2020年3月10日, Linux

Wind River保护linux系统的四步步骤

由格伦西勒

seiler_lg-2

世界的相互联系日益紧密,其结果是暴露于安全漏洞的情况也显著增加。维护当今基于linux的平台的复杂性使得开发人员很难覆盖每一个潜在的入口点。2019年,平均每天有超过45个cve记录。一个开发组织如何与之保持同步呢?为了更好地解决这个问题,开发人员必须花费更多的时间和精力将常见的漏洞和暴露(CVE)补丁集成到他们的解决方案中,代价是花费时间开发他们的应用程序

安全攻击有多种形式,并使用各种入口点。每种攻击类型都有几种风格,因为根据黑客的经验、资源和判断,通常有多种方式可以对它们进行配置或伪装。虽然有些威胁比其他威胁更为普遍,但开发人员需要防范所有的漏洞。下面的图表显示了过去6年cve的增加,以及这些cve中有多少实际上影响了任何给定的分布。

图1:CVES的增加和4步过程

高安全性管理流程
为了减少基于linux系统上的威胁,Wind River开发了一个管理流程和四个步骤的程序:监控、评估、通知和补救CVE威胁。让我们更详细地检查这个过程:

1.积极监控
在这个不断变化的世界中,要想在威胁面前保持领先地位,监测是必不可少的,也是必要的尽职调查。显然,这本身并不能解决任何问题,但确实提供了对潜在漏洞的关键洞察,并且是值得信赖的供应商的区别所在。这由图1中的第一行表示。

忽视仍然是一个很大的风险,一些Linux供应商从一开始就很脆弱,缺乏尽职调查。风河Linux客户由我们的安全团队支持,致力于主动监控,快速评估和优先级,主动通知客户,并及时补救,以实现加强的安全态势。

例如,风河安全团队一直在监视公共漏洞和暴露(CVE)数据库,以发现潜在的影响问题风河系统公司Linux®和VxWorks实时操作系统。此外,团队还从美国政府机构和组织中监控特定的安全通知NIST,U.S.-CERT,以及公共和私人安全邮件列表,以便每当出现新的安全威胁时,这些组织都会发出警报。对标准Wind River Linux发行版中支持的所有内核特性、用户包和Linux工具进行监控,以发现针对所有传入报告的安全漏洞。

2.快速评估
意识只是第一步。一旦发现潜在威胁,负责威胁评估的团队必须确定与威胁相关的危险级别,以及风河Linux版本的哪个版本或部分被暴露或有漏洞。根据影响对漏洞进行分类和优先级,并根据CVE优先级和对业务、系统性能或数据公开的影响程度对其重要性进行排序。这一步由图1中的中间行表示。

正如接下来的步骤中所指出的,在此上下文中减轻漏洞通常涉及编码更改,但也可能包括规范更改甚至规范废弃(例如,完全删除受影响的协议或功能)。

3.主动的客户通知
一旦评估完成,系统会报告回任何受影响的子系统或用户。该报告提供了有关漏洞的充分细节,以及挫败威胁的计划。收获的信息还与修复过程同步。

通知过程比以往任何时候都重要,可能会涉及到使用外部工具和人员。这一决定将基于对漏洞的评估作出。然而,此步骤的关键元素是及时处理客户的通知,将损坏或数据丢失降至最低。

4.及时补救
补救过程发生了,分类方式。风河团队致力于收集与问题相关的所有信息,以便对其进行分析。漏洞可能发生在风河公司开发的产品或风河公司产品运行的执行环境中。根据严重程度,威胁要么被立即处理,要么以及时的“bug修复”方式处理,后者将在以后的更新中部署。风河Linux中不那么严重的漏洞补丁是通过每月的产品更新发布的。请记住,必须对该字段中的所有当前版本执行此修复。这由图1中最下面一行表示。

标准的Wind River Linux发布模型遵循一年的更新策略,即每年一个发布版本。实际上,这意味着Wind River每12个月就会为Wind River Linux基础平台引入一个内核更新,以及由此产生的其他架构更改。此外,通过滚动累积补丁层(RCPLs)交付软件补丁和对当前版本的小更新,并进行主动维护。这些rcp是根据可预测的时间表不断提供的,不会触发任何主要的内核、工具链或用户空间包修订(除非有关键问题需要采取特定的行动)。Wind River Linux也可以作为连续交付订阅,每隔几周更新一次。每个更新都被视为正式版本,因此每隔几周就会有一个新的版本必须包含在任何评估和补救中。随着DevOps和CI/CD使用的增加,这将给管理CVE流程的开发人员增加额外的负担。

客户显然受益于Wind River长达5年的标准支持(可以延长设备的使用寿命)。定期维护,包括4步CVE流程,可以从根本上减少麻烦,降低成本,并保护客户在整个生命周期内免受安全漏洞的风险。

未来的计划
虽然上述管理流程和步骤无法确保避免所有威胁,但他们确实有助于减轻客户风险并减少系统的曝光。Wind River的专用Linux支持人员和产品工程师可以减少开发周期时间,提供威胁尽职调查,并帮助避免安全漏洞。

开发人员可能希望在决定构建和支持自己的Linux分发或选择商业Linux OS提供程序时应用关键镜头。需要考虑支持安全漏洞,并将其与他们遵循此概述的步骤相比。

如需进一步资料,请参阅风河的Linux安全页白皮书

有问题或想法要分享吗?联系我们

其他名称和品牌可能被认为是他人的财产。MITRE是MITRE公司的注册商标。CVE®是MITRE Corporation的注册商标。

以前的嵌入式开发解决方案:敏捷开发的工具
下一个《无人系统的影响:从战场到消费者世界