搜索

[29490] 2017-10-13_S-SDLC在软件开发全生命周期的过程中实施软件安全

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2017-10-13_S-SDLC在软件开发全生命周期的过程中实施软件安全 S - S D L C   |   在 软 件 开 发 全 生 命 周 期 的 过 程 中 实 施 软 件 安 全 S e c Z o n e   O W A S P   2 0 1 7 - 1 0 - 1 3 对 于 大 部 分 软 件 研 发 机 构 而 言 ， 往 往 是 在 软 件 开 发 全 生 命 周 期 的 测 试 阶 段 开 展 软 件 安 全 工 作 。 而 过 晚 引 入 软 件 安 全 开 发 实 践 ， 则 可 能 导 致 在 产 品 生 命 周 期 后 期 难 以 识 别 出 安 全 漏 洞 。 与 其 后 期 投 入 更 多 的 时 间 和 精 力 来 解 决 问 题 ， 还 不 如 尽 早 地 发 现 安 全 问 题 并 修 复 漏 洞 。 那 还 不 如 尽 早 地 发 现 安 全 问 题 并 修 复 漏 洞 。 那 么 ， 软 件 研 发 机 构 应 该 从 何 入 手 呢 ？ 么 ， 软 件 研 发 机 构 应 该 从 何 入 手 呢 ？ 1 在 需 求 阶 段 需 求 阶 段 “ 灌 输 ” 软 件 安 全 计 划 阶 段 是 软 件 开 发 全 生 命 周 期 的 关 键 基 础 阶 段 。 在 此 阶 段 ， 系 统 分 析 人 员 首 先 需 要 收 集 客 户 和 用 户 的 产 品 需 求 。 分 析 人 员 通 过 采 访 客 户 ， 以 了 解 他 们 如 何 使 用 系 统 。 另 外 ， 通 过 创 建 完 整 的 产 品 需 求 ， 以 帮 助 改 善 产 品 计 划 和 消 除 产 品 更 新 。 然 后 ， 系 统 分 析 人 员 与 安 全 专 家 合 作 ， 收 集 安 全 性 需 求 并 维 护 系 统 的 机 密 性 和 数 据 完 整 性 。 2 在 设 计 阶 段 设 计 阶 段 “ 灌 输 ” 软 件 安 全 系 统 架 构 师 通 过 使 用 需 求 文 档 来 设 计 系 统 架 构 。 一 方 面 ， 设 计 阐 述 了 产 品 的 不 同 组 件 以 及 内 外 部 沟 通 ； 另 一 方 面 ， 它 也 解 释 了 不 同 系 统 组 件 之 间 的 数 据 流 。 在 设 计 过 程 中 ， 系 统 架 构 师 必 须 要 考 虑 安 全 架 构 的 属 性 以 安 全 设 计 。 系 统 架 构 是 一 个 综 合 模 型 ， 它 表 明 漏 洞 可 以 被 引 入 到 软 件 中 。 与 实 施 b u g 相 比 ， 修 复 架 构 漏 洞 问 题 通 常 需 要 更 高 的 解 决 成 本 。 因 此 ， 在 软 件 产 品 进 入 实 施 阶 段 之 前 ， 消 除 漏 洞 至 关 重 要 。 3 在 实 施 阶 段 实 施 阶 段 “ 灌 输 ” 软 件 安 全 开 发 团 队 利 用 他 们 的 编 程 知 识 ， 将 设 计 实 施 更 改 为 代 码 模 块 。 开 发 人 员 应 该 注 意 安 全 编 码 准 则 ， 以 确 保 在 开 发 过 程 中 考 虑 安 全 和 质 量 因 素 。 当 架 构 设 计 引 入 大 约 5 0 ％ 的 系 统 安 全 漏 洞 时 ， 实 施 阶 段 则 将 引 入 其 余 5 0 ％ 的 漏 洞 进 入 系 统 。 这 个 事 实 强 调 了 安 全 测 试 在 这 一 个 阶 段 的 重 要 性 。 还 有 就 是 ， 始 终 采 用 手 动 分 析 结 果 和 遵 循 工 具 驱 动 测 试 ， 以 确 保 漏 洞 发 现 结 果 （ 实 际 上 是 误 报 情 况 ） 。 