วงจรชีวิตซอฟต์แวร์และการสนับสนุน
หน้านี้ระบุนโยบายการตอบสนองด้านความปลอดภัยและนโยบายวงจรชีวิตของ Opsta AI Gateway ได้แก่ ข้อตกลงระดับบริการในการออกแพตช์ ระยะเวลาสนับสนุนซอฟต์แวร์แต่ละรุ่น และข้อกำหนดการสิ้นสุดอายุการสนับสนุน ซึ่งมีความสำคัญอย่างยิ่งสำหรับการอนุมัติความปลอดภัยและการประเมินของทีมจัดซื้อก่อนเปิดใช้ระบบจริง
เอกสารนี้เหมาะสำหรับใคร
ทีมดูแลความมั่นคงปลอดภัยสำหรับเรื่องข้อตกลงการอัปเดตแพตช์ ทีมจัดซื้อและธรรมาภิบาลไอทีสำหรับเรื่องเวอร์ชันซอฟต์แวร์ที่รองรับ และทีมปฏิบัติการสำหรับข้อมูลช่วงเวลาที่ควรเลือกลงการอัปเดตหรือช่วงเวลาที่หมดอายุการใช้งาน
การตอบสนองด้านความปลอดภัย
การแจ้งรายงานช่องโหว่ความปลอดภัย
ทาง Opsta จะมีมาตรการติดตามเฝ้าระวังข้อมูลช่องโหว่ความปลอดภัย (CVEs) และความมั่นคงปลอดภัยระบบของทุกส่วนประกอบในตารางเวอร์ชันผลิตภัณฑ์ ได้แก่ Higress, CloudNativePG, Redis, Keycloak, Grafana, LGTM, อิมเมจระบบของ control plane และ Console รวมถึงซอฟต์แวร์ภายนอกในฝั่ง Go และ Node.js ทั้งหมด
วิธีการส่งรายงานช่องโหว่ความปลอดภัยใน Opsta AI Gateway ให้ทำการส่งอีเมลแจ้งเรื่องไปยัง security@opsta.co.th พร้อมอธิบายรายละเอียดของช่องโหว่ที่พบ รุ่นที่ได้รับผลกระทบ และขั้นตอนการทดสอบซ้ำ ทางทีมงานจะติดต่อกลับเพื่อตอบรับรายงานของคุณภายใน 2 วันทำการ และแจ้งกำหนดการแก้ไขประเมินแผนงานภายใน 5 วันทำการ
ข้อตกลงระดับบริการสำหรับการออกแพตช์ระบบ (Patch SLA)
| ระดับความรุนแรง | ระยะเวลาตอบกลับ | กำหนดเวลาแก้ไขปัญหา |
|---|---|---|
| Critical (CVSS ตั้งแต่ 9.0 ขึ้นไป) | ตอบกลับภายใน 24 ชั่วโมง | ออกแพตช์แก้ไขรุ่นใหม่ภายใน 7 วันปฏิทิน |
| High (CVSS ระหว่าง 7.0 ถึง 8.9) | ตอบกลับภายใน 2 วันทำการ | ออกแพตช์แก้ไขรุ่นใหม่ภายใน 30 วันปฏิทิน |
| Medium (CVSS ระหว่าง 4.0 ถึง 6.9) | ดำเนินการและบันทึกในรอบการอัปเดตรุ่นย่อยถัดไป | รอบการอัปเดตรุ่นย่อยถัดไปตามกำหนดเวลา |
| Low (CVSS ต่ำกว่า 4.0) | ดำเนินการและรวบรวมในแผนสำรองการทำงาน | แก้ไขปัญหาตามความสามารถอย่างเต็มกำลัง |
การออกรุ่นแพตช์หมายความถึงการออกรุ่นเวอร์ชันผลิตภัณฑ์ใหม่ที่มีการอัปเดตและผ่านการทดสอบร่วมกับส่วนประกอบอื่นๆ ในตารางการทำงานทั้งหมดเรียบร้อยแล้ว โดยจะเผยแพร่ไปที่ oci://ghcr.io/opsta/opsta-ai-gateway/charts และแจ้งรายการอัปเดตไว้ในหน้า บันทึกการออกรุ่น (Release notes)
