Microsoft TechDayshttp:// Роман Здебский Эксперт по технологиям разработки ПО Microsoft
Microsoft TechDayshttp:// Почему это важно? Чем и как SDL помог Microsoft Чем и как SDL может помочь разработчику
Microsoft TechDayshttp:// Наркоторговец Киберпреступник
Microsoft TechDayshttp:// Локальные сети Первый вирус для ПК Цель: вред, известность 1986 – 1995 Эпоха Интернета «Большие черви» Цель: вред 1995 – 2003 Атаки на ОС, БД Шпионское ПО, спам Цель: деньги Целенаправленные атаки Социальная инженерия Финансы + политика Цены на черном рынке Номер кредитной карты 0,5 – 20 долл. Идентиф. сведения1 – 15 долл. Счет в банке10 – 1000 долл. Источник: Управление государственной ответственности США, ФБР
Microsoft TechDayshttp:// ~90 % действуют удалено ~60 % в веб-приложениях Источник: IBM X-Force, Symantec 2007 г., Security Reports (Отчеты по безопасности) Операционные системы Приложения Источник: доклад «Microsoft Security Intelligence Report», 2007 г.
Microsoft TechDayshttp:// Источник: IBM X-Force 2007 г., Security Report ((Отчет по безопасности))
Microsoft TechDayshttp://
В начале 2002 г. Билл Гейтс написал памятку «Trustworthy Computing» («Надежные вычисления» или «Надежное ПО»). Повышенное внимание к безопасности и FSR (Final Security Review, заключительный анализ безопасности) распространились на другие продукты. Принято решение, что процесс SDL должен быть обязательным для продуктов, которые: подвергаются значительному риску или обрабатывают важные данные. Усовершенствования SDL. fuzzing (методика тестирования ПО), анализ кода, криптографические требования; конфиденциальность, запрещенные API и т.д. Windows Vista – первая ОС, созданная с применением процесса SDL. Оптимизация процесса на основе отзывов клиентов, анализа и автоматизации. Распространение SDL.
Microsoft TechDayshttp:// Перспективный и практический подход Упреждение угроз - это не просто поиск ошибок Решение проблем безопасности на ранних стадиях Безопасность при разработке
Microsoft TechDayshttp:// В корпорации Майкрософт убеждены – для создания безопасного ПО необходимо следующее ОбучениеОбучение Начальное обучение ТребованияТребования Анализ рисков безопасности и конфиден- циальности Определение требований к качеству Проекти- рование Моделирование угроз Анализ опасных областей Реализаци я Выбор инструментов Блокирование запрещенных функций Статический анализ ПроверкаПроверка Динамическое тестирование и fuzzing Проверка моделей угроз и опасных областей ВыпускВыпуск План реагирования Заключитель- ный анализ безопасности Архив выпусков РеагированиеРеагирование Выполнение Решение руководства: SDL – обязательная политика в Майкрософт с 2004 г. Технология и процесс Обучение Ответственность Усовершенствования в ходе процесса цикл 6 месяцев ПроверкаПроверка Динамическое тестирование и fuzzing Проверка моделей угроз и опасных областей ВыпускВыпуск План реагирования Заключитель- ный анализ безопасности Архив выпусков РеагированиеРеагирование Выполнение ОбучениеОбучение Начальное обучение ТребованияТребования Анализ рисков безопасности и конфиден- циальности Определение требований к качеству Проекти- рование Моделирование угроз Анализ опасных областей РеализацияРеализация Выбор инструментов Блокирование запрещенных функций Статический анализ
Microsoft TechDayshttp:// Ответы и работа с пользователями (MSRC) Обучение и процесс SDL Консультирование разработчиков продукта Исследование уязвимостей Защита пользователей Группа Security Engineering and Community (SEC) Надежное ПО
Microsoft TechDayshttp:// Результаты
Microsoft TechDayshttp:// Источник: доклад «Windows Vista One Year Vulnerability Report», блог Microsoft Security, 23 января 2008 г. До введения SDL После введения SDL Количество уязвимостей сократилось на 45 % Количество уязвимостей, обнаруженных в течение года после выпуска
Microsoft TechDayshttp:// Пакет обновления 3 (SP3) для SQL Server 2000 – первый выпуск, разработанный с применением процесса SDL Источник: Which database is more secure? Oracle vs. Microsoft (Чья СУБД безопаснее? Oracle или Microsoft?), David Litchfield, NGS Software, 21 ноября-2006 г.
Microsoft TechDayshttp:// Источник: Browser Vulnerability Analysis, Microsoft Security Blog, 27 ноября 2007 г. До введения SDL После введения SDL Количество уязвимостей сократилось на 35 % Количество очень опасных уязвимостей сократилось на 63 %
Microsoft TechDayshttp:// «Теперь мы действительно считаем корпорацию Майкрософт лидером, поскольку после введения процесса Security Development Lifecycle [SDL] ее программное обеспечение заметно улучшилось.» Джон Пескаторе (John Pescatore) вице-президент и выдающийся аналитик Gartner, Inc ( 13 февраля 2006 г.) «Зачем хакерам возиться с трудной для взлома системой Vista, если хватает компьютеров, на которых установлены Acrobat Reader, слабое антивирусное ПО и последняя версия iTunes?» Халвар Флэйк (Halvar Flake) Специалистов по безопасности Конференция Microsoft BlueHat Сентябрь 2007 г.
Microsoft TechDayshttp://
ОбучениеОбучение Центр безопасности для разработчиков в MSDN Видео о технологиях обеспечения безопасности в MSDN, 9-й канал Процесс SDLПроцесс SDL Веб-узел SDL по адресу Microsoft.com Подробное руководство по SDL Рекомендации Майкрософт по обеспечению конфиденциальности Книга о процессе SDL опубликована в 2006 г. (Lipner и Howard) Инструменты обеспечения безопасности Встроенные средства безопасности в Visual Studio Флаги безопасности компилятора и компоновщика Статический анализ кода (FxCop,/analyze) Удаление небезопасных интерфейсов API Инструменты для моделирования угроз
Microsoft TechDayshttp:// Атаки переходят на уровень приложений SDL = встраивание безопасности в ПО и культуру Существенные результаты для продуктов Microsoft Microsoft сделал процесс SDL доступным всем и считает важным для себя помогать его распространению
Microsoft TechDayshttp://