AXIS қауіпсіздік үлгісін әзірлеу бағдарламалық құралының пайдаланушы нұсқаулығы

AXIS қауіпсіздік үлгісін әзірлеу бағдарламалық құралы

Кіріспе

ASDM мақсаттары
Axis Security Development Model (ASDM) - бұл жұмыс басталғаннан бастап пайдаланудан шығарылғанға дейінгі өмірлік цикл бойына орнатылған қауіпсіздікпен бағдарламалық жасақтаманы құру үшін Axis пайдаланатын процесс пен құралдарды анықтайтын құрылым.

ASDM күш-жігерін қозғайтын негізгі мақсаттар

• Бағдарламалық қамтамасыз ету қауіпсіздігін Axis бағдарламалық жасақтамасын әзірлеу әрекеттерінің біріктірілген бөлігіне айналдырыңыз.
• Axis тұтынушылары үшін қауіпсіздікке қатысты бизнес тәуекелдерін азайтыңыз.
• Meet increasing awareness of security considerations by customers and partners.
• Мәселелерді ерте анықтау және шешу есебінен шығындарды азайту әлеуетін жасаңыз
  ASDM ауқымы Axis өнімдері мен шешімдеріне енгізілген Axis бағдарламалық құралы болып табылады. Бағдарламалық қамтамасыз ету қауіпсіздігі тобы (SSG) ASDM иесі және қолдаушысы болып табылады.

Глоссарий

ASDM аяқталдыview

ASDM негізгі даму кезеңдері бойынша таралған бірнеше әрекетті қамтиды. Қауіпсіздік әрекеттері ASDM ретінде топтастырылған.

The SSG is responsible for governing the ASDM and evolving the toolbox over time. There is an ASDM roadmap and a rollout plan for implementing new activities and increasing ASDM maturity across the development organization. Both the roadmap and rollout plan are owned by the SSG, but the responsibility for actual implementation in practice (i.e., performing activities related to development phases) is delegated to the R&D teams.

Бағдарламалық қамтамасыз ету қауіпсіздігі тобы (SSG)

SSG қауіпсіздікке қатысты мәселелер бойынша әзірлеуші ​​ұйымдармен негізгі ішкі байланыс ұйымы болып табылады. Оның құрамына қауіпсіздік жетекшілері және талаптар, жобалау, енгізу, тексеру,
сонымен қатар кросс-функционалды DevOps процестері.
SSG әзірлеу ұйымындағы қауіпсіз әзірлеу тәжірибесі мен қауіпсіздік туралы хабардар болу үшін ASDM әзірлеуге және қолдауға жауапты.

Спутниктер
Жерсеріктер уақытының бір бөлігін бағдарламалық қамтамасыз етудің қауіпсіздік аспектілерімен жұмыс істеуге жұмсайтын әзірлеуші ​​ұйымның мүшелері болып табылады. Спутниктердің пайда болу себептері:

• Үлкен орталық SSG құрусыз ASDM масштабтаңыз
• Әзірлеу топтарына жақын ASDM қолдауын қамтамасыз етіңіз
• Біліммен алмасуды жеңілдету, мысалы, озық тәжірибелер
  Спутник жаңа әрекеттерді жүзеге асыруға және әзірлеуші ​​топтардың жиынында ASDM-ді қолдауға көмектеседі.

ASDM әрекетін шығару
ASDM әрекетін әзірлеу тобына шығару келесідейtaged процесі:

