अनुप्रयोग सुरक्षा प्रबंधक। डेवलपर या सुरक्षा?

किसी संगठन के अधिकांश सफल हमलों को सॉफ्टवेयर में कमजोरियों और बुकमार्क के माध्यम से लागू किया जाता है। सौभाग्य से, एक सॉफ्टवेयर भेद्यता स्कैनर पहले से ही कंपनियों द्वारा कुछ विदेशी के रूप में नहीं माना जाता है, लेकिन सुरक्षा बुनियादी ढांचे के एक आवश्यक तत्व के रूप में। यदि विकास के छोटे संस्करणों के साथ आप स्कैनर का उपयोग कर सकते हैं, तो जब वॉल्यूम बड़े होते हैं, तो आपको प्रक्रिया को स्वचालित करना होगा। लेकिन इसका प्रबंधन किसे करना चाहिए? निर्णय लें कि कितनी बार रिलीज की जाँच करें? भेद्यता सत्यापन? निर्णय लें कि क्या रिलीज को वीटो करना है और कमजोरियों को ठीक करने के लिए कोड भेजना है? और कई अन्य सवालों के जवाब दिए। यह वह जगह है जहाँ अनुप्रयोग सुरक्षा प्रबंधक, सुरक्षित सॉफ़्टवेयर विकास के प्रबंधक, सबसे आगे आता है।



लेकिन इस तरह के दुर्लभ पक्षी को खोजने के लिए या इसे खुद कैसे विकसित किया जाए? Artem Bychkov, Raiffeisenbank JSC में एप्लीकेशन सिक्योरिटी मैनेजर, और रोस्टेलेकॉम सोलर, सोलर ऐपसेंसर के प्रमुख डेनियल चेर्नोव ने रूसी कंपनियों में डेवलपमेंट प्रैक्टिस द्वारा निर्धारित एप्लिकेशन सिक्योरिटी मैनेजर की आवश्यकताओं का वर्णन किया है।

एप्लिकेशन सुरक्षा प्रबंधक कौन है

संगठन जल्द ही या बाद में टीम पर इस तरह के एक व्यक्ति को काम पर रखने की आवश्यकता की प्राप्ति के लिए आते हैं। विशेष रूप से, क्योंकि कंपनी में उपलब्ध कोई भी विशेषज्ञ इस भूमिका के लिए सीधे उपयुक्त नहीं है। डेवलपर्स? उनका कार्य अनुभव विशेष रूप से सॉफ्टवेयर के विकास के साथ जुड़ा हुआ है - उनके लिए आईएस जोखिमों में पाई गई कमजोरियों का अनुवाद करना बहुत मुश्किल है, और इससे भी अधिक व्यापार के लिए जोखिम। सुरक्षा गार्ड? विकास की पेचीदगियों में डूबना उनके लिए समस्याग्रस्त है: कमजोरियों को सत्यापित करने के लिए, किसी को विभिन्न भाषाओं में सॉफ़्टवेयर कोड को समझने में सक्षम होना चाहिए, जिसके लिए गंभीर विकास अनुभव की आवश्यकता होती है।

आइए उन कार्यों को देखें जो सुरक्षित विकास प्रक्रिया के कार्यान्वयन के दौरान उत्पन्न होते हैं, जिन्हें अनुप्रयोग सुरक्षा प्रबंधक (AFM) द्वारा संबोधित किया जाना है।

पाठक की राय हो सकती है कि एएफएम का काम पूरी तरह से सुरक्षा आवश्यकताओं के अनुपालन के लिए सॉफ्टवेयर विकास के सत्यापन से संबंधित है। लेकिन सिस्टम के जीवन चक्र के विभिन्न चरणों में सुरक्षा मुद्दे उत्पन्न होते हैं, डिजाइन से लेकर उत्पादन तक। एक सुरक्षित विकास चक्र (सॉफ्टवेयर सिक्योरिटी टचपॉइंट्स, एसडीएलसी और अन्य) के निर्माण के लिए विभिन्न मॉडल हैं और प्रक्रिया में इन प्रथाओं को एम्बेड करने के लिए विभिन्न तरीके हैं (उपयोग किए गए दृष्टिकोण के आधार पर - झरना, चुस्त)। लेकिन वे सभी प्रमुख बिंदुओं पर सहमत हैं: आपको सिस्टम के जीवन चक्र के सभी चरणों में सुरक्षा के बारे में सोचने की आवश्यकता है।

