14、应用安全与代码发布：从漏洞管理到 DevOps 实践

应用安全与代码发布：从漏洞管理到 DevOps 实践

在当今数字化时代，应用安全和代码发布是软件开发过程中至关重要的环节。本文将详细介绍漏洞管理计划、应用安全工具的整合以及 DevOps 模型下的安全实践等内容。

1. Bug 赏金和漏洞披露计划

为了让个人能够发现组织应用程序中的安全问题，组织通常会在其主网站（一般是安全页面）发布相关政策，方便发现问题的人查找。这些人常被称为安全研究人员，他们可以查找组织应用程序中的安全问题，并通过适当渠道提交以获得解决。

• 漏洞披露计划（VDP） ：遵循“发现问题，及时报告”的原则，让研究人员可以无后顾之忧地揭露安全漏洞。VDP 简化了将安全信息传递给正确团队的过程，解决了研究人员不知将信息发送到何处以及提交信息后解决路径不透明等问题。VDP 政策包含以下五个组件：
  |组件|详情|
  | ---- | ---- |
  |政策目的|应包含组织实施 VDP 的目的，并展示对更安全应用程序的承诺。|
  |范围|可能是政策中最重要的部分，组织在此设定允许和超出报告范围的界限。例如，政策可规定不得访问或移除应用程序中的客户数据，且仅允许测试应用程序的某些部分。|
  |安全港|向研究人员保证，只要他们在 VDP 规定的范围内行事，组织不会对其进行起诉或采取法律行动。|
  |提交流程|设定研究人员提交发现的期望，以及报告中预期的质量和内容。|
  |期望|研究人员应期望组织对提交的报告做出何种回应，例如提交与回应之间的时间、发现者何时可公开披露其发现，以及研究人员与组织之间的沟通方式。|