Stratus 产品安全：概述和最佳实践

摘要

作为全面安全战略的一部分，Stratus 管理和执行计划和实践，以确保安全产品的开发并提高整个企业的安全意识。既定的监督程序有助于 Stratus 识别和缓解产品开发期间和之后的产品安全风险。本文的目的是解释Stratus的安全开发生命周期计划——全面而严格的产品安全保障流程，可帮助其解决潜在漏洞并确保产品的完整性。

Stratus 认真对待安全问题

Stratus 拥有丰富的安全遗产

近 40 年来，Stratus 一直为需要高度可靠、安全和可管理的平台来支持其最关键的数据中心工作负载的企业提供计算基础设施。如今，超过一半的全球财富100强企业都在使用Stratus解决方案，安全地处理86万亿美元的信用卡交易，生产2亿吨的食品和饮料，每年运送15亿名航空公司乘客。

边缘计算基础设施必须安全

Stratus 解决方案越来越多地部署在企业网络的边缘。在缺乏环境控制和/或技术资源的地区，人们越来越多地寻求Stratus 简单、受保护和自主的计算平台来运行关键的边缘应用程序。

IoT（物联网）的出现以及IT（信息技术）和OT（运营技术）的融合使以前 “孤立的” OT 边缘网络面临新的和现有的 IT 安全漏洞。此外，使用传统 IT 安全措施和工具不容易保护这些 OT 网络。

在 Stratus，安全很重要

对于 Stratus 来说，确保客户计算平台（从数据中心到边缘）的安全至关重要。其许多客户在严格监管的行业中运营，并将其边缘计算平台用于关键的国家基础设施。因此，减少可行的攻击向量以及创建支持深度防御方法的多层产品是降低风险的重要因素。为了更好地保护其客户和合作伙伴，Stratus 遵循全面的安全战略，包括利用安全行业最佳实践，设计和构建以安全为中心的产品，快速响应已知的安全漏洞和威胁，持续评估其当前立场并进行改进以增强其安全态势。

Stratus 遵循安全行业最佳实践

Stratus 在设计和构建产品（安全流程）并使其更加安全（安全产品）时遵循公认的安全行业最佳实践。一项包含ISA、NIST和OWASP指南的正式SDL（安全开发生命周期）计划可帮助Stratus识别和缓解安全风险。与OPAF等组织合作有助于其利用更广泛的安全社区的资源来最大限度地提高产品安全性。

它从 ISA 开始

国际自动化协会（ISA）是一个非营利性专业协会，成立于1945年。该组织制定和维护广泛使用的全球标准，包括工业自动化和控制系统的安全标准。Stratus 主要遵循国际电工委员会 (IEC) 采用的两个 ISA 准则，从工艺和产品的角度考虑安全问题。

安全流程

ISA/IEC 62443-4-1
ISA/IEC 62443-4-1 规定了安全开发工业自动化和控制系统中使用的产品的过程要求。Stratus 遵循这些ISA准则来安全地开发自己的产品。该指南定义了安全的开发生命周期，目的是开发和维护安全产品，包括：

安全要求定义
安全设计
安全实施（包括编码指南）
验证和验证
缺陷管理
补丁管理
产品寿命终止

NIST SP 800-37
美国国家标准与技术研究所（NIST）现在是美国商务部的一部分，是一个政府组织，负责建立和监督旨在帮助提高工业竞争力的技术、测量和标准。NIST特别出版物800-37（SP 800-37）为将其风险管理框架应用于联邦信息系统提供了指导方针。Stratus 开发者在开发其软件产品（例如Stratus Redundance Linux、everRun和VOS）时会利用这些补充指南。

产品安全

ISA/IEC 62443-4-2
Stratus 还使用 ISA 功能要求来帮助定义将哪些安全功能整合到其产品中。ISA/IEC 62443-4-2 详细说明了与满足控制系统能力安全级别的七项基本要求 (FR) 相关的技术组件要求 (CR)。七项基本要求是：