जाहिर है, अधिक या कम बड़ी परियोजना के ढांचे में, एक व्यक्ति को सभी चरणों में काम करने में सक्षम होने की संभावना नहीं है। यह दुर्लभ है कि कोई भी अकेले आवेदन सुरक्षा आवश्यकताओं को विकसित करने में सक्षम है, इसकी वास्तुकला की समीक्षा करें और विश्लेषकों के काम के परिणाम को सत्यापित करें, एक कोड सुरक्षा ऑडिट करें, सुनिश्चित करें कि परीक्षण के दौरान आवश्यक अनुप्रयोग सुरक्षा परीक्षण किए गए थे, और यह कि सिस्टम को सुरक्षित रूप से तैनात किया गया था और सही ढंग से कॉन्फ़िगर किया गया था। इसके अलावा, अक्सर इन गतिविधियों को विभिन्न टीमों और इकाइयों के प्रतिनिधियों द्वारा किया जाता है। पूरे तंत्र के लिए काम करना चाहिए जैसा कि इस प्रक्रिया का प्रेरक बल AFM होना चाहिए। एएफएम का कार्य सुरक्षित विकास प्रथाओं के कार्यान्वयन को सुनिश्चित करना है, या तो अपने दम पर या विशेष विशेषज्ञों को कुछ कार्यों को सौंपना। हालांकि, हमारे अभ्यास के आधार पर, एएफएम के लिए यह संभव नहीं है कि वे उन जिम्मेदारियों को कार्य सौंप दें और उनकी प्रशंसा पर आराम करें।

एएफएम के लिए क्या आवश्यकताएं हैं

सबसे पहले, उसे उस परियोजना को समझना आवश्यक है जो वह साथ देता है। यह फुर्तीली विकास में विशेष रूप से महत्वपूर्ण है, जब, झरना मॉडल के विपरीत, आपके पास रिलीज से पहले समीक्षा करने के लिए 2 महीने नहीं हैं। यह AFM पर निर्भर करता है, उदाहरण के लिए, डिजाइन चरण में गठित आवश्यकताओं को टीम द्वारा कैसे समझा जाएगा, वे वास्तुकला पर कैसे गिरेंगे, क्या वे आम तौर पर संभव हैं और क्या वे भविष्य में गंभीर तकनीकी समस्याएं पैदा करेंगे। सबसे अधिक बार, एएफएम मुख्य उपभोक्ता, दुभाषिया और स्वचालित उपकरणों और तीसरे पक्षों द्वारा किए गए ऑडिट की रिपोर्टों का मूल्यांकनकर्ता है। यह एएफएम है जो अप्रासंगिक और गलत परिणामों को फ़िल्टर करता है, जोखिमों का मूल्यांकन करता है, और अपवादों को प्रबंधित करने और प्रतिपूरक उपायों को विकसित करने की प्रक्रियाओं में भाग लेता है।



यहां एक जीवन उदाहरण है: एक ऑडिट या एक स्रोत कोड स्कैनर ने एक परियोजना में असुरक्षित हैश फ़ंक्शन (एमडी 5) के उपयोग का खुलासा किया। कंपनी की नीति औपचारिक रूप से जोर देती है कि इसका उपयोग नहीं किया जा सकता है, और विक्रेता 3 महीने में एक अधिक सुरक्षित और एक बड़ी राशि के साथ फ़ंक्शन को बदलने के लिए सहमत है। बारीकियों यह थी कि इस मामले में, टकरावों के खिलाफ हैश फ़ंक्शन की अस्थिरता प्रणाली की सुरक्षा को प्रभावित नहीं करती थी, क्योंकि फ़ंक्शन का उपयोग अखंडता की रक्षा के लिए नहीं किया गया था। इस मामले में औपचारिक दृष्टिकोण और दूसरे के साथ एक फ़ंक्शन के प्रतिस्थापन ने परियोजना को उत्पादक और महत्वपूर्ण लागतों में अनुचित रूप से विलंबित समय का नेतृत्व किया, जिससे सुरक्षा में शून्य लाभ हुआ।

