我的安全视界观

纵观软件安全开发周期，编码阶段的安全活动是最好实现技术管控，最容易发现代码中的漏洞，最容易做自动化安全扫描的。经过实践之后，认为可以在该阶段开展： 1、编码安全规范：根据业务开发语言和历史发现的安全问题，量身定制编码安全规范，在SDL的体系文件中定位为三级规范性文件，做到有据可循； 2、编码安全培训：对编码安全规范、安全扫描工具及扫描的结果研判方法进行技术分享，配合考试等方式提升开发人员的安全意识； 3、静态代码扫描：对自研代码进行安全扫描，一般都能实现自动化触发、扫描结果推送到开发邮箱，有的甚至在IDE上开发时就检测漏洞，提醒开发人员及时修复漏洞； 4、开源组件扫描：针对第三方组件（开源或自研），也要进行漏洞扫描和协议合规性分析，同样可以实现自动化触发和扫描，但处理扫出的问题就比较棘手了； 5、引入安全SDK：其实不一定是具体的SDK，有的是改良过的开发框架或库，有的是全局filter，尤其是在技术栈统一的公司更可能落地。在开发编码时，开发人员正确使用安全SDK，从源头解决常见的web漏洞。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SDL 1/100问：SDL与DevSecOps有何异同？ SDL 2/100问：如何在不同企业实施SDL？ SDL 3/100问：SAST误报太高，如何解决？ SDL 4/100问：SDL需要哪些人参与？ SDL 5/100问：在devops中做开发安全，会遇到哪些问题？ SDL 6/100问：如何实施安全需求？ SDL 7/100问：安全需求，有哪些来源？ SDL 8/100问：安全需求怎么实现自动化？ SDL 9/100问：实施安全需求，会遇到哪些难题？ SDL 10/100问：安全需求和安全设计有何异同及关联？ SDL 11/100问：设计阶段应开展哪些安全活动？ SDL 12/100问：有哪些不错的安全设计参考资料？ SDL 13/100问：安全设计要求怎么做才能落地？ SDL 14/100问：有哪些威胁建模方法论？ SDL 15/100问：有哪些威胁建模工具？ SDL 16/100问：如何开始或实施威胁建模？ SDL 17/100问：威胁建模和架构安全评审，有何异同？ 2、SDL最初实践系列 开篇 安全需求 安全设计 安全开发 安全测试 安全审核 安全响应

在SDL中，威胁建模和架构安全评审通常是相辅相成的，虽说它们的目的一样，但出发点和关注点不同： 1、威胁建模：通过分析或模拟攻击场景来识别潜在的安全威胁。通常涉及对系统的数据流、信任边界、入口点和输出点进行全面分析。有成熟的方法论，如STRIDE、VAST、DREAD等。 2、架构安全评审：通过审查文档和与相关人员讨论，审查系统的整体架构设计，以确保其满足安全需求和标准。不仅关注整个系统的安全性，还关注架构层面的决策是否可能导致潜在的安全风险。 就安全活动的开展顺序而言，我更偏向推荐先架构安全评审，再威胁建模。因为前者主要是验证性质，更关注安全需求考虑情况、具体怎么设计；后者是通过体系化的方法来发现可能存在的潜在隐患，重在发现新的问题并消除风险。 更多软件安全内容，可以访问： 1、SDL100问：我与SDL的故事 SDL 1/100问：SDL与DevSecOps有何异同？ SDL 2/100问：如何在不同企业实施SDL？ SDL 3/100问：SAST误报太高，如何解决？ SDL 4/100问：SDL需要哪些人参与？ SDL 5/100问：在devops中做开发安全，会遇到哪些问题？ SDL 6/100问：如何实施安全需求？ SDL 7/100问：安全需求，有哪些来源？ SDL 8/100问：安全需求怎么实现自动化？ SDL 9/100问：实施安全需求，会遇到哪些难题？ SDL 10/100问：安全需求和安全设计有何异同及关联？ SDL 11/100问：设计阶段应开展哪些安全活动？ SDL 12/100问：有哪些不错的安全设计参考资料？ SDL 13/100问：安全设计要求怎么做才能落地？ SDL 14/100问：有哪些威胁建模方法论？ SDL 15/100问：有哪些威胁建模工具？ SDL 16/100问：如何开始或实施威胁建模？ 2、SDL最初实践系列 开篇 安全需求 安全设计 安全开发 安全测试 安全审核 安全响应