1. Ұжым рөлдік тренинг арқылы жаңа әрекетпен танысады.
2. SSG топ басқаратын жүйе(лер)нің таңдалған бөліктері үшін әрекетті орындау үшін командамен бірге жұмыс істейді, мысалы, тәуекелді бағалау немесе қауіпті модельдеу.
3. Құралдар қорабын күнделікті жұмыста біріктіруге байланысты келесі әрекеттер SSG тікелей қатысуынсыз дербес жұмыс істеуге дайын болған кезде команда мен спутникке беріледі. Бұл кезеңде жұмысты ASDM мәртебесі арқылы топ менеджері басқарады.
   Өзгертілген және/немесе қосылған әрекеттері бар ASDM жаңа нұсқалары қол жетімді болғанда, шығару қайталанады. SSG тобымен өткізетін уақыт мөлшері белсенділік пен код күрделілігіне өте тәуелді. Командаға сәтті тапсырудың негізгі факторы командамен одан әрі ASDM жұмысын жалғастыра алатын ендірілген спутниктің болуы болып табылады. SSG әрекетті енгізумен қатар спутникті оқыту мен тағайындауды басқарады.
   Төмендегі суретте шығару әдістемесі жинақталған.

   

SSG тапсыру үшін «орындалды» анықтамасы:

• Рөлге арналған арнайы тренинг өткізілді
• Спутник тағайындалды
• Команда ASDM әрекетін орындауға дайын
• ASDM күйінің қайталанатын жиналыстары орнатылды
  SSG жоғары басшылыққа күй есептерін жинау үшін командалардың енгізуін пайдаланады.

Басқа SSG әрекеттері
Іске қосу іс-шараларымен қатар, SSG жаңа қызметкерлерге және жоғары басшылыққа бағытталған қауіпсіздікті хабардар ету бойынша кеңірек оқыту іс-шараларын жүргізеді. Сонымен қатар, SSG жалпы/архитектуралық тәуекелді бағалау мақсаттары үшін Axis шешімдерінің қауіпсіздік жылу картасын жүргізеді. Белгілі бір модульдер үшін белсенді қауіпсіздікті талдау әрекеттері жылу картасы негізінде орындалады.

Рөлдер мен жауапкершіліктер
Төмендегі кестеде көрсетілгендей, ASDM бағдарламасының бөлігі болып табылатын кейбір негізгі нысандар мен рөлдер бар. Төмендегі кестеде ASDM-ге қатысты рөлдер мен жауапкершіліктер жинақталған.

ASDM басқару

Басқару жүйесі келесі бөліктерден тұрады:

• ASDM әрекеттеріне басымдық беруге көмектесетін жүйе тәуекелінің жылу картасы
• Жаттығу күш-жігеріне назар аудару үшін жоспар мен мәртебе
• Құралдар жинағын дамытудың жол картасы
• ASDM әрекеттерінің ұйымда қаншалықты жақсы біріктірілгенін өлшеуге арналған күй

Осылайша, ASDM жүйесі тактикалық/операциялық тұрғыдан да, сондай-ақ стратегиялық/атқарушылық тұрғыдан да қолдау көрсетеді.
Суреттің оң жағындағы басқарушы нұсқаулығында Axis бизнес мақсаттарына сәйкес оңтайлы тиімділік үшін ұйымды қалай дамытуға баса назар аударылады. Бұған маңызды кіріс SSG микробағдарламаны басқару тобына, CTO және өнімді басқаруға қатысты орындайтын ASDM күйінің есебі болып табылады.

ASDM күйінің құрылымы

ASDM статусының құрылымының екі перспективасы бар: бір командалық орталық біздің командамызды және бөлім құрылымын еліктейді және бір шешімге бағытталған біз нарыққа шығаратын шешімдерге назар аударады.
Төмендегі сурет ASDM күй құрылымын көрсетеді.

Команда мәртебесі
Топ күйінде ASDM жетілу мерзімінің топтың өзін-өзі бағалауы, олардың қауіпсіздік талдау әрекеттеріне қатысты көрсеткіштер, сондай-ақ олар жауапты құрамдастардың қауіпсіздік күйінің жиынтығы бар.

Axis ASDM жетілу мерзімін команда қазіргі уақытта қолданатын ASDM нұсқасы ретінде анықтайды. ASDM дамып келе жатқандықтан, біз ASDM нұсқасын анықтадық, мұнда ASDM-тің әрбір нұсқасы әрекеттердің бірегей жиынтығын қамтиды. Мысалыample, ASDM-тің бірінші нұсқасы қауіптерді модельдеуге бағытталған.
Axis келесі ASDM нұсқаларын анықтады:

Командаға олар пайдаланатын ASDM нұсқасының иелігін беру жаңа ASDM нұсқаларын қабылдауға жауапты желілік менеджер екенін білдіреді. Осылайша, SSG орталық ASDM шығару жоспарын итеретін орнатудың орнына ол енді тартуға негізделген және менеджерлер басқаратын болады.

