AXIS സുരക്ഷാ വികസന മോഡൽ സോഫ്റ്റ്‌വെയർ

ആമുഖം

ASDM ലക്ഷ്യങ്ങൾ
ആക്‌സിസ് സെക്യൂരിറ്റി ഡെവലപ്‌മെന്റ് മോഡൽ (എഎസ്‌ഡിഎം) എന്നത് ആക്‌സിസ് ഉപയോഗിക്കുന്ന പ്രക്രിയയും ടൂളുകളും നിർവചിക്കുന്ന ഒരു ചട്ടക്കൂടാണ്.

ASDM ശ്രമങ്ങളെ നയിക്കുന്ന പ്രാഥമിക ലക്ഷ്യങ്ങൾ ഇവയാണ്

• ആക്‌സിസ് സോഫ്‌റ്റ്‌വെയർ വികസന പ്രവർത്തനങ്ങളുടെ സംയോജിത ഭാഗമാക്കുക സോഫ്റ്റ്‌വെയർ സുരക്ഷ.
• ആക്സിസ് ഉപഭോക്താക്കൾക്ക് സുരക്ഷയുമായി ബന്ധപ്പെട്ട ബിസിനസ്സ് അപകടസാധ്യതകൾ കുറയ്ക്കുക.
• Meet increasing awareness of security considerations by customers and partners.
• പ്രശ്‌നങ്ങൾ നേരത്തേ കണ്ടെത്തുകയും പരിഹരിക്കുകയും ചെയ്യുന്നതിനാൽ ചെലവ് കുറയ്ക്കാനുള്ള സാധ്യത സൃഷ്ടിക്കുക
  ASDM സ്കോപ്പ് ആക്സിസ് ഉൽപ്പന്നങ്ങളിലും പരിഹാരങ്ങളിലും ഉൾപ്പെടുത്തിയിരിക്കുന്ന ആക്സിസ് സോഫ്റ്റ്വെയറാണ്. സോഫ്‌റ്റ്‌വെയർ സെക്യൂരിറ്റി ഗ്രൂപ്പ് (എസ്‌എസ്‌ജി) ആണ് എഎസ്‌ഡിഎമ്മിന്റെ ഉടമയും പരിപാലകരും.

ഗ്ലോസറി

എഎസ്ഡിഎം	ആക്സിസ് സുരക്ഷാ വികസന മോഡൽ
എസ്.എസ്.ജി	സോഫ്റ്റ്വെയർ സെക്യൂരിറ്റി ഗ്രൂപ്പ്
ഫേംവെയർ സ്റ്റിയറിംഗ് ഗ്രൂപ്പ്	R&D മാനേജ്മെന്റ്
ഉപഗ്രഹം	സോഫ്‌റ്റ്‌വെയർ സുരക്ഷയോട് സ്വാഭാവികമായ അടുപ്പമുള്ള ഡെവലപ്പർമാർ
ദുർബലത ബോർഡ്	ബാഹ്യ ഗവേഷകർ കണ്ടെത്തിയ കേടുപാടുകൾ സംബന്ധിച്ച ആക്സിസ് കോൺടാക്റ്റ് പോയിന്റ്
ബഗ് ബാർ	ഒരു ഉൽപ്പന്നത്തിനോ പരിഹാരത്തിനോ വേണ്ടിയുള്ള സുരക്ഷാ ലക്ഷ്യം
ഡിഎഫ്ഡി	ഡാറ്റാ ഫ്ലോ ഡയഗ്രം

ASDM കഴിഞ്ഞുview

പ്രധാന വികസന ഘട്ടങ്ങളിൽ വ്യാപിച്ചുകിടക്കുന്ന നിരവധി പ്രവർത്തനങ്ങൾ ASDM ഉൾക്കൊള്ളുന്നു. സുരക്ഷാ പ്രവർത്തനങ്ങൾ എഎസ്ഡിഎം ആയി തിരിച്ചറിയപ്പെടുന്നു.

The SSG is responsible for governing the ASDM and evolving the toolbox over time. There is an ASDM roadmap and a rollout plan for implementing new activities and increasing ASDM maturity across the development organization. Both the roadmap and rollout plan are owned by the SSG, but the responsibility for actual implementation in practice (i.e., performing activities related to development phases) is delegated to the R&D teams.

സോഫ്റ്റ്‌വെയർ സെക്യൂരിറ്റി ഗ്രൂപ്പ് (SSG)

സുരക്ഷയുമായി ബന്ധപ്പെട്ട പ്രശ്നങ്ങൾക്കായി വികസന ഓർഗനൈസേഷനുകളുമായുള്ള പ്രധാന ആന്തരിക സമ്പർക്ക സ്ഥാപനമാണ് SSG. ആവശ്യകതകൾ, രൂപകൽപ്പന, നടപ്പാക്കൽ, സ്ഥിരീകരണം, തുടങ്ങിയ വികസന മേഖലകളിൽ വിദഗ്ധ സുരക്ഷാ പരിജ്ഞാനമുള്ള സുരക്ഷാ ലീഡുകളും മറ്റുള്ളവരും ഇതിൽ ഉൾപ്പെടുന്നു.
അതുപോലെ ക്രോസ്-ഫംഗ്ഷണൽ DevOps പ്രക്രിയകളും.
ഡെവലപ്‌മെന്റ് ഓർഗനൈസേഷനിലെ സുരക്ഷിതമായ വികസന സമ്പ്രദായങ്ങൾക്കും സുരക്ഷാ അവബോധത്തിനുമായി എഎസ്‌ഡിഎമ്മിന്റെ വികസനത്തിനും പരിപാലനത്തിനും എസ്എസ്ജി ഉത്തരവാദിയാണ്.

