समय और नसों को बचाने के लिए विकास की सुरक्षा कैसे सुनिश्चित करें

बैंकों, खुदरा, चिकित्सा और उत्पादन और सेवाओं की अन्य महत्वपूर्ण शाखाओं के डिजिटल खंड में संक्रमण ने कई सुरक्षा खतरों को उकसाया है। आज, दुनिया भर में, हमलावरों की गतिविधि बढ़ रही है, और उपयोगकर्ता और कॉर्पोरेट डेटा को चोरी और जानबूझकर नुकसान से बचाने के मुद्दे पेशेवरों द्वारा चर्चा का विषय बन रहे हैं।

व्यवसाय और आईटी के लिए विकास प्रक्रिया में सुरक्षा को एकीकृत करना सही कैसे है, इसके लिए कौन से उपकरण का उपयोग किया जाता है, यह सब वास्तविक कार्यान्वयन अभ्यास पर कैसे पड़ता है। हम रोस्टेलकॉम, एम। वीडियो-एल्डोरैडो, डीडी प्लैनेट, एजीआईएमएए के दृष्टिकोण को साझा करते हैं।

यरोस्लाव अलेक्जेंड्रोव, विकास के प्रमुख, सौर appScreener रोस्टेलेकॉम में, विकास के लिए SAST को एकीकृत करने के तरीके पर

कंपनी के विकास और डेवलपर्स की संख्या में वृद्धि के साथ, कमजोरियों के लिए उत्पाद की जांच करना "मैन्युअल रूप से" मुश्किल हो रहा है। आपको SAST - स्टेटिक एप्लिकेशन सिक्योरिटी टेस्टिंग (Static Application Security टेस्टिंग) का उपयोग करना होगा। सोलर ऐपसेंसर में, आंतरिक उत्पाद के आधार पर सूचना सुरक्षा का निर्माण किया जाता है। उत्पाद स्रोत कोड का विश्लेषण करता है। आज, 26 प्रोग्रामिंग भाषाओं का समर्थन किया जाता है, जिसके स्रोत का भेद्यता का विश्लेषण किया जा सकता है, और सभी लोकप्रिय प्रारूपों और परियोजना प्रबंधन प्रणालियों का समर्थन करता है।

SAST का चयन कैसे करें?

यहां तक ​​कि एक साधारण भेद्यता को आदिम एल्गोरिदम का उपयोग करके नहीं पाया जा सकता है। आज बाजार में भुगतान और मुफ्त दोनों में बहुत सारे समाधान हैं। उनमें से सबसे लोकप्रिय हैं आईबीएम सिक्योरिटी, सिनोप्सिस, वेराकोड, एप्लिकेशन इंस्पेक्टर, माइक्रो फोकस, ऐपर्कुट, चेकमार्क से ऐपस्कैन।

विकास प्रक्रिया की प्रभावशीलता उपकरण की पसंद पर निर्भर करती है। सशुल्क समाधान के मुख्य लाभ:

• सुरक्षा पर ध्यान दें: विशिष्ट एल्गोरिदम और बड़े नियम आधार।
• कई प्रोग्रामिंग भाषाओं के लिए समर्थन।
• उपयोगकर्ता के अनुकूल इंटरफेस।
• प्लगइन्स और एपीआई की उपलब्धता।
• उपकरण के लिए तकनीकी सहायता की उपलब्धता।

नि: शुल्क उपकरण और वेब इंटरफेस अक्सर भुगतान वाले लोगों से नीच होते हैं, क्योंकि उनमें सरल एल्गोरिदम होते हैं, और नियम आधार कम पूर्ण होते हैं। उनका मुख्य कार्य कोड में त्रुटियां खोजना है। ऐसे समाधानों की विशेषज्ञता और कार्यक्षमता आमतौर पर बहुत संकीर्ण होती है।

एक बार SAST समाधान का चयन करने के बाद, आपको इसे विकास प्रक्रिया में एकीकृत करना होगा। एकीकरण विकल्प में शामिल हो सकते हैं: रिपॉजिटरी, विकास वातावरण, CI / CD सर्वर, टास्क ट्रैकिंग सिस्टम में टूल को एम्बेड करना। एक अच्छा उपकरण सफलतापूर्वक सिस्टम के सभी सूचीबद्ध वर्गों में एकीकृत कर सकता है।

नोट : खुले SAST API में JSON API और CLI शामिल हैं और अतिरिक्त एकीकरण और स्वचालन के लिए पर्याप्त अवसर प्रदान करता है।

उपकरण का चयन करने के लिए जो कि पूरी तरह से डेवलपर के लक्ष्यों और उद्देश्यों को पूरा करता है, आपको उनकी कार्यात्मक तुलना और गुणवत्ता में तुलना करने की आवश्यकता है।

