2020BCS-北京网络安全大会：从漏洞视角看敏捷安全 从漏洞视角看敏捷安全.pdf

1、从漏洞视角看敏捷安全从漏洞视角看敏捷安全 个人简介 武鑫 奇 安 信 网 络 安 全 部 产 品 安 全 负 责 人 、 QA X S RC 负 责 人 ID：aerfa 5年安全攻防经验，网络尖刀z小队成员 VSRC2016年第二季度“安全专家”、HCSRC总排行榜第一 RSAC主题分享万人云峰会演讲嘉宾、e安在线金牌讲师 微信公众号作者：我的安全视界观 擅长从攻防视角发现并闭环安全隐患，结合甲、乙方工作 经验进行企业安全建设、SDL、DevSecOps建设与运营， 对外输出四十余篇原创文章 敏捷安全关键 文化 流程 技术 文化：开发运维安全，责任共担 专项工作组 产品安全系统运维产线BP

2、研发委员会安全委员会 产品自身的安全与研发流程中的各个环节、每个人都息息相关，筑建产品的安全是每个人的责任。 专项工作组：建立开发、运维、安全虚拟工作组，明确工作目标 与工作职责 部门BP制度：建立部门安全接口人，负责上传与下达消息、在本 部门落地相关安全要求 安全内部分工：在安全团队内部设置不同方向以对应开发安全各 环节的安全活动，包括但不仅限于主机安全、安全设计、白盒测 试、自动化安全测试、SRC运营等 流程：安全左移，层层主动检测 移植“纵深防御”思想到软件开发流程中，在推动安全“左移”的同时加强各环节安全活动的运营，将层层发现的 潜在安全风险与漏洞聚合处置。 计划 编码 测试 预发 布

3、 发布 防护 检测 响应 预测 优化 漏洞发现漏洞验证漏洞修复 漏洞复盘 漏洞公布 验证漏洞，漏洞修复 完成之后需要进行有 效性验证和补丁安全 性验证 （推动）漏洞责任人进 行漏洞修复，在必要情 况下出临时有效的防护 方案 分析原因、防护盲点， 向“左”反馈 技术：构建工具链，发现漏洞 Plan 安全培训 安全需求 安全设计 计划 安全编码 IDE插件 安全组件 编码 三方组件 安全测试 容器安全 测试 模糊测试 集成测试 混沌工程 预发布 上线决策 软件签名 修复计划 发布 CreateVerify Preprod uctionReleasePrevent 签名验证 纵深防御 完整性检查 防护 DetectRespond 安全编排 威胁狩猎 溯源取证 响应 0 PredictAdapt 方案调整 流程优化 运营反馈 优化 主机漏扫 Web漏扫 渗透测试 检测 AVC 威胁情报 安全预警