Security risk in legacy system - Revision history

Planetoid: /* 短期處理策略 */

2019-01-28T04:27:33Z

短期處理策略

← Older revision		Revision as of 12:27, 28 January 2019
Line 21:		Line 21:
	額外建立測試環境，升級已經修復資安漏洞的開放原始碼套件版本，檢查與公司網站是否正常運作。如果測試環境的公司網站不能正常運作的方案		額外建立測試環境，升級已經修復資安漏洞的開放原始碼套件版本，檢查與公司網站是否正常運作。如果測試環境的公司網站不能正常運作的方案
	* 如果必須公司網站維持上線: 一種方案是增購「[https://en.wikipedia.org/wiki/Web_application_firewall 網頁應用程式防火牆]」（{{Acronym\| def=網頁應用程式防火牆(Web application firewall) \| acronym = WAF}}），可以先檔一段時間 ''$''		* 如果必須公司網站維持上線: 一種方案是增購「[https://en.wikipedia.org/wiki/Web_application_firewall 網頁應用程式防火牆]」（{{Acronym\| def=網頁應用程式防火牆(Web application firewall) \| acronym = WAF}}），可以先檔一段時間 ''$''
	* 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)~~改用別的模組上線~~		* 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)改用相同功能的別的模組上線

	== 長期處理策略 ==		== 長期處理策略 ==

Planetoid: /* 長期處理策略 */

2018-07-13T00:51:47Z

長期處理策略

← Older revision		Revision as of 08:51, 13 July 2018
Line 25:		Line 25:
	== 長期處理策略 ==		== 長期處理策略 ==
	* 根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。		* 根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。
	* ~~根據「自由軟體資訊清單」訂閱相關專案論壇或電子報，例如~~ [https://laravel-news.com/newsletter Laravel Newsletter] ，留意版本更新與資安通告方面的訊息。		* 根據「自由軟體資訊清單」訂閱相關專案的論壇或電子報，例如 [https://laravel-news.com/newsletter Laravel Newsletter] ，留意版本更新與資安通告方面的訊息。
	* 例行進行資安掃描 [[Vulnerability scanning tools \| 資訊系統安全性漏洞的檢測工具]]		* 例行進行資安掃描 [[Vulnerability scanning tools \| 資訊系統安全性漏洞的檢測工具]]

Planetoid: /* 長期處理策略 */

2018-07-10T02:14:52Z

長期處理策略

← Older revision		Revision as of 10:14, 10 July 2018
Line 26:		Line 26:
	* 根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。		* 根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。
	* 根據「自由軟體資訊清單」訂閱相關專案論壇或電子報，例如 [https://laravel-news.com/newsletter Laravel Newsletter] ，留意版本更新與資安通告方面的訊息。		* 根據「自由軟體資訊清單」訂閱相關專案論壇或電子報，例如 [https://laravel-news.com/newsletter Laravel Newsletter] ，留意版本更新與資安通告方面的訊息。
			* 例行進行資安掃描 [[Vulnerability scanning tools \| 資訊系統安全性漏洞的檢測工具]]

	== 參考資料 ==		== 參考資料 ==

Planetoid: /* 短期處理策略 */

2018-07-09T07:19:53Z

短期處理策略

← Older revision		Revision as of 15:19, 9 July 2018
Line 6:		Line 6:
	== 短期處理策略 ==		== 短期處理策略 ==
	'''建立自由軟體資訊清單''' 除了著作權議題，同時確認 legacy system 程度		'''建立自由軟體資訊清單''' 除了著作權議題，同時確認 legacy system 程度
	* ~~盤點公司網站使用到哪些開放原始碼專案清單、版本、授權方案？哪些功能模組是公司自行撰寫的？~~		* 盤點公司網站使用到哪些開放原始碼專案、版本、授權方案？哪些功能模組是公司自行撰寫的？
	* [https://docs.google.com/spreadsheets/d/1UarMQhYT4E0e_6dFCNGaw2_TNU2v83heZa2USneo5YQ/edit?usp=sharing 自由軟體資訊清單文件範本] example: [http://confluence.jetbrains.com/display/PhpStorm/Third-Party+Software+Used+by+PhpStorm Third-Party Software Used by PhpStorm]		* [https://docs.google.com/spreadsheets/d/1UarMQhYT4E0e_6dFCNGaw2_TNU2v83heZa2USneo5YQ/edit?usp=sharing 自由軟體資訊清單文件範本] example: [http://confluence.jetbrains.com/display/PhpStorm/Third-Party+Software+Used+by+PhpStorm Third-Party Software Used by PhpStorm]
	* 相關資料: [http://www.openfoundry.org/tw/legal-column-list/8397-2011-07-22-09-56-32 善用自由軟體資訊清單有效降低法律糾紛的風險 - OpenFoundry]		* 相關資料: [http://www.openfoundry.org/tw/legal-column-list/8397-2011-07-22-09-56-32 善用自由軟體資訊清單有效降低法律糾紛的風險 - OpenFoundry]