एक कार्यात्मक तुलना कई मापदंडों के अनुसार की जाती है: वे इंटरफ़ेस की सुविधा और अपने स्वयं के उपकरणों के साथ एकीकरण की सुविधा का विश्लेषण करते हैं। उसी समय, अपने स्वयं के कोड पर सत्यापन करना महत्वपूर्ण है।

अगला चरण एक गुणवत्ता तुलना है: वे अपने स्वयं के कोड के संबंध में कमजोरियों और झूठी सकारात्मकता का विश्लेषण करते हैं।

कोड विश्लेषण की बारीकियां और सूक्ष्मता

जितनी जल्दी एक भेद्यता मिलती है, उतना ही सस्ता यह डेवलपर और ग्राहक के लिए होता है। इसका मतलब यह है कि विकास प्रक्रिया के दौरान कमजोरियों के लिए उत्पाद को समय-समय पर जांचना चाहिए और रिलीज से पहले नियंत्रण जांच करनी चाहिए।

गति और संसाधन : यह आमतौर पर उम्मीद की जाती है कि उपकरण जल्दी से काम करेगा; हर बदलाव पर दौड़ो; मक्खी पर दिखाओ कि किसने और कब भेद्यता का परिचय दिया। वास्तव में, एसएएसटी कम से कम 8 घंटे के लिए कोड का विश्लेषण करता है, इसे हर बदलाव पर चलाना मुश्किल है; भेद्यता के लेखक की पहचान करना मुश्किल है; झूठी सकारात्मकता होती है। तो, सवाल उठता है: DevSecOps को कैसे कॉन्फ़िगर करें।

यह यहाँ बहुत महत्वपूर्ण है:

• अपने कोड का विश्लेषण करने के लिए समय और संसाधनों की गणना करें।
• परिणामों के आधार पर स्कैन को ट्रिगर करने के लिए ट्रिगर को पहचानें।
• ध्यान रखें कि शक्ति को समय-समय पर पुनर्गणना करने की आवश्यकता होगी।
• वृद्धिशील विश्लेषण का उपयोग करना बेहतर है, लेकिन यह सावधानी के साथ किया जाना चाहिए, क्योंकि कमजोरियां खो सकती हैं।

उदाहरण के लिए, आप SAST का उपयोग करके परीक्षण चला सकते हैं जब कोई डेवलपर समीक्षा के लिए कोई कार्य सबमिट करता है। आप कार्य दिवस के अंत में स्कैन करना भी शुरू कर सकते हैं।

एक अन्य समस्या झूठी सकारात्मक है और रिपोर्ट में कई कमजोरियों के बारे में जानकारी प्राप्त करना है। इस मामले में, डेवलपर की सिफारिश की जाती है: भेद्यता और फ़ाइल द्वारा स्थिर विश्लेषक में फ़िल्टर करने के लिए। आप पुस्तकालयों को बाहर कर सकते हैं, आलोचनात्मकता का विश्लेषण कर सकते हैं, कुछ मापदंडों के लिए अपवाद जोड़ सकते हैं। यह केवल एक बार ऐसा काम करने के लिए पर्याप्त है, ताकि भविष्य में झूठी सकारात्मक के बारे में जानकारी रिपोर्टों में न आए। यह सुनिश्चित करना भी महत्वपूर्ण है कि कोई नई भेद्यता प्रकट न हो और पृष्ठभूमि में मौजूदा भेद्यता डेटाबेस को धीरे-धीरे अलग करें।

जब एसएएसटी को विकास प्रक्रिया में एकीकृत करने पर काम किया जाता है, तो रिलीज को अवरुद्ध किए बिना धीरे-धीरे प्रक्रियाओं को लागू करना महत्वपूर्ण है। प्रक्रिया प्रवाह निम्नानुसार हो सकता है:

• उपकरण चयन।
• प्रक्रिया का विवरण (नियमों का निर्माण)।
• तकनीकी समाधान का विवरण।
• कार्यान्वयन का काम।
• परीक्षण संचालन।

सबसे महत्वपूर्ण प्रणालियों के साथ शुरू करना बेहतर है: नई कमजोरियों को खत्म करना, डिजाइन का संचालन करना, नियमों को लागू करना और तकनीकी समाधान करना महत्वपूर्ण है।

नियमों को आवश्यक रूप से इंगित करना चाहिए:

