開(kāi)發(fā)團(tuán)隊(duì)不斷面臨挑戰(zhàn)，以確保其物聯(lián)網(wǎng)產(chǎn)品的機(jī)密性、完整性和可用性。眾所周知的漏洞不斷暴露在連接的產(chǎn)品中。開(kāi)發(fā)人員通常缺乏識(shí)別和關(guān)閉新漏洞所需的專(zhuān)業(yè)知識(shí)和時(shí)間。需要能夠幫助開(kāi)發(fā)人員和安全工程師實(shí)現(xiàn)其安全物聯(lián)網(wǎng)產(chǎn)品目標(biāo)的工具。

在軟件開(kāi)發(fā)的早期，人工分析代碼的質(zhì)量缺陷和漏洞。這種類(lèi)型的代碼檢查仍在敏捷同行評(píng)審過(guò)程中使用，并可能用于應(yīng)用程序中的高價(jià)值代碼，但無(wú)法擴(kuò)展以滿(mǎn)足現(xiàn)代技術(shù)的需求。例如，麥肯錫公司的一份報(bào)告指出，現(xiàn)代汽車(chē)中有超過(guò) 1.5 億條軟件代碼行 (SLoC)。試圖手動(dòng)審查此代碼并仍然按時(shí)將產(chǎn)品推向市場(chǎng)是不可能的。

確定安全要求

為了定義自動(dòng)化安全測(cè)試，團(tuán)隊(duì)必須首先了解產(chǎn)品威脅。威脅模型應(yīng)該是任何團(tuán)隊(duì)開(kāi)展的第一項(xiàng)活動(dòng)。威脅模型通常是很少閱讀的靜態(tài)文檔，但是，如今有一些工具可以將威脅模型數(shù)據(jù)與用戶(hù)故事聯(lián)系起來(lái)，并支持創(chuàng)建可在整個(gè)開(kāi)發(fā)過(guò)程中運(yùn)行的自動(dòng)化測(cè)試。

一個(gè)有用的例子是WE45的機(jī)器人腳本庫(kù)。質(zhì)量保證團(tuán)隊(duì)使用機(jī)器人框架來(lái)創(chuàng)建行為驅(qū)動(dòng)開(kāi)發(fā) (BDD) 測(cè)試。WE45 開(kāi)發(fā)了腳本，允許工程師在威脅模型中定義附加到用戶(hù)故事的誤用案例，然后將這些誤用案例直接鏈接到自動(dòng)化測(cè)試。這是基于附加工具的使用，例如 YAML 腳本、OWASP ZAP 和其他 SAST/DAST 工具。

無(wú)論是使用這樣的框架還是從頭開(kāi)始，團(tuán)隊(duì)都必須能夠建立安全需求積壓。安全要求可以來(lái)自許多來(lái)源。產(chǎn)品團(tuán)隊(duì)根據(jù)監(jiān)管要求、最佳實(shí)踐指南、安全技術(shù)實(shí)施指南 (STIG) 以及威脅模型來(lái)定制需求。這些需求被捕獲為產(chǎn)品積壓中的功能用戶(hù)故事或驗(yàn)收測(cè)試。

這有效地創(chuàng)建了一個(gè)安全需求可追溯性矩陣 (SRTM)，可用于支持自動(dòng)化安全測(cè)試的創(chuàng)建和執(zhí)行。安全用戶(hù)故事可以標(biāo)記為待辦事項(xiàng)中的安全故事。此外，這些故事應(yīng)包括允許鏈接回安全需求源的元數(shù)據(jù)（例如 IA 控制編號(hào)或 STIG 標(biāo)識(shí)符），還應(yīng)包括與源自需求的自動(dòng)化測(cè)試相關(guān)的元數(shù)據(jù)（例如，自動(dòng)化測(cè)試） ID）。這允許自動(dòng)化框架或其他工具對(duì)原始需求具有完全的可追溯性。

當(dāng)需要測(cè)試物聯(lián)網(wǎng)啟用的新型功能時(shí)，基礎(chǔ)設(shè)施或?qū)Φ葢?yīng)用程序模擬器也可以證明是有用的。一個(gè)例子——之前開(kāi)發(fā)的一個(gè)仿真器用于測(cè)試支持車(chē)對(duì)車(chē) (V2V) 通信的復(fù)雜汽車(chē)加密證書(shū)管理系統(tǒng)。測(cè)試團(tuán)隊(duì)在項(xiàng)目開(kāi)始時(shí)定義了錯(cuò)誤用例，并設(shè)計(jì)了一個(gè)模擬器來(lái)自動(dòng)運(yùn)行這些錯(cuò)誤用例。這通過(guò)在應(yīng)用層識(shí)別系統(tǒng)的功能安全要求，然后將負(fù)面測(cè)試用例構(gòu)建到模擬器中來(lái)測(cè)試整個(gè)功能線(xiàn)程。例如，