ഉപഗ്രഹങ്ങൾ
സോഫ്‌റ്റ്‌വെയർ സുരക്ഷാ വശങ്ങളുമായി പ്രവർത്തിക്കാൻ സമയത്തിന്റെ ഒരു ഭാഗം ചെലവഴിക്കുന്ന വികസന ഓർഗനൈസേഷനിലെ അംഗങ്ങളാണ് ഉപഗ്രഹങ്ങൾ. ഉപഗ്രഹങ്ങൾ ഉണ്ടാകാനുള്ള കാരണങ്ങൾ ഇവയാണ്:

• ഒരു വലിയ സെൻട്രൽ SSG നിർമ്മിക്കാതെ ASDM സ്കെയിൽ ചെയ്യുക
• ഡെവലപ്‌മെന്റ് ടീമുകൾക്ക് അടുത്തുള്ള ASDM പിന്തുണ നൽകുക
• അറിവ് പങ്കിടൽ സുഗമമാക്കുക, ഉദാ, മികച്ച രീതികൾ
  പുതിയ പ്രവർത്തനങ്ങൾ നടപ്പിലാക്കുന്നതിനും ഡെവലപ്‌മെന്റ് ടീമുകളുടെ ഒരു ഉപവിഭാഗത്തിൽ ASDM നിലനിർത്തുന്നതിനും ഒരു ഉപഗ്രഹം സഹായിക്കും.

എഎസ്ഡിഎം പ്രവർത്തനം റോൾഔട്ട്
ഒരു ഡെവലപ്‌മെന്റ് ടീമിലേക്കുള്ള എഎസ്‌ഡിഎം പ്രവർത്തനം ഇപ്രകാരമാണ്tagഎഡ് പ്രക്രിയ:

1. റോൾ-നിർദ്ദിഷ്ട പരിശീലനത്തിലൂടെ ടീമിനെ പുതിയ പ്രവർത്തനത്തിലേക്ക് പരിചയപ്പെടുത്തുന്നു.
2. ടീം നിയന്ത്രിക്കുന്ന സിസ്റ്റത്തിന്റെ(കൾ) തിരഞ്ഞെടുത്ത ഭാഗങ്ങൾക്കായുള്ള പ്രവർത്തനം, ഉദാ, റിസ്ക് അസസ്മെന്റ് അല്ലെങ്കിൽ ത്രെട്ട് മോഡലിംഗ് നടത്താൻ ടീമുമായി ചേർന്ന് SSG പ്രവർത്തിക്കുന്നു.
3. ദൈനംദിന ജോലിയിൽ ടൂൾബോക്സ് സമന്വയിപ്പിക്കുന്നതുമായി ബന്ധപ്പെട്ട കൂടുതൽ പ്രവർത്തനങ്ങൾ, നേരിട്ടുള്ള SSG പങ്കാളിത്തമില്ലാതെ സ്വതന്ത്രമായി പ്രവർത്തിക്കാൻ തയ്യാറാകുമ്പോൾ ടീമിനും ഉപഗ്രഹത്തിനും കൈമാറും. ഈ ഘട്ടത്തിൽ, ASDM സ്റ്റാറ്റസ് വഴി ടീം മാനേജർ ആണ് ജോലി നിയന്ത്രിക്കുന്നത്.
   പരിഷ്‌ക്കരിച്ച കൂടാതെ/അല്ലെങ്കിൽ കൂട്ടിച്ചേർത്ത പ്രവർത്തനങ്ങളോടെ ASDM-ന്റെ പുതിയ പതിപ്പുകൾ ലഭ്യമാകുമ്പോൾ റോൾഔട്ട് ആവർത്തിക്കുന്നു. ഒരു ടീമിനൊപ്പം SSG ചെലവഴിക്കുന്ന സമയം പ്രവർത്തനത്തെയും കോഡ് സങ്കീർണ്ണതയെയും വളരെയധികം ആശ്രയിച്ചിരിക്കുന്നു. ടീമുമായി കൂടുതൽ എഎസ്ഡിഎം പ്രവർത്തനം തുടരാൻ കഴിയുന്ന ഒരു എംബഡഡ് സാറ്റലൈറ്റിന്റെ അസ്തിത്വമാണ് ടീമിന് വിജയകരമായ കൈമാറ്റത്തിനുള്ള പ്രധാന ഘടകം. ആക്‌റ്റിവിറ്റി റോൾഔട്ടിന് സമാന്തരമായി SSG ഉപഗ്രഹത്തിന്റെ പഠനവും അസൈൻമെന്റും നയിക്കുന്നു.
   ചുവടെയുള്ള ചിത്രം റോൾഔട്ട് രീതിശാസ്ത്രത്തെ സംഗ്രഹിക്കുന്നു.

   

കൈമാറ്റത്തിനായി "ചെയ്തു" എന്നതിന്റെ SSG നിർവചനം ഇതാണ്:

• റോൾ നിർദ്ദിഷ്ട പരിശീലനം നടത്തി
• ഉപഗ്രഹം ഏൽപ്പിച്ചു
• ASDM പ്രവർത്തനം നടത്താൻ ടീം തയ്യാറാണ്
• ആവർത്തിച്ചുള്ള ASDM സ്റ്റാറ്റസ് മീറ്റിംഗുകൾ സ്ഥാപിച്ചു
  സീനിയർ മാനേജ്‌മെന്റിനെ സംബന്ധിച്ച സ്റ്റാറ്റസ് റിപ്പോർട്ടുകൾ കൂട്ടിച്ചേർക്കാൻ ടീമുകളിൽ നിന്നുള്ള ഇൻപുട്ട് SSG ഉപയോഗിക്കുന്നു.

മറ്റ് SSG പ്രവർത്തനങ്ങൾ
റോൾഔട്ട് പ്രവർത്തനങ്ങൾക്ക് സമാന്തരമായി, എസ്എസ്ജി വിപുലമായ സുരക്ഷാ ബോധവൽക്കരണ പരിശീലന പ്രവർത്തനങ്ങൾ നടത്തുന്നു, ഉദാ, പുതിയ ജീവനക്കാരെയും മുതിർന്ന മാനേജ്മെന്റിനെയും ലക്ഷ്യം വയ്ക്കുന്നു. കൂടാതെ, മൊത്തത്തിലുള്ള/വാസ്തുവിദ്യാ അപകട വിലയിരുത്തൽ ആവശ്യങ്ങൾക്കായി ആക്സിസ് സൊല്യൂഷനുകളുടെ ഒരു സുരക്ഷാ ഹീറ്റ് മാപ്പ് SSG പരിപാലിക്കുന്നു. പ്രത്യേക മൊഡ്യൂളുകൾക്കായുള്ള സജീവമായ സുരക്ഷാ വിശകലന പ്രവർത്തനങ്ങൾ ചൂട് മാപ്പിനെ അടിസ്ഥാനമാക്കിയാണ് നടത്തുന്നത്.

