软件保证成熟度模型新PPT文件格式下载.ppt

1、https:/www.owasp.org/images/c/c2/%E8%BD%AF%E4%BB%B6%E4%BF%9D%E8%AF%81%E6%88%90%E7%86%9F%E5%BA%A6%E6%A8%A1%E5%9E%8B%28Alpha%29.pdf）4正在审核Beta版本OWASP额外说明额外说明欢迎指正翻译错误欢迎大家提出宝贵的意见4如何在国内的环境里展开应用？4是否存在缺陷？4是否可以改进？OWASP目录目录SAMM介绍理解SAMM应用SAMM具体安全实践结束语Copyright The OWASP FoundationPermission is granted to copy,

2、distribute and/or modify this document under the terms of the OWASP License.The OWASP FoundationOWASPhttp:/www.owasp.org 软件保证成熟度模型（软件保证成熟度模型（SAMM）OWASP建立模型的动力建立模型的动力一个组织的行为随着时间的推移而缓慢的改变；4改变必须循序渐进得向长期目标进行没有单一的方法可作用于所有的组织；4一个解决方案必须允许组织根据风险而选择与安全措施相关的指导必须是规范的；4一个解决方案必须为非安全人员提供足够的细节信息总的来说，建立后的成果必须简单、明确定

3、义、可衡量。OWASP什么是什么是软件保证成熟度模型（软件保证成熟度模型（SAMM）？）？软件保证成熟度模型；Software Assurance Maturity Model（SAMM）一个开放的框架；帮助组织制定并实施针对组织所面临来自软件安全的特定风险的策略。OWASPSAMM的目标的目标创建明确定义和可衡量的目标；涉及到软件开发的任何业务；可用于小型、中型和大型组织。OWASPSAMM的目的的目的评估一个组织已有的软件安全实践；建立一个迭代的权衡的软件安全保证计划；证明安全保证计划带来的实质性改善；定义并衡量组织中与安全相关的措施。/www.owasp.org 理解理解SAMM模型模型

4、OWASPSAMM的业务功能的业务功能从企业组织与软件开发的核心活动开始；在最高等级上，SAMM设置了四种关键业务功能四种关键业务功能；对于每一个业务功能，SAMM设置了三个安全措施三个安全措施；对于每一个安全措施，SAMM设置了三个成熟度等级三个成熟度等级。OWASP成熟度等级成熟度等级 每一个安全措施定义了三个等级。4以证明组织是如何随着时间而改变的。一个措施的三个等级：40:隐起点，措施尚未实现；41:对安全实践有了初步了解并有所专门的提供；42:提高了安全实践的效率和（或）有效性；43:在一定规模上综合掌握了安全实践。OWASP循序渐进改善的方法循序渐进改善的方法每一个安全实践都是一个

5、成熟度领域。一个目标的成功，代表了一系列安全实践得采用。简单地说，以分阶段的方式改善一个保证计划：4选择安全实践去改善保证计划的下一个阶段；4通过执行相关活动指定的成功衡量标准，以得到每个实践的下一个目的。/www.owasp.org 应用应用SAMMOWASP评估执行评估执行SAMM的每一个安全实践，都包含了评估记录表OWASP评估处理评估处理支持简便评估和详细评估简便方法：直接根据回答评分详细方法：执行额外的审计以后，再评分组织的评估得分可能处于两个级别之间，因而采用“”OWASP创建记分卡创建记分卡持续衡量4为一个已经就位的保证计划，在持续的时间框架内获得分数；差距分析4将获得的详细评估

6、结果与预期的性能等级做比较，获得分数；改善证明4在一次安全计划迭代建立完成的前后，获得分数；OWASP路线图模版路线图模版为使用安全实践，SAMM为以下一些有代表性的组织提供了路线图模版：4独立软件供应商；4在线服务提供商；4金融服务机构；4政府组织。选择这些组织类型的原因：4它们代表了常见的用例；4每个组织都有对于典型软件导致的多种风险；4每个组织保证计划的最优方案有所不同。/www.owasp.org 具体安全实践具体安全实践OWASP策略与指标（策略与指标（Strategy&Metrics）策略与指标策略与指标SM1SM2SM3目标目标为组织内的软件安全建立统一的战略路线图。衡量数据和软

