软件安全开发生命周期概述(PPT 73页).ppt

* 软件安全开发生命周期 安全自身要素 安全包括了三个层次 安全功能（特性） 安全策略（部署，配置 ，全局设计准则） 安全实现 安全测试是对以上几个层次的验证和度量 外部防护系统是一种补充保护 * 安全测试 安全功能测试 是否足够 是否实现 实现正确性 安全策略测试 是否足够 是否实现 实现正确性 代码自身安全 数据边界检测是否正确足够 体系设计是否正确足够 权限限制与检测是否正确足够 处理逻辑是否正确 软件安全开发生命周期 * 安全测试 黑盒思路：基于功能与边界值 FUZZ 智能FUZZ 全局数据结构 白盒思路：基于路径 源码审计 二进制静态分析 二进制数据流动态追踪分析 软件安全开发生命周期 * 简介 安全需求分析 安全设计 安全编程 安全测试 安全部署及安全响应 软件安全开发生命周期 * 安全部署及安全响应 安全部署 软件需提供相应的文档和工具，指导用户如何安全的使用。 安全响应 当前任何一个软件开发模式（包括SDL在内），都无法确保发布的软件没有安全漏洞。因此，需要事先制订对应的相应模式，包括： （内部或外部发现的）安全漏洞以何种途径汇报 如何评估安全漏洞的严重级别 开发安全补丁的流程 测试安全补丁的流程 发布安全补丁的流程 如何在以后开发中避免类似的安全漏洞，等等 软件安全开发生命周期 * 软件安全开发生命周期（SDL） 基于WEB应用程序的SDL 目录 * 概述 在公开提供的 SDL 文档中，找不到专门针对如何保护 Web 应用程序或在线服务的指南。诚然，大多数 SDL 非实现要求同样适用客户端/服务器和 Web 应用程序。就象威胁模型对 Web 窗体应用程序与 Windows? 窗体应用程序同样重要。而对 SOAP 服务和对 Windows 服务执行最终安全审查也同样重要。但对于跨站点脚本 (XSS) 和 SQL 注入等与 Web 相关的漏洞会是怎样的情况呢？如果 SDL 如此注重防御客户端/服务器应用程序的缓冲区溢出，它为什么会忽视针对在线服务发起的 XSS 攻击这一 Web 头号公敌的防御呢？ 下面以JAVA编程安全为例说明。 基于WEB应用程序的SDL * 简介 跨站脚本（XSS） 注入漏洞（Injection Flaws） 恶意文件执行 不安全的直接对象引用 跨站点请求伪造（CSRF） 信息泄露和错误处理不当 残缺的认证和会话管理 不安全的加密储存 不安全的通信 限制URL访问失效 JAVA安全编程——OWASP TOP 10 AND ESAPI * 简介 OWASP TOP 10 OWASP(开放Web应用安全项目- Open Web Application Security Project)是一个开放社群、非营利性组织，目前全球有82个分会近万名会员，其主要目标是研议协助解决Web软体安全之标准、工具与技术文件，长期 致力于协助政府或企业了解并改善网页应用程式与网页服务的安全性。 OWASP TOP 10是10个最关键的Web应用安全问题清单。 这份名单是每隔数年更新（最近2010年）。 名单上都是那些通常很简单的，危险的安全问题。 这里是一个以在OWASP十大项目的链接。/index.php/Category:OWASP_Top_Ten_Project * ESAPI（Enterprise Security API） 其实简单一点来说，ESAPI就是为编写出更加安全的代码设计出来的一些API，方便使用者 调用，从而方便的编写安全的代码。它本身是开源的，同时提供JAVA版本和.NET版本。 代码下载地址：/p/owasp-esapi-java/ 下图显示了提供的API与OWASP列出的10个安全问题的涵盖关系： * What is an Enterprise Security API?The ESAPI Family Community Breakdown * OWASP What is an Enterprise Security API?Addressing The OWASP Top Ten OWASP Top Ten OWASP ESAPI A1: Injection A2: Cross Site Scripting (XSS) A3: Broken Authentication and Session Management A4: Insecure Direct Object Reference A5: Cross Site Request Forgery (CSRF) A6: Security Misconfiguratio