റോളുകളും ഉത്തരവാദിത്തങ്ങളും
ചുവടെയുള്ള പട്ടികയിൽ കാണിച്ചിരിക്കുന്നതുപോലെ, ASDM പ്രോഗ്രാമിന്റെ ഭാഗമായ ചില പ്രധാന ഘടകങ്ങളും റോളുകളും ഉണ്ട്. താഴെയുള്ള പട്ടിക എഎസ്ഡിഎമ്മുമായി ബന്ധപ്പെട്ട റോളുകളും ഉത്തരവാദിത്തങ്ങളും സംഗ്രഹിക്കുന്നു.

റോൾ/എന്റിറ്റി	ഭാഗം	ഉത്തരവാദിത്തം	അഭിപ്രായം
സുരക്ഷാ വിദഗ്ധൻ	എസ്.എസ്.ജി	ASDM നിയന്ത്രിക്കുക, ടൂൾബോക്‌സ് വികസിപ്പിക്കുക, ASDM റോൾഔട്ട് ഡ്രൈവ് ചെയ്യുക	100% SSG-ന് അസൈൻ ചെയ്‌തു
ഉപഗ്രഹം	വികസന ലൈൻ	ആദ്യമായി ASDM നടപ്പിലാക്കാൻ SSG-യെ സഹായിക്കുക, ടീമുകളെ പരിശീലിപ്പിക്കുക, പരിശീലനങ്ങൾ നടത്തുക, SSG-യിൽ നിന്ന് സ്വതന്ത്രമായി ടീമിന് ടൂൾബോക്‌സ് ദൈനംദിന ജോലിയുടെ ഭാഗമായി ഉപയോഗിക്കുന്നത് തുടരാനാകുമെന്ന് ഉറപ്പാക്കുക. മൊത്തം ഉപഗ്രഹങ്ങളുടെ എണ്ണം നിയന്ത്രിക്കുന്നതിന് ക്രോസ്-ടീം ഉത്തരവാദിത്തം (നിരവധി ടീമുകൾ) ആവശ്യമാണ്.	സോഫ്റ്റ്‌വെയർ സുരക്ഷയുമായി സഹജമായ അടുപ്പമുള്ള ഡെവലപ്പർമാർ, ആർക്കിടെക്റ്റുകൾ, മാനേജർമാർ, ടെസ്റ്റർമാർ, സമാന റോളുകൾ എന്നിവയിൽ താൽപ്പര്യവും ഇടപഴകുന്നവരും. ഉപഗ്രഹങ്ങൾ അവരുടെ സമയത്തിന്റെ 20% എങ്കിലും എഎസ്ഡിഎമ്മുമായി ബന്ധപ്പെട്ട ജോലികൾക്കായി നിയോഗിക്കുന്നു.
മാനേജർമാർ	വികസന ലൈൻ	ASDM സമ്പ്രദായങ്ങൾ നടപ്പിലാക്കുന്നതിനുള്ള സുരക്ഷിത ഉറവിടങ്ങൾ. ASDM നിലയും കവറേജും സംബന്ധിച്ച ഡ്രൈവ് ട്രാക്കിംഗും റിപ്പോർട്ടിംഗും.	ഡെവലപ്‌മെന്റ് ടീമുകൾക്ക് ASDM നടപ്പിലാക്കൽ സ്വന്തമായുണ്ട്, SSG ഒരു പിന്തുണാ ഉറവിടമായി.
ഫേംവെയർ സ്റ്റിയറിംഗ് ഗ്രൂപ്പ് (FW SG)	R&D മാനേജ്മെന്റ്	സുരക്ഷാ തന്ത്രം തീരുമാനിക്കുകയും പ്രധാന SSG റിപ്പോർട്ടിംഗ് ചാനലായി പ്രവർത്തിക്കുകയും ചെയ്യുന്നു.	SSG പതിവായി FW SG-ലേക്ക് റിപ്പോർട്ട് ചെയ്യുന്നു.

ASDM ഭരണം

ഭരണ സംവിധാനം ഇനിപ്പറയുന്ന ഭാഗങ്ങൾ ഉൾക്കൊള്ളുന്നു:

• ASDM പ്രവർത്തനങ്ങൾക്ക് മുൻഗണന നൽകാൻ സഹായിക്കുന്ന സിസ്റ്റം റിസ്ക് ഹീറ്റ്മാപ്പ്
• പരിശീലന ശ്രമങ്ങളിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നതിനുള്ള റോൾഔട്ട് പ്ലാനും സ്റ്റാറ്റസും
• ടൂൾബോക്സ് വികസിപ്പിക്കുന്നതിനുള്ള റോഡ്മാപ്പ്
• ASDM പ്രവർത്തനങ്ങൾ ഓർഗനൈസേഷനിൽ എത്രത്തോളം സംയോജിപ്പിച്ചിരിക്കുന്നുവെന്ന് അളക്കുന്നതിനുള്ള നില

എഎസ്ഡിഎം സംവിധാനത്തെ ഒരു തന്ത്രപരമായ/പ്രവർത്തന വീക്ഷണകോണിൽ നിന്നും അതുപോലെ തന്ത്രപരമായ/ എക്സിക്യൂട്ടീവ് വീക്ഷണകോണിൽ നിന്നും പിന്തുണയ്ക്കുന്നു.
ആക്‌സിസ് ബിസിനസ്സ് ലക്ഷ്യങ്ങൾക്ക് അനുസൃതമായി ഒപ്റ്റിമൽ ഫലപ്രാപ്തിക്കായി ഓർഗനൈസേഷൻ എങ്ങനെ വികസിപ്പിക്കാം എന്നതിലാണ് ചിത്രത്തിൽ വലതുവശത്തുള്ള എക്സിക്യൂട്ടീവ് മാർഗ്ഗനിർദ്ദേശം ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നത്. ഫേംവെയർ സ്റ്റിയറിംഗ് ഗ്രൂപ്പ്, സിടിഒ, പ്രൊഡക്റ്റ് മാനേജ്മെന്റ് എന്നിവയിൽ എസ്എസ്ജി നടത്തുന്ന എഎസ്ഡിഎം സ്റ്റാറ്റസ് റിപ്പോർട്ടിംഗാണ് ഇതിലേക്കുള്ള ഒരു പ്രധാന ഇൻപുട്ട്.

