Secure Development Lifecycle

Wij zijn uniek door onze eigen geavanceerde onderzoeks­laboratoria in Noord- en Zuid-Amerika en EMEA, waardoor klanten wereldwijd profiteren van onze nieuwste bevindingen op het gebied van productbeveiliging.

Neem contact op met een security-expert

Producten van alle soorten zijn steeds kwetsbaarder voor geavanceerde breaches naarmate meer van hun intellectueel eigendom naar de silicon layer verschuift. Wij begrijpen de unieke kwetsbaarheden van de ontwikkelings- en implementatiecyclus – en hoe die kwetsbaarheden verschillen over talloze vormen van software, hardware en geïntegreerde producten.

• Naarmate de consumentenvraag de adoptie van revolutionaire technologieën blijft aanjagen, moeten de eisen op het gebied van productbeveiliging de volledige impact van deze industrie-transformerende verschuivingen anticiperen. Vaak zijn de cybersecurity-beschermingen die fabrikanten op hun nieuwe producten bieden niet in verhouding tot de risico's.
• Ons vermogen om productiecycli voor hardware, software en geïntegreerde producten te beoordelen, is uniek in de sector en vormt een extra bron van waarde voor hightechklanten met dynamische product- en dienstenportefeuilles.
• IOActive is al lang een pionier op het gebied van productcyberbeveiliging. We hebben de markt voor voertuigcyberbeveiliging vrijwel gecreëerd met ons originele onderzoek naar de cyberbeveiligingsrisico’s van verbonden voertuigen zoals de Toyota Prius, Ford Escape en Jeep Cherokee.
• Daarnaast was IOActive de eerste die belangrijke kwetsbaarheden identificeerde in een scala aan systemen, waaronder slimme meters, terminals voor commerciële satellieten, verkeersregelinstallaties, in-flight entertainment communications (IFEC) en diverse medische apparaten.

Componentbeoordelingen

Beveiligde producten worden gebouwd door beveiligingsinspanningen in het gehele ontwikkelingsproces te verankeren.

Vanaf het begin van de codeontwikkeling moet security testing een kernonderdeel zijn van het bouwen van elk veilig product – software of hardware. Penetration testing en code reviews van componenten helpen problemen vroeg in het ontwikkelingsproces te identificeren.

Ons team werkt zeer hands-on aan het helpen van klanten om “security by design” te verankeren in hun ontwikkelingscyclus. We gaan graag complexe beveiligingsuitdagingen aan gedurende de gehele productlevenscyclus en zijn ervan overtuigd dat het succes van elke SDL afhangt van het benutten van vaardigheden, technieken en tools in elke fase. Ons team beschikt over een schat aan ervaring met alles van configuratie- en architectuurbeoordelingen tot dynamische en statische analyse.

IOActive begrijpt dat continue testen cruciaal is voor de ontwikkeling van veilige producten en biedt daarom talrijke leveringsmodellen, zodat klanten in elke fase van de ontwikkeling kunnen profiteren van onze zeer effectieve en aanpasbare diensten voor penetration testing en code review.

Ontwerpbeoordeling

Security by design is het ultieme doel.

Beveiligde producten worden gebouwd door beveiligingsinspanningen in het gehele ontwikkelingsproces te verankeren.

Veel van het wereldwijde werk aan security gebeurt als een gedachte achteraf, vlak voordat een product live gaat. Dit leidt niet alleen tot het vinden van problemen die meestal niet meer opgelost kunnen worden vóór de livegang, maar betekent ook dat alles wat wél wordt opgelost, vele malen duurder is.

IOActive helpt bedrijven om deze situatie te vermijden door een prescriptieve Security Design Review-proces toe te passen dat de volgende aspecten beoordeelt:

• In gebruik zijnde technologiestapels
• Analyse van bekende kwetsbaarheden
• Mogelijke ontwerpfouten
• Data flow analysis
• Gedetailleerde aanbevelingen voor koerscorrectie

Hoe eerder u zwakheden in systemen vindt, hoe veiliger het project zal zijn en hoe minder het zal kosten. IOActive helpt bedrijven ervoor te zorgen dat productbeveiliging zo vroeg mogelijk begint, om potentiële kosten en incidenten te vermijden die de reputatie van het bedrijf kunnen schaden.

Definitieve security review

Een echte SDL garandeert de beveiliging vóór de productrelease.