Құрамдас күй

• Бізде компоненттің кең анықтамасы бар, өйткені біз платформадағы Linux жындарынан бастап, серверлік бағдарламалық қамтамасыз ету арқылы бұлттық (микро) қызметтерге дейінгі барлық архитектуралық нысандарды қамтуымыз керек.
• Әрбір команда өз ортасы мен сәулетінде олар үшін жұмыс істейтін абстракциялық деңгей туралы жеке шешім қабылдауы керек. Әдеттегідей, командалар абстракцияның жаңа деңгейін ойлап табудан аулақ болуы керек және күнделікті жұмысында қолданып жүрген нәрселерді сақтауы керек.
• Идеясы әр команданың анық болуы керек view жаңа, сондай-ақ бұрынғы құрамдастарды қамтитын олардың барлық жоғары тәуекелді құрамдастарының. Бұрынғы құрамдастарға деген қызығушылықтың артуына мотивация шешімдердің қауіпсіздік күйін қарау қабілетімізбен байланысты. Шешім болған жағдайда, біз жаңа және ескі шешімнің барлық бөліктерінің қауіпсіздік күйін көргіміз келеді.
• Іс жүзінде бұл әрбір команда өзінің құрамдас бөліктерінің инвентаризациясын қарап, тәуекелді бағалауды жүргізуі керек дегенді білдіреді.
• Біз білуіміз керек бірінші нәрсе - құрамдас қауіпсіздік талдауынан өтті ме. Егер ол болмаса, біз компоненттің қауіпсіздік сапасы туралы ештеңе білмейміз.

Біз бұл мүлікті қамту деп атаймыз және келесі қамту деңгейлерін анықтадық:

Құрамдастың қауіпсіздік сапасын түсіру үшін біз қолданатын метрика құрамдас бөлікке байланыстырылған артта қалған қауіпсіздік жұмысының элементтеріне негізделген. Бұл орындалмаған қарсы шаралар, орындалмаған сынақ жағдайлары және шешілмеген қауіпсіздік қателері болуы мүмкін.

Шешім күйі

Шешім күйі шешімді құрайтын құрамдастардың жиыны үшін қауіпсіздік күйін біріктіреді.
Шешім күйінің бірінші бөлігі компоненттерді талдауды қамту болып табылады. Бұл шешім иелеріне шешімнің қауіпсіздік күйі белгілі немесе белгілі емес екенін түсінуге көмектеседі. Бір жағынан бұл соқыр дақтарды анықтауға көмектеседі. Шешім күйінің қалған бөлігі шешімнің қауіпсіздік сапасын көрсететін көрсеткіштерді қамтиды. Біз мұны шешімдегі құрамдастармен байланыстырылған қауіпсіздік жұмысының элементтерін қарау арқылы жасаймыз. Қауіпсіздік күйінің маңызды аспектісі шешім иелері анықтайтын қателер жолағы болып табылады. Шешім иелері өз шешімдері үшін сәйкес қауіпсіздік деңгейін анықтауы керек. Мысалыample, бұл шешім нарыққа шығарылған кезде ашық маңызды маңызды немесе жоғары ауырлықтағы жұмыс элементтері болмауы керек дегенді білдіреді.

ASDM әрекеттері

Қауіп-қатерді бағалау
Тәуекелді бағалаудың негізгі мақсаты - топ ішінде қауіпсіздік жұмысын қажет ететін қандай даму әрекеттерін сүзгілеу.
Тәуекелді бағалау жаңа өнім немесе бұрыннан бар өнімдерге қосылған/өзгертілген мүмкіндік тәуекелге ұшырауды арттыратынын анықтау арқылы жүзеге асырылады. Бұған деректер құпиялылығы аспектілері мен сәйкестік талаптары да кіретінін ескеріңіз. МысалыampТәуекелге әсер ететін өзгерістерге жаңа API интерфейстері, авторизация талаптарына өзгерістер, жаңа аралық бағдарламалық құрал және т.б. жатады.