ASDM സ്റ്റാറ്റസ് ഘടന

ASDM സ്റ്റാറ്റസ് ഘടനയ്ക്ക് രണ്ട് കാഴ്ചപ്പാടുകളുണ്ട്: ഞങ്ങളുടെ ടീമിനെയും ഡിപ്പാർട്ട്‌മെന്റ് ഘടനയെയും അനുകരിക്കുന്ന ഒരു ടീം കേന്ദ്രീകൃതവും, ഞങ്ങൾ വിപണിയിൽ കൊണ്ടുവരുന്ന പരിഹാരങ്ങളിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്ന ഒരു പരിഹാരവും.
ചുവടെയുള്ള ചിത്രം ASDM സ്റ്റാറ്റസ് ഘടന വ്യക്തമാക്കുന്നു.

ടീം നില
ടീം സ്റ്റാറ്റസിൽ അതിന്റെ ASDM മെച്യൂരിറ്റിയുടെ ടീം സ്വയം വിലയിരുത്തൽ, അവരുടെ സുരക്ഷാ വിശകലന പ്രവർത്തനങ്ങളുമായി ബന്ധപ്പെട്ട അളവുകൾ, അതുപോലെ തന്നെ അവർ ഉത്തരവാദിത്തമുള്ള ഘടകങ്ങളുടെ സുരക്ഷാ നിലയുടെ സംഗ്രഹം എന്നിവ അടങ്ങിയിരിക്കുന്നു.

നിലവിൽ ടീം ഉപയോഗിക്കുന്ന ASDM പതിപ്പാണ് ASDM മെച്യൂരിറ്റിയെ ആക്സിസ് നിർവചിക്കുന്നത്. ASDM വികസിച്ചുകൊണ്ടിരിക്കുന്നതിനാൽ, ASDM-ന്റെ ഓരോ പതിപ്പിലും തനതായ പ്രവർത്തനങ്ങളുടെ ഒരു കൂട്ടം അടങ്ങിയിരിക്കുന്ന ASDM പതിപ്പ് ഞങ്ങൾ നിർവ്വചിച്ചു. ഉദാample, ASDM-ന്റെ ഞങ്ങളുടെ ആദ്യ പതിപ്പ് ഭീഷണി മോഡലിംഗിൽ ശ്രദ്ധ കേന്ദ്രീകരിച്ചിരിക്കുന്നു.
ആക്സിസ് ഇനിപ്പറയുന്ന ASDM പതിപ്പുകൾ നിർവചിച്ചു:

ASDM പതിപ്പ്	പുതിയ പ്രവർത്തനങ്ങൾ
ASDM 1.0	അപകടസാധ്യത വിലയിരുത്തലും ഭീഷണി മോഡലിംഗും
ASDM 2.0	സ്റ്റാറ്റിക് കോഡ് റീview
ASDM 2.1	ഡിസൈൻ പ്രകാരം സ്വകാര്യത
ASDM 2.2	സോഫ്റ്റ്വെയർ കോമ്പോസിഷൻ വിശകലനം
ASDM 2.3	ബാഹ്യ നുഴഞ്ഞുകയറ്റ പരിശോധന
ASDM 2.4	വൾനറബിലിറ്റി സ്കാനിംഗും ഫയർ ഡ്രില്ലും
ASDM 2.5	ഉൽപ്പന്നം/പരിഹാര സുരക്ഷാ നില

അവർ ഉപയോഗിക്കുന്ന എഎസ്ഡിഎം പതിപ്പിന്റെ ഉടമസ്ഥാവകാശം ടീമിന് നൽകുന്നത് അർത്ഥമാക്കുന്നത് പുതിയ എഎസ്ഡിഎം പതിപ്പുകൾ സ്വീകരിക്കുന്നതിനുള്ള ഉത്തരവാദിത്തം ലൈൻ മാനേജർ ആണെന്നാണ്. അതിനാൽ SSG ഒരു സെൻട്രൽ ASDM റോൾഔട്ട് പ്ലാൻ തള്ളുന്ന ഒരു സജ്ജീകരണത്തിന് പകരം അത് ഇപ്പോൾ പുൾ-ബേസ്ഡ് ആയി മാറുകയും മാനേജർമാർ നിയന്ത്രിക്കുകയും ചെയ്യുന്നു.