Planetoid: /* 參考資料 */

2018-07-09T06:06:42Z

參考資料

← Older revision		Revision as of 14:06, 9 July 2018
Line 33:		Line 33:
	相關資料		相關資料
	* [https://www.ithome.com.tw/news/118411 新版OWASP十大網站安全風險排名出爐，微服務風潮帶來三大新安全風險 \| iThome]		* [https://www.ithome.com.tw/news/118411 新版OWASP十大網站安全風險排名出爐，微服務風潮帶來三大新安全風險 \| iThome]
			* [[How to choose open source solution \| 如何選擇開放原始碼、自由軟體的軟體方案]]

	[[Category:Security]] [[Category:Programming]]		[[Category:Security]] [[Category:Programming]]

Planetoid: /* 短期處理策略 */

2018-07-09T02:50:29Z

短期處理策略

← Older revision		Revision as of 10:50, 9 July 2018
Line 11:		Line 11:

	'''建立功能測試文件、評估可接受的服務中斷與資料遺失時間'''		'''建立功能測試文件、評估可接受的服務中斷與資料遺失時間'''
	* 不確定是否影響公司網站，代表公司自行撰寫的功能模組缺乏單元測試。建議先盤點公司網站功能，以及對應需要進行的功能測試，先寫成測試文件。例如：網站會員註冊功能模組，需要 (1) 訪客填寫表單時的檢查資料、 (2) Email 驗證、(3) 開通帳號的功能測試步驟等等。		* 不確定是否影響公司網站，代表自行撰寫的功能模組或使用專案套件缺乏單元測試。建議先盤點公司網站功能，以及對應需要進行的功能測試，先寫成測試文件。例如：網站會員註冊功能模組，需要 (1) 訪客填寫表單時的檢查資料、 (2) Email 驗證、(3) 開通帳號的功能測試步驟等等。
	** 短期先進行人工測試。		** 短期先進行人工測試。
	* 評估可接受的服務中斷與資料遺失時間: 當資安入侵造成服務中斷、資料遺失，如果目前備份週期是每週一次，而容許的資料遺失時間其實比工程師想像的更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。		* 評估可接受的服務中斷與資料遺失時間: 當資安入侵造成服務中斷、資料遺失，如果目前備份週期是每週一次，而容許的資料遺失時間其實比工程師想像的更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。

Planetoid: /* 參考資料 */

2018-07-09T02:02:32Z

參考資料

← Older revision		Revision as of 10:02, 9 July 2018
Line 30:		Line 30:

	<references />		<references />

			相關資料
			* [https://www.ithome.com.tw/news/118411 新版OWASP十大網站安全風險排名出爐，微服務風潮帶來三大新安全風險 \| iThome]

	[[Category:Security]] [[Category:Programming]]		[[Category:Security]] [[Category:Programming]]

Planetoid: /* 短期處理策略 */

2018-07-09T01:56:11Z

短期處理策略

← Older revision		Revision as of 09:56, 9 July 2018
Line 20:		Line 20:

	額外建立測試環境，升級已經修復資安漏洞的開放原始碼套件版本，檢查與公司網站是否正常運作。如果測試環境的公司網站不能正常運作的方案		額外建立測試環境，升級已經修復資安漏洞的開放原始碼套件版本，檢查與公司網站是否正常運作。如果測試環境的公司網站不能正常運作的方案
	* 如果必須公司網站維持上線: ~~一種方案是增購「網頁應用程式防火牆」（WAF），可以先檔一段時間~~ ''$''		* 如果必須公司網站維持上線: 一種方案是增購「[https://en.wikipedia.org/wiki/Web_application_firewall 網頁應用程式防火牆]」（{{Acronym\| def=網頁應用程式防火牆(Web application firewall) \| acronym = WAF}}），可以先檔一段時間 ''$''
	* 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)改用別的模組上線		* 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)改用別的模組上線

