软件安全-03-安全软件工程.pptVIP

* * * ? 2006 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION. * * * ? 2006 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION. 常见安全设计原则： 经济机制：代码尽可能简单、紧凑。软件愈复杂，出现安全BUG的可能性愈高。 默认失效保护：任何请求缺省应加以拒绝。 安全中介：每个访问受保护对象的行为应当被检查。 公开设计：与“不公开即安全”的原则相对应。设计自身不应具有神秘感。 权限分离：切勿允许基于单一条件的操作过程。 最小特权：只授予执行操作所必须的最小特权。 最少公共机制：使公共资源尽可能少。 心理可接受程度：安全产品与技术是否容易使用？用户能否接受？与UI的密切配合。 受攻击面分析： 受攻击面分析：枚举所有接口、协议以及可执行代码的过程。 软件的受攻击面： 代码 接口 服务 协议 其他 受攻击面降低： 核心观点：在所有代码中存在至少一个或多个漏洞的可能性一定不为零，一部分严重漏洞会导致用户不得不接受妥协。唯一解决上述问题的方法是将代码的利用率降至为零。 受攻击面降低的方法：综合考虑尽善尽美的安全与无法规避的风险二者之间的关系，尽可能减少未经信任的用户可能接触到的代码比例 受攻击面降低具体方法可以概括为： 降低默认执行的代码量 限制可访问到代码的人员范围 限定可访问到代码的人员身份 降低代码所需权限。 降低受攻击面的流程 降低受攻击面的流程（步骤） 开始 多数用户 使用该特性？ 多数用户使用 所有细节特性？ 该特性可 远程访问？ 该特性匿名 用户可用？ 执行该