ഘടക നില

• പ്ലാറ്റ്‌ഫോമിലെ ലിനക്‌സ് ഡെമോൺസ് മുതൽ ക്ലൗഡ് (മൈക്രോ) സേവനങ്ങൾ വരെ സെർവർ സോഫ്‌റ്റ്‌വെയർ മുഖേന എല്ലാത്തരം ആർക്കിടെക്‌ചറൽ എന്റിറ്റികളും കവർ ചെയ്യേണ്ടതിനാൽ ഞങ്ങൾക്ക് ഘടകത്തിന്റെ വിശാലമായ നിർവചനം ഉണ്ട്.
• ഓരോ ടീമും അവരുടെ പരിസ്ഥിതിയിലും വാസ്തുവിദ്യയിലും അവർക്കായി പ്രവർത്തിക്കുന്ന ഒരു അമൂർത്ത തലത്തെക്കുറിച്ച് സ്വന്തം മനസ്സ് ഉണ്ടാക്കണം. ഒരു ചട്ടം പോലെ, ടീമുകൾ ഒരു പുതിയ അമൂർത്ത തലം കണ്ടുപിടിക്കുന്നത് ഒഴിവാക്കുകയും അവരുടെ ദൈനംദിന ജോലിയിൽ അവർ ഇതിനകം ഉപയോഗിക്കുന്നതെന്തും സൂക്ഷിക്കുകയും വേണം.
• ഓരോ ടീമിനും ഒരു വ്യക്തത ഉണ്ടായിരിക്കണം എന്നതാണ് ആശയം view പുതിയതും ലെഗസി ഘടകങ്ങളും ഉൾപ്പെടുന്ന ഉയർന്ന അപകടസാധ്യതയുള്ള എല്ലാ ഘടകങ്ങളുടെയും. ലെഗസി ഘടകങ്ങളിൽ ഈ വർദ്ധിച്ച താൽപ്പര്യത്തിനുള്ള പ്രചോദനം പരിഹാരങ്ങൾക്കായുള്ള സുരക്ഷാ നില പരിശോധിക്കാനുള്ള ഞങ്ങളുടെ കഴിവുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു. ഒരു പരിഹാരത്തിന്റെ കാര്യത്തിൽ, പരിഹാരത്തിന്റെ എല്ലാ ഭാഗങ്ങളുടെയും പുതിയതും പഴയതുമായ സുരക്ഷാ നിലയിലേക്ക് ദൃശ്യപരത ഉണ്ടായിരിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു.
• പ്രായോഗികമായി ഇതിനർത്ഥം ഓരോ ടീമും അവരുടെ ഘടകങ്ങളുടെ ഇൻവെന്ററി നോക്കുകയും അപകടസാധ്യത വിലയിരുത്തുകയും വേണം.
• ഘടകം സുരക്ഷാ വിശകലനത്തിന് വിധേയമായോ എന്നതാണ് ആദ്യം നമ്മൾ അറിയേണ്ടത്. അത് ഇല്ലെങ്കിൽ, ഘടകത്തിന്റെ സുരക്ഷാ ഗുണനിലവാരത്തെക്കുറിച്ച് ഞങ്ങൾക്ക് ശരിക്കും ഒന്നും അറിയില്ല.

ഞങ്ങൾ ഇതിനെ പ്രോപ്പർട്ടി കവറേജ് എന്ന് വിളിക്കുകയും ഇനിപ്പറയുന്ന കവറേജ് ലെവലുകൾ നിർവചിക്കുകയും ചെയ്യുന്നു:

കവറേജ്	വിവരണം
വിശകലനം നടത്തിയിട്ടില്ല	ഘടകം ഇതുവരെ വിശകലനം ചെയ്തിട്ടില്ല
വിശകലനം നടക്കുന്നു	ഘടകം വിശകലനം ചെയ്യുന്നു
വിശകലനം നടത്തി	ഘടകം വിശകലനം ചെയ്തു

ഘടകത്തിന്റെ സുരക്ഷാ ഗുണനിലവാരം ക്യാപ്‌ചർ ചെയ്യാൻ ഞങ്ങൾ ഉപയോഗിക്കുന്ന മെട്രിക്‌സ്, ഘടകവുമായി ലിങ്ക് ചെയ്‌തിരിക്കുന്ന ബാക്ക്‌ലോഗിലെ സുരക്ഷാ വർക്ക് ഇനങ്ങളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. ഇത് നടപ്പിലാക്കാത്ത പ്രതിവിധികളാകാം, എക്സിക്യൂട്ട് ചെയ്യാത്ത ടെസ്റ്റ് കേസുകൾ, പരിഹരിക്കപ്പെടാത്ത സുരക്ഷാ ബഗുകൾ.

പരിഹാര നില

സൊല്യൂഷൻ സ്റ്റാറ്റസ് സൊല്യൂഷൻ ഉണ്ടാക്കുന്ന ഒരു കൂട്ടം ഘടകങ്ങളുടെ സുരക്ഷാ സ്റ്റാറ്റസ് സംഗ്രഹിക്കുന്നു.
പരിഹാര നിലയുടെ ആദ്യ ഭാഗം ഘടകങ്ങളുടെ വിശകലന കവറേജാണ്. പരിഹാരത്തിന്റെ സുരക്ഷാ നില അറിയാമോ ഇല്ലയോ എന്ന് മനസിലാക്കാൻ ഇത് പരിഹാര ഉടമകളെ സഹായിക്കുന്നു. ഒരു വീക്ഷണകോണിൽ ഇത് അന്ധമായ പാടുകൾ തിരിച്ചറിയാൻ സഹായിക്കുന്നു. സൊല്യൂഷൻ സ്റ്റാറ്റസിന്റെ ബാക്കിയുള്ളതിൽ പരിഹാരത്തിന്റെ സുരക്ഷാ നിലവാരം ക്യാപ്‌ചർ ചെയ്യുന്ന മെട്രിക്കുകൾ അടങ്ങിയിരിക്കുന്നു. ലായനിയിലെ ഘടകങ്ങളുമായി ബന്ധിപ്പിച്ചിരിക്കുന്ന സുരക്ഷാ വർക്ക് ഇനങ്ങൾ നോക്കിയാണ് ഞങ്ങൾ അത് ചെയ്യുന്നത്. സുരക്ഷാ നിലയുടെ ഒരു പ്രധാന വശം പരിഹാര ഉടമകൾ നിർവചിച്ചിരിക്കുന്ന ബഗ് ബാറാണ്. പരിഹാര ഉടമകൾ അവരുടെ പരിഹാരത്തിന് അനുയോജ്യമായ ഒരു സുരക്ഷാ നില നിർവചിക്കേണ്ടതാണ്. ഉദാample, ഇതിനർത്ഥം, മാർക്കറ്റിൽ റിലീസ് ചെയ്യുമ്പോൾ പരിഹാരത്തിന് മികച്ച നിർണായകമോ ഉയർന്ന തീവ്രതയോ ഉള്ള വർക്ക് ഇനങ്ങളൊന്നും ഉണ്ടായിരിക്കരുത് എന്നാണ്.