• कमजोरियों के लिए कोड की जाँच करने के लिए कदम।
• स्कैन शुरू करने के लिए जिम्मेदार।
• भूमिकाएं और परिणाम।
• संचार प्रक्रिया कैसे स्थापित होगी।
• सेवा स्तर का समझौता।
• प्रक्रिया नियंत्रण के लिए जिम्मेदार।
• प्रक्रिया में नई प्रणालियों को जोड़ने का क्रम।

यह दृष्टिकोण एक कैलेंडर वर्ष में विकास प्रक्रिया में SAST के कार्यान्वयन की अनुमति देता है। सभी परिवर्तनों और जोखिमों पर विचार करना महत्वपूर्ण है।

अंतिम सिफारिशें:

• विकास के हर चरण में SAST का उपयोग करें।
• अपने कोड और अपनी प्रक्रिया के लिए अनुकूली अनुकूलन।
• नई कमजोरियों को ठीक करके शुरू करें।
• पुरानी कमजोरियों को धीरे-धीरे खत्म करें।
• SAST के आधार पर एक प्रक्रिया बनाएं।
• रिलीज पर कोई प्रभाव नहीं, धीरे-धीरे तैनात करें।

व्लादिमीर सैडोव्स्की, एक सुरक्षित प्रोग्रामिंग प्रक्रिया का निर्माण करने के तरीके पर M.Video-Eldorado सूचना सुरक्षा हादसा निगरानी और प्रतिक्रिया टीम के प्रमुख

सुरक्षित प्रोग्रामिंग की अवधारणा के पीछे मूल विचार व्यवसाय की मदद करने के लिए नीचे आता है; प्रक्रियाओं में तेजी लाने; उत्पाद में कमजोरियों से जुड़ी समस्याओं के जोखिमों को कम करें।

सुरक्षा के लिए क्लासिक दृष्टिकोण की कल्पना इस प्रकार की जा सकती है:



इसकी मुख्य समस्या सुरक्षा की उच्च लागत से संबंधित है जो सुरक्षा सुनिश्चित करने के लिए आवश्यक है। इसके अलावा, डेटा एन्क्रिप्शन प्रोटोकॉल, एकीकरण बसों के हस्तांतरण प्रोटोकॉल का एन्क्रिप्शन, और इसी तरह प्रदान करना महत्वपूर्ण है।

ई-कॉमर्स साइटों के लिए, उन्हें कई अन्य लोगों की तुलना में अधिक बार हमला किया जाता है। इस तरह के हमलों के उद्देश्य एक निश्चित वित्तीय लाभ प्राप्त करने (कार्यक्रम को धोखा देने और मुफ्त में महंगे सामान खरीदने), या ग्राहकों के निजी डेटा को जब्त करने का प्रयास है। दुर्भाग्य से, जबकि क्लासिक भेद्यता स्कैनर का उपयोग करके कुछ समस्याओं को बंद नहीं किया जा सकता है। उदाहरण के लिए, यदि एप्लिकेशन में फिंगरप्रिंट ऑथराइजेशन स्कैनर है, तो एक भी स्थैतिक विश्लेषण एप्लिकेशन में ऐसी कार्यक्षमता की गलतता नहीं दिखाएगा। इससे एप्लिकेशन के उपयोगकर्ता खातों में घुसपैठियों के प्रवेश से संबंधित घटनाओं का जोखिम बढ़ जाता है। इसी समय, रिटेलर के आवेदन को जितना करीब से जारी किया जाएगा, वह कमजोरियों और बगों को ठीक करने के लिए उतना ही महंगा होगा।

ईकॉमर्स प्लेटफ़ॉर्म के लिए कोड सुरक्षा परीक्षण टूल का उपयोग करने की योजना निम्नानुसार दिखाई दे सकती है:



यह स्पष्ट रूप से दिखाता है कि कौन सी टीम एक विशेष एप्लिकेशन कार्यक्षमता के कार्यान्वयन में शामिल थी। यदि कोई त्रुटि या भेद्यता का पता चला है, तो कार्यक्षमता इस विशेष टीम को अंतिम रूप देने के उद्देश्य से होगी। नतीजतन, कीड़े और समस्याओं को ठीक करने में लगने वाला समय कम हो जाता है, क्योंकि प्रत्यक्ष डेवलपर्स अपने कोड को बेहतर तरीके से जानते हैं।

अगला, अंतिम परीक्षण लॉन्च किया जाता है, जिसके दौरान अंतिम उत्पाद के पूरे कोड का विश्लेषण किया जाता है और अवशिष्ट कीड़ों को "साफ" किया जाता है।

