Ulasan keamanan

Tujuan tinjauan keamanan di komunitas OpenStack adalah untuk mengidentifikasi kelemahan dalam perancangan atau pelaksanaan proyek OpenStack. Meskipun jarang terjadi, kelemahan ini berpotensi menimbulkan dampak bencana terhadap keamanan penempatan OpenStack, dan oleh karena itu, pekerjaan harus dilakukan untuk meminimalkan kemungkinan cacat pada proyek yang diluncurkan. OpenStack Security Project menegaskan bahwa setelah tinjauan keamanan atas sebuah proyek selesai, berikut ini diketahui dan didokumentasikan:

  • Semua titik masuk (entry point) masuk ke sistem

  • Aset apa yang berisiko

  • Dimana data terus berlanjut

  • Bagaimana data bergerak antar komponen sistem

  • Format dan transformasi data

  • Ketergantungan eksternal proyek

  • Kumpulan temuan dan/atau cacat yang disepakati

  • Bagaimana proyek berinteraksi dengan dependensi eksternal

Alasan umum untuk melakukan tinjauan keamanan pada proyek OpenStack adalah untuk memungkinkan proyek tersebut mencapai tag pengelolaan vulnerability:managed . OpenStack Vulnerability Management Team (VMT) menerapkan vulnerability:managed tag untuk proyek di mana laporan penerimaan dan pengungkapan kerentanan dikelola oleh VMT. Salah satu persyaratan untuk mendapatkan tag adalah beberapa bentuk tinjauan keamanan, audit atau analisis ancaman telah dilakukan pada proyek.

The OpenStack Security Project (OSSP) has worked with the VMT to agree that an architectural review of the best practice deployment for a project is an appropriate form of security review, balancing the need for review with the resource requirements for a project of the scale of OpenStack. Security architecture review is also often referred to as threat analysis, security analysis or threat modeling. In the context of OpenStack security review, these terms are synonymous for an architectural security review which may identify defects in the design of a project or reference architecture, and may lead to further investigative work to verify parts of the implementation.

Ada dua rute yang dibutuhkan proyek OpenStack untuk menyelesaikan tinjauan keamanan:

  1. Review oleh OpenStack Security Project

  2. Review oleh badan review pihak ketiga, dengan pengesahan dari OpenStack Security Project

Review keamanan oleh OSSP diharapkan menjadi rute normal untuk proyek baru dan untuk kasus dimana pihak ketiga belum melakukan review keamanan atau tidak dapat membagikan hasilnya. Informasi untuk proyek yang memerlukan review keamanan oleh OSSP akan tersedia dalam proses review keamanan yang akan datang.

Dalam kasus di mana review keamanan telah dilakukan oleh pihak ketiga, atau bila sebuah proyek lebih suka menggunakan pihak ketiga untuk melakukan review mereka, informasi tentang bagaimana mengambil hasil dari review pihak ketiga tersebut dan menyerahkannya kepada OSSP untuk validasi akan tersedia dalam proses pemeriksaan keamanan pihak ketiga yang akan datang.

Bagaimanapun, persyaratan untuk artefak dokumentasi serupa - proyek harus menyediakan diagram arsitektur untuk penerapan praktik terbaik. Pemindaian kerentanan dan analisis analisis statis bukanlah bukti yang cukup untuk tinjauan pihak ketiga, walaupun mereka sangat disarankan sebagai bagian dari siklus pengembangan untuk semua tim.