安全实践

背景调查

我们期待优秀人才的加入，继续积极塑造我们建立的安全为本文化。在当地法律允许的情况下，我们会对所有新进员工进行背景调查，从而协助推动此过程。根据职位的不同，背景调查可能包括犯罪记录检查、教育背景核查、就业情况核查和信用检查。

安全记分卡

我们致力于确保整个产品套件都以安全为先，以安全为本。为此，我们采用了一个被称为“产品安全记分卡”的问责与监控系统，以衡量 Atlassian 所有产品的安全状况。这是 Atlassian 开发的一个自动化流程，使用一系列以安全为中心的标准（例如当前的漏洞、培训覆盖范围和最近的安全事件），为我们的每款产品提供总体安全评分。

借助此评分流程，每个产品团队都能客观地了解需要关注哪些安全领域，并确定需要填补的现有缺口以及应采取的措施。安全记分卡流程还使 Atlassian 安全团队能够轻松地从安全角度追踪所有产品在不同时间的表现，尤其是在我们产品套件的规模不断扩大的时候。

安全合作伙伴

我们的产品安全团队在运行一项安全合作伙伴计划，为产品团队提供指导，并确保将安全流程整合到开发生命周期中。我们大部分的安全关键产品都通过该计划获得支持，或者是专门的安全合作伙伴，或者是面向其他团队轮转的工程师。安全合作伙伴提供安全咨询支持，还帮助团队监控、解释和快速响应通过记分卡系统确定的发现结果。

定向安全保障

产品安全团队还运行一项安全审查流程，为各个软件项目提供安全保障。使用基于风险的流程来排定重点保障活动的优先顺序，并确定需要采取哪些行动来降低项目风险。根据确定的风险级别，保障活动包括以下各项的组合：

• 威胁建模
• 设计审查
• 代码审查（手动和工具辅助）
• 安全测试
• 独立保障（借助第三方专家研究人员和顾问）

正如我们在本文其他章节所述，我们还设立了一项行业领先的“缺陷赏金计划”，借助值得信赖的众包安全研究人员小组来提供持续的安全保障。

通过威胁建模确保安全设计

在我们产品的规划和设计阶段进行威胁建模，以便在项目面临复杂威胁或涉及安全关键功能开发时更好地了解安全风险。这包括在我们的工程师、安全工程师、架构师和产品经理之间举行桌面/头脑风暴会议，以识别相关威胁并确定其优先顺序。这些信息将馈入设计过程，并确保实施适当的控制措施。它还有助于在开发的后期阶段进行定向审查和测试。

代码分析

我们建立了一个自动化代码分析平台（称为“安全助手”），涵盖 Atlassian 的所有代码存储库。此平台运行各种静态分析工具（并不断增添和改进），以协助确保我们代码的整体安全性。无论何时在存储库中提出拉取请求，该平台都会：

• 查找并确定可能引发漏洞的过时代码依赖项（下文阐述漏洞管理方法时会深入讨论）
• 识别代码存储库中任何意外或无意泄露机密的情况（例如，身份验证令牌或加密密钥）
• 进行分析，以确定任何可能在代码中引发漏洞的可疑编码模式

安全知识库

为确保我们打造出尽可能安全的产品，我们保证开发人员都能获得所需的支持，不断地在应知晓的相关安全问题和威胁方面积累知识。为此，我们在内部维护了一个应用安全知识库，供开发人员随时访问。

安全测试

我们的安全测试方法是围绕“持续保障”概念构建的，它不仅利用了有针对性的时间点渗透测试，而且还有使用众包缺陷赏金计划的持续测试模型。我们相信，这种多管齐下的方法能最大限度增加我们发现漏洞的机会，并为客户提供尽可能安全的产品。有关更多信息，请参阅我们关于外部安全测试方法的专题文章；同时，下方也提供了我们测试措施的摘要：