การควบคุมความปลอดภัยในกระบวนการ CI
ทุกรายการช่องโหว่ความปลอดภัยระดับ HIGH และ CRITICAL ที่สแกนพบในอิมเมจคอนเทนเนอร์ (Trivy SCA) และไฟล์โค้ด Go (gosec) จะส่งผลให้ระบบบล็อกขั้นตอน CI ทันที และจะไม่มีซอฟต์แวร์รุ่นใหม่ออกมาหากยังคงมีช่องโหว่ในระดับดังกล่าวอยู่ โดยช่องโหว่ต้องได้รับการแก้ไขและจะไม่อนุญาตให้ใช้การกดข้ามเว้นแต่จะมีคำชี้แจงความเสี่ยงเขียนกำกับไว้ในซอร์สโค้ดหรือไฟล์ .trivyignore อย่างชัดเจน
ช่องทางการติดตามประกาศข่าวสาร
- ติดตาม ข้อมูลการออกรุ่นใหม่ผ่านทาง GitHub ของโปรเจกต์
opsta/opsta-ai-gateway - ตรวจสอบข้อมูลหน้า บันทึกการออกรุ่น (Release notes) โดยทุกเวอร์ชันใหม่จะระบุรายการแพตช์ความปลอดภัยที่แก้ไขไว้เสมอ
- ลงทะเบียนรับข่าวสารผ่านอีเมลกลุ่มที่
security-announce@opsta.co.thเพื่อรับข่าวสารความปลอดภัยและประกาศสำคัญอื่นๆ
ระยะเวลาการสนับสนุนซอฟต์แวร์แต่ละเวอร์ชัน
| เวอร์ชันซอฟต์แวร์ | ระยะเวลาการสนับสนุน | หมายเหตุเพิ่มเติม |
|---|---|---|
| รุ่นย่อยปัจจุบัน (x.Y.z) | สนับสนุนเต็มรูปแบบพร้อมทำ backport แพตช์ | รุ่นย่อยล่าสุดในปัจจุบันจะได้รับการแก้ไขและอัปเดตแพตช์ความปลอดภัยทั้งหมด |
| รุ่นย่อยก่อนหน้า (x.Y-1.z) | สนับสนุนเฉพาะแพตช์ความปลอดภัยที่สำคัญ 90 วันหลังจากออกรุ่นย่อยใหม่ | จะทำ backport เฉพาะรายการแก้ไขที่รุนแรงระดับ Critical และ High เท่านั้น |
| รุ่นที่เก่ากว่า | ไม่ได้รับการสนับสนุน | โปรดดำเนินการอัปเกรดระบบไปยังเวอร์ชันย่อยล่าสุดในปัจจุบัน |
บริษัท Opsta ดำเนินการออกรุ่นตามหลักมาตรฐาน Semantic Versioning ดังนี้
- รุ่นแพตช์ (z) สำหรับแก้ไขจุดบกพร่องทั่วไปและแพตช์ความปลอดภัย ซึ่งปลอดภัยต่อการติดตั้งใช้งานเสมอ
- รุ่นย่อย (Y) สำหรับเพิ่มฟังก์ชันความสามารถใหม่ที่ทำงานเข้ากันได้กับรุ่นเดิม ปลอดภัยสำหรับการติดตั้งใช้งานทั่วไปโดยแนะนำให้อ่านรายละเอียดการเปลี่ยนแปลงล่วงหน้า
- รุ่นใหญ่ (X) อาจมีรายการเปลี่ยนแปลงสำคัญที่อาจส่งผลกระทบต่อระบบเดิม ให้ปฏิบัติตามคู่มือแนวทางการอัปเกรดอย่างละเอียด
เวอร์ชันปัจจุบันที่ได้รับการสนับสนุน สามารถตรวจสอบข้อมูลรุ่นย่อยล่าสุดและรุ่นย่อยก่อนหน้าได้ที่หน้า บันทึกการออกรุ่น (Release notes)
นโยบายการสิ้นสุดอายุการสนับสนุนของส่วนประกอบระบบ