खुदरा सुरक्षा खतरे

खुदरा के लिए मुख्य ड्राइवर बिक्री है - चाहे वह ऑफ़लाइन स्टोर, इंटरनेट, मार्केटिंग, ग्राहक डेटाबेस हो। सब कुछ संभव के रूप में उपयोगकर्ता के करीब होने के उद्देश्य से है। इसके अलावा, आधुनिक रिटेल omnichannel का उपयोग करके अपने उत्पादों को बेचने का प्रयास करता है; विभिन्न विपणन अभियान और कार्यक्रम शुरू करता है। यह सब न केवल उपभोक्ताओं के लिए, बल्कि घुसपैठियों के लिए भी दिलचस्प है। एक अतिरिक्त सुरक्षा मूल्यांकन यहां दिखाई देता है - संभावित नुकसान। विश्लेषण साइट पर कीड़े, तार्किक त्रुटियों और क्लासिक सुरक्षा समस्याओं की पहचान करने के लिए डिज़ाइन किया गया है जिससे वास्तविक उपभोक्ता बाद में पीड़ित होते हैं।

यह समझना भी महत्वपूर्ण है कि संभावित क्षति परीक्षण चरण से शुरू होती है। ऐसा होता है कि यह जिस वातावरण में उत्पन्न होता है, वह उत्पादक के साथ गहराई से एकीकृत होता है, इसलिए परीक्षण चरण के दौरान किए गए परिवर्तन घटनाओं और समस्याओं का कारण बन सकते हैं। इससे बचने के लिए, विकास की शुरुआत से पहले एक प्रक्रिया मानचित्र विकसित करना और उचित उपाय करना महत्वपूर्ण है।

यदि एक बाहरी ठेकेदार विकास में शामिल है, तो यह आकलन करना महत्वपूर्ण है कि क्या यह आवश्यक सुरक्षा आवश्यकताओं को पूरा करने में सक्षम है। इसके लिए, इंटरनेट सुरक्षा के संदर्भ में डेवलपर्स की क्षमता और निष्पादन कंपनी के स्तर का नियमित आकलन करना आवश्यक है। अनुबंध में डेवलपर्स के प्रमाणीकरण के लिए अंक शामिल होने चाहिए; रिकॉर्ड जो त्रुटियों के लिए जिम्मेदार है जिसने क्षति का कारण बना। विकास टीमों को नियमित रूप से प्रशिक्षित करना और व्यापक बौद्धिक संपदा संरक्षण प्रदान करना महत्वपूर्ण है।

एक्सेस कंट्रोल प्रदान करना, विश्वसनीय वातावरण व्यवस्थित करना और निगरानी और डेटा रिसाव की रोकथाम के उपकरणों को कॉन्फ़िगर करना भी बहुत महत्वपूर्ण है। हमें सुरक्षित प्रोग्रामिंग के लिए विस्तृत आवश्यकताओं और नीतियों को भी तैयार करना होगा, ओपन सोर्स और बाहरी पुस्तकालयों के सभी संस्करणों को ठीक करना होगा।

डिजाइन चरण में, यह एक परिदृश्य दृष्टिकोण का उपयोग करने, एक खतरे का मॉडल बनाने और कई चरणों में जोखिम विश्लेषण करने के लिए समझ में आता है। जब कोई नया कार्य डेवलपर्स के पास आता है, तो यह समझना महत्वपूर्ण है कि व्यावसायिक प्रक्रियाओं को क्या प्रभावित करता है और व्यावसायिक आवश्यकताओं के स्तर पर संभावित धोखाधड़ी परिदृश्यों के संदर्भ में पहल का मूल्यांकन करेगा। प्रत्येक जोखिम को तीन संभावनाओं के ढांचे में माना जाता है: आशावादी मूल्यांकन, औसत और निराशावादी। बॉट को साइट या एप्लिकेशन पर भेजा जाता है। उनका हर दसवां हिस्सा दुर्भावनापूर्ण है। तीन परिदृश्यों के आधार पर, व्यवसाय को संभावित नुकसान की गणना की जाती है।

विभिन्न स्थिर और गतिशील विश्लेषक हैं जो आपको समस्याओं की पहचान करने और उन्हें समय पर ठीक करने की अनुमति देते हैं। आईटी विभाग का कार्य यह सत्यापित करना है कि तकनीकी आवश्यकताओं के दृष्टिकोण से कोड श्रृंखला सही ढंग से काम करती है। सुरक्षा विभाग का कार्य सुरक्षा कमजोरियों के लिए कोड की जांच करना है।

व्यावसायिक तर्क में सुरक्षा भेद्यता की खोज निम्नलिखित पहलुओं को उबालती है:

