1-7-SDL的深入探究及實(shí)踐-邱雁杰

SDL的深入探究及實(shí)踐金山云-邱雁杰2016-4-212016-4-21SYClover安全研究團(tuán)隊(duì)核心成員?Web安全研究?網(wǎng)絡(luò)滲透研究百度高級安全工程師百度高級安全工程師?百度安全掃描系統(tǒng)?企業(yè)安全(應(yīng)急響應(yīng)、安全評估等SDL相關(guān))金金山云高級安全工程師?安全產(chǎn)品研發(fā)?企業(yè)安全整體建設(shè) 件開發(fā)安全保障的流程。?是將設(shè)計(jì)、代碼和文檔等與安全相關(guān)漏洞減到最少，在軟件開發(fā)的生命周期中盡可能的早地發(fā)現(xiàn)解決相關(guān)漏洞建立的流程框架;?為了實(shí)現(xiàn)保證最終的用戶安全，在軟件開發(fā)各階段中引入針對項(xiàng)目安全。 項(xiàng)目研發(fā)生命周期：需求分析研發(fā)測試目周期中的安全風(fēng)險(xiǎn)項(xiàng)目研發(fā)生命周期中安全風(fēng)險(xiǎn)暴露模型：全暴露，過各種手段入階段缺少安導(dǎo)致安全問題發(fā)缺少安全意碼存在安修復(fù)設(shè)計(jì)缺乏安全考慮設(shè)計(jì)缺乏安全考慮的安全問題?潰之蟻穴，失之千里?形同虛設(shè)的密碼防御?曝之荒野的用戶隱私目周期中的安全風(fēng)險(xiǎn)?邪惡的Sql注入?無處不在的XSS?等等目周期中的安全風(fēng)險(xiǎn)?Web服務(wù)器配置不當(dāng)，導(dǎo)致代碼被下載。?Redis、Memcache服務(wù)未授權(quán)，導(dǎo)致數(shù)據(jù)失竊?等等目周期中的安全風(fēng)險(xiǎn)識?無奈的弱口令。?擺在黑客面前的源代碼。?等等目周期中的安全風(fēng)險(xiǎn) SDL的工作流程：安全培訓(xùn)安安全需求安全設(shè)計(jì)研發(fā)安研發(fā)安全安全測試線上滲線上滲透測試應(yīng)急響應(yīng)急響應(yīng) 安全培訓(xùn)方案：?代碼安全管理?研發(fā)人員信息安全管理?安全編碼規(guī)范推行?服務(wù)器配置安全規(guī)范培訓(xùn)?解決的問題：?建立項(xiàng)目人員信息安全意識?安全編碼規(guī)范實(shí)施，提升研發(fā)同學(xué)的編碼安全性求、設(shè)計(jì)?實(shí)踐方案：?認(rèn)證安全設(shè)計(jì)解決方案?權(quán)限安全設(shè)計(jì)解決方案?關(guān)鍵操作安全設(shè)計(jì)方案：?支付操作?密碼重置操作安全設(shè)計(jì)?解決的問題：?統(tǒng)一解決方案，解決一處漏，處處漏問題?解決了前期架構(gòu)缺陷，導(dǎo)致后期修復(fù)成本過大，無限延期問題?專業(yè)化的安全設(shè)計(jì)，規(guī)避常見的邏輯缺陷研發(fā)安全?實(shí)踐方案：?梳理語言及框架的安全缺陷?語言特性引起的問題?框架缺陷?統(tǒng)一的安全封裝代碼庫?靜態(tài)代碼分析工具?自研代碼分析工具?商業(yè)產(chǎn)品的使用研發(fā)安全?解決問題：?自動化的代碼安全轉(zhuǎn)換，提升研發(fā)安全質(zhì)量?安全的代碼庫，保證模塊防護(hù)的正確性?研發(fā)過程中的代碼安全檢查，避免上線后才發(fā)現(xiàn)問題安全測試方案?黑盒安全掃描系統(tǒng)進(jìn)行檢測?安全自動化掃描平臺?瀏覽器擴(kuò)展?白盒代碼安全審計(jì)HP安全測試問題?上線前的全面體檢?覆蓋應(yīng)用層的安全問題?針對基礎(chǔ)環(huán)境的基本梳理測試線上安全評估方案：?安全評估面?基礎(chǔ)環(huán)境的安全評估?應(yīng)用層的安全評估?信息管理層面的安全評估?安全評估CheckList的推出?解決問題?完全模擬黑客，提前發(fā)現(xiàn)黑客可能的攻擊路徑，并進(jìn)行防御?實(shí)踐方案：?安全資產(chǎn)梳理及情報(bào)收集機(jī)制