软件漏洞可以说是黑客最常利用的入侵方式，无论是攻击超过 18000 个公司的 SolarWinds，还是影响全球 48.3% 组织的 Log4j 漏洞，多次证明数据安全防护是企业维持组织运营的必要措施。这使得企业评估系统供应商时，安全风险管理能力的高低成为关键的衡量标准。
Synology 早在 2016 年就成立了安全事件响应小组（Security Incident Response Team, SIRT），承诺在 24 小时内修复关键漏洞，将数据安全性置于首要位置。
仅仅这样还不够，SIRT 团队为了进一步强化产品安全性，通过实践安全开发生命周期（Software Development Lifecycle, SDL）——在开发阶段就优先考虑软件安全性，降低漏洞事件发生的概率，力求精准控制风险并确保符合法规要求，帮助开发人员从头到尾以标准化方式打造高度安全的产品。以下将分享Synology 如何落实该周期，追求更完整的产品安全性：
以安全性为核心，四阶段把关产品全流程
1. 设计阶段：安全先行的设计理念
当一款新的 Synology 产品或功能准备推出时，会立即启动产品安全保障（Product Security Assurance, PSA）计划。SIRT 会与开发团队深度合作，检查安全基础功能和设计方案，提供具体可落地的改进建议。例如，为遵循最小权限原则，DSM 7.0 中删除了 Root 权限，仅授予用户最低必要权限，以此降低安全风险。这种方式能从源头搭建坚实的安全框架，尽可能提前防范潜在安全隐患。
2. 开发阶段：标准化流程+自动化测试双重保障
确认产品规格后，将正式进入开发阶段。为确保代码从初始阶段就具备高安全性，开发团队会执行静态应用程序安全测试（static application security testing），搭配自动化工具筛选潜在漏洞和代码缺陷，杜绝使用不安全或禁止调用的代码。随着开发进程推进，还会同步开展动态分析安全测试（dynamic application security testing），检测代码在运行状态下是否出现非预期错误，全面覆盖应用程序所有功能，减少安全威胁。
3. 验证阶段：以攻击者视角，多方位排查漏洞
Synology 在发布任何产品前，都会经过彻底的测试和验证，但仅从供应商单一视角检查，难免会存在安全盲区。为此，Synology 主动通过各类计划与黑客社群展开合作，例如参与 Pwn2Own、TienFu Cup 等知名黑客赛事。自 2017 年起，Synology每年还会举办“安全漏洞回报奖励计划”，邀请外部安全研究人员协助发现产品漏洞。
除此之外，Synology在 2022 年初于组织内部成立了红队（Red Team）。该团队由具备丰富黑客比赛经验的内部安全专家组成，他们同样以攻击者的视角，结合对产品的深度了解，检查产品是否存在可被利用的漏洞。
通过“内部红队+外部研究人员”的双重攻击者视角验证，Synology 能够模拟现实世界中的各类攻击场景，提升产品应对实际安全危机的能力，确保客户能更信任 Synology 产品的安全性和可靠性。
4. 发布阶段：及时判断响应漏洞
红队主动寻找漏洞，与之对应的蓝队则负责防守，持续警惕监控各类安全威胁。因此，SDL的最后一步，是在收到漏洞报告后，快速建立评估流程、明确漏洞影响范围，并及时作出判断和响应。
完整执行整套 SDL 流程后，能为产品带来更高规格的安全性。其中，Synology 最引以为傲的是发布阶段的响应速度：SIRT团队会在 8 小时内对漏洞报告作出判断，一旦识别为关键问题，将在 24 小时内完成漏洞修复。
安全是重中之重
开发应用程序时，通常会用到大量开源软件，例如每个 Synology DSM 版本就包含超过 1600 个开源软件。但如果发现某款软件存在漏洞，要在众多应用程序中筛选出受影响的产品，难度极大。因此，Synology 早在 2020 年就建立了软件物料清单（Software Bill of Materials，SBoM）。
SBoM 详细记录一款应用程序由哪些开源软件组成、各自的版本号等信息，能帮助 SIRT 快速确定哪些 Synology 产品使用了存在漏洞的开源软件。尤其在供应链攻击日益普遍的当下，SBoM 能大幅提升安全事件的处理效率。
对群晖（Synology）而言，数据安全从来不是一句口号，而是贯穿产品研发全流程的核心使命与责任，致力于成为企业与用户可长期信赖、托付核心数据资产的可靠安全屏障。
Synology 群晖是全球知名的数据管理与存储品牌，营销全球一百多个国家，并在欧洲、美洲、亚太设分公司，成立 20 多年来已在全球累计超 1 亿用户，安装量达 1,400 万，保护设备达 2,500 万。超一半财富五百强企业使用群晖存储服务器，遍及制造、传媒、互联网、科研、教育、航空航天等行业。在半导体、汽车、生物医药领域，超过三分之一头部企业选择群晖。产品涵盖企业海量数据存储、全平台备份、AI 协同生产力及虚拟化方案，群晖始终重视企业数据安全可靠以及合规。
获取企业方案
点“阅读原文”
文章评论