• Atlassian 安全审查 — 如上所述，我们的产品安全团队运行一项安全审查计划，其中包括以定期活动形式进行安全测试。测试包括代码审查和应用安全测试，并专门针对风险评估中突出的薄弱区域
• 第三方安全测试 — 我们邀请专业安全咨询公司对高风险产品和基础架构（无论是云环境、新产品还是基础体系结构重建）进行白盒、代码辅助和基于威胁的渗透测试
• Atlassian 红色团队 – 我们在内部设立一个红色团队，负责模拟试图识别和利用我们系统、流程和环境中漏洞的对手，确保尽快识别和解决这些漏洞
• 缺陷赏金计划 - 我们还利用 Bugcrowd 的可信安全研究人员社区来运行备受赞誉的缺陷赏金计划，从而持续识别产品中的漏洞，并最终让不良分子发现和利用这些漏洞的代价随着时间推移而不断提高。我们的缺陷赏金计划已多次被评为业界最佳。缺陷赏金计划涵盖了我们 25 种以上的产品或环境，涉及服务器产品、移动应用和云产品等。

以下报告中发现的任何安全漏洞都会在我们的内部 Jira 中进行跟踪，它们通过缺陷赏金计划的引入流程进入我们系统，而且来自缺陷赏金计划的任何发现都将根据我们的安全漏洞服务级别目标 (SLO) 进行分类和跟踪。

• 下载最新的 Atlassian 缺陷赏金报告 (2024-10)
• 下载最新的 Jira Align 缺陷赏金报告 (2024-10)
• 下载最新的 Opsgenie 缺陷赏金报告 (2024-10)
• 下载最新的 Statuspage 缺陷赏金报告 (2024-10)
• 下载最新的 Trello 缺陷赏金报告 (2024-10)
• 下载最新的 Loom 缺陷赏金报告 (2024-10)

漏洞管理

Atlassian 一直致力于降低我们产品、服务和基础架构中漏洞的严重程度和发生频率，同时确保已识别的漏洞尽快得到修复。为此，我们采用了一种多管齐下且不断改进的漏洞管理方法，同时将自动化和手动流程用于识别、跟踪和修复我们产品和基础设施中的漏洞。

我们可通过各种不同的来源识别安全漏洞，例如：自动扫描程序、内部安全审查、客户报告和公开缺陷赏金计划。一旦识别漏洞，就会在我们专门构建的全公司漏洞跟踪 Jira 项目中记录一张工作单，并将其分配给相关系统所有者或工程团队。通过采用集中化方法，我们能够利用 Automation 实现主动通知、自动上报和企业通报，从而确保及时修复漏洞。

有关更多信息，请参阅我们专门就 Atlassian 漏洞管理方法撰写的文章。

基础设施

我们使用一系列漏洞检测工具，在我们的基础设施中定期运行来自动扫描和识别漏洞。具体包括：

• 网络扫描 – 识别我们环境中活跃的服务、开放的端口和运行的应用程序，以及网络级别的所有漏洞
• 持续资产发现 – 在外部网络边界进行持续的资产发现和安全分析。另外还有在内部开发的资产清点和发现机制
• AWS 配置监控 – 根据建立的配置基准来监控我们 AWS 环境的配置

我们不断地审核可用的最新工具，如果认为它们能增强我们的漏洞检测能力，就会将其添加到我们使用的套件中。

产品

在我们的开发流程中，除了前文提到的缺陷赏金计划，我们还使用了一系列工具，尽力在客户和用户访问我们产品之前，更多地识别出产品中的漏洞和缺陷并加以防范。我们借助一个平台将这些工具部署到我们的代码存储库。具体包括如下内容：

• Atlassian 的大部分服务是使用 Docker 容器镜像来部署的。这些镜像提供了一个封装的独立环境，包含相关的系统库、工具、配置设置和任何其他所需的依赖项，可以让我们的产品在运行时无视具体的机器配置参数。我们将完整的容器安全扫描流程集成到 CI/CD 管道中，面向所有部署到我们开发、暂存或生产环境中的容器
• 我们的产品和服务依赖于众多开源库。我们搭配使用各种内部构建、开源和商业工具，来扫描和识别依赖项，并将其与已知安全漏洞数据库进行比对

此外，如果有用户在正常使用产品期间发现漏洞，我们欢迎其告知我们，并就提交的任何漏洞迅速做出响应。在调查和回应问题时，我们也会向提交者通报最新消息。

正如前文所述，我们采用了一个称为“同行审查，绿色构建”(PRGB) 的流程；这意味着，对产品的任何代码更改都会由一名或多名同事进行审查，以识别这项变更可能导致的所有问题。

