金融科技SDL安全设计Checklist信息安全资料.pdfVIP

金融科技SDL安全设计Checklistv1.0

SDL安全设计checklist目的

安全设计和安全编指导开发人员安全设计和安全编码实现，提高安全质量

码

安全测试指导测试人员安全测试：提供测试案例参照与测试结果验

安全配置指导运维人员安全配置：面向操作系统、中间件、数据库等进行安全配置

SDL安全设计checklist的内容

身份认证、密码管理、访问控制、会话管理、异常处理、输入验证、输出编码、接口调用、权限控制、敏感信息、运行环境、以及常见web安全防护等

检查型检查项(Checklist)

除了那些特定设为“公开”的内容以外，对所有的网页和资源都要求进行身份验证，并正确设计身份验证功能

所有的身份验证过程必须在服务器后端上执行

在任何可能的情况下，建立并使用标准的、已通过安全测试的身份验证服务(比如C4A)

所有的身份验证控制应当安全的处理未成功的身份验证，比如给出错误模糊提示，隐藏敏感信息

登录入口应具有防止暴力猜解及撞库猜解（利用已泄漏的密码字典进行批量登录尝试）的措施，超过设定失败次数需要启用锁定或图片随机码进行访问限制

身