אבטחה ארגונית ותפעולית

קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

הבסיס לשיטות אבטחה טובות מתחיל בארגון.

יצירת צוות אבטחה ופרטיות

כדאי ליצור צוות ייעודי לאבטחה ולפרטיות ולהגדיר לו מנהל.

• יצירת צוות אבטחה
  • חשוב לוודא שלפחות עובד אחד אחראי על האבטחה, הפרטיות ותגובת הארגון לתקריות.
  • מגדירים את המשימה וההיקף של הצוות.
  • פיתוח תרשים ארגוני ותיאורי תפקידים עבור: מנהל אבטחה, מהנדס אבטחה, מנהל אירועים.
  • עובדים או קבלנים חיצוניים יכולים למלא את התפקידים האלה.
• הגדרת מחזור חיים לפיתוח אבטחה (SDL). ה-SDL צריך לכלול את האזורים הבאים:
  • דרישות אבטחה למוצרים.
  • ניתוח סיכונים ויצירת מודלים של איומים.
  • ניתוח סטטי ודינמי של אפליקציות וקוד.
  • תהליכי בדיקת אבטחה סופיים של מוצרים.
  • תגובה לתקריות אבטחה.
• הערכת הסיכונים הארגוניים ליצור הערכת סיכונים ולפתח תוכניות להסרת הסיכונים האלה או לצמצום שלהם.

תהליך האימות של build

הערכת הפערים בתהליכי האימות והאישור הפנימיים של גרסאות build.

• מזהים פערים בתהליך האימות הנוכחי של ה-build שעשויים להוביל להוספה של אפליקציה שעלולה להזיק (PHA) ל-build.
• חשוב לוודא שיש לכם תהליך של בדיקה ואישור של קוד, גם לתיקונים פנימיים ל-AOSP.
• כדי לשפר את תקינות ה-build, כדאי להטמיע אמצעי בקרה בתחומים הבאים:
  • מעקב אחרי שינויים. מעקב אחרי מהנדסי תוכנה ורישום ביומני שינויים.
  • הערכת הסיכונים להעריך את ההרשאות שבהן האפליקציה משתמשת, ולדרוש בדיקה ידנית של שינויים בקוד.
  • מעקב. הערכת השינויים שבוצעו בקוד בעל ההרשאות.

מעקב אחר שינויים בקוד המקור

מעקב אחר שינויים לא מכוונים בקוד המקור או ביישומים / בינאריים / ב-SDK של צד שלישי.

• הערכת השותפויות כדי להעריך את הסיכון של עבודה עם שותף טכני, יש לבצע את השלבים הבאים:
  • להגדיר קריטריונים להערכת הסיכון בעבודה עם ספק ספציפי.
  • יוצרים טופס שבו שואלים את הספק איך הוא פותר אירועים ומנהל את האבטחה והפרטיות.
  • מומלץ לבצע ביקורת תקופתית כדי לאמת את ההצהרות שלהם.
• מעקב אחרי שינויים. לתעד אילו חברות ועובדים משנים את קוד המקור, ולבצע ביקורות תקופתיות כדי לוודא שמתבצעים רק שינויים מתאימים.
• שמירת תיעוד עליכם לתעד אילו חברות מוסיפות קובצי ‎binaries של צד שלישי לגרסה שלכם, ומה הפונקציות של האפליקציות האלה ואילו נתונים הן אוספות.
• עדכוני תוכנית. חשוב לוודא שהספקים שלכם נדרשים לספק עדכוני תוכנה לכל משך חיי המוצר. יכול להיות שיהיו נקודות חולשה בלתי צפויות שיהיו צורך לקבל תמיכה מהספקים כדי לטפל בהן.

אימות השלמות והמקור של קוד המקור

בדיקה ואימות של קוד המקור שסופק על ידי יצרן ציוד מקורי (ODM), עדכון אוויר (OTA) או ספק.

• ניהול אישורי החתימה
  • אחסון מפתחות במודול אבטחה לחומרה (HSM) או בשירות מאובטח בענן (לא לשתף אותם).
  • מוודאים שהגישה לאישורי החתימה מבוקרת ומנוהלת.
  • דרישה שכל חתימת הקוד תתבצע במערכת ה-build.
  • לבטל מפתחות שאבדו.
  • יצירת מפתחות לפי שיטות מומלצות.
• ניתוח קוד חדש. בדיקת הקוד החדש שנוסף באמצעות כלים לאבטחת קוד כדי לבדוק אם נוספו נקודות חולשה חדשות. בנוסף, ניתוח הפונקציונליות הכוללת יכול לזהות נקודות חולשה חדשות.
• בדיקה לפני הפרסום. מחפשים נקודות חולשה באבטחה בקוד המקור ובאפליקציות של צד שלישי לפני שמעבירים אותן לסביבת הייצור. לדוגמה:
  • דרישה מאפליקציות להשתמש בתקשורת מאובטחת.
  • פועלים לפי העיקרון של הרשאות מינימליות ומעניקים את קבוצת ההרשאות המינימלית שנדרשת כדי שהאפליקציה תפעל.
  • לוודא שהנתונים מאוחסנים ומועברים דרך ערוצי תקשורת מאובטחים.
  • חשוב לוודא שיחסי התלות בין השירותים מעודכנים.
  • מחילים תיקוני אבטחה על ערכות SDK וספריות קוד פתוח.

תגובה לאירועים

אנחנו ב-Android מאמינים ביכולת של קהילה חזקה בתחום האבטחה לעזור למצוא בעיות. כדאי ליצור ולפרסם דרך שבה גורמים חיצוניים יוכלו ליצור איתכם קשר לגבי בעיות אבטחה ספציפיות למכשיר.

• יצירת קשר. ליצור כתובת אימייל, כמו security@your-company.com או אתר עם הוראות ברורות לדיווח על בעיות אבטחה פוטנציאליות שקשורות למוצר (דוגמה).
• יצירת תוכנית תגמולים על חשיפות (VRP). כדי לעודד חוקרי אבטחה חיצוניים לשלוח דוחות על נקודות חולשה באבטחה שמשפיעות על המוצרים שלכם, תוכלו להציע תמריצים כספיים על שליחת דוחות תקינים (דוגמה). אנחנו ממליצים לתגמל חוקרים עם פרסים תחרותיים בתחום, כמו 5,000 $על נקודות חולשה ברמת סיכון קריטית ו-2,500 $על נקודות חולשה ברמת סיכון גבוהה.
• הוספת שינויים למקור. אם גיליתם בעיית אבטחה שמשפיעה על פלטפורמת Android או על מכשירים של כמה יצרנים, תוכלו לשלוח דוח באג באבטחה לצוות האבטחה של Android.
• קידום שיטות אבטחה טובות. כדאי להעריך באופן יזום את נוהלי האבטחה של ספקי החומרה והתוכנה שמספקים שירותים, רכיבים ו/או קוד למכשירים שלכם. לדרוש מהספקים לשמור על רמת אבטחה טובה.