软件工程与安全.docx

北京华城瑞安网络技术有限公司

软件工程与安全

北京华城瑞安网络技术有限公司杨磊

1

北华城瑞安网络技术有限公司

软件工程与安全

内容提纲?背景

?如何实现安全

2

北华城瑞安网络技术有限公司

过程模型

组织：人－技术－过程

CMM，CMMI都是面向过程的改进方法

基于模型

高品质的产品

源于高品质的过程

3

北华城瑞安网络技术有限公司

CMMI——过程管理过程域

4

北华城瑞安网络技术有限公司

CMMI——项目管理过程域

5

北华城瑞安网络技术有限公司

CMMI——工程过程域

6

北华城瑞安网络技术有限公司

CMMI——支持过程域

7

北华城瑞安网络技术有限公司

关键资产变化

8

北华城瑞安网络技术有限公司

新威胁

?硬件故障

?软件故障

?支撑系统停机

?文档泄密，信息泄漏，代码流失

9

北华城瑞安网络技术有限公司

业界案例

?2004年，NT4.0和Windows2000源代码泄露

?2004年，思科800M路由器源代码失窃?等等

10

北华城瑞安网络技术有限公司

安全问题在哪

应用层网络层数据库老系统Web服务目录帐号定制的客户代码操作系统防火墙应用层攻击

应用层

网络层

数据库

老系统

Web服务

目录

帐号

定制的客户代码

操作系统

防火墙

应用层攻击

应用服务器

Web服务器

防火墙

防火墙

11

漏洞统计

12

北华城瑞安网络技术有限公司

出路在何方

?加强安全意识

?关注应用层安全

?持续改进

?正确的评估方法

13

北华城瑞安网络技术有限公司

OCTAVE

OCTAVE——OperationallyCriticalThreat,Asset,andVulnerabilityEvaluation的缩写，可操作的关键威胁、资产和弱点评估

卡内基.梅隆大学软件工程研究所开发

较早的安全风险评估方法

14

14

北华城瑞安网络技术有限公司

准备和计划

?确定任务，上层管理者达成共识

?选择分析团队成员

?后勤协调员（可以是team内部，也可以是