將安全性集成到產(chǎn)品設(shè)計(jì)中

一旦記錄了安全要求，產(chǎn)品設(shè)計(jì)階段就可以從基于模型的安全測(cè)試 (MBST) 等方法中受益。MBST 可用于驗(yàn)證產(chǎn)品設(shè)計(jì)中是否滿(mǎn)足安全要求。MBST 基于需求的正式建模。今天的產(chǎn)品團(tuán)隊(duì)采用敏捷開(kāi)發(fā)方法，這意味著設(shè)計(jì)過(guò)程在一系列開(kāi)發(fā)沖刺中迭代。這使設(shè)計(jì)人員能夠根據(jù)在沖刺期間開(kāi)發(fā)的代碼上執(zhí)行的安全工具的反饋，不斷地重新評(píng)估其設(shè)計(jì)的網(wǎng)絡(luò)安全態(tài)勢(shì)。

例如，對(duì)物聯(lián)網(wǎng)產(chǎn)品的掃描可能會(huì)發(fā)現(xiàn)對(duì)敏感配置文件的讀取訪(fǎng)問(wèn)權(quán)限未在設(shè)備內(nèi)得到適當(dāng)限制。結(jié)果通知開(kāi)發(fā)人員需要在文件系統(tǒng)中實(shí)施更多限制性特權(quán)?？梢栽O(shè)置工具以自動(dòng)在 JIRA 中打開(kāi)問(wèn)題，以根據(jù)適用的行業(yè)最佳實(shí)踐建議重新審視產(chǎn)品訪(fǎng)問(wèn)控制模型的設(shè)計(jì)，例如“實(shí)施基于角色的訪(fǎng)問(wèn)控制”和“需要提升的訪(fǎng)問(wèn)權(quán)限”敏感數(shù)據(jù)”，允許設(shè)計(jì)團(tuán)隊(duì)更新安全架構(gòu)。

在每個(gè)沖刺期間執(zhí)行這些掃描的安全工具可以配置為自動(dòng)運(yùn)行。開(kāi)源自動(dòng)化框架（如Guantlt）直接為 git 提供插件，以支持預(yù)提交檢查，自動(dòng)提醒開(kāi)發(fā)人員在其桌面上已引入基本錯(cuò)誤。這允許開(kāi)發(fā)人員在提交之前糾正錯(cuò)誤。

可以設(shè)置持續(xù)集成工具，例如 Jenkins、Bamboo、Travis、Buildbot、Thoughtworks 等，以集成在每個(gè)構(gòu)建上自動(dòng)運(yùn)行的安全測(cè)試工具。例如，Jenkins 結(jié)合了警告下一代插件，該插件收集和可視化各種安全分析工具收集的問(wèn)題。這包括代碼分析和運(yùn)行時(shí)應(yīng)用程序安全工具。還有一些工具（例如 CodeBurner）可以有效地管理多個(gè)靜態(tài)分析測(cè)試工具的執(zhí)行和報(bào)告。

可以自動(dòng)化不同的安全工具來(lái)識(shí)別已知漏洞。例如，靜態(tài)代碼分析可以識(shí)別和報(bào)告代碼中的已知簽名。這些對(duì)于識(shí)別配置問(wèn)題、硬編碼憑據(jù)、第三方庫(kù)中的漏洞以及映射到CVE的漏洞等問(wèn)題非常有用。

物聯(lián)網(wǎng)設(shè)備固件分析的二進(jìn)制分析也可用于有效識(shí)別已知漏洞，目前有可用的工具，例如 VDOO 的Vision，可以分析基于 Linux、Android 和 Widows 平臺(tái)的物聯(lián)網(wǎng)產(chǎn)品。通常用于識(shí)別代碼質(zhì)量問(wèn)題的工具也可以在 CI 中自動(dòng)運(yùn)行，并且可以支持快速識(shí)別基本問(wèn)題。其中包括 findbugs、sonarqube 和復(fù)制/粘貼檢測(cè)器 (CPD) 等工具作為示例。

更深入的測(cè)試可以被納入 CI 以開(kāi)始識(shí)別潛在的零日漏洞。這些漏洞尚不為人所知，但可能由專(zhuān)門(mén)的安全研究人員或不良行為者發(fā)現(xiàn)?；诜?hào)執(zhí)行的工具可以有效地發(fā)現(xiàn)未知漏洞，但即使是小型二進(jìn)制文件也可能需要數(shù)小時(shí)才能運(yùn)行。符號(hào)測(cè)試分析程序以確定導(dǎo)致程序執(zhí)行的輸入。一些工具，如 VDOO 的 Vision 可以集成到 CI 環(huán)境中，為開(kāi)發(fā)人員提供快速固件分析和更深入的分析能力，旨在識(shí)別未知和已知漏洞。

了解基礎(chǔ)知識(shí)

雖然安全自動(dòng)化是一個(gè)強(qiáng)大的工具，但它并不是物聯(lián)網(wǎng)產(chǎn)品安全開(kāi)發(fā)的靈丹妙藥。開(kāi)發(fā)團(tuán)隊(duì)仍然需要一些最低水平的網(wǎng)絡(luò)安全知識(shí)和專(zhuān)業(yè)知識(shí)來(lái)識(shí)別獨(dú)特的產(chǎn)品威脅和解釋測(cè)試工具輸出，以及確保物聯(lián)網(wǎng)硬件和軟件組件的集成。所有開(kāi)發(fā)人員都有責(zé)任至少對(duì)與其產(chǎn)品相關(guān)的安全問(wèn)題有基本的了解，并且每個(gè)產(chǎn)品團(tuán)隊(duì)都應(yīng)該擁有了解如何運(yùn)行和解釋自動(dòng)化安全工具輸出的安全工程支持。
?