我们有正式成文的缺陷修复政策来规定解决产品中安全问题的时限，具体取决于缺陷的严重程度。

此处提供了有关我们缺陷修复政策的更多信息。另外，还可以访问我们对外公开的缺陷跟踪器，了解最近修复的缺陷以及我们正在为各种产品解决的缺陷。

事件响应

Atlassian 采取一种全面的方法来处理安全事件。在我们看来，安全事件是对客户数据、Atlassian 数据或 Atlassian 服务的机密性、完整性或可用性造成负面影响的任何情形。

我们有一个界定明确的内部框架，内含针对不同事件类型编写的行动手册。该框架囊括了我们在事件响应的所有阶段上需要采取的步骤，以确保我们的流程保持一致、可以重复并且效率突出。其中包括事件检测与分析、事件分类、遏制、消除和恢复。我们在事件响应流程中使用自己的产品来支持这种一致性，例如 Confluence、Jira 和 Bitbucket 等：

• Confluence 可用于在一个集中位置创建、记录和更新我们的响应流程
• Jira 可用于创建工作单，以全程跟踪（潜在和实际的）安全事件的响应流程进度
• Bitbucket 可用于开发基于代码的解决方案，以响应某些事件引起的特定极端问题

对我们的产品和基础架构进行全面、集中的日志记录与监控，以确保在协调高效响应方面经验丰富的高素质待命事件经理的支持下，能快速检测潜在的事件。我们还与一批外部专家建立关系，协助我们尽可能高效地开展调查并做出响应。

如果已确认的事件涉及客户的数据，我们会根据流程告知相关客户。我们也有可靠的事后审查流程，帮助我们从事件中汲取经验教训，以改进我们的实践方法，并让恶意行为者以后更难得逞。有关更多信息，请参阅我们 Atlassian Trust Center 中关于安全事件管理方法的专题文章。

安全检测计划

由于威胁格局日益复杂，我们需要进一步深化事件管理方法，因此 Atlassian 推出了我们口中的“安全检测计划”。这种检测是根据计划定期主动搜索 Atlassian 的安全事件和事件管理平台，从而侦测以 Atlassian 及其客户为目标的恶意活动。

Our detection and response team focuses on the regular creation of new detections, tuning and improving existing detections, and automating detection responses. They do this across a number of dimensions, including products, attack types and log sources so as to ensure the coverage of our detections is as effective and comprehensive as possible.

The aim of the program is to ensure we not only ensure we are prepared for the threats we face today, but sufficiently anticipate and prepare for the threat landscape of the future. Our detection and response team has also created a tool to standardize the detections we create to ensure a high level of consistency and quality amongst the detections we execute – something we believe is a first in the industry.

有关我们的安全检测计划的更多信息，请访问此页面。

Red Team 计划

Atlassian Red Team 的使命是不断提高 Atlassian 抵御复杂攻击的能力。他们从敌对的角度出发，发现我们在技术、物理和社会方面的漏洞，从而挑战我们团队在真实条件下的反应能力。此方法可让我们为 Atlassian 开发并推动有效的安全改进措施。我们的方法可帮助 Atlassian 评估威胁、保护我们的资产并对真实攻击做出适当响应。

Atlassian 的 Red Team 专注于全方位对抗性仿真。我们会模拟最有可能针对公司的攻击者，并尽力渗透和破坏关键系统。之后，我们会通知所有相关人员，并共同实施长期且可持续的解决方案来解决所发现的安全漏洞。

• Measure and improve the effectiveness of the Detection and Response program
• 在 Atlassian 安全态势和能力方面产生重大的积极变化
• 加深对我们自身的弱点以及应对现实世界攻击的能力的了解

供应商风险管理

在 Atlassian 与任何第三方供应商（包括承包商和云服务提供商）合作时，我们致力于确保这些合作不会以任何方式危害我们的客户或其数据。为此，法务和采购团队会对任何拟议的第三方供应商合约进行审核。对于认定为有较高或重大风险的任意合作项目，我们的安全、风险和合规团队都将进一步进行审查。此后，我们还会进行持续的尽职调查，具体根据合作的风险等级在合约续签之时或每年进行审查。

此外，Atlassian 要求供应商在与我们合作过程中遵守最低安全要求。相关要求会通过纳入到我们的供应商合约来实施。具体要求取决于合作的风险等级，包括：

• 与 Atlassian 的单一登录平台进行 SMAL 集成
• 使用未淘汰的算法对传输中和静止时的数据进行加密
• 建立充分的日志记录机制，为 Atlassian 提供与潜在安全事件相关的信息

