הבסיס של נוהלי אבטחה טובים מתחילים בארגון שלך.
צור צוות אבטחה ופרטיות
צור צוות אבטחה ופרטיות ייעודי והקים מנהיג לארגון זה.
- בניית צוות אבטחה.
- ודא שלפחות עובד אחד אחראי על אבטחה, פרטיות ותגובה לאירועים.
- הגדר משימה והיקף עבור הצוות הזה.
- פיתוח תרשים ארגוני ותיאורי תפקידים עבור: מנהל אבטחה, מהנדס אבטחה, מנהל תקריות.
- שכור עובדים או קבלנים חיצוניים למילוי תפקידים אלה.
- הגדר מחזור חיים לפיתוח אבטחה (SDL) . ה-SDL שלך אמור לכסות את התחומים הבאים:
- דרישות אבטחה למוצרים.
- ניתוח סיכונים ומידול איומים.
- ניתוח סטטי ודינמי של יישומים וקוד.
- תהליכי סקירת אבטחה אחרונים עבור מוצרים.
- תגובה לאירוע.
- הערכת סיכון ארגוני . צור הערכת סיכונים ופתח תוכניות לביטול או הפחתה של סיכונים אלה.
בניית תהליך אימות
הערך פערים בתהליכי אימות ואישור הבנייה הפנימיים הקיימים שלך.
- זהה פערים בתהליך אימות ה-build הנוכחי שלך שעלולים להוביל להחדרת יישום פוטנציאלי מזיק (PHA) ל-build שלך.
- ודא שיש לך תהליך סקירת קוד ואישור, אפילו עבור תיקונים פנימיים ל- AOSP .
- שפר את שלמות הבנייה על ידי הטמעת בקרות בתחומים הבאים:
- שינויי מסלול . מסלול מהנדסי תוכנה; לשמור יומני שינויים.
- הערכת סיכון . הערכת הרשאות המשמשות אפליקציה; דורש סקירה ידנית של שינויים בקוד.
- צג . הערכת שינויים שבוצעו בקוד הפריבילגי.
מעקב אחר שינוי קוד מקור
עקוב אחר שינויים לא מכוונים של קוד מקור או אפליקציות / קבצים בינאריים / SDK של צד שלישי.
- הערכת שותפויות . הערך את הסיכון בעבודה עם שותף טכני באמצעות השלבים הבאים:
- קבע קריטריונים כיצד להעריך את הסיכון בעבודה עם ספק ספציפי.
- צור טופס ששואל את הספק כיצד הם פותרים תקריות ומנהלים את האבטחה והפרטיות.
- אמת את טענותיהם בביקורת תקופתית.
- שינויי מסלול . רשום אילו חברות ועובדים משנים את קוד המקור ומבצעים ביקורות תקופתיות כדי להבטיח שרק שינויים מתאימים מתרחשים.
- שמור רישומים . רשום אילו חברות מוסיפות קבצים בינאריים של צד שלישי למבנה שלך ותעד איזו פונקציה מבצעות אפליקציות אלו ואיזה נתונים הן אוספות.
- עדכוני תוכנית . ודא שהספקים שלך נדרשים לספק עדכוני תוכנה לכל החיים של המוצר שלך. פגיעויות בלתי צפויות עשויות לדרוש תמיכה מספקים לטיפול.
אמת את שלמות קוד המקור ואת אילן היוחסין
בדוק ואמת את קוד המקור שסופק על ידי יצרן מכשיר מקורי (ODM), עדכון אויר (OTA) או ספק.
- ניהול תעודות חתימה .
- אחסן מפתחות במודול אבטחת חומרה (HSM) או בשירות ענן מאובטח (אל תשתף אותם).
- ודא שהגישה לחתימה על אישורים מבוקרת ומבוקרת.
- דרוש שכל חתימת הקוד תתבצע במערכת הבנייה שלך.
- לשלול מפתחות שאבדו.
- צור מפתחות באמצעות שיטות עבודה מומלצות.
- נתח קוד חדש . בדוק קוד חדש שנוסף עם כלי ניתוח קוד אבטחה כדי לבדוק אם יש פרצות חדשות. בנוסף, נתח את הפונקציונליות הכוללת כדי לזהות ביטוי של פגיעויות חדשות.
- סקור לפני הפרסום . חפש פרצות אבטחה בקוד המקור ובאפליקציות של צד שלישי לפני שאתה דוחף אותן לייצור. לדוגמה:
- דרוש מאפליקציות להשתמש בתקשורת מאובטחת.
- עקוב אחר עקרון ההרשאות המינימליות והענק את קבוצת ההרשאות המינימלית הדרושה להפעלת האפליקציה.
- ודא שהנתונים מאוחסנים ומועברים בערוצים מאובטחים.
- שמור את תלות השירות מעודכנת.
- החל תיקוני אבטחה על SDK וספריות קוד פתוח.
תגובה לאירוע
אנדרואיד מאמינה בכוחה של קהילת אבטחה חזקה לעזור באיתור בעיות. עליך ליצור ולפרסם דרך לגורמים חיצוניים ליצור איתך קשר בנוגע לבעיות אבטחה ספציפיות למכשיר.
- צור קשר . צור כתובת דוא"ל, כגון security@ your-company .com או אתר אינטרנט עם הנחיות ברורות לדיווח על בעיות אבטחה אפשריות הקשורות למוצר שלך ( דוגמה ).
- הקמת תוכנית תגמולים על פגיעות (VRP) . עודדו חוקרי אבטחה חיצוניים להגיש דוחות פגיעות באבטחה המשפיעים על המוצרים שלכם על ידי מתן פרסים כספיים עבור הגשות תקפות ( דוגמה ). אנו ממליצים לתגמל חוקרים בתגמולים תחרותיים בתעשייה, כגון $5,000 עבור פרצות חומרה קריטיות ו-$2,500 עבור פרצות בדרגת חומרה גבוהה.
- תרום שינויים במעלה הזרם . אם נודעת לבעיית אבטחה המשפיעה על פלטפורמת Android או מכשירים מיצרני מכשירים מרובים, צור קשר עם צוות האבטחה של Android על ידי הגשת דוח באג אבטחה .
- קדם נוהלי אבטחה טובים . הערך באופן יזום את נוהלי האבטחה של ספקי חומרה ותוכנה המספקים שירותים, רכיבים ו/או קוד עבור המכשירים שלך. להטיל אחריות על הספקים לשמירה על תנוחת אבטחה טובה.