安全軟件開發(fā)周期的研究.pdf

1、隨著社會的信息化程度提高，人們對信息的依賴程度也越來越多。當今社會，無論是工作還是生活，人們都要大量使用各種程序。隨著互聯(lián)網(wǎng)和基于互聯(lián)網(wǎng)的應用系統(tǒng)的不斷發(fā)展，軟件安全問題日趨嚴重,程序安全受到越來越高的重視：在中國信息產業(yè)“十一五”規(guī)劃中，明確提出要研制安全基礎軟件產品，提高國產軟件在信息安全的市場份額；美國總統(tǒng)奧巴馬更明確表示信息安全問題已成為美國經(jīng)濟與國家安全面臨的最嚴重問題。
　　 為進一步優(yōu)化軟件的開發(fā)過程，解決程序安全

2、問題，業(yè)界展開了一系列研究，取得了可喜的成果。目前的引進和實踐的軟件開發(fā)的流程主要有：Secure Development Life Cycle 簡稱SDL，Systems Security Engineering Capability Maturity Model簡稱SSE-CMM、Comprehensive，Lightweight Application Security Process簡稱CLASP等。毫無疑問，這些開發(fā)流程取得了

3、巨大進步，但還是各有各的不足，有些缺乏完整性，對于非IT企業(yè)或中小型企業(yè)不是非常適用，流于形式和理論的層面比較多。
　　 本文通過研究相關理論，參與軟件開發(fā)項目，結合工作的體會，提出一個相對完整的，對企業(yè)更實用的安全軟件開發(fā)周期簡稱S-SDLC (Secure Software Development Life Cycle)，這個過程主要用于非IT的中小型企業(yè)的IT部門開發(fā)關鍵性的程序。本文通過闡述軟件開發(fā)的各個環(huán)節(jié)來研究每個階

4、段對信息安全的控制，包括安全需求分析框架、基于風險威脅分析的安全設計、基于源代碼的安全開發(fā)、以評審為中心的質量保證、基于弱點分析的安全測試、安全部署和事后控制等環(huán)節(jié)來詳細闡述。
　　 安全需求階段介紹安全需求的各種驅動因素包括來自法律法規(guī)的要求，來自技術標準還有商務的要求等，以及本文的內容和組織結構。安全設計章節(jié)詳細討論了安全設計中的指南，介紹編寫安全用例和濫用用例和基于威脅分析的風險管理，總結了安全代碼的最好實踐，提倡建立安全

5、共用物件庫和使用工具DevInspect。本文還強調了基于弱點分析的滲透測試是質量保證的延續(xù)部分，關鍵弱點的消除是通過認證的保證。認證是質量保證的里程碑，通過了認證才能進行最后的部署。部署階段介紹安全部署指南和清單,保證成功完整S-SDLC最后一個階段，同時建立事故響應機制，進行項目總結保證系統(tǒng)上線后的穩(wěn)定和為今后項目提供參考，最后通過eCommerce的案例具體分析闡述本文的觀點。
　　 本文的創(chuàng)新之處在于提出一個以安全為中心