识别和认证控制
使用控制权
系统完整性
数据机密性
数据流受限
及时应对事件
资源可用性

例如，诸如ztC Edge和everRun之类的Stratus产品利用访问控制列表、角色和密码进行最低权限识别、认证和使用控制。ztC Edge 的系统完整性通过安全和可信的启动得到保证。ftServer 和 ztC Edge 都使用加密的 HTTPS、SSH 和 SMTP 等安全通信协议，以确保数据的机密性。警报日志会立即通知管理员 Stratus 产品的配置更改，这些更改可能预示着安全事件。资源可用性也是所有Stratus产品的标志，这些产品具有高可用性和容错能力，可抵御各种类型的拒绝服务事件和关键业务服务的连续性。

FIPS 140-2
联邦信息处理标准140-2（FIPS 140-2）是另一项由其计算机安全部（CSD）和应用网络安全部（ACD）共同维护的NIST标准。它规定了加密模块将满足的安全要求，提供了四个不断提高的定性级别，旨在涵盖广泛的潜在应用和环境。

Stratus 使用 FIPS 140-2 密码学和数据安全设计原则来为其产品安全要求提供信息。例如，当前的Stratus产品使用OpenSSL 1.0.2k-fips和TLS v1.2来提供网络服务。ztC Edge提供主机访问的网络服务器默认符合FIPS 140-2算法。

OWASP
开放网络应用程序安全项目 (OWASP) 是一个非营利基金会，其目的是提高软件的安全性。Stratus 利用基金会的方法、文档、工具和技术来提高安全性。

Stratus 在设计和制造产品时考虑到了安全性

Stratus 已经制定了在产品开发过程中识别和缓解安全风险的计划和实践。Stratus 工程组内的产品安全团队负责制定和推动整个公司的安全举措，培养具有安全意识的文化。该团队负责 Stratus 的 SDL 计划、安全事件响应工作和安全认证。

Stratus 的 SDL 是一项闭环安全保障计划，可帮助 Stratus 工程师安全地开发安全产品。其主要目标是减少其正在开发和已部署的产品中漏洞的数量和严重性。它通过将安全性融入其产品生命周期和敏捷开发文化的各个方面来实现这一目标，包括前期培训、需求收集、设计、实施、验证、发布和发布后响应。

除了利用 ISA、NIST 和 OWASP 提供的安全行业最佳实践、指南、标准和工具外，Stratus 还在 SDL 计划的每一个阶段都纳入了额外的安全实践，以降低安全风险。

训练
Stratus 工程师定期接受安全培训，及时了解安全趋势和行业不断变化的威胁格局，以帮助最大限度地减少在其开发流程和产品中引入安全问题。Stratus 的安全团队管理和维护基于角色和技术的特定安全课程，并定期对其进行更新。当前，有安全概念、安全设计和测试、安全编码技术和安全工具方面的课程。

需求收集
在需求收集和规划阶段，对产品的初始安全配置进行评估。这是将产品的安全配置文件与一组已知安全要求进行比较的几个里程碑中的第一个。这些要求可能根据客户的要求来自产品所有者，也可能来自行业标准，但它们由安全团队审查和维护。当前，它们包括身份验证、授权、加密、证书管理、网络安全、虚拟化、问责制以及软件打包和交付等方面的标准。此外，对于保护敏感数据、防范恶意代码和减少攻击面等项目，还有更高级别的安全要求。

设计
在产品的设计阶段，会进行并行活动，在发布之前识别和修复安全问题。起草了威胁模型或架构图，用于识别潜在漏洞、系统缺陷和错误的设计假设。通过在开发过程的早期执行此项活动，开发团队有足够的时间来解决任何与设计相关的安全问题。

实施
在此阶段，开发团队使用自动化工具来检测缺陷，包括与安全相关的缺陷。SAST（静态应用程序安全测试）用于分析应用程序源代码、字节码和二进制文件，以了解表明安全漏洞的编码和设计条件。此阶段还会进行漏洞扫描。

此外，安全团队采用安全采购。它记录了其产品中所有OSS（开源软件）和TPS（第三方软件）的名称和发布级别，检查它们是否存在已知漏洞。对供应商硬件和软件进行安全评估是为了确保 Stratus 收到按照行业标准开发的安全产品，从而降低安全问题传递给客户的风险。

验证
在此生命周期阶段，开发团队使用自动化工具扫描软件产品中运行的网络计算系统中是否存在安全漏洞，以确定系统是否可以通过特定方式受到威胁或利用。此外，可以进行渗透测试以确定恶意入侵者是否可以成功攻击产品或解决方案。这些测试在隔离的测试环境中进行，可能包括产品架构和源代码审查，并使用各种商业或内部漏洞检测工具。

此外，在此阶段还将进行最终安全审查，以验证产品是否已通过所有 SDL 计划活动，以及之前的安全审查中提出的任何问题是否已得到解决。在达到任何 RC（候选版本）里程碑之前，必须完成最终的安全审查。

发布和发布后的回应
正式上市的产品（现已上市）进入其产品生命周期的生产阶段。他们一直处于这个阶段，直到他们的 EOL（生命结束）。Stratus 的产品安全事件响应小组 (PSIRT) 是安全团队的一部分，负责监控技术格局，以了解有关Stratus产品安全问题的任何报告。一个全球团队，其职责之一是调查报告的漏洞，并在内部向相应的团队提供信息。它扮演的另一个角色是成为Stratus的联系人（product.security@stratus.com），供安全研究人员、客户、合作伙伴和其他外部各方报告Stratus产品漏洞。

Stratus 快速响应安全漏洞和威胁

当PSIRT检测到或收到有关Stratus产品问题的报告时，PSIRT会与Stratus开发团队合作调查该问题。PSIRT继续与相应的产品和支持团队协调问题内部和外部的补救和沟通。此外，PSIRT负责传达和分发所有安全建议，并在Stratus的网站上保留这些建议的记录。

Stratus 与其他技术供应商和政府组织（例如英特尔、AMD、IBM、微软、红帽、谷歌、Facebook、亚马逊、MITRE、CISA等）一起属于一个安全联盟，该联盟不断识别、确认和发布有关已知安全漏洞的信息。当联盟成员收到有关潜在漏洞的警报时，便开始对问题进行鉴定和诊断。信息由联盟成员共享，成员合作制定解决方案。最终，Stratus 创建了一个安全补丁，然后由 PSIRT 将其分发给其客户和合作伙伴。

Stratus 不断评估和改善其安全状况

Stratus 的 SDL 计划会定期进行评估，以确定其识别和降低风险的能力，并在其成熟和合格后向该计划添加新的流程和工具。

此外，Stratus 的敏捷方法包括自动化的安全测试流程，这些流程与每个开发阶段的漏洞类型和级别相匹配。集成的DevSecOps方法有助于确保将安全性纳入Stratus快速而频繁的产品开发周期，在此周期中，从早期周期中吸取的经验教训可以迅速应用于未来的开发周期。

欲了解更多信息

欲了解更多信息或报告漏洞，请通过 product.security@stratus.com 与 Stratus 的 PSIRT 联系。有关Stratus安全建议的更多信息，请访问support.stratus.com。如需详细了解 Stratus 如何确保其产品安全，请访问 stratus.com/security 或 stratus.com。

参考文献

国际自动化协会（ISA）：isa.org
国际电工委员会 (IEC)：iec.ch
国家标准与技术研究所 (NIST)：nist.gov
开放 Web 应用程序安全项目 (OWASP)：owasp.org
开放流程自动化论坛 (OPAF)：opengroup.org/forum/open-process-Automation-forum
网络安全和基础设施安全局 (CISA)：us-cert.gov

Stratus 产品安全