• अनुप्रयोगों का परीक्षण करते समय सुरक्षा स्व-परीक्षणों का कार्यान्वयन।
• महत्वपूर्ण व्यावसायिक प्रक्रियाओं और एकीकरण के संदर्भ में एक स्थैतिक विश्लेषक के लिए पोशाक नियम बनाना।
• संशोधित कोड के कुछ हिस्सों के मैनुअल विश्लेषण, एक कार्यात्मक के संदर्भ में जिसमें जोखिम के आधार पर उच्च जीवन शक्ति है।
• कोड में बुकमार्क खोजने की प्रक्रिया, बाहरी पुस्तकालयों की आवधिक ऑडिट।

सभी सुरक्षा मुद्दों को कोड और विकास स्तर पर समाप्त नहीं किया जा सकता है। सुरक्षा विभाग का कार्य कमजोरियों और घटनाओं के प्रबंधन के लिए एक प्रभावी प्रक्रिया का निर्माण और स्थापना करना है। ऐसा करने के लिए, आपको उपयोगकर्ता के व्यवहार का लगातार विश्लेषण करने, उन्हें प्रोफाइल करने, व्यवहार की निगरानी करने की आवश्यकता है। यदि यह व्यवसाय के सामान्य पैटर्न से भटकता है, तो आपको इसे एक घटना के रूप में विचार करना होगा और तुरंत जवाब देना होगा।
उपयोगकर्ता व्यवहार का विश्लेषण करने में मदद करता है:

• बिग डेटा के साथ काम करना और असामान्य व्यवहार और असामान्यताओं के मॉडल का निर्माण करना।
• जेएस लिपियों की निगरानी और ऑडिट की प्रक्रिया। आधुनिक साइटें जेएस लिपियों के बिना काम नहीं करती हैं। अक्सर वे बाहरी संसाधनों से लोड होते हैं। इसलिए, उनकी कार्यक्षमता को समझना महत्वपूर्ण है, और साइट के लिए जेएस-स्क्रिप्ट किस तरह का खतरा है।
• एनालिटिक्स सेवाओं और मैट्रिक्स Google और Yandex के आधार पर कमजोरियों के लिए खोजें।
• संपूर्ण रूप से परियोजना का नियमित सुरक्षा परीक्षण।
• नई कमजोरियों की पहचान करने के लिए बग बाउंटी का उपयोग करना।
• अनुप्रयोगों की सुरक्षा और समस्याओं का प्रभावी ढंग से जवाब देने के लिए WAF एकीकरण।

नए असामान्य मामलों की पहचान करने के लिए डेटा को लगातार एकत्र करना और विश्लेषण करना महत्वपूर्ण है।

दिमित्री निकुलेव, डीडी प्लैनेट - वेब और मोबाइल सेवाओं के उपयोगकर्ताओं के डेटा की सुरक्षा कैसे करें

डीडी प्लैनेट में सुरक्षित प्रोग्रामिंग कई सिद्धांतों पर आधारित है। इनमें से पहली विश्वसनीयता है। उत्पाद का प्रदर्शन अनुमानित, सही और परेशानी रहित होना चाहिए। भले ही प्रारंभिक डेटा गलत तरीके से दर्ज किया गया था (गलती से या जानबूझकर किसी उत्पाद पर हमले के हिस्से के रूप में)।

दूसरी है सुरक्षा। उनके प्रतिबिंब और उन्मूलन के बाद बाहरी खतरों, हमलों और संचालन को बनाए रखने की क्षमता।

तीसरा है निजता। व्यक्तिगत डेटा के साथ सुरक्षित और सही काम सुनिश्चित करना। एंटरप्राइज़ और कस्टम एप्लिकेशन विकसित करते समय यह महत्वपूर्ण है।

उदाहरण के लिए, Zhivu.RF सेवा, डीडी प्लैनेट द्वारा विकसित और समर्थित, पड़ोसियों के लिए एक निजी सामाजिक नेटवर्क है और इसमें बहुत सारे व्यक्तिगत डेटा शामिल हैं। सार्वजनिक सेवाओं की मदद से उपयोगकर्ता प्रोफ़ाइल की पुष्टि की जाती है, और एक विशिष्ट पते (पड़ोस) से संबंधित है - रोसेरेस्ट्रा से यूएसआरएन निकालें। यह व्यक्तिगत जानकारी की सुरक्षा से संबंधित डेवलपर के गंभीर दायित्वों पर लागू होता है।

उपयोगकर्ता डेटा का भंडारण और प्रसंस्करण

हम सभी व्यक्तिगत डेटा को ISPDn (व्यक्तिगत डेटा सूचना प्रणाली) में संग्रहीत करते हैं। वे एक सुरक्षित आईटी बुनियादी ढांचे के साथ एक अलग आभासी नेटवर्क में निहित हैं। घुसपैठ का पता लगाने वाले उपकरण, एक सुरक्षा विश्लेषण और भेद्यता खोज सर्वर, साथ ही एक बैकअप सर्वर को वर्चुअल नेटवर्क में एकीकृत किया जाता है।

