微软implementation of the sdl中文版

《微软implementation of the sdl中文版》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、MicrosoftSDL的简化实施2010年2月2日简化的SDL核心概念有关最新信息，请访问http://www.microsoft.com/sdl。本文档“按原样”提供。本文档中的信息和观点（包括URL和其他Internet网站参考）如有更改，恕不另行通知。您自行承担使用本文档的风险。本文档未授予您任何与Microsoft产品知识产权有关的法律权利。您可以出于内部参考目的，复制和使用本文档。©2010MicrosoftCorporation。保留所有权利。 根据CreativeCommonsAttribution-NonCommercial-ShareAlike3.0Unp

2、orted授予许可。 中国大陆http://creativecommons.org/licenses/by-nc-sa/2.5/cn/。MicrosoftSDL的简化实施15目录介绍3关于Microsoft安全开发生命周期3Microsoft的安全开发4MicrosoftSDL优化模型4SDL适用性5安全人员的角色、职责和资格5简化的SDL安全活动6必需的安全活动6SDL实施前要求：安全培训7第一阶段：要求8第二阶段：设计9第三阶段：实施9第四阶段：验证10第五阶段：发布10可选的安全活动11其他过程要求12根本原因分析12过程定期更新12应用程序安全验证过程12结束语13附

3、录A：SDL过程图示14MicrosoftSDL的简化实施15介绍本文将介绍Microsoft安全开发生命周期(SDL)的核心概念，并讨论要遵循SDL过程所应执行的各种安全活动。本文内容：·MicrosoftSDL的简要概述。·MicrosoftSDL优化模型概述，重点介绍优化模型中MicrosoftSDL的适用情况。·讨论各种Microsoft安全开发实践，包括：·应用程序开发过程中相关人员的角色和职责。·必需的安全活动。·可选的安全活动。·应用程序安全验证过程。本文所述的过程为SDL遵从性设置了最低点阈值。这就是说，组织各不相同，开发团队应以适合于可用的人才和资源的方式实

4、施SDL，但是不能危害组织的安全目标。需要注意的是，本文只重点介绍用于构建软件应用程序和联机服务以进行外部或内部发布的软件开发安全方法。组织中还有其他专门应对“运营”安全威胁的方法（如IT安全实践）；这些过程的管理小组所受的技术和法规环境约束与软件开发小组所受的约束类似，但是管理小组通常不开发用在有重大安全风险的环境中的应用程序软件。本文将尽可能提供所参考的公开信息来源。本文包括指向有关过程、工具和其他辅助信息的特定讨论的Web链接。关于Microsoft安全开发生命周期安全开发生命周期(SDL)是侧重于软件开发的安全保证过程。在Microsoft，自2004起，SDL作为全

5、公司的计划和强制政策，在将安全和隐私植入软件和企业文化方面发挥了重要作用。通过将整体和实践方法相结合，SDL致力于减少软件中漏洞的数量和严重性。SDL在开发过程的所有阶段中均引入了安全和隐私。MicrosoftSDL基于三个核心概念–教育、持续过程改善和责任。对软件开发小组中的技术工作角色进行持续不断的教育，这一点至关重要。对知识传授进行适当的投资可帮助组织正确应对技术和威胁态势的变化。因为安全风险不是静止不变的，所以SDL非常重视了解安全漏洞的原因和后果，要求定期评估SDL过程并随着新技术的发展和新威胁引入应对措施。收集数据以评估培训效果，使用过程内指标确认过程遵从性，使用

6、发布后指标帮助指导进行进一步的更改。最后，SDL要求对在危机关头维护应用程序所需的所有数据进行存档。如果配合使用详细的安全响应和沟通计划，组织可以向相关各方提供简明扼要、令人信服的指导。MicrosoftSDL的简化实施15本文所述的MicrosoftSDL过程重点讨论在软件开发生命周期中不同时间点应用经过证明的安全实践。此过程与技术无关，不限于大型企业，可以很方便地应用在任何规模的组织中。Microsoft的安全开发本文重点介绍MicrosoftSDL在由Microsoft外部的小组普遍使用的开发实践中的应用情况。本文内容与已发布的、在Microsoft产品和服务开发中应用

7、的过程密切相关。不过，应注意的是，Microsoft扩展了本文所讨论的核心概念，将SDL应用为反映组织的业务和技术环境的过程。Microsoft实践的SDL从本文所讨论的核心概念发展而来，已应用于成百上千的Microsoft产品，这些产品在多种操作系统和硬件平台上运行。全世界100多个国家/地区的Microsoft团队都使用这些核心概念，以应对如此广泛的技术组合所带来的独特安全和隐私挑战。Microsoft强烈主张安全和隐私过程透明性。用户在反馈中表示，希望进一步详细了解有关Microsoft如何应用S