敏捷渗透测试简介

医药生物 2023-02-24 Kroll 申明华

背景与挑战
- 传统安全评估（如渗透测试）在快速开发周期中效果不佳，因发布周期缩短导致一次性评估难以覆盖风险。
- 现代软件开发面临技术栈调整、敏捷开发风格及多团队协调等挑战，供应链攻击、合规要求及客户期望推动组织关注产品默认安全能力。
敏捷渗透测试的提出
- 敏捷渗透测试的核心是系统化地将安全评估融入开发冲刺，而非仅提高频率或速度，强调在接近发布时以程序化方式验证风险。
- 根据第十五次敏捷报告，2021年软件开发团队中敏捷采用率增至86%，52%受访者表示团队已全面采用敏捷方法。
敏捷渗透测试的重要性
- 缩小传统评估的透明度差距，减少未经验证的代码上线风险（如SolarWinds攻击案例）。
- 政策推动（如行政命令要求供应链安全）与客户需求促使组织采用持续测试方法。
敏捷渗透测试的好处
- 效率与灵活性：通过定制化评估（如安全优先级矩阵），按需调整测试深度（如小规模UI更改无需全面渗透测试）。
- 安全产品交付：持续验证确保每次发布的安全性，提高吞吐量并降低用户风险。
- 团队能力提升：通过持续参与和漏洞模式分析，增强安全意识与技能。

敏捷评估生命周期
- 敏捷渗透测试计划包含：Onboarding与路线图规划、管理（跟踪频率与资源分配）、敏捷评估（新功能测试）及跟踪报告（定制化建议与趋势分析）。
- 核心工具包括SAST/SCA扫描、Confluence记录及JIRA/Azure DevOps漏洞跟踪。
团队角色
- TPM（技术项目管理）：与产品团队协作，理解需求并规划路线图。
- LC（首席技术顾问）：提供应用安全领域专业知识，支持威胁情报管理。
- 敏捷渗透测试团队：通过定制化评估与持续反馈，确保安全流程融入主流开发。