Planetoid: /* 短期處理策略 */

2018-07-09T00:36:49Z

短期處理策略

← Older revision		Revision as of 08:36, 9 July 2018
Line 15:		Line 15:
	* 評估可接受的服務中斷與資料遺失時間: 當資安入侵造成服務中斷、資料遺失，如果目前備份週期是每週一次，而容許的資料遺失時間其實比工程師想像的更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。		* 評估可接受的服務中斷與資料遺失時間: 當資安入侵造成服務中斷、資料遺失，如果目前備份週期是每週一次，而容許的資料遺失時間其實比工程師想像的更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。
	** 如果資料包含個資，需要進行個資盤點<ref>[https://www.ithome.com.tw/news/88871 個資盤點的3大原則 \| iThome]</ref>。		** 如果資料包含個資，需要進行個資盤點<ref>[https://www.ithome.com.tw/news/88871 個資盤點的3大原則 \| iThome]</ref>。
	** ~~實際演練「緊急應變計畫」，確認現有應變計畫，是否滿足在服務中斷與資料遺失狀況下，可以在規劃的時間內復原？~~		** 實際演練「緊急應變計畫」，確認現有應變計畫，是否滿足在服務中斷與資料遺失狀況下，可以在規劃的時間內恢復服務上線、還原資料？

	'''如果測試版的公司網站不能正常運作'''		'''如果測試版的公司網站不能正常運作'''

Planetoid: /* 短期處理策略 */

2018-07-09T00:35:23Z

短期處理策略

← Older revision		Revision as of 08:35, 9 July 2018
Line 10:		Line 10:
	* 相關資料: [http://www.openfoundry.org/tw/legal-column-list/8397-2011-07-22-09-56-32 善用自由軟體資訊清單有效降低法律糾紛的風險 - OpenFoundry]		* 相關資料: [http://www.openfoundry.org/tw/legal-column-list/8397-2011-07-22-09-56-32 善用自由軟體資訊清單有效降低法律糾紛的風險 - OpenFoundry]

	'''~~建立功能測試文件、評估可接受的服務中斷與資料遺失~~'''		'''建立功能測試文件、評估可接受的服務中斷與資料遺失時間'''
	* 不確定是否影響公司網站，代表公司自行撰寫的功能模組缺乏單元測試。建議先盤點公司網站功能，以及對應需要進行的功能測試，先寫成測試文件。例如：網站會員註冊功能模組，需要 (1) 訪客填寫表單時的檢查資料、 (2) Email 驗證、(3) 開通帳號的功能測試步驟等等。		* 不確定是否影響公司網站，代表公司自行撰寫的功能模組缺乏單元測試。建議先盤點公司網站功能，以及對應需要進行的功能測試，先寫成測試文件。例如：網站會員註冊功能模組，需要 (1) 訪客填寫表單時的檢查資料、 (2) Email 驗證、(3) 開通帳號的功能測試步驟等等。
	** 短期先進行人工測試。		** 短期先進行人工測試。
	* 假設當資安入侵造成服務中斷、資料遺失的風險評估：如果目前備份週期是每週一次，而資料遺失的容許時間卻更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。		* 評估可接受的服務中斷與資料遺失時間: 當資安入侵造成服務中斷、資料遺失，如果目前備份週期是每週一次，而容許的資料遺失時間其實比工程師想像的更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。
	** 如果資料包含個資，需要進行個資盤點<ref>[https://www.ithome.com.tw/news/88871 個資盤點的3大原則 \| iThome]</ref>。		** 如果資料包含個資，需要進行個資盤點<ref>[https://www.ithome.com.tw/news/88871 個資盤點的3大原則 \| iThome]</ref>。
			** 實際演練「緊急應變計畫」，確認現有應變計畫，是否滿足在服務中斷與資料遺失狀況下，可以在規劃的時間內復原？

	'''如果測試版的公司網站不能正常運作'''		'''如果測試版的公司網站不能正常運作'''