Деректер құпиялылығы
Сенім - бұл Axis үшін басты бағыт, сондықтан өнімдеріміз, шешімдеріміз және қызметтеріміз жинайтын жеке деректермен жұмыс істеу кезінде ең жақсы тәжірибелерді ұстану маңызды.
Деректер құпиялылығына қатысты Axis әрекеттерінің ауқымы біз мыналарды жасай алатындай анықталған:

• Заңды міндеттемелерді орындау
• Шарт бойынша міндеттемелерді орындау
• Клиенттерге өз міндеттемелерін орындауға көмектесіңіз

Біз деректердің құпиялылығы әрекетін екі қосалқы әрекетке бөлеміз:

• Деректер құпиялылығын бағалау
  • Тәуекелді бағалау кезінде орындалады
  • Деректер құпиялылығын талдау қажет екенін анықтайды
•  Деректер құпиялылығын талдау
  • Қауіпті модельдеу кезінде, қажет болған жағдайда орындалды
  • Жеке деректер мен жеке деректерге қауіп төндіретіндерді анықтайды
  • Құпиялық талаптарын анықтайды

Қауіпті модельдеу
Қауіптерді анықтауды бастамас бұрын, қауіп үлгісінің ауқымы туралы шешім қабылдауымыз керек. Ауқымды анықтау тәсілі - біз қарастыруымыз керек шабуылдаушыларды сипаттау. Бұл тәсіл бізге талдауға қосу керек жоғары деңгейдегі шабуыл беттерін анықтауға мүмкіндік береді.

• Қауіптерді анықтау кезінде назар аудару жүйенің жоғары деңгейлі сипаттамасын пайдаланып өңдегіміз келетін шабуылдаушыларды табу және санаттау болып табылады. Сипаттама деректер ағынының диаграммасы (DFD) арқылы орындалғаны дұрыс, себебі ол қауіп үлгісін жасау кезінде пайдаланылатын неғұрлым егжей-тегжейлі пайдалану жағдайларының сипаттамаларын байланыстыруды жеңілдетеді.
• Бұл біз анықтаған барлық шабуылдаушыларды қарастыру керек дегенді білдірмейді, бұл жай ғана қауіп үлгісінде қарастыратын шабуылдаушыларға қатысты нақты және дәйекті екенімізді білдіреді. Осылайша, біз қарастыратын шабуылдаушылар біз бағалайтын жүйенің қауіпсіздік деңгейін анықтайды.
  Біздің шабуылдаушы сипаттамасының шабуылдаушының мүмкіндіктеріне немесе мотивациясына әсер етпейтінін ескеріңіз. Біз қауіпті модельдеуді мүмкіндігінше жеңілдету және оңтайландыру үшін осы тәсілді таңдадық.

  

Қауіпті модельдеудің үш қадамы бар, оны командаға сәйкес қайталауға болады:

1. DFD жиынтығын пайдаланып жүйені сипаттаңыз
2. Қауіптерді анықтау және оларды теріс пайдалану стилінде сипаттау үшін DFD пайдаланыңыз
3. 3. Қауіптерге қарсы шараларды және тексеруді анықтаңыз
   Қауіпті модельдеу әрекетінің нәтижесі басымдықты қауіптер мен қарсы шараларды қамтитын қауіп үлгісі болып табылады. Қарсы шараларды шешу үшін қажетті әзірлеу жұмыстары қарсы шараны жүзеге асыру және тексеру үшін Jira билеттерін жасау арқылы басқарылады.