静 态 应 用 程 序 安 全 测 试 （ S A S T ） 是 一 个 适 用 于 执 行 阶 段 的 测 试 过 程 ， 因 为 它 强 调 应 用 程 序 代 码 的 重 要 性 。 采 用 S A S T 测 试 分 析 源 代 码 ， 以 确 定 是 否 存 在 安 全 漏 洞 。 除 了 使 用 S A S T 之 外 ， 组 织 还 必 须 培 训 开 发 人 员 ， 以 确 保 他 们 能 够 了 解 当 前 的 安 全 趋 势 和 发 现 可 能 导 致 错 误 的 常 见 编 码 漏 洞 。 统 一 培 训 有 助 于 提 高 整 个 组 织 的 编 码 标 准 ， 同 时 减 少 企 业 代 码 中 的 漏 洞 数 量 。 4 在 验 证 阶 段 验 证 阶 段 “ 灌 输 ” 软 件 安 全 将 应 用 程 序 部 署 在 测 试 环 境 中 ， 由 软 件 安 全 测 试 人 员 从 业 务 和 终 端 用 户 角 度 ， 来 检 查 应 用 程 序 的 质 量 和 安 全 措 施 。 采 用 渗 透 测 试 和 动 态 应 用 安 全 测 试 （ D A S T ） ， 确 保 软 件 能 够 承 受 各 种 安 全 事 件 的 攻 击 。 D A S T 测 试 工 具 采 用 注 入 技 术 ， 将 恶 意 数 据 提 供 给 目 标 系 统 ， 以 识 别 诸 如 跨 站 脚 本 （ X S S ） 和 S Q L 注 入 等 漏 洞 。 这 些 工 具 还 有 助 于 识 别 基 础 架 构 问 题 ， 例 如 使 用 易 受 攻 击 的 服 务 器 版 本 、 隐 藏 的 目 录 检 测 等 。 5 在 发 布 过 程 发 布 过 程 “ 灌 输 ” 软 件 安 全 当 产 品 进 入 发 布 阶 段 时 ， 还 需 要 考 虑 一 个 维 护 流 程 ， 以 更 新 正 在 使 用 的 基 础 架 构 或 第 三 方 库 。 在 产 品 发 布 和 响 应 阶 段 ， 该 产 品 还 可 能 会 接 受 具 有 附 加 功 能 的 新 版 本 。 一 旦 产 品 生 效 ， 定 期 进 行 渗 透 测 试 也 不 失 为 一 个 好 方 法 ， 这 样 能 够 确 保 产 品 安 全 。 毕 竟 ， 产 品 部 署 过 程 中 ， 经 常 会 出 现 新 的 威 胁 和 攻 击 向 量 。 6 在 运 营 过 程 运 营 过 程 “ 灌 输 ” 软 件 安 全 在 软 件 运 营 过 程 中 ， 融 合 运 行 时 应 用 程 序 自 我 保 护 （ R A S P ） 技 术 。 R A S P 是 指 在 软 件 生 产 环 境 中 运 行 的 一 种 基 础 技 术 ， 它 不 依 赖 于 人 为 的 交 互 式 自 我 防 御 。 一 旦 发 现 实 时 攻 击 行 为 ， R A S P 就 会 向 组 织 安 全 组 发 送 警 报 信 息 。 上 述 是 关 于 软 件 开 发 全 生 命 周 期 项 目 所 要 执 行 的 一 些 基 本 任 务 。 从 事 软 件 开 发 工 作 时 ， 安 全 开 发 人 员 必 须 牢 记 安 全 意 识 并 执 行 项 目
总 结 ， 看 看 哪 些 事 情 做 对 了 ， 哪 些 做 错 了 ， 从 中 找 出 那 些 成 功 的 因 素 。 企 业 在 企 业 在 S - S D L C 的 实 施 落 地 中 的 实 施 落 地 中 遇 到 了 哪 些 遇 到 了 哪 些 困 难 困 难 ？ ？ 点 击 点 击 阅 读 原 文 阅 读 原 文 O W A S P   中 国 邀 请 您 共 同 参 与 中 国 邀 请 您 共 同 参 与 企 业 企 业 S - S D L C 大 数 据 大 数 据 + 1 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理