開發團隊不斷面臨挑戰，以確保其物聯網產品的機密性、完整性和可用性。眾所周知的漏洞不斷暴露在連接的產品中。開發人員通常缺乏識別和關閉新漏洞所需的專業知識和時間。需要能夠幫助開發人員和安全工程師實現其安全物聯網產品目標的工具。

在軟件開發的早期，人工分析代碼的質量缺陷和漏洞。這種類型的代碼檢查仍在敏捷同行評審過程中使用，并可能用于應用程序中的高價值代碼，但無法擴展以滿足現代技術的需求。例如，麥肯錫公司的一份報告指出，現代汽車中有超過 1.5 億條軟件代碼行 (SLoC)。試圖手動審查此代碼并仍然按時將產品推向市場是不可能的。

確定安全要求

為了定義自動化安全測試，團隊必須首先了解產品威脅。威脅模型應該是任何團隊開展的第一項活動。威脅模型通常是很少閱讀的靜態文檔，但是，如今有一些工具可以將威脅模型數據與用戶故事聯系起來，并支持創建可在整個開發過程中運行的自動化測試。

一個有用的例子是WE45的機器人腳本庫。質量保證團隊使用機器人框架來創建行為驅動開發 (BDD) 測試。WE45 開發了腳本，允許工程師在威脅模型中定義附加到用戶故事的誤用案例，然后將這些誤用案例直接鏈接到自動化測試。這是基于附加工具的使用，例如 YAML 腳本、OWASP ZAP 和其他 SAST/DAST 工具。

無論是使用這樣的框架還是從頭開始，團隊都必須能夠建立安全需求積壓。安全要求可以來自許多來源。產品團隊根據監管要求、最佳實踐指南、安全技術實施指南 (STIG) 以及威脅模型來定制需求。這些需求被捕獲為產品積壓中的功能用戶故事或驗收測試。

這有效地創建了一個安全需求可追溯性矩陣 (SRTM)，可用于支持自動化安全測試的創建和執行。安全用戶故事可以標記為待辦事項中的安全故事。此外，這些故事應包括允許鏈接回安全需求源的元數據（例如 IA 控制編號或 STIG 標識符），還應包括與源自需求的自動化測試相關的元數據（例如，自動化測試） ID）。這允許自動化框架或其他工具對原始需求具有完全的可追溯性。

當需要測試物聯網啟用的新型功能時，基礎設施或對等應用程序模擬器也可以證明是有用的。一個例子——之前開發的一個仿真器用于測試支持車對車 (V2V) 通信的復雜汽車加密證書管理系統。測試團隊在項目開始時定義了錯誤用例，并設計了一個模擬器來自動運行這些錯誤用例。這通過在應用層識別系統的功能安全要求，然后將負面測試用例構建到模擬器中來測試整個功能線程。例如，

將安全性集成到產品設計中

一旦記錄了安全要求，產品設計階段就可以從基于模型的安全測試 (MBST) 等方法中受益。MBST 可用于驗證產品設計中是否滿足安全要求。MBST 基于需求的正式建模。今天的產品團隊采用敏捷開發方法，這意味著設計過程在一系列開發沖刺中迭代。這使設計人員能夠根據在沖刺期間開發的代碼上執行的安全工具的反饋，不斷地重新評估其設計的網絡安全態勢。

例如，對物聯網產品的掃描可能會發現對敏感配置文件的讀取訪問權限未在設備內得到適當限制。結果通知開發人員需要在文件系統中實施更多限制性特權。可以設置工具以自動在 JIRA 中打開問題，以根據適用的行業最佳實踐建議重新審視產品訪問控制模型的設計，例如“實施基于角色的訪問控制”和“需要提升的訪問權限”敏感數據”，允許設計團隊更新安全架構。

在每個沖刺期間執行這些掃描的安全工具可以配置為自動運行。開源自動化框架（如Guantlt）直接為 git 提供插件，以支持預提交檢查，自動提醒開發人員在其桌面上已引入基本錯誤。這允許開發人員在提交之前糾正錯誤。

可以設置持續集成工具，例如 Jenkins、Bamboo、Travis、Buildbot、Thoughtworks 等，以集成在每個構建上自動運行的安全測試工具。例如，Jenkins 結合了警告下一代插件，該插件收集和可視化各種安全分析工具收集的問題。這包括代碼分析和運行時應用程序安全工具。還有一些工具（例如 CodeBurner）可以有效地管理多個靜態分析測試工具的執行和報告。

可以自動化不同的安全工具來識別已知漏洞。例如，靜態代碼分析可以識別和報告代碼中的已知簽名。這些對于識別配置問題、硬編碼憑據、第三方庫中的漏洞以及映射到CVE的漏洞等問題非常有用。

物聯網設備固件分析的二進制分析也可用于有效識別已知漏洞，目前有可用的工具，例如 VDOO 的Vision，可以分析基于 Linux、Android 和 Widows 平臺的物聯網產品。通常用于識別代碼質量問題的工具也可以在 CI 中自動運行，并且可以支持快速識別基本問題。其中包括 findbugs、sonarqube 和復制/粘貼檢測器 (CPD) 等工具作為示例。

更深入的測試可以被納入 CI 以開始識別潛在的零日漏洞。這些漏洞尚不為人所知，但可能由專門的安全研究人員或不良行為者發現。基于符號執行的工具可以有效地發現未知漏洞，但即使是小型二進制文件也可能需要數小時才能運行。符號測試分析程序以確定導致程序執行的輸入。一些工具，如 VDOO 的 Vision 可以集成到 CI 環境中，為開發人員提供快速固件分析和更深入的分析能力，旨在識別未知和已知漏洞。

了解基礎知識

雖然安全自動化是一個強大的工具，但它并不是物聯網產品安全開發的靈丹妙藥。開發團隊仍然需要一些最低水平的網絡安全知識和專業知識來識別獨特的產品威脅和解釋測試工具輸出，以及確保物聯網硬件和軟件組件的集成。所有開發人員都有責任至少對與其產品相關的安全問題有基本的了解，并且每個產品團隊都應該擁有了解如何運行和解釋自動化安全工具輸出的安全工程支持。
?