   

Статикалық кодты талдау
ASDM-де командалар статикалық кодты талдауды үш жолмен пайдалана алады:

• Әзірлеушінің жұмыс процесі: әзірлеушілер жұмыс істеп жатқан кодты талдайды
• Gerrit жұмыс процесі: әзірлеушілер Герритте кері байланыс алады
• Бұрынғы жұмыс процесі: командалар жоғары тәуекелді құрамдастарды талдайды

  

Осалдықты сканерлеу
Тұрақты осалдықты сканерлеу әзірлеу топтарына өнімдерді көпшілікке шығарар алдында бағдарламалық жасақтаманың осалдықтарын анықтауға және түзетуге мүмкіндік береді, бұл өнімді немесе қызметті қолдану кезінде тұтынушылардың тәуекелін азайтады. Сканерлеу әрбір шығарылым аппараттық құралдың, бағдарламалық құралдың) алдында немесе ашық бастапқы және коммерциялық осалдықты сканерлеу пакеттерін пайдалану арқылы орындалатын кестеде (қызметтерде) орындалады. Сканерлеу нәтижелері Jira мәселелерін бақылау платформасында билеттерді жасау үшін пайдаланылады. Билеттер арнайы беріледі tag әзірлеу топтары осалдықты сканерлеу нәтижесінде анықталатын және оларға жоғары басымдық берілуі тиіс. Барлық осалдықтарды сканерлеу және Jira билеттері бақылау және аудит мақсатында орталықтандырылған түрде сақталады. Маңызды осалдықтар шығарылғанға дейін немесе басқа, маңызды емес осалдықтармен арнайы қызметтің шығарылымында шешілуі керек,
микробағдарлама немесе бағдарламалық құралды шығару цикліне сәйкес бақыланады және шешіледі. осалдықтарды бағалау және басқару әдісі туралы қосымша ақпаратты осалдықтарды басқару 12-бетте қараңыз.

Сыртқы ену сынағы
Таңдаулы жағдайларда үшінші тараптың ену сынағы Axis аппараттық құралында немесе бағдарламалық өнімдерінде орындалады. Бұл сынақтарды орындаудың негізгі мақсаты - белгілі бір уақыт нүктесінде және белгілі бір ауқымда платформаның қауіпсіздігіне қатысты түсінік пен кепілдік беру. ASDM-дегі басты мақсаттарымыздың бірі – мөлдірлік, сондықтан біз тұтынушыларымызды өнімдерімізге сыртқы ену сынамасын жүргізуге шақырамыз және тестілеудің сәйкес параметрлерін анықтау, сондай-ақ нәтижелерді түсіндіру бойынша талқылаулар кезінде ынтымақтасуға қуаныштымыз.

Осалдықты басқару
Axis 2021 жылдан бастап тіркелген CVE атау органы (CNA) болып табылады және сондықтан үшінші тараптың осалдық сканерлері мен басқа құралдармен тұтыну үшін MITER дерекқорына стандартты CVE есептерін жариялауға қабілетті. Осалдық тақтасы (VB) сыртқы зерттеушілер анықтаған осалдықтарға арналған ішкі осьтің байланыс нүктесі болып табылады. туралы есеп беру
анықталған осалдықтар және одан кейінгі түзету жоспарлары арқылы хабарланады product-security@axis.com электрондық поштаның адресі.
Осалдық кеңесінің негізгі жауапкершілігі хабарланған осалдықтарды бизнес тұрғысынан талдау және басымдық беру болып табылады.

• SSG ұсынған техникалық классификация
• Axis құрылғысы жұмыс істейтін ортадағы соңғы пайдаланушылар үшін ықтимал қауіп
• Қауіпсіздікті бақылаудың компенсациялануының болуы, түзетусіз тәуекелді азайту)

VB CVE нөмірін тіркейді және осалдыққа CVSS ұпайын тағайындау үшін репортермен жұмыс істейді. VB сонымен қатар Axis қауіпсіздік хабарландыру қызметі, баспасөз релиздері және жаңалықтар мақалалары арқылы серіктестер мен тұтынушыларға сыртқы байланысты жүргізеді.

Axis қауіпсіздікті дамыту үлгісі © Axis Communications AB, 2022