m o h t i g b u c . 5 目录 第一部分：最初的 90 天 ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 3 1. 确定方向．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 4 了解任命你的商业原因．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．4 了解当今的安全基线．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．5 2. 为安全奠定基础．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 6 从用户角度理解安全问题．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．7 了解针对你的系统的威胁．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．7 3. m o 确定优先次序并执行．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 8 c . 5 第二部分 ： 你已经安顿好了 ， 现在怎么办？ ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 9 4. 不消除风险，管理风险．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 10 b u 卒卜丁管理．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 11 5. 安全评估的广阔世界．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．． ．．．．．．． ．．．．．．．．．．．．．．．．． ．．．．． 12 h t i g 黑盒和白盒测试．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 13 漏洞评估．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 13 渗透测试．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 14 红队服务 ．．．．．． ． ．．．．．．．．．．．．．．． ．． ．．．．．．． ．．．．．．．．．．． ．． ．．．．． ．．． ．．．．．．．． ．． ．．．．．．．．．． ．．．． ．．．． ． ．．． ．．．．．．．． ．． ．．．．．．．．．．．．．．． ．．． ．． ．．．．．．． ．．．． ．．．．． ．． ．． ．．．．．．．． ．．． ． ．． 14 审计．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 15 6. 稳扎稳打．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 16 密切关注第三方和供应商．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．． 16 你的攻击面发生变化．．．．． ． ．．．．．．．．．．．．．．．．．．．．．．． ． ．．．．．．． ． ．．．．．．．．．．．． ． ．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．． ．．．．．．．． ． ．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．． 17 第三部分：维持—个成功的安全计划 ． ． ．．． ．．． ．． ． ． ．．．．． ．．．． ．． ．． ． ．．． ． ． ．． ．．． ． ． ． ．． ． ．． ．．．． ． ． ．．． ． ． ． ．．．． ．．．．． ． ．． ． ．． ． ． 18 7. 持续安全的艺术．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 19 建立安全文化．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．． 20 8. 漏洞贸金：何时以及如何获得？．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ． ．．．．．．．．．．．．．．．．．．．．．．．．．．．． 22 如何建立漏洞赏金计划．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．． 23 9. 分享你的知识．． ．．．．．．．． ． ．．． ．．．． ．．．．．．．． ．．．． ．．．． ．．． ． ．．． ．．．． ． ．．．． ．．．．．． ．． ． ． ．．． ．．． ．．．．．．． ．． ． ．． ．．．． ．．．． ． ．．．．．． ． ． ．．． ．． ． ．．． ．．．． ． ．．．．． ．． ． ． ． ．． ．． ．． ． 25 附录 ： 应用程序安全检查表 ． ． ． ．．．． ． ．．．． ．．． ．．．． ．． ．．． ． ． ． ．．． ．． ．．．．． ． ．．．．． ．． ．．． ． ． ． ．．． ．． ．．．． ． ． ． ．．．．． ． ．．． ． ． ． ．．． ． ． ．．．． ．．． 26 2 安全领导手册一前沿 阵 地 [ infosrc ] m o c . 5 第一部分 第一个 90 天 你是企业的下 b u 你必须在一 个高增长的公司 一任安全总监。？你从哪里开始？ 接下来会发生什么· 有人告诉你， 具和每年的渗 大安全实践。 开始并扩 比如安全扫描工 咭］可能已经有 你的 lb,. 透 ii) 试。但是， h t i g 了基本的安全流程， 什么是规模 土基础？ 化安全的最住 个强大的安全计划， 井与你的公司一 起成长？采取 哪些步骤可 并利用它从第一 天开始取得进展 。 我 in 的计划， 以建立一 安全 银导 手罹一韵沿 阵地［翻译 1 3 第—部分 1 第—个90天 第一章 确定方向 祝贺你！你已经被任命为你的组织的下一 组织的成长 。随着组织的成长，他们的 任安全总监（或其他类似头衔）。接管 安全足迹也在增长。小型初创企业 需要 这样—个重要的角色似乎令人生畏。新 安全 ，但主要集中在快速向市场提供功 的项目，那些已经在进行中的项目，升 能，以测试它是否可行。随着你的用户 级，漏洞，你的公司在五年内的安全会 增多，对安全的需求也会增加，安全漏 是什么样