Pengembangan Aplikasi: Cara kami bekerja untuk menjaga keamanan pengguna

Mari kita bicara tentang keamanan aplikasi

Secara realistis, Anda tidak dapat secara pribadi memeriksa status keamanan setiap aplikasi dan tetap mengetahui semua potensi ancaman. Mereka perlu percaya bahwa vendor aplikasi mengetahui cara membangun keamanan dan privasi ke dalam aplikasi mereka. Sebagai pakar keamanan aplikasi, cara terbaik bagi kami untuk membangun kepercayaan tersebut adalah dengan menjelaskan proses kami.

Artikel ini membagikan beberapa detail utama tentang pekerjaan dan tantangan yang terlibat dalam pengembangan dan pemeliharaan keamanan aplikasi. Anda akan memahami betapa rumitnya proses ini dan berapa banyak waktu dan upaya yang kami lakukan untuk keamanan aplikasi sebelum fitur baru menjangkau pengguna.

Mari kita lihat tiga fase pengembangan dan pemeliharaan aplikasi yang aman.

Tahap 1: Persiapan

Bahkan sebelum baris kode pertama ditulis, banyak pekerjaan telah dilakukan, seringkali dengan partisipasi aktif dari tim keamanan.

Kapan tim keamanan aplikasi harus dilibatkan?

Pertama, fitur baru dan perubahan besar memerlukan desain ulang arsitektur yang perlu ditinjau ulang.

Tentu saja, tidak setiap perubahan memiliki implikasi keamanan. Misalnya, desain ikon baru atau dukungan bahasa tambahan tidak memerlukan banyak waktu tambahan dari tim keamanan. Namun, banyak area memerlukan pengawasan ketat oleh para profesional keamanan, dan ini menimbulkan pertanyaan yang sulit. Bagaimana kami dapat melacak semua fitur dan perubahan baru?

Dari sudut pandang teknis, melacak fitur dan perubahan baru bukanlah tugas yang sulit selama setidaknya ada beberapa bentuk dokumentasi yang berkelanjutan. Masalahnya adalah banyaknya perubahan yang terus-menerus dilakukan pada sebagian besar aplikasi, membuat penilaian manual tim keamanan terhadap setiap elemen menjadi pendekatan yang sangat tidak efisien.

komunikasi dan evaluasi

Karena itu, kolaborasi dan komunikasi yang erat antara tim pengembangan dan keamanan sangat berharga. Beberapa saluran harus dibuat di antara tim untuk meningkatkan kesadaran akan perubahan aplikasi dan potensi masalah keamanan. Mempertahankan saluran keamanan aplikasi khusus membantu memfasilitasi diskusi yang berharga.

Konsultasi konstan di setiap tahap siklus hidup pengembangan perangkat lunak (SDLC) sangat penting untuk proses tersebut. Di Nord Security, tim keamanan aplikasi kami secara aktif mendorong konsultasi ini dengan cara apa pun yang diperlukan, karena ini membantu semua pihak menilai area mana yang diprioritaskan untuk penilaian keamanan.

Namun, secara default, kami memperlakukan setiap perubahan sebagai keamanan yang relevan dan hanya mengklasifikasi ulang setelah evaluasi awal jika input keamanan lebih lanjut benar-benar tidak memiliki nilai.

pemodelan ancaman

Untuk perubahan terencana yang signifikan atau lebih sensitif, tim keamanan aplikasi menggunakan latihan pemodelan ancaman. Pemodelan ancaman adalah proses yang digunakan untuk mengidentifikasi dan menghitung potensi ancaman atau kurangnya perlindungan keamanan yang tepat dan memprioritaskan penanggulangan.

Proses ini cukup kompleks dan membutuhkan waktu dan tenaga. Namun, jika hal ini dilakukan secara komprehensif dan dengan keterlibatan pemangku kepentingan yang relevan, maka akan sangat bermanfaat pada tahap pengembangan selanjutnya, karena pendekatan “keamanan secara default” diterapkan dari diskusi arsitektural pertama.

Tahap 2: Pengembangan

Saat kami memasuki fase pengembangan, semua pemangku kepentingan harus memiliki pemahaman dasar tentang praktik terbaik keamanan perangkat lunak.

pelatihan dan berbagi pengetahuan

Untuk memiliki perangkat lunak yang hebat, Anda memerlukan pengembang yang terampil dan spesialis jaminan kualitas, tetapi orang-orang tersebut juga perlu dilatih dalam keamanan perangkat lunak.