कमजोरियों की पहचान करने के लिए, हम "मैनुअल दृष्टिकोण" का उपयोग करते हैं और विशेषज्ञ विश्लेषण पर भरोसा करते हैं। यह सिद्धांत किसी भी स्वचालित उपकरण का उपयोग नहीं करता है: अनुसंधान एक अनुभवी विशेषज्ञ द्वारा किया जाता है, और कमजोरियों की पहचान करते समय, वह अपने ज्ञान पर ध्यान केंद्रित करता है। यह स्पष्ट है कि इस तकनीक में बहुत समय लगता है और कंपनी में उच्च योग्य विशेषज्ञों की उपस्थिति की आवश्यकता होती है। हालांकि, सत्यापन के दौरान डेटा कवरेज की सटीकता और पूर्णता के संदर्भ में इसे सबसे प्रभावी माना जाता है।

सही उत्पाद के लिए लड़ाई में गंभीरता

ग्राहक विकास में, समय पर रिलीज करना महत्वपूर्ण है, जबकि आवेदन बग मुक्त होना चाहिए और उपयोगकर्ताओं की सुरक्षा की गारंटी होनी चाहिए। इस सिद्धांत का अनुसरण करते हुए, उत्पाद परीक्षण के दौरान, हम प्राथमिकता - गंभीरता द्वारा कार्यों के मूल्यांकन के सिद्धांत का उपयोग करते हैं। यही है, हम दोष के उत्पाद पर नकारात्मक प्रभाव की डिग्री के आधार पर कीड़े को खत्म करने के लिए सभी कार्यों को रैंक करते हैं।

डीडी ग्रह में कीड़े को हल करने में प्राथमिकता निम्नानुसार है:

1. सबसे पहले, हम ब्लॉकर्स या त्रुटियों को पहचानते हैं और समाप्त करते हैं जिसमें उपयोगकर्ता को लक्ष्य कार्रवाई करने का अवसर नहीं मिलता है। उदाहरण के लिए, एक आगंतुक साइट पर या आवेदन में पंजीकरण नहीं कर सकता है; अपने खाते में प्रवेश करें; लक्ष्य डेटा या एप्लिकेशन के अनुभागों तक पहुंचें।
2. अगला, हम महत्वपूर्ण बग्स को ट्रैक करते हैं और समाप्त करते हैं - सुरक्षा समस्याएं, सिस्टम फ़्रीज़, एक खराब व्यावसायिक प्रक्रिया और आवधिक अनुप्रयोग क्रैश।
3. तब हम मध्यम-स्तर की समस्याओं का विश्लेषण करते हैं - हम ऐसी त्रुटियां पाते हैं जो केवल कुछ विशिष्ट स्थितियों में दिखाई देती हैं।
4. अंतिम चरण मामूली बदलाव है - हम छोटे कीड़े से छुटकारा पा लेते हैं, इंटरफ़ेस पर टिप्पणियों का काम करते हैं, और इसी तरह।

यह अनुक्रम हमें उपयोगकर्ता के लिए महत्वपूर्ण पहलुओं पर ध्यान केंद्रित करते हुए, बग से छुटकारा पाने में मदद करता है।

उत्पाद की रिहाई कई चरणों में होती है। सबसे पहले, यह बग की पहचान करने के लिए एक परीक्षण वातावरण पर प्रकाशित किया जाता है। फिर गंभीरता 1 और 2 के स्तर के साथ प्राथमिकताओं का एक बग फिक्सिंग है। उसके बाद, हम उत्पादन के लिए एक रिलीज करते हैं। रिहाई के बाद कुछ समय के लिए, टीम का हिस्सा 3 और 4 की प्राथमिकता के साथ कीड़े को ठीक करने में लगा हुआ है। कुछ दिनों बाद शेष समस्याओं को ठीक करने के बाद उत्पादों में एक और अपडेट है।

अधिकतम उत्पाद सुरक्षा सुनिश्चित करने के लिए:

• डेटाबेस में पैरामीटर संबंधी प्रश्नों का उपयोग करें।
• Sql इंजेक्शन से बचने के लिए आवेदन के अंदर क्वेरी निर्माण से छुटकारा पाएं।
• केवल एक विशेष वायर्ड खाते के तहत डेटाबेस से कनेक्ट करें अधिकार के न्यूनतम आवश्यक सेट के साथ।
• नियमित रूप से सुरक्षा लॉग रखें।

