1、主流研发团队的工程效率与质量安全提升实战 韩葆， 15210834682,Bao.H 目录 源起 -为什么要做工程效率？ 工程效率平台的典型架构与技术 落地 -工作流集成、培训与实施 不断演变发展的环境 需要新方法 不断变化的部署环境 改变了测试需求 嵌入式设备 云服务 (私有云、 混合云、公有云 ) 语言和框架 新的技术堆栈 和攻击面 敏捷 开发运维 CI/CD 开源 新的开发理念 和方法 为什么要做工程效率？ - 环境需求 任何时间 永久风险 漏洞深深隐藏 即使采用先进的工具和方法也很难发现 代码或配置很小的改动会产生新的安全漏洞 大范围 大规模攻击 自动攻击 广泛共享软件中的一个漏洞可在
2、同一时间随处被用来自动进行攻击 示例 城市中所有交通信号灯同时失效 任何人 独狼或国家 远程攻击 网络访问可从世界任何地点随意发起攻击 很难跟踪 无法指控 为什么要做工程效率？ - 安全态势 为什么要做工程效率？ -人力成本 5 为什么要做工程效率？ -人力成本 6 为什么要做工程效率？ -人力成本 7 为什么要做工程效率？ -管理需求 大规模研发团队管理的需求（ 1000-50000+） 集中式报告 -质量、安全、性能 全系统流程管控 资源节省 8 工程效率平台的典型架构与相关技术 工程效率平台典型架构 10 项目管控 需求 流程 报告 研发管理 源代码 集中编译 研发测试 编译与发布 集成
3、 /发布 性能测试 线上监控 工程效率平台典型架构 -纯安全集合 11 项目管理 项目工作流 研发安全 代码安全审计 IAST 安全测试 渗透 测试 线上监控 安全管理与态势感知 工程效率平台典型架构 -纯质量集合 12 项目管理 项目工作流 研发质量 代码质量 - Code Reveiw 功能测试 功能、压力测试 线上监控 线上性能、功能监控 工程效率平台典型架构（百度） 13 来源：http:/pstatic.geekbang.org/pdf/5718389de9ede.pdf?e=1500283199&token=eHNJKRTldoRsUX0uCP9M3icEhpbyh3VF9Nrk5
4、UPM:UiEvE3mV03UwuWctXTqqWeAtnbk= 开发分支 线上 RD开发 ,联调 online 上线分支 上线版本备份 自动化编译 自动化回归 自动性能测试 自动化对比 RD开发合入代码 沙盒环境 预上线环境 自动部署 QA新功能测试 本地 自动化对比 自动化编译 自动化回归 自动性能测试 自动部署 工程效率平台典型架构（链家） 来自：https:/ 应用部署 自动化测试支撑平台 镜像管理 容器管理 工具 CASE部署运行 工程效率平台典型架构（链家） 来自：https:/ CI Service B u i l d CD Service Docker Reg 工程效率平台典型
5、架构（ Cloud CI/CD） 工程效率平台典型技术 项目管理 17 需求 设计 研发管理 缺陷管理 报告综合 禅道 IBM Rational Atlassian 2017 Synopsys, Inc. 18 Confidential SDLC软件研发生命周期中的技术 要求与设计 架构风险分析 安全代码设计分析 威胁建模 培训 核心安全培训 安全编码培训 远程教学 SAST (IDE) SAST (构建 ) SCA (源代码 ) IAST 实施 SAST (托管 ) 模糊测试 SCA (二进制 ) 手机测试 验证 DAST (托管 ) 渗透测试 网络渗透测试 发布 综合软件完整产品组合 工程
6、效率平台典型技术 Code Review 19 软件开发过程中对源代码的系统性检查 查找系统缺陷，保证软件总体质量 轻量级代码评审 人工 /自动化两种方式 人工 - Gerrit 自动化 - 代码静态分析 GERRIT 基于 Meta Compilation的静态分析： 由斯坦福大学教授 Dawson Engler提出 ， 在深度理解代码与程序语义的基础上检测缺陷 旨在查找“真正的代码缺陷” 实现原理： 使用可扩展的 metal语言定义正确性 Checker 将程序的源码使用状态机进行抽象描述（ State Machine Abstraction），可执行路径级别分析。 使用 xgcc系统匹配
7、 Checker与抽象状态机状态，找到问题所在的点。 可准确检测实际的 Bug（内存和指针问题、资源泄露、缓冲区溢出，数组越界，心脏出血漏洞 .） 能够检测高达亿行级别的代码库，避免“状态爆炸” 使用模型检验与符号执行技术，误报率降低至 15%以下 算法已产品化 -Coverity 面向企业的 Coverity 软件 面向开源代码的 Coverity SCAN Coverity的静态分析方案 “ 开 发 人 员 首先 ” 保 证 安全 签 交前 发现 并修复漏洞 静态代码分析 Coverity 企 业 就 绪 企 业级报 表和 仪 表板 超大型代 码库 (10M以上 LOC) 从源头保证安全
