7 Phương pháp anninh mạng end-to-end của Huawei
7.5 Nghiên cứu và phát triển
Các công ty không hề muốn sử dụng nguồn vốn eo hẹp mình để mua sản phẩm cơng nghệ cao từ các công ty khơng có quy trình R&D chặt chẽ bởi các quy trình đó có thể mang lại sản phẩm chất lượng cao lâu bền và an toàn. Họ cũng không muốn thấy các nhà cung cấp luôn phải băn khoăn khi đưa ra quyết định đầu tư giữa “đầu tư vào một sản phẩm mới” hay “đầu tư vào việc làm cho mọi sản phẩm an toàn và bảo mật”. Nếu một sản phẩm không chất lượng thì cũng sản phẩm đó cũng chẳng thể đảm bảo chúng có khả năng bảo mật mạng; các cơng ty cần phải chứng minh cam kết lâu dài của họ trong việc thúc đẩy phương pháp R&D để hỗ trợ cho công tác thiết kế, phát triển và triển khai an ninh mạng một cách phù hợp cũng như đầu tư vào thế hệ sản phẩm tiếp theo.
Tổ chức Nghiên cứu và Phát triển gồm hơn 75.000 kỹ sư và tuân thủ theo một bộ các quy trình và phương pháp chính thức như trình bày trong hình sau. Tổ chức xây dựng trên quy trình MM (Quản lý Thị trường) và quy trình IPD (Phát triển sản phẩm tích hợp) được nêu chi tiết trong Hình 2, Kiến trúc tổng thể về quy trình.
Hình 4. Quản lý thị trường đối với Phát triển Sản phẩm tích hợp
Quy trình chính trong Nghiên cứu và Phát triển (R&D) là Quy trình Phát triển sản phẩm tích hợp, hay IPD. Chúng tơi đã phát triển quy trình IPD vào năm 1999. Quy trình này là sự tích hợp phương pháp PACE của PRTM, tư vấn từ thực tế, kinh nghiệm sâu rộng trong thời gian dài của Huawei và IBM.
Dựa vào độ sâu rộng các hoạt động nghiên cứu và phát triển của Huawei có xét tới thực tiễn an ninh ngành như OpenSAMM7
và SSE_CMM8, phản hồi của khách hàng và Chính phủ, chúng tơi đã tích hợp vào các hoạt động an ninh của quy trình IPD như thiết kế an ninh, phát triển an ninh và kiểm tra an ninh. Điều này đảm bảo việc thực hiện hiệu quả các hoạt động an
7 http://www.opensamm.org 8 http://en.wikipedia.org/wiki/ISO/IEC_21827 MM (Quản lý thị trường) Làm đúng việc Làm đúng cách Chiến lược kinh doanh Dữ liệu lịch sử Công nghệ Các yêu cầu Đán h gi á th ị t rư ờn g P h ân k h ú c th ị tr ườ n g Ph ân tí ch c ơ h ội Ho ạc h đị n h k in h d o an h Tích hợp kế hoạch kinh doanh Quản lý kế hoạch kinh doanh và thảm định hiệu quả
Các yêu cầu dài hạn
Các yêu cầu trung hạn
Các yêu cầu chào hàng
Lộ trình Thuê Qu ả n l ý O R Các yêu cầu khẩn cấp Khái niệm Kế hoạch Phát triển
Sửa đổi Giới thiệu
Vòng đời
E2E:từ điểm đầu tới điểm cuối MM: Quản lý thị trường OR: Yêu cầu chào hàng SP: Hoạch định chiến lược BP: Hoạch định kinh doanh PCR: Yêu cầu thay đổi kế hoạch
ninh này, nhờ đó nâng cao tính bảo mật của sản phẩm, tăng cường bảo vệ tính riêng tư và cung cấp các sản phẩm và giải pháp cho khách hàng một cách an tồn hơn. Mức độ chi tiết của quy trình IPD cho thấy phương thức an ninh mạng được đưa vào hoạt động hàng ngày của mỗi người, theo đó, an ninh trở thành một nhiệm vụ của mỗi người và là một vấn đề được thực hiện một cách tự nhiên.
Chúng tôi áp dụng phương thức cài đặt sẵn để đưa vào các yêu cầu an ninh mạng trong quy trình kinh doanh từ điểm đầu tới điểm cuối như phân tích mối đe dọa an ninh và quét an ninh mã nguồn, v.v. Nhằm hỗ trợ phương pháp này, chúng tôi đã thành lập Trung tâm kỹ thuật an ninh hoạt động trong lĩnh vực Nghiên cứu và Phát triển, và tất cả các hoạt động kinh doanh của Huawei nhằm xây dựng an ninh vào thiết kế, chống lại tấn công an ninh, và cải tiến công tác quốc phòng an ninh.