Atlassian Marketplace

Atlassian Marketplace 是一个可供产品用户购买各种应用的平台，这些应用或是能为 Atlassian 产品添加功能，或是能使我们的产品与第三方工具连接。尽管 Marketplace 上的大多数应用是由第三方开发人员发布，但 Atlassian 采取了诸多措施来确保安全性依然是 Marketplace 生态系统的核心组成部分。其中包括：

Marketplace 缺陷赏金计划 — Atlassian 设立了一流的 Marketplace 缺陷赏金计划，旨在提高所有 Marketplace 应用的安全性和信任度。参与的 Marketplace 合作伙伴通过激励安全研究人员找出漏洞，从而主动对抗安全风险，防患于未然。应用必须参与此计划才能获得 Cloud Fortified 或 Cloud Security Participant 徽章。了解更多

Ecoscanner - Atlassian 的 Ecoscanner 平台会持续对所有 Marketplace Cloud 应用执行安全检查。借助 Ecoscanner，Atlassian 会持续监控所有 Marketplace Cloud 应用是否存在常见安全漏洞，从而确保我们生态系统的安全性。了解更多

漏洞披露计划 - 漏洞披露计划为客户或安全研究人员提供了另一个向 Atlassian 和 Marketplace 合作伙伴报告 Cloud 应用漏洞的渠道。Atlassian 负责运行此计划并定义相关参数，以便 所有 Cloud 应用都能降低安全风险。了解更多

Cloud 应用安全要求 - Atlassian 定义了一系列最低安全要求，且所有 Marketplace 应用均须遵守。这些强制性要求旨在确保所有应用都执行安全最佳实践。了解更多

安全缺陷修复政策 - 为了确保 Atlassian 生态系统中所有应用的安全性，所有 Marketplace 合作伙伴均须遵守适用于 Atlassian Marketplace 上列出的所有应用的安全缺陷修复 SLA。如果检测到漏洞，合作伙伴需及时修复漏洞。了解更多

Privacy and Security tab - To elevate the trust posture of Marketplace and increase visibility on security indicators, the Privacy and Security tab was introduced in the Marketplace listing UI for cloud apps. The Privacy and Security tab provides detailed information on the privacy, security, data handling, and compliance practices followed by the cloud apps. As the Security Self Assessment program(SSA) got deprecated on August 22, 2023, the Privacy and Security tab has replaced SSA as a Cloud Fortified requirement. Learn more

Atlassian Marketplace Trust Center提供了有关 Marketplace 中安全性方法的更多信息。

政策与风险管理计划

Atlassian 以 ISO 27001 信息安全管理系统标准为基础，制定了信任管理计划 (TMP)。该计划纳入了客户的安全需求，形成了 Atlassian 独有的一系列安全要求，同时兼顾了各种国际安全标准中列出的控制措施。

接着，我们会思考这些控制措施是否适合我们特定的环境和公司，并寻找最适合的方式来实施这些控制措施。我们的 TMP 有多个支柱：

• 我们的政策管理计划 (PMP) – PMP 构成了我们 TMP 的基石。它由一系列安全策略构成，涵盖 ISO 27001 标准和云安全联盟的云控制矩阵 (CCM) 中所列各项领域。我们将创建的安全策略提供给内部的所有团队，确保他们了解在安全方面应达到的标准。这些政策每年都会更新，尤其是当我们发现需对安全性方法进行修改的新威胁和风险时。您可在此处查看我们技术策略的摘录。
• 我们的风险管理计划 (RMP) – 我们对环境和产品进行持续的风险评估以衡量当前面临的风险，并确保现有控制措施能有效管控这些风险。风险评估的执行方式视评估的环境/产品而异。例如，对于我们的产品，通常是技术风险评估或代码审查。不过，我们也会考虑并设法揭示更高级别的业务风险。我们通过开展年度风险评估来支持我们的企业风险管理计划，且至少每个季度都会实施各种项目来缓解已发现的风险。如需有关我们企业风险管理方法的更多信息，请访问 Atlassian Trust Center。

我们的 TMP 包括每周合规性状况审查和其他会议，并在内部做相应记录，以确保其继续有效执行。