安全與信任中心

我們的公共錯誤賞金HackerOne促進了程序,允許一個全球網絡安全研究人員和集體滲透測試人員測試磚安全漏洞。的一些關鍵決定我們成功使程序包括:

• 鼓勵參與社區的黑客活躍在我們的程序通過提供透明度HackerOne項目統計數據如反應率和支出
• 及時響應錯誤賞金提交,平均time-to-bounty下一個星期
• 執行變異分析每個有效提交識別替代方式,利用可以使用,並驗證修複的100%
• 增加獎金驅動注意產品的最重要領域

我們努力使我們的項目成功,互相學習。我們的開放和協作方法錯誤賞beplay娱乐ios金計劃導致超過100安全研究人員感謝超過200報告。感謝大家幫助我們保持磚安全!

我們希望我們的客戶有信心beplay体育app下载地址在工作負載在磚上運行。如果你的團隊想要運行一個漏洞掃描對磚或滲透測試,我們建議您:

1. 飛機係統上運行脆弱性掃描數據在雲服務提供商的帳戶。
2. 對代碼運行測試,這些測試是完全包含在數據平麵(或其他係統)位於你的雲服務提供者賬戶和評估你的控製。
3. 加入磚Bug的賞金程序訪問一個專門部署磚進行滲透測試。任何針對我們的多租戶的滲透測試控製飛機需要參與這個項目。

磚利用一個思想門戶跟蹤特性請求並允許投票為客戶和員工。beplay体育app下载地址我們的功能設計過程包括隱私和安全設計。一個初步評估後,高影響力的特性受到產品的安全設計審查安全團隊從工程與安全協會冠軍,以及其他威脅建模和安全特定的檢查。

我們使用敏捷開發方法,將新特性分解為多個sprint。磚不外包磚的發展平台,和所有開發人員都必須經過安全軟件開發培訓,包括OWASP前十名——當雇傭,此後每年。Beplay体育安卓版本生產數據和環境是分開發展,QA和舉辦環境。所有的代碼簽入到源代碼控製係統,需要單點登錄的多因素身份驗證和細粒度的權限。代碼合並需要功能性工程業主批準的每個領域的影響,以及所有代碼是同行評議。產品安全團隊手動審查安全敏感代碼消除業務邏輯錯誤。

我們使用最好的工具來識別脆弱的包或代碼。自動化在預生產環境中運行驗證主機和容器操作係統的漏洞掃描和安裝的軟件包,以及動態和靜態代碼分析掃描。工程票自動創建任何漏洞和分配給相關團隊。產品安全小組還分類關鍵漏洞評估其嚴重性的磚結構。

我們運行質量檢查(如單元測試和端到端測試)在SDLC過程的多個階段,包括在合並代碼,代碼合並後,在發布和生產。我們的測試包括積極測試,回歸測試和負麵測試。一旦部署,我們有廣泛的監控識別故障,用戶可以對係統可用性通過警報狀態頁。在發生任何P0或P1問題,磚自動化觸發“5個為什麼”的根本原因分析方法,選擇後期團隊成員監督審查。發現是行政領導溝通,並跟蹤後續項目。

磚有正式的發布管理過程,包括正式發布前可行或不可行的決策代碼。變化經過測試旨在避免回歸和驗證新功能測試在現實的工作負載。此外,有策劃推出監測早期識別問題。實現職責分離,隻有我們的部署管理係統可以發布更改生產,和多人的批準是必需的部署。

我們遵循一個不變的基礎設施模型,係統所取代,而不是修補改善可靠性和安全性,避免的風險配置漂移。新係統圖像或啟動應用程序代碼時,我們的工作負載轉移到新實例,推出新的代碼。這是正確的控製平麵和數據平麵(參見安全特性部分磚結構)。一旦在生產代碼,驗證流程確認工件不添加,刪除或擅自改變。

SDLC過程的最後階段是創建麵向客戶的文檔。磚文檔管理就像我們的源代碼,和文檔存儲在相同的源代碼控製係統。重大變化既需要技術和文檔團隊審查才可以合並和發表。
訪問文檔→