ASDM പ്രവർത്തനങ്ങൾ

അപകട നിർണ്ണയം
ടീമിനുള്ളിൽ സുരക്ഷാ പ്രവർത്തനങ്ങൾ ആവശ്യമായി വരുന്ന വികസന പ്രവർത്തനങ്ങൾ ഫിൽട്ടർ ചെയ്യുക എന്നതാണ് റിസ്ക് അസസ്മെന്റിന്റെ പ്രധാന ലക്ഷ്യം.
ഒരു പുതിയ ഉൽപ്പന്നമോ നിലവിലുള്ള ഉൽപ്പന്നങ്ങളിൽ ചേർത്ത/പരിഷ്കരിച്ച ഫീച്ചറോ റിസ്ക് എക്സ്പോഷർ വർദ്ധിപ്പിക്കുന്നുണ്ടോയെന്ന് വിലയിരുത്തിയാണ് റിസ്ക് വിലയിരുത്തൽ നടത്തുന്നത്. ഡാറ്റാ സ്വകാര്യത വശങ്ങളും പാലിക്കൽ ആവശ്യകതകളും ഇതിൽ ഉൾപ്പെടുന്നു എന്നത് ശ്രദ്ധിക്കുക. ഉദാampപുതിയ API-കൾ, അംഗീകാര ആവശ്യകതകളിലെ മാറ്റങ്ങൾ, പുതിയ മിഡിൽവെയർ തുടങ്ങിയവയാണ് അപകടസാധ്യതയുള്ള മാറ്റങ്ങൾ.

ഡാറ്റ സ്വകാര്യത
ആക്‌സിസിന്റെ പ്രധാന ഫോക്കസ് ഏരിയയാണ് ട്രസ്റ്റ്, അതുപോലെ, ഞങ്ങളുടെ ഉൽപ്പന്നങ്ങളും പരിഹാരങ്ങളും സേവനങ്ങളും ശേഖരിക്കുന്ന സ്വകാര്യ ഡാറ്റയ്‌ക്കൊപ്പം പ്രവർത്തിക്കുമ്പോൾ മികച്ച രീതികൾ പിന്തുടരേണ്ടത് പ്രധാനമാണ്.
ഡാറ്റാ സ്വകാര്യതയുമായി ബന്ധപ്പെട്ട ആക്‌സിസ് ശ്രമങ്ങളുടെ വ്യാപ്തി നിർവചിച്ചിരിക്കുന്നത് നമുക്ക് ഇനിപ്പറയുന്നവയാണ്:

• നിയമപരമായ ബാധ്യതകൾ നിറവേറ്റുക
• കരാർ ബാധ്യതകൾ നിറവേറ്റുക
• ഉപഭോക്താക്കളെ അവരുടെ കടമകൾ നിറവേറ്റാൻ സഹായിക്കുക

ഞങ്ങൾ ഡാറ്റാ സ്വകാര്യതാ പ്രവർത്തനത്തെ രണ്ട് ഉപ-പ്രവർത്തനങ്ങളായി വിഭജിക്കുന്നു:

• ഡാറ്റ സ്വകാര്യത വിലയിരുത്തൽ
  • റിസ്ക് അസസ്മെന്റ് സമയത്ത് ചെയ്തു
  • ഡാറ്റ സ്വകാര്യത വിശകലനം ആവശ്യമുണ്ടോ എന്ന് തിരിച്ചറിയുന്നു
•  ഡാറ്റ സ്വകാര്യത വിശകലനം
  • ഭീഷണി മോഡലിംഗ് സമയത്ത്, ബാധകമാകുമ്പോൾ ചെയ്തു
  • വ്യക്തിഗത ഡാറ്റയും വ്യക്തിഗത ഡാറ്റയ്ക്കുള്ള ഭീഷണികളും തിരിച്ചറിയുന്നു
  • സ്വകാര്യത ആവശ്യകതകൾ നിർവ്വചിക്കുന്നു

ഭീഷണി മോഡലിംഗ്
ഭീഷണികൾ തിരിച്ചറിയാൻ തുടങ്ങുന്നതിനുമുമ്പ്, ഭീഷണി മോഡലിന്റെ വ്യാപ്തിയെക്കുറിച്ച് ഞങ്ങൾ തീരുമാനിക്കേണ്ടതുണ്ട്. നാം പരിഗണിക്കേണ്ട ആക്രമണകാരികളെ വിവരിക്കുക എന്നതാണ് വ്യാപ്തി വ്യക്തമാക്കുന്നതിനുള്ള ഒരു മാർഗം. വിശകലനത്തിൽ ഉൾപ്പെടുത്തേണ്ട ഉയർന്ന തലത്തിലുള്ള ആക്രമണ പ്രതലങ്ങളെ തിരിച്ചറിയാനും ഈ സമീപനം ഞങ്ങളെ അനുവദിക്കും.

• സിസ്റ്റത്തിന്റെ ഉയർന്ന തലത്തിലുള്ള വിവരണം ഉപയോഗിച്ച് ഞങ്ങൾ കൈകാര്യം ചെയ്യാൻ ആഗ്രഹിക്കുന്ന ആക്രമണകാരികളെ കണ്ടെത്തുന്നതിലും വർഗ്ഗീകരിക്കുന്നതിലുമാണ് ഭീഷണി സ്കോപ്പിംഗ് സമയത്ത് ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നത്. ഒരു ഡാറ്റ ഫ്ലോ ഡയഗ്രം (DFD) ഉപയോഗിച്ചാണ് വിവരണം ചെയ്യുന്നത്, കാരണം ഭീഷണി മോഡൽ ചെയ്യുമ്പോൾ ഉപയോഗിക്കുന്ന കൂടുതൽ വിശദമായ ഉപയോഗ കേസ് വിവരണങ്ങൾ ഇത് എളുപ്പമാക്കുന്നു.
• ഞങ്ങൾ തിരിച്ചറിയുന്ന എല്ലാ ആക്രമണകാരികളെയും പരിഗണിക്കണമെന്ന് ഇതിനർത്ഥമില്ല, ഭീഷണി മോഡലിൽ ഞങ്ങൾ അഭിസംബോധന ചെയ്യുന്ന ആക്രമണകാരികളെക്കുറിച്ച് ഞങ്ങൾ വ്യക്തമായും സ്ഥിരതയുള്ളവരുമാണ് എന്നാണ് ഇതിനർത്ഥം. അതിനാൽ, പ്രധാനമായും ഞങ്ങൾ പരിഗണിക്കാൻ തിരഞ്ഞെടുക്കുന്ന ആക്രമണകാരികൾ ഞങ്ങൾ വിലയിരുത്തുന്ന സിസ്റ്റത്തിന്റെ സുരക്ഷാ നില നിർവ്വചിക്കും.
  ഞങ്ങളുടെ ആക്രമണകാരിയുടെ വിവരണം ആക്രമണകാരിയുടെ കഴിവുകളിലോ പ്രചോദനത്തിലോ ഘടകമല്ലെന്ന് ശ്രദ്ധിക്കുക. ഭീഷണി മോഡലിംഗ് കഴിയുന്നത്ര ലളിതമാക്കാനും കാര്യക്ഷമമാക്കാനും ഞങ്ങൾ ഈ സമീപനം തിരഞ്ഞെടുത്തു.

  

ത്രെഡ് മോഡലിംഗിന് മൂന്ന് ഘട്ടങ്ങളുണ്ട്, അത് ടീമിന് അനുയോജ്യമെന്ന് തോന്നുന്നത് പോലെ ആവർത്തിക്കാം:

1. ഒരു കൂട്ടം DFD-കൾ ഉപയോഗിച്ച് സിസ്റ്റം വിവരിക്കുക
2. ഭീഷണികൾ തിരിച്ചറിയാനും ദുരുപയോഗ-കേസ് ശൈലിയിൽ വിവരിക്കാനും DFD-കൾ ഉപയോഗിക്കുക
3. 3. ഭീഷണികൾക്കുള്ള പ്രതിരോധ നടപടികളും സ്ഥിരീകരണവും നിർവചിക്കുക
   ഒരു ഭീഷണി മോഡലിംഗ് പ്രവർത്തനത്തിന്റെ ഫലം, മുൻഗണനാക്രമത്തിലുള്ള ഭീഷണികളും പ്രതിരോധ നടപടികളും ഉൾക്കൊള്ളുന്ന ഒരു ഭീഷണി മോഡലാണ്. കൗണ്ടർ മെഷർ നടപ്പിലാക്കുന്നതിനും പരിശോധിച്ചുറപ്പിക്കുന്നതിനുമായി ജീര ടിക്കറ്റുകൾ സൃഷ്‌ടിച്ചാണ് പ്രതിരോധ നടപടികൾ പരിഹരിക്കുന്നതിന് ആവശ്യമായ വികസന പ്രവർത്തനങ്ങൾ കൈകാര്യം ചെയ്യുന്നത്.

   

സ്റ്റാറ്റിക് കോഡ് വിശകലനം
ASDM-ൽ, ടീമുകൾക്ക് സ്റ്റാറ്റിക് കോഡ് വിശകലനം മൂന്ന് തരത്തിൽ ഉപയോഗിക്കാം:

• ഡെവലപ്പർ വർക്ക്ഫ്ലോ: ഡവലപ്പർമാർ അവർ പ്രവർത്തിക്കുന്ന കോഡ് വിശകലനം ചെയ്യുന്നു
• Gerrit വർക്ക്ഫ്ലോ: ഡെവലപ്പർമാർക്ക് Gerrit-ൽ ഫീഡ്ബാക്ക് ലഭിക്കും
• ലെഗസി വർക്ക്ഫ്ലോ: ടീമുകൾ ഉയർന്ന അപകടസാധ്യതയുള്ള ലെഗസി ഘടകങ്ങൾ വിശകലനം ചെയ്യുന്നു

  

ദുർബലത സ്കാനിംഗ്
ഉൽപ്പന്നങ്ങളോ സേവനമോ വിന്യസിക്കുമ്പോൾ ഉപഭോക്താക്കൾക്ക് അപകടസാധ്യത കുറയ്ക്കുന്നതിന്, ഉൽപ്പന്നങ്ങൾ പൊതുജനങ്ങൾക്ക് നൽകുന്നതിന് മുമ്പ് സോഫ്റ്റ്‌വെയർ കേടുപാടുകൾ തിരിച്ചറിയാനും പാച്ച് ചെയ്യാനും ഡെവലപ്‌മെന്റ് ടീമുകളെ സ്ഥിരമായ വൾനറബിലിറ്റി സ്കാനിംഗ് അനുവദിക്കുന്നു. ഓരോ റിലീസിന് മുമ്പും ഹാർഡ്‌വെയർ, സോഫ്റ്റ്‌വെയർ) അല്ലെങ്കിൽ ഓപ്പൺ സോഴ്‌സ്, കൊമേഴ്‌സ്യൽ വൾനറബിലിറ്റി സ്കാനിംഗ് പാക്കേജുകൾ ഉപയോഗിച്ച് റണ്ണിംഗ് ഷെഡ്യൂളിൽ (സേവനങ്ങൾ) സ്കാനിംഗ് നടത്തുന്നു. സ്കാനുകളുടെ ഫലങ്ങൾ ജിറ ഇഷ്യൂ ട്രാക്കിംഗ് പ്ലാറ്റ്‌ഫോമിൽ ടിക്കറ്റുകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്നു. ടിക്കറ്റുകൾ പ്രത്യേകം നൽകിയിട്ടുണ്ട് tag ഒരു ദുർബലത സ്‌കാനിൽ നിന്ന് വരുന്നതായി ഡെവലപ്‌മെന്റ് ടീമുകൾക്ക് തിരിച്ചറിയാൻ കഴിയും, അവർക്ക് ഉയർന്ന മുൻഗണന നൽകണം. എല്ലാ വൾനറബിലിറ്റി സ്കാനുകളും ജിറ ടിക്കറ്റുകളും കണ്ടെത്താനും ഓഡിറ്റിംഗ് ആവശ്യങ്ങൾക്കുമായി കേന്ദ്രീകൃതമായി സംഭരിച്ചിരിക്കുന്നു. നിർണ്ണായകമായ കേടുപാടുകൾ റിലീസിന് മുമ്പോ അല്ലെങ്കിൽ മറ്റ് നിർണ്ണായകമല്ലാത്ത കേടുപാടുകൾ ഉള്ള ഒരു പ്രത്യേക സേവന റിലീസിലോ പരിഹരിക്കണം,
ഫേംവെയർ അല്ലെങ്കിൽ സോഫ്‌റ്റ്‌വെയർ റിലീസ് സൈക്കിളുമായുള്ള വിന്യാസത്തിൽ ട്രാക്ക് ചെയ്യുകയും പരിഹരിക്കുകയും ചെയ്യുന്നു. കേടുപാടുകൾ എങ്ങനെ സ്‌കോർ ചെയ്യപ്പെടുന്നു, കൈകാര്യം ചെയ്യുന്നു എന്നതിനെക്കുറിച്ചുള്ള കൂടുതൽ വിവരങ്ങൾ, പേജ് 12-ലെ ദുർബലതാ മാനേജ്‌മെന്റ് കാണുക

ബാഹ്യ നുഴഞ്ഞുകയറ്റ പരിശോധന
തിരഞ്ഞെടുത്ത കേസുകളിൽ, ആക്സിസ് ഹാർഡ്‌വെയറിലോ സോഫ്റ്റ്‌വെയർ ഉൽപ്പന്നങ്ങളിലോ മൂന്നാം കക്ഷി പെനട്രേഷൻ ടെസ്റ്റിംഗ് നടത്തുന്നു. ഈ ടെസ്റ്റുകൾ നടത്തുന്നതിന്റെ പ്രധാന ഉദ്ദേശം ഒരു പ്രത്യേക സമയ പോയിന്റിലും ഒരു പ്രത്യേക സ്കോപ്പിലും പ്ലാട്രോമിന്റെ സുരക്ഷയെക്കുറിച്ചുള്ള ഉൾക്കാഴ്ചയും ഉറപ്പും നൽകുക എന്നതാണ്. എഎസ്‌ഡിഎമ്മുമായുള്ള ഞങ്ങളുടെ പ്രാഥമിക ലക്ഷ്യങ്ങളിലൊന്ന് സുതാര്യതയാണ്, അതിനാൽ ഞങ്ങളുടെ ഉൽപ്പന്നങ്ങളിൽ ബാഹ്യ നുഴഞ്ഞുകയറ്റ പരിശോധന നടത്താൻ ഞങ്ങൾ ഉപഭോക്താക്കളെ പ്രോത്സാഹിപ്പിക്കുന്നു, കൂടാതെ പരിശോധനയ്‌ക്കും ഫലങ്ങൾ വ്യാഖ്യാനിക്കുന്നതിനെക്കുറിച്ചുള്ള ചർച്ചകൾക്കും ഉചിതമായ പാരാമീറ്ററുകൾ നിർവചിക്കുമ്പോൾ സഹകരിക്കുന്നതിൽ ഞങ്ങൾക്ക് സന്തോഷമുണ്ട്.

ദുർബലത മാനേജ്മെൻ്റ്
ആക്സിസ്, 2021 മുതൽ, ഒരു രജിസ്റ്റർ ചെയ്ത CVE നെയിമിംഗ് അതോറിറ്റിയാണ് (CNA) അതിനാൽ മൂന്നാം കക്ഷി ദുർബലത സ്കാനറുകളും മറ്റ് ടൂളുകളും ഉപയോഗിക്കുന്നതിന് MITER ഡാറ്റാബേസിലേക്ക് സ്റ്റാൻഡേർഡ് CVE റിപ്പോർട്ടുകൾ പ്രസിദ്ധീകരിക്കാൻ പ്രാപ്തമാണ്. ബാഹ്യ ഗവേഷകർ കണ്ടെത്തിയ കേടുപാടുകൾക്കുള്ള ആന്തരിക ആക്സിസ് കോൺടാക്റ്റ് പോയിന്റാണ് വൾനറബിലിറ്റി ബോർഡ് (വിബി). യുടെ റിപ്പോർട്ടിംഗ്
കണ്ടെത്തിയ കേടുപാടുകൾ, തുടർന്നുള്ള പരിഹാര പദ്ധതികൾ എന്നിവ വഴി അറിയിക്കുന്നു product-security@axis.com ഇമെയിൽ വിലാസം.
ഒരു ബിസിനസ്സ് വീക്ഷണകോണിൽ നിന്ന് റിപ്പോർട്ട് ചെയ്യപ്പെട്ട കേടുപാടുകൾ വിശകലനം ചെയ്യുകയും മുൻഗണന നൽകുകയും ചെയ്യുക എന്നതാണ് വൾനറബിലിറ്റി ബോർഡിന്റെ പ്രധാന ഉത്തരവാദിത്തം.

• SSG നൽകുന്ന സാങ്കേതിക വർഗ്ഗീകരണം
• ആക്സിസ് ഉപകരണം പ്രവർത്തിക്കുന്ന പരിതസ്ഥിതിയിൽ അന്തിമ ഉപയോക്താക്കൾക്ക് സാധ്യമായ അപകടസാധ്യത
• നഷ്ടപരിഹാരം നൽകുന്ന സുരക്ഷാ നിയന്ത്രണങ്ങളുടെ ലഭ്യത, പാച്ചിംഗ് കൂടാതെയുള്ള അപകടസാധ്യത ലഘൂകരണം നിയന്ത്രിക്കുന്നു)

VB CVE നമ്പർ രജിസ്റ്റർ ചെയ്യുകയും അപകടസാധ്യതയ്ക്ക് ഒരു CVSS സ്കോർ നൽകുന്നതിന് റിപ്പോർട്ടറുമായി പ്രവർത്തിക്കുകയും ചെയ്യുന്നു. ആക്‌സിസ് സുരക്ഷാ അറിയിപ്പ് സേവനം, പ്രസ് റിലീസുകൾ, വാർത്താ ലേഖനങ്ങൾ എന്നിവയിലൂടെ പങ്കാളികൾക്കും ഉപഭോക്താക്കൾക്കും ബാഹ്യ ആശയവിനിമയം നടത്താനും VB സഹായിക്കുന്നു.

ആക്സിസ് സുരക്ഷാ വികസന മോഡൽ © ആക്സിസ് കമ്മ്യൂണിക്കേഷൻസ് എബി, 2022

പ്രമാണങ്ങൾ / വിഭവങ്ങൾ

AXIS സുരക്ഷാ വികസന മോഡൽ സോഫ്റ്റ്‌വെയർ [pdf] ഉപയോക്തൃ മാനുവൽ സുരക്ഷാ വികസന മോഡൽ, സോഫ്റ്റ്വെയർ, സുരക്ഷാ വികസന മോഡൽ സോഫ്റ്റ്വെയർ

റഫറൻസുകൾ

• ഉപയോക്തൃ മാനുവൽ