण;
प्रश्नावली एक बड़ी प्रश्नावली है, जिसके प्रश्नों का उत्तर देते हुए, आप समझ जाएंगे कि आप अब किस स्तर पर हैं। यह पोषित लक्ष्य को पाने के लिए एक योजना बनाएगा।
OWASP SAMM. , , . , — - , . , , .

आइए हम मॉडल पर ध्यान दें। इसमें व्यावसायिक कार्यों का एक सेट है: प्रबंधन, डिजाइन, वास्तुकला, विकास, सत्यापन और संचालन। पिछले संस्करण में चार व्यावसायिक कार्य थे, और नए संस्करण में 5। इन व्यावसायिक कार्यों के लिए तीन सूचना सुरक्षा प्रथाओं को लागू किया जाता है, जिन्हें लागू करने की आवश्यकता है, इनमें से प्रत्येक अभ्यास में दो और गतिविधियां हैं। केवल 30 गतिविधियां हैं जो आप लक्ष्य तक पहुंचने के लिए विभिन्न तरीकों से योजना बना सकते हैं, और इस मामले में पोषित लक्ष्य परिपक्वता स्तर को बढ़ाना है।

OWASP SAMM में परिपक्वता के तीन स्तर हैं। गतिविधियों का संयोजन, परिचय और उनका मूल्यांकन करके, आप नए स्तर पर जाने के लिए पुनरावृत्तियों और व्यावसायिक पुनरावृत्तियों को समझ सकते हैं। इससे आप लक्ष्य निर्धारित कर सकते हैं और वर्ष के लिए एक योजना बना सकते हैं, और उस पर आगे बढ़ सकते हैं, ताकि एक वर्ष के बाद आप किए गए कार्य की प्रभावशीलता का मूल्यांकन कर सकें।

बहुत सारी गतिविधियाँ हैं, जैसा आपने देखा। उदाहरण के लिए, "प्रशिक्षण" अनुभाग में, यह विस्तार से वर्णित है कि आप डेवलपर्स के ज्ञान के स्तर को बढ़ाने के लिए क्या कर सकते हैं, इसका मूल्यांकन कैसे करें और क्या यह अगले स्तर पर जाने के लिए पर्याप्त होगा। दोष प्रबंधन के बारे में एक अलग खंड है। यह हमेशा यह आकलन करने में सक्षम होता है कि कमजोरियों के साथ कितनी अच्छी या बुरी चीजें हैं और उनकी तुलना करें कि सूचना सुरक्षा के दृष्टिकोण से आपके उत्पाद में क्या हो रहा है, यह समझने के लिए उनका उपयोग कैसे किया जाता है: क्या सब कुछ व्यवस्थित रूप से समाप्त हो गया है और आगे भी कुछ है तो यह करो।

SAMM के साथ काम करें

आमतौर पर, सुरक्षित विकास प्रथाओं की शुरूआत खुद से पूछने से होती है: “लेकिन क्या मैं कंपनी में खाद्य सुरक्षा बना सकता हूँ? एस-एसडीएलसी लागू करें! " और इसके लिए तैयार हो जाएं: व्यापार, विकास, टीम के नेताओं के साथ संवाद करें कि क्या उन्हें इसकी आवश्यकता है।

अगला चरण वर्तमान स्थिति का आकलन है। प्रश्नावली आपको बड़ी संख्या में लोगों से एक कंपनी में सुरक्षा जानकारी एकत्र करने की अनुमति देती है। जितना अधिक होगा, उतना बेहतर डेटा वास्तविकता को प्रतिबिंबित करेगा।

यहां आपके पास वर्तमान स्थिति का आकलन है। अब आप समझते हैं कि आपको कहाँ जाना है और किस उद्देश्य से जाना है। इस स्तर पर, आप लक्ष्यों को देखते हैं और एक योजना बनाते हैं, और प्रस्तावित प्रश्नावली आपको इसे एक महीने से एक साल तक के चरणों में हल करने में मदद करेगी।

और फिर मज़ा शुरू होता है - सीधे नियंत्रण प्रक्रियाओं को लागू करना, उदाहरण के लिए, एक ही SAST ( प्रदर्शन मेट्रिक्स के बारे में तुरंत सोचना मत भूलना )। और अंत में, आप रोल आउट हो जाते हैं - यह आपके कदमों के बाद की कार्रवाई का एक प्रकार है। इस स्तर पर, आप समझते हैं कि आपने जो कुछ भी सोचा है और पेश किया है, सबसे पहले, काम करता है, और, दूसरी बात, यह ध्यान देने योग्य है, कम से कम "व्यापार-भागीदारों" और आपके लिए भी।

इस बिंदु पर, आप ताकत हासिल करने और अगले स्तर पर जाने के लिए एक ब्रेक ले सकते हैं। और पूरा चक्र नए सिरे से शुरू होता है - ऐसे पुनरावृत्तियों के साथ आप एस-एसडीएलसी का निर्माण करेंगे।

जैसा कि मैंने शुरुआत में कहा था, जब आप किसी कंपनी में S-SDL या SDLC लागू करने जा रहे हैं, तो सबसे आम सवाल यह है: "कहां से शुरू करें?"। यहां यह महत्वपूर्ण है कि जब भी आप ऐसा करने जा रहे हैं, तो आपके पास मौका है कि आप पहले SAST को लागू करने से परेशान न हों, खुद को गाइड करें या प्रशिक्षण आयोजित करें - बस एक औपचारिक ढांचा तैयार करें और उस पर अपनी रणनीति बनाएं और परिणामस्वरूप बनाएं आपके अनुप्रयोगों के विकास के लिए सूचना सुरक्षा सॉफ्टवेयर। इसके साथ, OWASP SAMM आपकी मदद करेगा।

प्रशन:

- क्या आप हमें OWASP SAMM को लागू करने के अपने अनुभव के बारे में बता सकते हैं?

