軟件開發(fā)生命周期是幫助開發(fā)人員以有組織的方式規(guī)劃和創(chuàng)建軟件的一組步驟。它有六個(gè)主要步驟：

每一步都有自己需要解決的安全問(wèn)題。未能解決這些問(wèn)題可能會(huì)導(dǎo)致應(yīng)用程序充滿漏洞，一旦被利用，可能導(dǎo)致停機(jī)、收入損失以及客戶信息被盜。

這是一個(gè)極為常見的問(wèn)題，在排名前100位的移動(dòng)應(yīng)用程序中，90%的應(yīng)用程序至少被黑客攻擊過(guò)一次。防止這些問(wèn)題的最佳機(jī)會(huì)是在應(yīng)用程序開發(fā)期間，這正是我在本文中分享的技巧可以幫助您的地方。

本指南介紹了生命周期的每個(gè)步驟，并重點(diǎn)介紹了為確保應(yīng)用程序安全而應(yīng)完成的安全實(shí)踐/操作。這包括行業(yè)工具、技術(shù)和資源，您可以使用這些工具、技術(shù)和資源來(lái)確保您的應(yīng)用程序在流程結(jié)束時(shí)是安全的。

概念與規(guī)劃

這個(gè)階段主要是定義應(yīng)用程序概念和需求。換言之，重要的是要確保你有一個(gè)堅(jiān)實(shí)的大綱，什么需要做，你有一個(gè)高層次的理解，你將如何實(shí)現(xiàn)這一點(diǎn)。

概述安全性和法規(guī)遵從性要求：概述應(yīng)用程序的技術(shù)和法規(guī)要求。對(duì)于技術(shù)要求，這將包括確保對(duì)存儲(chǔ)中的數(shù)據(jù)和傳輸中的數(shù)據(jù)進(jìn)行適當(dāng)?shù)募用堋?/span>

術(shù)語(yǔ)“監(jiān)管要求”是指理解軟件將存儲(chǔ)和傳輸?shù)臄?shù)據(jù)類型，例如，財(cái)務(wù)信息、支付卡信息、醫(yī)療保健和個(gè)人識(shí)別信息。

每種類型的數(shù)據(jù)都有特定的處理、收集、存儲(chǔ)和傳輸規(guī)則。因此，您需要了解您正在收集的信息以及需要如何處理這些信息。

安全意識(shí)培訓(xùn)：如果您正在開發(fā)團(tuán)隊(duì)中工作，您應(yīng)該有時(shí)間檢查安全要求。

如果你是一個(gè)經(jīng)理或團(tuán)隊(duì)負(fù)責(zé)人，你有責(zé)任組織這件事。如果你只是一個(gè)開發(fā)人員，這是你應(yīng)該向你的團(tuán)隊(duì)領(lǐng)導(dǎo)提出的要求。這可以確保您和團(tuán)隊(duì)中的每個(gè)人都了解應(yīng)用程序的需求。

查看第三方軟件組件：第三方組件通常用于提高軟件開發(fā)速度和添加有用的功能。但是，它們可能會(huì)在您的軟件中引入漏洞，在應(yīng)用程序中使用這些組件之前需要對(duì)這些漏洞進(jìn)行評(píng)估。

您可以通過(guò)對(duì)正在使用的庫(kù)進(jìn)行一些研究來(lái)開始此評(píng)估，這將允許您查看報(bào)告了哪些問(wèn)題。對(duì)于更正式的驗(yàn)證，有些公司（如veracode）提供了在線指南和軟件解決方案，用于評(píng)估第三方軟件的安全問(wèn)題。

建筑與設(shè)計(jì)

架構(gòu)和設(shè)計(jì)階段是設(shè)計(jì)一個(gè)應(yīng)用程序，該應(yīng)用程序要滿足規(guī)劃階段詳細(xì)列出的所有需求。

威脅建模：這是了解應(yīng)用程序可能的攻擊場(chǎng)景，并提出阻止它們成功的控制措施。一個(gè)常見的例子是SQL注入，它將SQL查詢提交到輸入表單中，從數(shù)據(jù)庫(kù)中提取數(shù)據(jù)。

確保安全設(shè)計(jì)：您要檢查應(yīng)用程序的設(shè)計(jì)是否遵循軟件開發(fā)中常見的最佳實(shí)踐，例如為敏感信息添加保護(hù)并確保法規(guī)遵從性。在這里您可以找到10個(gè)軟件開發(fā)最佳實(shí)踐的列表。