7、件资产的相对价值，并选择风险容忍度。使安全成本与相关业务指标和资产价值相一致。措施措施A.评估整体业务风险概况；B.建立并维护保证计划路线图。A.根据业务风险将数据和应用程序分类；B.建立并衡量每个分组的安全目的。A.引导周期性地全行业成本比较；B.为以前的安全成本收集度量标准。OWASP政策与遵守（政策与遵守（Policy&Compliance）政策与遵守政策与遵守PC1PC2PC3目标目标了解组织的相关监管和遵守要求。建立安全和遵守的基准线，并了解每个项目的风险。要求遵守标准，并衡量项目是否符合全组织的政策和标准。措施措施A.确定并控外部的遵守因素；B.建立并维护遵守指导。A.为安全和遵守

8、建立政策和标准；B.建立项目审计实践。A.为项目建立遵守关卡；B.为审计数据的采集，采用解决方案。OWASP教育与指导（教育与指导（Education&Guidance）教育与指导教育与指导EG1EG2EG3目标目标为开发人员提供关于以安全编程和部署为主题的资源。为软件生命周期中所有的人员提供基于角色的安全开发详细指导。实施综合的安全培训，并为员工进行基本知识的认证检验。措施措施A.实施技术安全意识的培训；B.建立并维护技术指导。A.实施针对特定角色的应用程序安全培训；B.聘用安全指导专家增强项目团队。A.建立正式的应用程序安全支持门户网站；B.建立基于角色的考试或认证制度。OWASP威胁评估

9、（威胁评估（Threat Assessment）威胁评估威胁评估TA1TA2TA3目标目标确定并了解组织和单个项目的高级别威胁。提高威胁评估的准确性，并深入了解每个项目的细节。将补偿控制与对内部和第三方软件的每个威胁具体联系起来。措施措施A.建立并维护特定应用程序的威胁模型；B.根据软件架构建立攻击者概况。A.建立并维护每个项目的滥用用例模型；B.为威胁的度量采用一个权重系统。A.明确评估来自第三方组件的风险；B.用补偿控制详细描述威胁模型。OWASP安全需求（安全需求（Security Requirements）安全需求安全需求SR1SR2SR3目标目标在软件需求分析阶段明确地将安全考虑在内

10、。根据业务逻辑和已知风险增加安全需求的深度。为所有软件项目和第三方的附属项目强制要求安全需求。措施措施A.从业务功能推导出安全需求；B.为需求评估安全和遵守指导。A.为资源和能力建立一个访问控制矩阵；B.根据已知风险指定安全需求。A.将安全需求写入供应商协议中；B.为安全需求扩展审计计划。OWASP安全架构（安全架构（Secure Architecture）安全架构安全架构SA1SA2SA3目标目标将主动安全指导的想法引入到软件设计过程中。将软件设计过程引导向已知安全服务和默认安全设计。正式控制软件设计过程并验证安全部件的使用。措施措施A.维护推荐的软件框架列表；B.将安全原则明确运用到设计中

11、。A.明确并促进安全服务和基础设施；B.明确来自架构的安全设计模式。A.建立正式的参照架构和平台；B.验证框架、模式和平台的使用。OWASP设计审核（设计审核（Design Review）设计审核设计审核DR1DR2DR3目标目标为软件设计提供专门的审核，以确保排除已知风险的最低线。根据安全的最佳实践为软件设计审核提供评估服务。需求评估并验证已完成部分，以详细了解保护机制。措施措施A.确定软件攻击层面；B.根据已知安全需求分析设计。A.检查提供安全机制的完整性；B.为项目团队部署设计审核服务。A.为敏感资源开发数据流图；B.为设计审核建立发布关卡。OWASP代码审核（代码审核（Code Review）代码审核代码审核CR1CR2CR3目标目标随机查找基本的代码级漏洞和其他高风险安全问题。通过自动化方式在开发过程中使代码审核更加准确和有效。必须进行全面的代码审核过程，以发现语言级别和特定应用程序的风险。措施措施A.根据已知安全需求建立审核检查列表；B.为高风险代码执行定点审核。A.使用自动化的代码分析工具；B.将代码分析集成到开发流程当中。A.为特定应用程序问题自定义代码分析；B.为代码审核建立