दूसरे, पहले के अलावा, एएफएम को विभिन्न क्षेत्रों से ज्ञान होना चाहिए: आपको विकास प्रक्रियाओं और सूचना सुरक्षा के सिद्धांतों को समझने की आवश्यकता है। "कठिन कौशल" भी महत्वपूर्ण हैं, क्योंकि यह विशेष रूप से विशिष्ट विशेषज्ञों और स्वचालित उपकरणों के काम के परिणामों का मूल्यांकन करना बहुत मुश्किल है, यदि आप कोड को नहीं पढ़ सकते हैं, तो आप कमजोरियों के दोहन के संभावित तरीकों को नहीं समझते हैं। निश्चित रूप से, कई ऐसी स्थिति से सामना कर रहे थे जहां कोड विश्लेषण या पेंटेस्ट रिपोर्ट में एक महत्वपूर्ण भेद्यता दिखाई देती है, लेकिन डेवलपर्स इससे सहमत नहीं हैं (और, एक नियम के रूप में, वे भी एक सुरक्षित प्रणाली बनाना चाहते हैं) और संकेत देते हैं कि ऑडिटर इसे संचालित करने में असमर्थ थे। भेद्यता। कैसे मूल्यांकन करें कि एक समान स्थिति में कौन सही है? तकनीकी कौशल के बिना, उद्देश्य से विवाद को हल करना मुश्किल होगा। यदि सुरक्षित सॉफ़्टवेयर विकसित करने की प्रक्रिया बाहरी संगठन और / या सेवा मॉडल के अनुसार बनाई गई है, तो "तकनीकी" प्रथाओं के प्रदर्शन का मूल्यांकन कौन और कैसे करेगा?

एक और जीवन उदाहरण: एक नया विकास उपकरण पेश किया जा रहा है, इसके प्रदर्शन को एक संदर्भ परियोजना पर जांचा जाता है, जिसके बाद इसे वाणिज्यिक संचालन में स्थानांतरित किया जाता है। परियोजनाएं धीरे-धीरे इससे जुड़ी हुई हैं, एक सुंदर हरे रंग का डैशबोर्ड तैयार किया गया है ... और यहां एक सूचना सुरक्षा घटना होती है। जैसा कि यह पता चला है, प्रयुक्त "छेद" को गतिशील विश्लेषण के चरण में पता लगाया जाना चाहिए। लेकिन ऐसा नहीं हुआ, क्योंकि ... किसी ने नहीं देखा, लेकिन यह शीर्ष-अंत भेद्यता स्कैनर कैसे करता है, जो आमतौर पर उत्कृष्ट परिणाम उत्पन्न करता है, नए जावास्क्रिप्ट ढांचे का उपयोग करके एसपीए अनुप्रयोगों के साथ काम करता है। यह पता चला कि वह गतिशील रूप से जेनरेट किए गए प्रमाणीकरण फॉर्म को "देख" नहीं सकता है और आवश्यक जांच कर सकता है। और किसी ने भी इस पर ध्यान नहीं दिया, क्योंकि सब कुछ काम करता था। डेवलपर्स को इस ओर ध्यान आकर्षित करने के लिए स्कैनरों के कामकाज की बारीकियों में विस्तार करने की कोई आवश्यकता नहीं थी, और सुरक्षा टीमों ने वेब विकास के विभिन्न दृष्टिकोणों के बीच महत्वपूर्ण अंतर नहीं देखा।