- OWASP SAMM के बारे में, मैंने कुछ साल पहले ही सीखा था। पिछली परियोजनाओं में हमने जो कुछ भी किया वह अनुभव के आधार पर एक कूबड़ पर था। एसएएमएम में, सब कुछ लिखा है, और सबसे महत्वपूर्ण बात - औसत दर्जे का है। अंत में, आप यह समझने में सक्षम होंगे कि आप प्रभावी रूप से परिवर्तन को कैसे लागू कर रहे हैं। ओजोन में, हमने प्रशिक्षण और सूचना सुरक्षा की संस्कृति पर एक सेक्शन लिया और उसके आधार पर हमने कई प्रक्रियाएँ तैयार कीं: प्रशिक्षणों का आयोजन किया, प्रश्नावली और सूचना सुरक्षा पर परीक्षण के माध्यम से नए कर्मचारियों का संचालन करना शुरू किया, विभिन्न गतिविधियों का संचालन किया, जिससे हमारे सिर में सूचना सुरक्षा का स्तर बढ़ गया। भविष्य में, हम अन्य मॉड्यूल से गुजरेंगे।

- क्या मुझे परियोजना प्रबंधकों के लिए प्रशिक्षण प्रदान करने की आवश्यकता है ताकि वे समझें कि एस-एसडीएलसी क्या है?

- परिपक्वता के विभिन्न स्तरों पर OWASP SAMM में प्रशिक्षण के विकास की उम्मीद की जाती है। पहले स्तर पर, उदाहरण के लिए, आप एक आंतरिक पोर्टल बनाते हैं जहाँ आप उपयोगी संसाधनों के लिंक पोस्ट करते हैं। अगले स्तर पर - विशेष प्रशिक्षण और मार्गदर्शिकाएँ बनाएँ। हमारे आंतरिक पोर्टल में लक्ष्य समूहों के लिए अलग-अलग मार्गदर्शिकाएँ हैं: डेवलपर्स, प्रबंधक, क्यूए। तीसरे स्तर पर, गुणवत्ता को मापने और यह समझने की आवश्यकता है कि सभी ने कितनी अच्छी तरह से सामग्रियों और गाइडों का अध्ययन किया है - शायद किसी को सूचना सुरक्षा परीक्षण के एक निश्चित स्तर के बिना विशेष रूप से महत्वपूर्ण परियोजना में अनुमति नहीं दी जानी चाहिए। हमने इन सभी स्तरों को पारित किया और लगभग तुरंत तीसरे में पारित कर दिया।

— , , . , , , ?

- मैं यह नहीं कह सकता कि SAST की प्रभावशीलता की तुलना में प्रशिक्षण की आवश्यकता को साबित करना आसान है। सूचना सुरक्षा की प्रभावशीलता एक बड़ी संख्या के लिए एक विषय है जिसमें संख्या, मैट्रिक्स, ग्राफ़ शामिल हैं। पहले स्तर पर, यह अच्छी तरह से पर्याप्त हो सकता है कि आपके पास आंकड़े हों, उदाहरण के लिए, आपके डेवलपर्स के लिए औसत स्कोर के अनुसार। विशेष रूप से महत्वपूर्ण सेवाओं के लिए, इस बार को बढ़ाया जा सकता है। और साबित करने के लिए, यह मुझे लगता है, यह आसान होगा, क्योंकि नेतृत्व को दिखाना संभव होगा: सूचना सुरक्षा के क्षेत्र में डेवलपर्स का ज्ञान बढ़ रहा है, क्योंकि सही उत्तरों की संख्या का एक मीट्रिक है। कई बड़ी कंपनियों में आंतरिक CTF आयोजित करने की प्रथा है - यदि आप देखते हैं कि प्रतियोगिता में बहुत सारे लोग भाग लेते हैं, हर कोई दिलचस्पी रखता है और प्रतिभागियों की संख्या साल-दर-साल बढ़ती है, इसका मतलब है कि ज्ञान का स्तर बढ़ रहा है।जैसा कि सभी सूचना सुरक्षा में है, यहां कोई भी मीट्रिक नहीं है - यह हमेशा संकेतक का एक सेट है जिसके द्वारा आप कुछ क्षेत्रों में गतिशीलता दिखाने के लिए नेविगेट कर सकते हैं।

- क्या यह प्रणाली बहुत जटिल है? क्या इससे काम शुरू करने वाले की आंखें नहीं छिटकेंगी? शायद आपको पहले खुद से कुछ करने की कोशिश करनी चाहिए, और फिर OWASP की ओर रुख करना चाहिए?

- खुद काफी लंबा हो जाएगा। ओडब्ल्यूएएसपी एसएएमएम दृष्टिकोण के अधिक औपचारिक ( असंतुष्ट ) का उपयोग करते हुए , आप अन्य कार्यों के लिए समय खाली कर सकते हैं और यह पता नहीं लगा सकते हैं कि पहले क्या करना है और किन नंबरों से अपने आप को और प्रबंधन को साबित करना है कि काम प्रभावी है। इस मामले में, हम OWASP SAMM लेते हैं और इसके आधार पर हम अपना कार्यक्रम बनाते हैं। यह आपको कम से कम शुरुआत में तेजी लाने की अनुमति देता है, और अनुभव प्राप्त करने में समय बर्बाद नहीं करता, शंकु और इस तरह उठाता है।

OWASP SAMM के साथ सुरक्षित विकास मानकों को लागू करने पर समय और प्रयास की बचत करें

यह क्या है?

SAMM के साथ काम करें

प्रशन:

More articles: