谷歌等联合推出最小可行安全产品 (MVSP)，列出供应链供方应满足的最低安全要求

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

谷歌发布博客文章提出了最小可行安全产品 (MVSP) 框架，旨在为B2B 企业和业务流程外包 (BPO) 提供商设立最低的安全要求。//

MVSP 的诞生契机

Opus and Ponemon 研究所调查的一项研究显示，59%的企业经历过由某个供应商或第三方而引发的数据泄露事件。将业务外包给第三方供应商虽然节省了金钱提高了运营效率，但可能会造成重大安全风险。这些供应商能够访问关键系统和客户数据，因此其安全状况也同样重要。

此前，规模不等的组织机构不得不实现与其风险态势相关的供应商安全基准。遗憾的是，这样做对于供应商和组织机构而言是无法实现的，因为他们不得不适应数千种不同的要求。

为解决这一问题，业内组织机构联合设计了最小可行安全产品 (MVSP)。它是一种供应商中立的安全基准，旨在通过设立可接收的最低安全基准来消除在采购、RFP 和供应商安全评估流程中的管理、复杂度以及混淆问题。通过MVSP，行业可以提高每个阶段中的清晰度，以便供需双方能够实现各自的目标，并减少长达数周或数月之久的管理和销售周期。

MVSP 由业内企业开发并支持，如谷歌、Salesforce、Okta、Slack 等等不一而足。它的目标是在简化审计流程的同时提高业内的最低安全门槛。

MVSP 是一种协作基准，重在为B2B 软件和业务流程外包 (BPO) 供应商建立一系列最低安全要求。以简约为出发点，MVSP 仅包含必须执行的最低的控制，以确保一种合理的安全态势。MVSP 以最低基准清单的形式展现，可用于验证解决方案的安全态势。

如何使用MVSP?

(1)  安全团队对照最低安全基准评估供应商服务。

MVSP 确保供应商筛选和RFP 包含由行业支持的最低基准。前期沟通最低安全要求确保所有人了解自己的定位以及预期的清晰度。

(2)  内部团队通过最低安全要求评估自己的安全状况。

MVSP 提供了一系列最低安全基准，可用于理解产品或服务的安全差距，通过清晰明确的利益，提高改进机会并增强组织机构内部的可见性。

（3） 采购团队收集供应商服务信息。

MVSP 提供了公开可获得的以及受行业支持的安全相关问题。基准可使供应商了解得更加清晰，从而促成更迅速更准确的响应。

（4）法律团队谈判合约控制。

MVSP 确保先行了解关于最低安全控制的预期，在合同谈判阶段减少关于控制的讨论。引用外部基准有助于简化合约语言并增强对安全要求的熟悉度。

（5） 合规团队记录流程。

MVSP 为企业构建自身的合规努力提供了外部认可且采用的安全基准。

MVSP 清单

1、业务控制
控制	描述
1.1 漏洞报告	在网站发布安全报告接口人 在合理的时间框架内响应安全报告
1.2 客户测试	根据要求，请客户或客户代表测试自己应用程序的安全性 测试非生产环境是否在功能上非常接近生产环境 确保非生产环境中不包含生产数据
1.3 自我评估	每年通过本文档（至少）开展一次安全自评
1.4外部测试	通过合同安全供应商每年对系统开展一次综合渗透测试
1.5 培训	为您的员工实施与其业务职能相关的基于角色的安全培训
1.6 合规	遵循与业务相关的所有行业安全标准如 PCI DSS、HITRUST、ISO27001 和SSAE  18 遵守所在辖区的适用于所在企业和客户的当地法律和法规，如GDPR、绑定企业发规和标准合同条款等。
1.7 事件处理	在发现事件的72小时内，及时将数据泄露事件告知客户 通知中应当包含如下信息： 相关接口人 对事件的初步技术分析 制定合理时间内的缓解计划
1.8 数据清理	确保执行基于 NIST SP 800-88 或等价标准的媒介清理流程
2、 应用设计控制
控制	描述
2.1 单点登录	使用现代和行业标准协议执行单点登录
2.2 HTTPS-only	将HTTP协议（端口80）的流量重定向至HTTPS（端口443） （本条不适用于旨在未加密链接如OCSP上运行的安全协议） 使用广泛是以哦那个的 TLS 扫描工具生成清晰扫描 在所有带有 includeSubdomains 指令的网页上包含  Strict-Transport-Security 标头
2.3 内容安全策略	设立最低许可内容安全策略
2.4 密码策略	如除了单点登录外还使用了密码验证，则： 不要限制可用的许可字符 不要将密码限制到64个字符以下 不要将机密问题当作唯一的密码重置要求 要求对密码更改请求进行邮件验证 除了密码更改过程中设置新密码外要求输入当前密码 定期检查现有的用户密码是否遭攻陷 使用memor-hard 或 CPU-hard 单向哈希函数，以哈希和盐格式存储密码 对账户访问权限执行适当的账户锁定和暴力防护措施
2.5 安全库	使用框架、模板语言或库，通过逃逸输出和清理输入的方式，系统地解决实现弱点（如数据访问用ORM，渲染DOM用UI框架）
2.6 依赖修复	为中危或更高等级的漏洞打补丁，或确保在补丁发布的一个月内，为应用栈的所有组件发布同等缓解措施
2.7 日志记录	记录如下日志： 记录用户的登录登出 读取、编写、删除在应用程序和系统用户与对象上的操作 安全设置变更（包括禁用日志记录） 应用所有人访问客户数据（访问透明度） 日志中必须包含用户ID、IP地址、有效时间戳、所执行的操作类型以及操作的对象。日志必须至少存储30天期限，且不应包含敏感数据或payload。
2.8 备份和容灾	将数据安全地备份在不同位置，而非应用所运行的位置 维护并定期测试容灾计划 定期测试备份恢复
2.9 加密	使用可用加密手段保护在系统之间传输的敏感数据以及在网络数据存储和备份中的闲置敏感数据
3、应用实现控制
控制	描述
3.1 数据清单	维护应用程序将要处理的敏感数据类型清单
3.2 数据流图表	维护更新图标，说明敏感数据如何触及系统以及最后的存储位置
3.3 漏洞预防	培训开发人员并执行开发指南，阻止至少如下漏洞： 授权绕过。如：从普通账户访问其它客户数据或管理员特性 不安全的会话ID。如：可猜测令牌；存储在不安全位置的令牌（如未设置安全和httpOnly 标记的cookie） 注入。如：SQL注入、NoSQL  注入、XXE、OS命令注入 跨站点脚本。如：调用不安全的 JavaScript 函数、执行不安全的DOM操纵、在未逃逸的情况下将用户输入echo 会HTML 中 跨站点请求伪造。如：从不同域名访问具有 Origin 标头的请求 使用易受攻击的库。如：使用含有已知漏洞的服务器端框架或JavaScript  库
3.4 修复漏洞的时间	在发现漏洞的90天内生成并部署补丁，解决产生重大安全影响的应用漏洞
4、 运营控制
控制	描述
4.1 物理访问	通过确保部署如下控制验证相关设施的物理安全： 分层外围控制和内部阻碍 管理密钥访问 进入和退出日志 适当的入侵警报响应计划
4.2 逻辑访问	将敏感数据的访问权限仅限制给具有合法需求的用户。数据所有人必须授权此类访问权限。 及时禁用不必要的账户和过期访问权限 定期审计访问权限，验证所需了解的情况
4.3 子处理器	发布能够访问网站上客户数据的第三方企业清单 每年按照该基准访问第三方企业

---

---

推荐阅读

在线阅读版：《2021中国软件供应链安全分析报告》全文速修复！开源编辑器CKEditor 中存在两个严重XSS漏洞，影响Drupal 和其它下游应用
11个恶意python包被指窃取 Discord 令牌、安装shell
对话奇安信代码安全丨十年砥砺前行  迎来软件供应链安全的风口
“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞
流行的 NPM 包依赖关系中存在远程代码执行缺陷
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
找到软件供应链的薄弱链条
GitHub谈软件供应链安全及其重要性
揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司开源软件漏洞安全风险分析
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市
热门开源CI/CD解决方案 GoCD 中曝极严重漏洞，可被用于接管服务器并执行任意代码
GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥
因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露
彪马PUMA源代码被盗，称客户数据不受影响

原文链接

https://security.googleblog.com/2021/10/launching-collaborative-minimum.html

https://mvsp.dev/mvsp.en/index.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~