Trong bước hình thành khái niệm, phân tích u cầu an ninh chủ yếu tập trung vào hai mảng chính. Trước hết, cơ sở an ninh sản phẩm nên được đưa vào danh mục các yêu cầu và nên được thực hiện chính xác- đây là những yêu cầu bắt buộc. Thứ hai, phân tích mối đe dọa khi sản phẩm được lắp đặt ở địa điểm của khách hàng để nhận biết những yêu cầu về an ninh bổ sung, hoặc theo yêu cầu bảo mật cụ thể của khách hàng.
Cơ sở an ninh sản phẩm bao gồm các yêu cầu về an ninh nhằm đảm bảo an ninh hoặc rủi ro ở mức có thể chấp nhận được. Cơ sở này bắt nguồn từ quy định pháp luật của địa phương và quốc tế, những yêu cầu của chính phủ, ngưỡng của khách hàng và các vấn đề mạng trực tiếp.v.v. Mục tiêu là nhằm đảm bảo tính tuân thủ luật pháp về an ninh, bảo vệ truyền thông và sự riêng tư của người dùng, tăng cường kiểm soát truy cập hệ thống/ bảo vệ dữ liệu nhạy cảm và tăng khả năng phòng vệ của hệ thống.
Phân tích mối đe dọa được sử dụng nhằm tìm ra các nguồn tiềm năng và các loại đe dọa cũng như các điểm tấn công theo các trường hợp cụ thể mà sản phẩm được sử dụng để chúng tơi có thể đánh giá những rủi ro này và đảm bảo rằng các biện pháp đối phó được đưa vào trong danh mục các yêu cầu đối với sản phẩm.
Trong bước lên kế hoạch, chúng tôi sẽ nêu chi tiết các mối đe dọa an ninh trong bước hình thành khái niệm của thiết kế sản phẩm. Tại đây, chúng tôi thiết kế kiến trúc an ninh sản phẩm và các đặc điểm thiết kế an ninh. Chúng tôi cũng tham khảo các quy định như các thông số về an ninh X.805 và OWASP, đồng thời phát triển các tiêu chuẩn thiết kế an ninh mạng dựa trên các tiêu chuẩn và quy trình kỹ thuật tốt nhất.
Trong bước phát triển, nhà phát triển sản phẩm tn thủ các thơng số mã hóa an tồn khi ghi phần mềm và sau đó thực hiện xem xét tổng thể. Công cụ quét mã tự động được sử dụng để thực hiện quét an ninh và phân tích mã nhằm giảm các lỗi về an ninh trong mã hóa và nhận biết thêm các khu vực điều tra.
Trong bước đánh giá, các nhân viên kiểm tra tiến hành kiểm tra dựa trên các thông số kỹ thuật về yêu cầu an ninh. Mật độ lỗi sản phẩm là một chỉ số quan trọng để đưa ra quyết định tại ADCP (Các điểm kiểm tra quyết định độ khả dụng). Phịng thí nghiệm an ninh mạng nội bộ kiểm tra các sản phẩm của các Nhóm kinh doanh (Mạng viễn thông, Doanh nghiệp, Khách hàng) kể cả các sản phẩm của OEM độc lập với phòng kinh doanh nhằm xác minh các sản phẩm đó có phù hợp với các yêu cầu cơ sở về an ninh sản phẩm hay khơng.
Ngồi ra, chúng tơi đảm bảo sự phân tách hồn tồn các nhiệm vụ xun suốt tồn bộ quy trình Nghiên cứu và Phát triển. Các nhà phát triển phần mềm không thể duyệt kết quả thử nghiệm cuối cùng hoặc khâu tung ra thị trường cuối cùng. Các nhà phát triển phần mềm cũng không được quyền tung phần mềm của mình ra thị trường. Quy trình đánh giá, tungsản phẩm ra thị trường phải độc lập và nghiêm ngặt --- khi phần mềm được tung ra thị trường, thì nó sẽ được ký bằng số và tự động được tải lên website hỗ trợ cho download trong quá trình sản xuất hoặc tại site của khách hàng.
Hình 5. An ninh tích hợp trong q trình IPD
7.5.1 Quản lý khâu thiết lập cấu hình và Trung tâm xây dựng
Quản lý khâu thiết lập cấu hình bao gồm các quy trình mà Huawei đảm bảo tính nhất qn, thống nhất, và khả năng truy xuất nguồn gốc sản phẩm của mình. Quản lý khâu thiết lập cấu hình khơng chỉ đảm bảo tính tồn vẹn của phần mềm được thiết kế và phát triển bởi Huawei, mà cịn đảm bảo tính tồn vẹn, của bên thứ ba và các thành phần nguồn mở.
Quy trình quản lý khâu thiết lập cấu hình của Huawei là một phần khơng thể tách rời trong quy trình IPD (Phát triển Sản phẩm tích hợp). Các hoạt động quản lý thiết lập cấu hình được tiến hành ở những bước khác nhau trong quy trình IPD. Những bước này gồm chiến lược và kế hoạch quản lý thiết lập cấu hình, nhận dạng hạng mục cấu hình, kiểm sốt thay đổi cấu hình, quản lý cơng bố sản phẩm, quản lý thư viện cấu hình, giải thích tình trạng cấu hình, kiểm nghiệm cấu hình. Mơi trường này tạo ra khả năng truy xuất nguồn gốc sản phẩm vốn là kết quả an ninh mạng cốt lõi. Để truy cập được vào thư viện quản lý cấu hình của Huawei, các nhà phát triển cần phải xin phép các cơ quan có thẩm quyền, vì vậy đảm bảo mã trong thư viện cấu hình được an tồn và chỉ các nhà phát triển được ủy quyền thực hiện dự án mới được truy cập vào.
Một vai trị quan trọng trong cơng tác quản lý cấu hình là sự chia tách cơng việc, phân tách các hoạt động, vai trị và trách nhiệm trong quy trình xây dựng, và đảm bảo rằng các vai trị đó được xác định rõ ràng, từ khâu chuẩn bị lặp lại, lên kế hoạch, phát triển đến nghiệm thu hệ thống.
Ở bước chuản bị tích hợp, Kỹ sư Tích hợp liên tục (CIE) phát triển một danh mục các công cụ biên soạn và xây dựng cần thiết để phát triển sản phẩm, tạo ra mơi trường tích hợp liên tục theo danh mục cơng cụ tương đương. Khi sản phẩm bước vào giai đoạn phát triển lặp lại, và các kỹ sư Nghiên cứu & Phát triển đã hồn thành việc mã hóa, CIE phát triển script xây dựng và hướng dẫn biên tập và thực hiện quy trình xây dựng tự động bằng một cú click chuột. Tự động hóa quy trình xây dựng đảm bảo rằng khơng tiềm ẩn mã hoặc hạng mục không được ủy
Tuân thủ luật pháp
Yêu cầu của chính phủ Tấn cơng mạng cố tình nhúng và giả mạo theo dõi và kiểm tra hành vi
Thực hiện các chính sách và yêu cầu về an ninh mạng và liên tục cải thiện
Cải thiện liên tục Yêu cầu về an ninh
Gồm các thành phần an ninh mạng trong quá trình IPD, bổ sung các yêu cầu quản lý an ninh và các hoạt động quản lý hiện có và các hệ thống hoạch định chính sách
Conceept Ké hoạch Phát triển Kiểm tra Tung ra thị trường Vòng đời yêu cầu về an ninh Thiết kế an ninh Phát triển an ninh Thử nghiệm an ninh Cung cấp và bảo trì an ninh Khả năng phân tích đe doạn an ninh
Khả năng thiết kê an ninh Khả năng mã hóa an ninh Khả năng thử nghiệm an ninh Khả năng cung cấp an ninh
Trung tâm khả năng an ninh
Phòng kỹ thuật an ninh mạng
SE an ninh
Nhân viên nghiên cứu và phát triển
Tối ưu cấu trúc tổ chức để đảm bảo tích lũy và kế thừa những khả năng này Đảm bảo tực hiện quá trình này thơng qua cải thiện các khả năng an ninh dài hạn
Các cơ quan chính phủ Hãng vận tải Doanh nghiệp người dùng đầu cuối các bên liên quan
quyền bổ sung đầu vào. Quy trình xây dựng cũng sử dụng các công cụ phù hợp như Fortify9 cũng như các cơng cụ phân tích tự xây dựng và thương mại khác nhằm để kiểm tra lỗi mã hóa. Sau đó những lỗi này được ghi vào Hệ thống Theo dõi Lỗi (DTS) và được chỉ định lại cho kỹ sư chịu trách nhiệm về phát triển mã hóa. Khi xử lý xong tất cả các lỗi, CIE bắt đầu lại quá trình xây dựng đơn.
Ở bước nghiệm thu hệ thống, nhóm tích hợp và xác minh sẽ xác nhận rằng quy trình xây dựng đã hoàn thành dựa trên hướng dẫn biên dịch, và cùng thời điểm đó đảm bảo rằng hướng dẫn biên dịch là chính xác và khả thi. Đội đảm bảo chất lượng sẽ thực hiện kiểm tra các công cụ được sử dụng thực tế trong quy trình xây dựng để tránh việc sử dụng các công cụ mà không được phê duyệt. Sau khi hoàn thành tất cả những nhiệm vụ này, phần mềm sẽ được đưa vào cổng phân phối của Huawei cho khách hàng download.