उपयोगकर्ता इनपुट पर भरोसा न करें: क्लाइंट (उपयोगकर्ता) के किसी भी डेटा को सर्वर पर जांचना चाहिए। यह स्क्रिप्ट या दुर्भावनापूर्ण हेक्स कोड के पारित होने को रोक देगा। उपयोगकर्ता डेटा को अक्सर सर्वर पर किसी अन्य कोड को कॉल करने के लिए पैरामीटर के रूप में पारित किया जाता है और, अगर जांच नहीं की जाती है, तो सिस्टम सुरक्षा को गंभीरता से समझौता कर सकता है। यही कारण है कि शुद्धता के लिए सभी इनपुट डेटा की सख्ती से जांच करना इतना महत्वपूर्ण है।

AGIMA से एंड्री राइज़किन और एलेक्सी क्लिनोव - कस्टम विकास में आवेदन सुरक्षा को कैसे और क्यों नियंत्रित करें

किसी भी उत्पाद की डिजिटल वास्तुकला की सुरक्षा व्यवसाय और उपयोगकर्ताओं दोनों के लिए एक महत्वपूर्ण विशेषता है। यह गुणवत्ता और विश्वसनीयता का एक अतिरिक्त संकेतक है, जिसे आवेदन के उत्पादन और संचालन के सभी चरणों में बनाए रखा जाना चाहिए।

किसी भी संगठन के पास बहुमूल्य जानकारी होती है, जिसमें शामिल हैं:

• कर्मचारियों और ग्राहकों के व्यक्तिगत डेटा।
• ग्राहक बैंक में डेटा एक्सेस करें।
• कंपनी के ग्राहक डेटा।
• उत्पादन चित्र।
• परियोजना प्रलेखन।
• और अन्य

यह डेटा विभिन्न प्रणालियों में स्थानीयकृत है, और उनकी सुरक्षा को नियंत्रित करना काफी कठिन है। और इस तरह की जानकारी की चोरी या गलत बयानी बड़े वित्तीय नुकसान, संगठन की प्रतिष्ठा में कमी, प्रमुख ग्राहकों और भागीदारों की हानि और लेनदेन और परियोजनाओं को बाधित करती है।

लेकिन फिर भी, बाजार पर सूचना संरक्षण के बहुत सारे साधन हैं:



और एक अच्छी व्यापक सुरक्षा को व्यवस्थित करना काफी संभव है - एक इच्छा और साधन होगा।

आवेदन सुरक्षा के बारे में क्या?

एक व्यवसाय को प्रभावी कार्यक्षमता के साथ एक कामकाजी, स्थिर अनुप्रयोग की आवश्यकता होती है जो वित्तीय रिटर्न ला सकता है। लेकिन कोई फर्क नहीं पड़ता कि कार्यक्षमता के मामले में आवेदन कितना आदर्श हो सकता है, इसमें कमजोरियों से संबंधित कलाकृतियां हो सकती हैं। आमतौर पर वे इसके बारे में नहीं सोचते हैं, क्योंकि ये कलाकृतियां एक निश्चित क्षण तक खुद को प्रकट नहीं करती हैं - जब तक कि प्रतियोगियों या किसी उत्सुक हैकर को इसकी आवश्यकता न हो। किसी वेबसाइट या एप्लिकेशन के माध्यम से किसी संगठन के बुनियादी ढांचे में घुसपैठ करने या मूल्यवान डेटा तक पहुंच प्राप्त करने के प्रयास के लिए कमजोरियों का फायदा उठाया जा सकता है जो इस एप्लिकेशन को प्रोसेस या स्टोर करता है। परिणामस्वरूप, व्यवसाय गंभीर रूप से प्रभावित हो सकता है।

दुर्भाग्य से, कस्टम विकास के लिए सुरक्षा विश्लेषण अभी भी दुर्लभ है। कारण है परियोजनाओं की विशिष्टता। वे सभी बहुत अलग हैं, और प्रत्येक की अपनी आवश्यकताएं हैं। यह विश्लेषण की लागत को प्रभावित करता है। व्यवसाय के कम मार्जिन को देखते हुए, प्रक्रिया को कस्टम विकास में स्ट्रीम पर रखना हमेशा संभव नहीं होता है। फिर भी, प्रक्रिया की उपेक्षा नहीं करना बेहतर है।

एप्लिकेशन से डेटा चोरी कैसे रोकें?