8、静 态 分析技 术 能 够 在 编 写代 码 的同 时发现 其中的 严 重安全漏洞。 Synopsys提供 Coverity静 态 代 码 分析工具 符合 标 准 OWASP Top 10, CWE Top 25 报 告包括 PCI-DSS 手机安全 Android和 iOS Objective-C OWASP Mobile Top 10, JSSEC, CERT 可 发现 的缺陷包括 缓 冲区溢出 内存 损 坏 资 源泄漏 资 源争用 静态代码分析 Coverity OWASP10 + CWE25 覆盖范 围 包括 SQL注入 跨站脚本 敏感数据 误 用 命令注入 从源头保证安全 采用行 业
9、 最高效、最可靠的静 态 分析解决方案，在 编 写代码 的同 时发现 其中的 严 重安全漏洞。 Android 应用安全策略 Coverity 代 码 安全性分析 权 限控制 泄露分析 . 质 量 问题 -Java Based 深度理解 Android API 性能 与 崩 溃类问题 ： 资 源泄露，空对 象引用， ANR Android Security CWE Coverage CONFIDENTIAL CWE CWE Name Coverity Static Analysis Checker 259 Use of Hard-coded Password HARDCODED_CREDENT
10、IALS 296 Improper Following of a Certificates Chain of Trust BAD_CERT_VERIFICATION 297 Improper Validation of Certificate with Host Mismatch BAD_CERT_VERIFICATION 299 Improper Check for Certificate Revocation BAD_CERT_VERIFICATION 321 Use of Hard-coded Cryptographic Key HARDCODED_CREDENTIALS 327 Use
11、 of a Broken or Risky Cryptographic Algorithm RISKY_CRYPTO 328 Reversible One-Way Hash RISKY_CRYPTO 337 Predictable Seed in PRNG PREDICTABLE_RANDOM_SEED 759 Use of a One-Way Hash without a Salt WEAK_PASSWORD_HASH 760 Use of a One-Way Hash with a Predictable Salt WEAK_PASSWORD_HASH 798 Use of Hard-co
12、ded Credentials HARDCODED_CREDENTIALS 916 Use of Password Hash With Insufficient Computational Effort WEAK_PASSWORD_HASH 服务器端（ Java/Javascript/Node.JS） 质 量 问题 /安全 问题 -Java Based/JS/Node.JS NULL_REFERENCE COPY_PAST_ERROR XSS DOM_XSS . 软 件 组 成分析包括 : 任何 软 件或器件的完整物料清 单 企 业 工作流集成 可配置 CI插件的开放式 API 覆盖范 围 包
13、括 : 源代 码 和二 进 制代 码 (包括容器、固件和虚 拟 HD) 开源代 码许 可 义务 第三方代 码 已知漏洞 了解软件构成。 识别第三方软件组件中的已知漏洞并修复，避免被利用。 Synopsys提供 ProteCode软件组成成分分析工具 软件成分分析ProteCode 先 进 的模糊 测试 降低 总 体开 发 成本和 时间 避免召回 /修 补 /更新造成 损 失 Heartbleed漏洞的 发现 原理 -Defensics工具 智能模糊测试 Defensics 在黑客 动 手前 在 软 件中 发现 未知危 险 漏洞。 Synopsys提供 Defensics模糊 测试 工具 介于白盒 测试 与黑盒 测试 之 间 的安全漏洞 检测 通 过 模 拟 漏洞利用和数据分析，精确 评 估每一个漏洞 风险 的影响和分 类 IAST的技 术 能 够 覆盖到每一个漏洞的源代 码 BSIMM推荐的的 IAST软 件工具 为 Seeker，来自以色列 交互式应用安全测试（ Seeker） 将 动态测试 和运行 时 代 码 分析集成到 现 有开 发 生命周期之中，帮助开 发团队发现 并确 认 多 层 web 应 用中的安全漏洞 工程效率平台典型技术 其他 30 A/B测试 压力测试 集成测试 线上监控 态势感知