Een vaak verkeerd begrepen maar cruciale fase van elke effectieve SDL is de Final Security Review (FSR). FSRs zijn complex en omvatten beoordelingen van alle SDL-vereisten en aanvullende beveiligingsvereisten, vaak inclusief penetration testing en fuzzing, die het securityteam vereist. Het proces omvat vaak het onderzoeken van threat models, tool outputs en prestaties tegen de quality gates en bug bars die tijdens de vereistenfasen zijn gedefinieerd, evenals het uitvoeren van penetration testing en fuzzing.

Voorafgaand aan de release naar het web of de productie moet een toegewezen security advisor goedkeuring geven dat de FSR naar zijn tevredenheid is afgerond. Hoewel veel bedrijven last-minute testen uitvoeren om te voldoen aan een SDL checklist, is een echte FSR goed gepland en omvat het voldoende tijd voor remediation. Het niet voldoende doorstaan van de FSR of het niet krijgen van uitzonderingen voor bekende security vulnerabilities zal leiden tot het niet op tijd kunnen leveren van het product.

IOActive werkt tijdens de Final Security Review nauw samen met onze klanten, waarbij we doorlopende reviews en diepgaande eindtesten uitvoeren. Met een kritische focus op het waarborgen van de veiligheid vóór de release werken we hand in hand met security advisors om ervoor te zorgen dat problemen vroeg worden geïdentificeerd en snel worden aangepakt.

Programmanagement

Het opbouwen van een cultuur van veilige ontwikkeling.

Voor een bedrijf dat software, hardware of geïntegreerde producten bouwt, is de gebruikte methodologie absoluut van cruciaal belang. En voor velen is het proces chaotischer en toevalliger dan het zou moeten zijn.

IOActive helpt bedrijven een veilig creatieproces op te bouwen gedurende de gehele levenscyclus: INCEPTION, SUPPLY CHAIN, SECURE CREATION, TESTING, MAINTENANCE, DECOMMISSIONING.

Door het opzetten van veilige ontwikkelprogramma’s voor enkele van de meest complexe omgevingen, begrijpen wij dat bedrijven minimaal het volgende moeten overwegen:

• Bescherming van het productidee in de vroege fasen
• Het creëren van een veilig ontwerpproces
• Beveiligingsintegratie tijdens de bouwfase
• DEVSECOPS-gebaseerd security testing tijdens de build-fase
• Langetermijntesten nadat het product is geïmplementeerd
• Vulnerability Management terwijl het product in productie is
• Beveiligde decommissioning van apparaten en gegevens

Elke fase van dit proces is cruciaal voor de algehele beveiliging van het product, en IOActive biedt een samenhangende programma-aanbeveling om dit in de gehele organisatie uit te voeren.

Dreigingsmodellering

Niets helpt je iets te beschermen zoals nadenken over hoe je het zou aanvallen.

Deze filosofie ligt ten grondslag aan vrijwel alles wat we bij IOActive doen, maar is vooral cruciaal tijdens het ontwikkelen van software- en hardwareproducten.

IOActive helpt bedrijven de aanvalsoppervlakken van een bepaald project te begrijpen, welke dreigingsactoren het waarschijnlijk als doel kiezen, welke technieken zij waarschijnlijk gebruiken om exploit welke kwetsbaarheden, en welke zakelijke impact deze aanvallen kunnen hebben.

Wij begrijpen dat de waarde van threat modeling niet ligt in een complexe methodologie, maar in het vermogen om nauwkeurig te modelleren wat er gebeurt wanneer het product live gaat. Wij hanteren een eenvoudige maar zeer effectieve aanpak voor

• Grondig begrip van de functionaliteit van de toepassing
• Maak een op security gerichte visualisatie van de componenten van de applicatie
• Breng het aanvalsperspectief in kaart op de architectuur
• Identificeer kwetsbaarheden
• Geef aan welke aanvallen het meest waarschijnlijk zijn voor elke dreigingsactor
• Koppel succesvolle aanvallen aan zakelijke impact
• Maak aanbevolen controles voor elke aanvalsboom

Threat Modeling mag niet worden beschouwd als slechts een afvinklijstje voor Due Diligence; het is cruciaal om te begrijpen hoe een bepaald systeem in de echte wereld zal worden aangevallen.

Met deze bewezen methodologie kan IOActive u helpen elke hardware- of softwareproduct te beveiligen.