您采用了哪些安全软件开发实践？

Question

我在微软(http://microsoft.com/sdl)从事一个名为安全开发生命周期(，SDL)的项目--简而言之，这是一组必须由产品组使用的实践，然后他们才会发布产品，以帮助提高安全性。

在过去的几年里，我们已经发布了大量的SDL文档，因为客户需要更多关于我们正在做什么的信息。

但我想知道的是：

1. 你在你的组织里做些什么来帮助提高你产品的安全性？
2. 什么管用？什么不管用？
3. 你是怎么让管理层同意这项工作的？

谢谢。

Answer 1

老实说，阅读你的书是一个很好的开始。:-)

回答你的问题：

1. 密码是我的业余爱好，有时我会在博客上写(例如在TLS和AES上)。在编写了自己的AES实现之后，我了解到，毫无疑问，我永远不应该使用自己的实现，而应该使用由CryptoAPI和OpenSSL人员编写的实现。
2. ​
   • 在代码评审中，擅长安全问题的人员会根据需要进行标记。
   • 与实验室一起上一堂课，以提高对书中提到的问题的认识，以及讨论新问题的内部邮件列表。
   • 有几个人听安全现在播客的最新消息，了解哪些类型的问题存在，哪些问题受到攻击。这间接地影响了设计。

​

1. 除了现场课程和购买代码审查工具之外，所有这些都不需要管理层批准。

Answer 2

我是一个独立mac开发人员，同时也是一个平台安全倡导者:我是由Wrox出版的一书的作者。在那本书中，我支持我自己使用的安全开发技术:它基于Swiderski和Snyder威胁建模，但有两个变化。我通过考虑哪个入口点访问哪些资产而不使用DFDs使其重量更轻。我还把更多的注意力放在识别用户和错误用户上，我认为这使得它更适用于收缩包装软件。

关于工具支持，我使用了Xcode静态分析器(基于clang)，但发现它没有检测到一些常见的漏洞。不过，我确实提交了bug :-)。我也经常使用gcc的_FORTIFY_SOURCE宏。没有很好的Mac风险分析工具，但我正在研究.;-)

我在会议上和播客上和Mac谈过安全问题，得到了很多反馈，如果你想让我澄清我说过的或对社区反馈感兴趣的话，请发表评论。欢迎私人提问(尽管我更愿意呆在论坛上)：iamleeg网站。

Answer 3

我们先思考然后再编码。奇怪的是，它避免了许多漏洞，包括那些可被不利方利用的漏洞，从此被称为“安全漏洞”。

其中一个诀窍是不让任何人靠近键盘，除非他拥有丰富的经验和专业知识。