ऐसा विशेषज्ञ कहां से लाएं

बाजार का अध्ययन करने वालों को एप्लिकेशन सुरक्षा विशेषज्ञों की भारी कमी का सामना करना पड़ा होगा। आमतौर पर, परिदृश्य इस प्रकार है: आंतरिक ग्राहक उम्मीदवार के लिए आवश्यकताओं को आकर्षित करते हैं और उन्हें कर्मचारियों को स्थानांतरित करते हैं। यदि आवश्यकताएं कठोर हैं, तो एक निशुल्क खोज के परिणामों के अनुसार, कंपनी शून्य उम्मीदवारों को प्राप्त करती है, क्योंकि तैयार विशेषज्ञ बहुत कम ही पोस्ट करते हैं जो सार्वजनिक डोमेन में फिर से शुरू होते हैं। यदि वे नौकरी बदलते हैं, तो यह सबसे अधिक आसानी से और स्वाभाविक रूप से मौजूदा संपर्कों के माध्यम से होता है। कैसे हो?

आप अन्य कंपनियों से एक पेशेवर को लुभाने की कोशिश कर सकते हैं, लेकिन यह रास्ता हमेशा विभिन्न कारणों से स्वीकार्य नहीं है। अधिक से अधिक बार, एएफएम आउटस्टाफिंग के लिए प्रतिस्पर्धाएं बाजार पर दिखाई देती हैं, जो आपको एक सेवा प्रदाता से विशेषज्ञों को किराए पर लेकर इस मुद्दे को सफलतापूर्वक बंद करने की अनुमति देती हैं।

लेकिन एक और विकल्प है। आप अपने पेशेवर को विकसित करने की कोशिश कर सकते हैं। दो क्षेत्रों के प्रतिनिधि इस भूमिका के लिए उपयुक्त उम्मीदवार हो सकते हैं:

1. विकास के लोग जो सुरक्षा के क्षेत्र में विकसित होना चाहते हैं या चाहते हैं;
2. तकनीकी गार्ड जो सॉफ्टवेयर विकास और सुरक्षा से परिचित हैं और इस विषय में गहराई से गोता लगाना चाहते हैं।

उन दोनों और अन्य उम्मीदवारों को लापता ज्ञान पैकेज में महारत हासिल करने की आवश्यकता होगी। उसी समय, विकास के लोग जो "रेफरी" की इच्छा रखते हैं, वे उन टीमों में मौजूदा संस्कृति और प्रक्रियाओं की बेहतर समझ रखेंगे। सूचना सुरक्षा से संबंधित ज्ञान के क्षेत्रों में महारत हासिल करने में उन्हें काफी समय लग सकता है। हालांकि, अनुभव से पता चलता है कि डेवलपर्स, परीक्षकों, विश्लेषकों और वास्तुकारों के बीच, आप सुरक्षा में रुचि रखने वाले लोगों को पा सकते हैं जिनके पास पहले से ही आवेदन सुरक्षा के क्षेत्र में ज्ञान का एक निश्चित सेट है। वे एएफएम नौकरी के लिए आदर्श उम्मीदवार हो सकते हैं।

व्यावसायिक सुरक्षा गार्डों को काम के आयोजन के लिए मौजूदा परिचित दृष्टिकोणों को बदलना, विकास टीमों में संस्कृति को अपनाना होगा। हालांकि, यदि कोई सुरक्षा विशेषज्ञ कोड लिखता है और विकास प्रक्रियाओं से परिचित है, तो वह टीम में जल्दी और सरलता से शामिल होगा।

कुल मिलाकर

विकास सुरक्षा नियंत्रण मुख्य रूप से एक व्यावसायिक प्रक्रिया है, जिसके सफल संचालन के लिए सभी टीम के सदस्यों का एक समन्वित संपर्क आवश्यक है। इस प्रक्रिया का "दिल" एक योग्य एएफएम है - यह दोनों इंस्पायर, और दिशात्मक इंजन, और कई कार्यों के निष्पादक, और नियंत्रण प्रबंधक, और कई अन्य हैं। सामान्य तौर पर, पाठक और रीपर, और दोस्त पाइप पर होते हैं। ऐसे विशेषज्ञ को खोजना या उठाना आसान नहीं है, लेकिन यदि आप सफल होते हैं, तो हर कोई खुश होगा।