Itulah mengapa di Nord Security kami membangun program pelatihan keamanan yang mencakup semua perusahaan. Ini memastikan bahwa semua kolega teknis kami memiliki pemahaman yang kuat tentang masalah pengembangan perangkat lunak yang aman.

Tentu saja, ini bukan satu-satunya cara untuk memberikan pelatihan keselamatan. Kami juga dapat memberikan pelatihan ad hoc tentang topik atau teknologi tertentu, pertemuan infosec bulanan, atau lokakarya keamanan yang disesuaikan dengan fungsi pekerjaan tertentu. Kami percaya berbagi pengetahuan adalah elemen penting dalam setiap program keamanan aplikasi yang berhasil.

Tinjauan keamanan kode

Setelah kami memiliki kode sumber, kami dapat memulai tinjauan keamanan kode. Ini biasanya terjadi dalam dua tahap.

Pertama, kode sumber diuji menggunakan berbagai pengujian dan alat otomatis. Pengujian Keamanan Aplikasi Statis (SAST), Pengujian Keamanan Aplikasi Dinamis (DAST), dan alat Analisis Komposisi Perangkat Lunak (SCA) adalah komponen penting dari SDLC yang aman.

Penting untuk diperhatikan bahwa meskipun alat ini bekerja dengan baik, sebaiknya gabungkan dengan campur tangan manusia. Tinjauan manual tidak diskalakan dengan basis kode yang lebih besar, tetapi masih memainkan peran kunci. Dalam pengalaman kami, beberapa kerentanan serius masih dapat ditemukan secara manual setelah alat otomatis diterapkan.

Tes keamanan aplikasi manual

Sebelum kami merilis produk ke pelanggan kami, kami harus melalui tes keamanan aplikasi manual. Ini dilakukan oleh para profesional berpengalaman yang berspesialisasi dalam topik keamanan tertentu, sistem operasi, dan platform.

Cara kerja bagian proses ini sangat dinamis dan bergantung pada fungsionalitas yang diuji. Diperlukan waktu berjam-jam, berhari-hari, atau bahkan berminggu-minggu untuk secara praktis menyelidiki semua potensi vektor serangan dan kasus penyalahgunaan.

Masalah apa pun yang ditemukan selama fase ini segera dinilai menurut tingkat keparahannya dan semua informasi yang diperlukan diteruskan ke tim pengembangan. Tidak ada masalah keamanan yang diketahui yang diizinkan untuk melanjutkan ke fase produksi.

Tahap 3: Produksi

Keamanan aplikasi adalah proses yang berkelanjutan, sehingga meskipun produk dikirim ke pengguna akhir, masih ada pekerjaan yang harus dilakukan oleh tim keamanan.

Pelacakan keamanan yang sedang berlangsung

Tugas penting dalam fase ini adalah pelacakan berkelanjutan terhadap kerentanan baru dan vektor serangan. Di Nord Security, tim keamanan aplikasi memantau dengan cermat kinerja produk dan mencari masalah dengan komponen pihak ketiga.

Jika terjadi masalah, kami dapat menyediakan hotfix dengan solusi yang diperbarui, atau rilis versi yang benar-benar baru jika diperlukan perubahan besar.

Pelayanan luar

Beberapa layanan juga disediakan oleh aktor eksternal. Di Nord Security kami memiliki program bug bounty yang berfungsi dengan semua produk konsumen B2C. Ini membantu kami mengidentifikasi kerentanan atau bug baru dengan cepat dan memperbaikinya dengan cepat.

Layanan lain yang digunakan oleh tim keamanan aplikasi seperti kami adalah pengujian pena. Pentesting membantu kami mengungkap kerentanan dan area baru untuk perbaikan, dan memberi tim perspektif baru tentang pengujian keamanan internal di masa mendatang.

Untuk mendapatkan hasil terbaik dari audit keamanan eksternal, penting bagi kami untuk bekerja sama dengan penyedia layanan dan dengan jelas menentukan ruang lingkup persyaratan kami.

Kiat pro: Selalu jadwalkan waktu pengembangan khusus setelah hasil pentest dikirimkan. Ini memberi Anda fleksibilitas untuk merespons bug dan kerentanan secara efektif.

Akhirnya

Memastikan keamanan aplikasi adalah proses kompleks yang berjalan seiring dengan pengembangan di semua tahap SDLC.

Dari tinjauan arsitektur dan pemodelan ancaman hingga pengujian otomatis, tinjauan manual, dan layanan eksternal, setiap bagian dari siklus ini diperlukan untuk menghasilkan produk yang aman. Tanpa langkah-langkah penting ini, Anda tidak dapat membangun kepercayaan dengan pengguna Anda dan memastikan keamanan mereka.