ภายในไฟล์ version.yaml จะล็อกตารางการทำงานของส่วนประกอบซอฟต์แวร์ต้นทางทั้งหมดที่ผ่านการทดสอบความเข้ากันได้แล้ว หากส่วนประกอบภายนอกนั้นสิ้นสุดระยะเวลาดูแล (เช่น รุ่นย่อยของ Kubernetes หมดระยะเวลาสนับสนุน หรือรุ่น Keycloak สิ้นสุดระยะเวลาอัปเดตจากชุมชนนักพัฒนา) ทาง Opsta จะดำเนินการดังนี้
- แจ้งเตือนข้อมูลล่วงหน้าในบันทึกการออกรุ่นอย่างน้อย 60 วัน ก่อนถึงวันหมดอายุการสนับสนุนของส่วนประกอบนั้น
- ออกซอฟต์แวร์รุ่นใหม่เพื่ออัปเกรดส่วนประกอบภายนอกดังกล่าวไปยังเวอร์ชันใหม่ที่ได้รับการสนับสนุน ภายใน 30 วัน นับจากวันที่ต้นทางหมดอายุการดูแล หรืออาจเร็วกว่านั้นหากพบรายงานช่องโหว่ความปลอดภัยที่รุนแรงบังคับ
- เปลี่ยนสถานะซอฟต์แวร์ผลิตภัณฑ์รุ่นเก่าที่มีส่วนประกอบภายนอกที่สิ้นสุดการสนับสนุนดังกล่าวเป็นสถานะ ไม่ได้รับการสนับสนุน ในวันที่ซอฟต์แวร์ต้นทางสิ้นสุดการดูแล
การสนับสนุนเวอร์ชัน Kubernetes แพลตฟอร์มนี้รองรับรุ่นย่อยของ Kubernetes ล่าสุด 3 เวอร์ชันในตารางระบบทดสอบ เมื่อรุ่นย่อยของ Kubernetes สิ้นสุดระยะเวลาสนับสนุนจากทางฝั่งต้นทางแล้ว เวอร์ชันย่อยดังกล่าวจะถูกนำออกจากการตารางระบบทดสอบในการอัปเดตรุ่นย่อยรอบถัดไปของผลิตภัณฑ์
แนวปฏิบัติและระยะเวลาสำหรับการอัปเกรดระบบ
- รุ่นแพตช์ (z) แนะนำให้ทำการติดตั้งทันทีเมื่อมีการอัปเดต เนื่องจากปลอดภัย ทำงานร่วมกับของเดิมได้ และอาจมีรายการแก้ไขช่องโหว่ที่สำคัญตามข้อตกลงการออกแพตช์ข้างต้น
- รุ่นย่อย (Y) แนะนำให้วางแผนติดตั้งภายใน 90 วัน หลังจากออกรุ่นเพื่อให้ระบบของคุณอยู่ในระยะเวลาได้รับการสนับสนุนช่วยเหลืออยู่เสมอ
- กระบวนการอัปเกรดฐานข้อมูลเป็นแบบปรับเปลี่ยนไปข้างหน้าเท่านั้น ผู้ดูแลระบบต้องทำการสำรองข้อมูลฐานข้อมูลล่วงหน้าเสมอก่อนเริ่มทำการอัปเกรดทุกครั้ง โดยศึกษาขั้นตอนได้ที่หน้า การอัปเกรดระบบ (Upgrades) และหมายเหตุการอัปเกรดฐานข้อมูลแบบทางเดียว (รหัส G7) ใน ตารางความรับผิดชอบร่วมกัน
มาตรการควบคุมเพื่อป้องกันชั่วคราวกรณีระบบใช้เวอร์ชันเก่า
ในกรณีที่คุณมีข้อจำกัดและไม่สามารถดำเนินการอัปเกรดระบบตามกำหนดเวลาแก้ไขปัญหาได้
- กำหนดกฎ NetworkPolicy ของ Kubernetes หรือใช้กฎของระบบ WAF ที่รองรับเพื่อช่วยระงับช่องทางการเจาะระบบชั่วคราว
- ติดตามข่าวสารการเผยแพร่โค้ดเจาะระบบและการเฝ้าระวังภัยคุกคามภายนอกสำหรับช่องโหว่ CVE ดังกล่าว
- ติดต่อแจ้งทีมความปลอดภัยที่อีเมล
security@opsta.co.thเพื่อขอคำแนะนำการตั้งค่าความปลอดภัยเสริมเพื่อชดเชยที่เหมาะสมกับสภาพแวดล้อมระบบของคุณ