我们有一组 Linux 服务器，开发人员用它来编译我们销售的产品的软件。目前，我们的网络安全人员认为服务器需要修补，而开发人员则表示修补会更改构建服务器生成的最终二进制文件，我们陷入了僵局。
我在网上找不到有关修补构建服务器的任何信息，想知道这里是否有其他人遇到同样的情况，以及您是如何解决的？
答案1
这是一个棘手的问题，而且实际上没有好的回答。
从高层次的角度来看，正确的答案是“将该系统与外部来源隔离，并在您的安全计划中注明，除了特定的、防火墙严密的子网外，其他任何网络都无法访问此服务器。”这可能会使开发人员的生活更加困难，但最终应该能让开发人员和他们都感到满意。
从“试图双向取胜”的角度来看，您可以根据您的安全团队的方法/愿望以及开发软件的设置方式，创建一种“构建目录树”，其中包含供开发人员使用的静态构建库，这些库与操作系统使用的库是分开构建的。
IE 不会让开发人员使用 /usr/lib/* 作为其构建库的源，而是创建一个 /build/lib”目录并为所有这些项目重新编译静态源......
但归根结底，真正的答案是。如果开发人员需要一个静态的未打补丁的系统来构建他们的软件，那么高层需要签署一份文件，表示“是的，我们只能冒险一试”