मोबाइल या वेब एप्लिकेशन के विकास की शुरुआत से, सुरक्षा के लिए उत्पाद कोड का विश्लेषण पेश करना समझ में आता है।

आप सुरक्षा के मामले में पूरी तरह से WAF (फ़ायरवॉल) पर भरोसा नहीं कर सकते हैं: नियम काम नहीं कर सकता, गलत कॉन्फ़िगरेशन या पुराने हस्ताक्षर का उपयोग किया जा सकता है। केवल उपायों का एक सेट: विकास प्रक्रिया के दौरान स्रोत कोड के स्थैतिक विश्लेषण का उपयोग, एक लड़ाकू वातावरण में वाद्य विश्लेषण, पेन-टेस्ट, WAF और DDoS के खिलाफ सुरक्षा उच्च स्तर की एप्लिकेशन सुरक्षा सुनिश्चित करने में मदद करेगी।
इंस्ट्रुमेंटल स्कैनर और पेन-टेस्ट उन कमजोरियों का पता लगाएगा जिन्हें विकास के दौरान कोड का विश्लेषण करके पहचाना नहीं जा सकता था।

कमजोरियों के लिए परीक्षण की प्रक्रिया को कैसे व्यवस्थित करें?

AGIMA सुरक्षा कोड के विश्लेषण के लिए कई दृष्टिकोण लागू करता है:

• सीआई / सीडी के विकास के दौरान पूर्ण एकीकरण।
• चौकियों पर सुरक्षा ऑडिट।
• सिचुएशनल या वन-टाइम सिक्योरिटी ऑडिट।

आदर्श विकल्प सुरक्षा विश्लेषण को विकास प्रक्रिया में एकीकृत करना है। यह दृष्टिकोण विशेष रूप से उन परियोजनाओं के लिए प्रासंगिक है जो एक ही डेवलपर लंबे समय से विकसित कर रहा है।

दूसरा विकल्प चौकियों पर एक सुरक्षा ऑडिट है। यह विधि उपयुक्त है यदि उत्पाद में दुर्लभ रिलीज है और यह एकीकृत विश्लेषण के लिए एक बढ़िया अतिरिक्त भी हो सकता है।

यदि परियोजना काफी सरल है, या यदि इसे किसी अन्य डेवलपर से स्थानांतरित किया गया है, तो स्थितिजन्य या वन-टाइम ऑडिट लागू करने के लिए समझ में आता है। दूसरे मामले में, उत्पाद की तकनीकी ऋण को निर्धारित करना महत्वपूर्ण है - मौजूदा बग और कमजोरियों की संख्या। उसके बाद, आपको उन्हें खत्म करने के लिए एक रोडमैप बनाने की आवश्यकता है। कभी-कभी सब कुछ पहले चरण में तय किया जा सकता है। यदि कई समस्याएं हैं, तो आपको आगे के विकास की प्रक्रिया में उनसे निपटना होगा। सबसे पहले, महत्वपूर्ण लोगों को खत्म करें, और फिर कम खतरनाक वाले।

ऊपर सूचीबद्ध तीन संस्करणों का संयुक्त दृष्टिकोण, आपको यह अनुमति देता है: रिलीज पर संभावित कमजोरियों की संख्या को कम करें, उत्पाद के तकनीकी ऋण को कम करें, और उत्पाद को बेचने के लिए लगने वाले समय को कम करें।

विकास के प्रारंभिक चरणों में कार्यान्वित सुरक्षा विश्लेषण का परिणाम है:

• , .
• .
• .

एक निष्कर्ष के बजाय

आज, सॉफ्टवेयर उत्पादों, मोबाइल और वेब अनुप्रयोगों में कमजोरियों की खोज सभी प्रमुख डेवलपर्स के लिए गतिविधि का एक महत्वपूर्ण क्षेत्र बनता जा रहा है। कुछ विशेषज्ञ भेद्यता विश्लेषण को विश्वसनीय मानते हैं और आंतरिक विशेषज्ञों को परीक्षण पर भरोसा करते हैं। अन्य लोग पेन टेस्ट, भेद्यता स्कैनर और कोड एनालाइजर का उपयोग करते हैं। फिर भी अन्य लोग SAST टूल को विकास प्रक्रिया में एकीकृत करते हैं। इसके अलावा, काम शुरू करने से पहले महत्वपूर्ण मॉडलों को चोरी करने और महत्वपूर्ण डेटा की चोरी और विरूपण से जुड़े संभावित जोखिमों का विश्लेषण करने की सिफारिश की जाती है।

केवल फ़ायरवॉल और मुफ्त सुरक्षा सुविधाओं पर भरोसा न करें। सबसे विश्वसनीय तरीका एक एकीकृत दृष्टिकोण का उपयोग करना है, नियमित रूप से और पूरी तरह से बग और कमजोरियों के लिए कोड की जांच करना है।