Để đảm bảo quá trình xây dựng lặp lại, Huawei đã thiết lập trung tâm xây dựng mà tại đó tất cả các phần cứng, công cụ biên dịch, phần mềm bên thứ ba, nguồn cơ sở dữ liệu và các hệ thống vận hành đáp ứng các tiêu chuẩn và các yêu cầu hỗ trợ nghiêm ngặt. Trung tâm xây dựng là một giải pháp đối với việc xây dựng và biên tập sản phẩm và nó cung cấp dịch vụ đám mây nhằm hỗ trợ các hoạt động xây dựng phần mềm trong quá trình IPD. Trung tâm mang ba đặc điểm chính: quản lý các nguồn đã được tiêu chuẩn hóa, tiêu chuẩn hóa quy trình xây dựng và tăng tốc dịch vụ.
Quản lý nguồn đã được tiêu chuẩn hóa: thực hiện quản lý tập trung phần cứng tiêu chuẩn,
các hệ điều hành tiêu chuẩn, công nghệ ảo, công nghệ đám mây và phần cứng, hệ điều hành trong mơi trường xây dựng sản phẩm. Nó làm tăng đáng kể độ ổn định của việc xây dựng phần mềm và nâng tỷ lệ thành công, đảm bảo mọi sản phẩm đều chứa các thành phần hợp pháp, từ các nguồn hợp pháp tại dịch vụ hiệu chỉnh, chắp vá, và số phiên bản. Nó đảm bảo rẳng chỉ những thành phần được phê duyệt cần thiết đối với sản phẩm được đưa vào quá trình xây dựng phần mềm.
Tiêu chuẩn hóa quy trình xây dựng: tự động hóa tồn bộ quy trình xây dựng từ việc xây
dựng mơi trường, đến download mã, biên tập một click chuột, đóng gói, rà sốt mã tĩnh, thử nghiệm mức độ thấp tự động tới mức cao thông qua quản lý các công cụ một cách tập trung, tieu chuẩn hóa các kịch bản xây dựng, xây dựng bằng một click chuột và thiết lập tự động môi trường xây dựng,… Khi thực hiện như vậy, chúng tơi đảm bảo quy trình xây dựng sản phẩm có thể được lặp lại/ phục hồi và được theo dõi.
Tăng tốc dịch vụ: tăng hiệu quả xây dựng. Về bản chất, đây là dịch vụ điện tốn đám mây ln hoạt động 24 giờ/ ngày.
Ngoài ra trung tâm xây dựng kể trên, chúng tôi đã thực hiện hai thêm hai chức năng khác: trung tâm quét (scan) virus có thể chạy trên bốn sản phẩm phần mềm anti-virus vốn được tích hợp vào q trình thử nghiệm, và thứ hai, là trung tâm chữ ký số để thực hiện ký số các mã đã được biên dịch bằng từ khóa được lưu trữ trong dữ liệu từ khóa nhằm đảm bảo an tồn. Huawei vừa ra mắt Quản lý Vòng đời Ứng dụng (ALM), một giải pháp đúng đắn cho ngành, nhằm thiết lập một nền tảng phát triển cộng tác phần mềm tích hợp để hỗ trợ khả năng truy xuất nguồn gốc từ điểm đầu tới điểm cuối. Huawei đã nhóm các mục tiêu kinh doanh của mình để sử dụng ALM thành ba lĩnh vực sau:
Trong q trình phân tích u cầu, những yêu cầu thô (RRs) được chia nhỏ thành
những yêu cầu ban đầu (IRs) và những yêu cầu hệ thống (SRs).
Trong quá trình thiết kế hệ thống, các tình huống thử nghiệm và chức năng được
thiết kế dựa trên những yêu cầu hệ thống. Các kỹ sư phát triển viết và xây dựng mã hóa nhằm thực hiện các chức năng trong q trình mã hóa và xây dựng.
Sau khi mã hóa và xây dựng, một phiên bản thử nghiệm được tạo ra. Sau khi phiên
bản đó đạt yêu cầu thử nghiệm và kiểm tra sẽ được ra mắt tới tay khách hàng.
Các mối quan hệ về khả năng truy xuất nguồn gốc giữa những mục tiêu kinh doanh này đã được thực hiện nhằm đảm bảo rằng tất cả những yêu cầu của khách hàng được phát triển một cách đúng đắn và được xác minh rõ ràng. Đặc biệt, mối liên kết giữa các q trình phát triển khác nhau có thể chuyển tiếp hoặc gửi ngược lại khả năng truy xuất nguồn gốc các yêu cầu và nhận dạng cá nhân đi kèm với việc phát triển sản phẩm trong từng giai đoạn.
7.5.2 Quản lý công cụ và các thành phần của bên thứ ba