1.
從持續整合結合安
全開發與變更管理
報告人：郭俐佳 經理
日 期：2016.4.20
1
案號：H1040039245

2.
2

3.
需求/變更
程式開發 編繹 測試 發佈
問題回饋
重構/
解bug
什麼是持續整合
3
功能/單元

4.
需求/變更
程式開發 編繹 測試 發佈
問題回饋
重構/
解bug
什麼是持續整合
4
Checkmarx
Borland
GSS
Andromeda
Jenkins CI

5.
測試
 安全
 安全程式碼檢查 – Checkmarx, etc.
 效能
 壓力測試-Borland Silk Performer, Jmeter,
etc.
 功能
 功能測試- Borland Silk Test, Borland Silk
Mobile, etc.
5

6.
測試
 安全
 安全程式碼檢查 – Checkmarx, etc.
 效能
 壓力測試-Borland Silk Performer, Jmeter,
etc.
 功能
 功能測試- Borland Silk Test, Borland Silk
Mobile, etc.
6

7.
7

8.
內建自動化簽出源碼的檢測工具
8
廠商/開發團隊
交付源碼
專家檢視
及規則調整
提供報表
統計資料
檢查版本差異
完整的管理功能
版本管理
問題確認

9.
源碼檢測- UpdateProfile.java
10

10.
如何得知本次修改
影響了什麼功能!?
11

11.
綜觀功能與程式碼間的相依關聯
12

12.
追蹤影響範圍
13
修改此弱點程式，呼
叫到該程式的其他程
式應該要進一步檢核
是否需要配合修改

13.
追蹤影響範圍
14
修改此弱點影響
的功能項目，這
些功能項目應該
進行迴歸測試
修改此弱點程式，呼
叫到該程式的其他程
式應該要進一步檢核
是否需要配合修改

14.
安全程式碼檢查執行時機!?
 以前總說「上線前檢查」就好了!!
15

15.
軟體安全的挑戰
 開發人員不是資安專家
 資安團隊在SDLC太晚期才發現問題
16
% Bugs introduced in this phase
% Bugs found in this phase
$ Cost to repair bug in this phase
$16,000
$1,000
$100
$250
$25
85%
PercentageofBugsandFlaws
Code Build Test Release
SAST PENTEST

16.
不以規矩，不成方圓
17

17.
開發流程與規範
18
開發符合
安全標準的程式
範例:
1. 不能有高風險的OWASP TOP 10弱點
2. 不能有高風險的Injection 弱點
資安團隊
訂出程式
安全標準
開發團隊
開發
安全程式
測試團隊
進行
安全測試
資安團隊
確認符合
安全標準
設計 開發 測試 上線

18.
 功欲善其事，必先利其器
19

19.
Thanks
20

20.
Q&A
21