使用Scapolite强化：一种基于DevOps的大规模组织安全配置指南改进编写与测试方法
密码学与安全
2022-09-20 v1 软件工程
摘要
安全强化是配置 IT 系统以确保系统组件及其处理或存储数据安全的过程。在许多情况下，所谓的安全配置指南被用作安全强化的基础。这些指南描述了操作系统和标准应用等组件的安全配置设置。由于强化指南的错误实现或检查可能严重影响系统的安全性与功能性，因此有必要对安全配置指南进行严格测试，并采用自动化机制来实现与验证。在西门子，集中维护的安全配置指南带有机器可读信息，规定了每个所需配置步骤的实现与验证。指南在 git 仓库中维护；自动化流水线生成用于实现和检查的制品(例如 Windows 的 PowerShell 脚本)，并在 AWS 镜像上对这些制品执行测试。本文描述了我们在编写、维护和测试安全配置指南方面受 DevOps 启发方法的经验。我们愿分享这些经验，以帮助其他组织进行安全强化，从而提升其系统安全性。
引用
@article{arxiv.2209.08824,
title = {Hardening with Scapolite: a DevOps-based Approach for Improved Authoring and Testing of Security-Configuration Guides in Large-Scale Organizations},
author = {Patrick Stöckle and Ionut Pruteanu and Bernd Grobauer and Alexander Pretschner},
journal= {arXiv preprint arXiv:2209.08824},
year = {2022}
}
备注
We submitted this article as a full-length paper. Unfortunately, the CODASPY Program Committee decided that our paper can only be accepted in the tool track. Thus, the published version only consists of 6 pages