實(shí)施

實(shí)現(xiàn)是創(chuàng)建應(yīng)用程序、調(diào)試和創(chuàng)建要測(cè)試的應(yīng)用程序的第一個(gè)版本的過(guò)程。這個(gè)階段的目標(biāo)是創(chuàng)建一個(gè)穩(wěn)定的應(yīng)用程序。

使用安全編碼指導(dǎo)原則：這些指導(dǎo)原則將警告您程序員犯的常見錯(cuò)誤，使您能夠避免這些錯(cuò)誤，并節(jié)省大量時(shí)間。一些常見的錯(cuò)誤包括存儲(chǔ)未加密的密碼。在這里，您可以找到CERT提供的十大安全編碼實(shí)踐的綜合列表。

靜態(tài)掃描：靜態(tài)應(yīng)用程序掃描工具（SAST）可以掃描新編寫的代碼中的漏洞，而無(wú)需運(yùn)行應(yīng)用程序。您可以在編寫代碼時(shí)使用它們來(lái)檢查bug，并在第一個(gè)版本之前糾正它們。下面是六個(gè)SAST工具，您可以考慮將其用于您的軟件。

手動(dòng)代碼檢查：在完成應(yīng)用程序的第一個(gè)版本后，應(yīng)該由熟悉軟件開發(fā)中的安全漏洞的高級(jí)開發(fā)人員進(jìn)行手動(dòng)代碼檢查。自動(dòng)化工具的速度要快得多，但它們?nèi)匀豢赡芎雎砸恍┲匾獑?wèn)題，因此執(zhí)行手動(dòng)檢查仍然非常有益。

測(cè)試和錯(cuò)誤修復(fù)

此階段的目的是發(fā)現(xiàn)并修復(fù)工作應(yīng)用程序中的錯(cuò)誤。這個(gè)階段包括運(yùn)行應(yīng)用程序并使用不同類型的輸入來(lái)查看應(yīng)用程序如何響應(yīng)。

模糊化和動(dòng)態(tài)掃描：動(dòng)態(tài)應(yīng)用程序掃描工具（DAST）通過(guò)在運(yùn)行時(shí)模擬攻擊來(lái)測(cè)試漏洞。模糊化包括使用自動(dòng)化工具根據(jù)特定模式生成隨機(jī)輸入，以檢查應(yīng)用程序是否能夠正確處理這些輸入。在這里您可以找到一些流行的DAST工具的列表。

滲透測(cè)試：滲透測(cè)試包括雇傭?qū)I(yè)的安全研究人員嘗試入侵您的應(yīng)用程序，以便找到任何使其進(jìn)入您的應(yīng)用程序的漏洞。你可以雇傭個(gè)別的公司/團(tuán)隊(duì)，也可以使用bug賞金計(jì)劃來(lái)眾包這一步。

測(cè)試環(huán)境停用：一旦不再需要測(cè)試環(huán)境，就應(yīng)該將其脫機(jī)或刪除（如果是虛擬機(jī)）。通常，這是由DevOps或IT團(tuán)隊(duì)監(jiān)督的。

對(duì)于測(cè)試環(huán)境來(lái)說(shuō)，訪問(wèn)internet以允許開發(fā)人員連接并完成他們的工作是很常見的。然而，有時(shí)即使在項(xiàng)目完成后，系統(tǒng)仍然保持在線。

由于該環(huán)境沒(méi)有被任何人使用，因此它將保持未修補(bǔ)狀態(tài)。面對(duì)互聯(lián)網(wǎng)，它將成為黑客們的一大攻擊目標(biāo)，這是可以理解的。

發(fā)布和維護(hù)

這是應(yīng)用程序向其目標(biāo)用戶啟動(dòng)的階段。即使應(yīng)用程序是實(shí)時(shí)的，這并不意味著工作已經(jīng)完成。應(yīng)用程序需要在其生命周期中進(jìn)行維護(hù)和改進(jìn)，并且需要修復(fù)可能的錯(cuò)誤。

正在進(jìn)行的安全檢查和修補(bǔ)程序：公司的安全團(tuán)隊(duì)或獨(dú)立供應(yīng)商應(yīng)定期進(jìn)行安全檢查。之后，每當(dāng)發(fā)現(xiàn)安全問(wèn)題時(shí)，就需要?jiǎng)?chuàng)建并發(fā)布修復(fù)程序。

這些檢查不需要無(wú)限期地進(jìn)行，但應(yīng)該在應(yīng)用程序發(fā)布后至少持續(xù)幾年。此外，當(dāng)您計(jì)劃停止支持應(yīng)用程序時(shí)，應(yīng)該提前向用戶發(fā)出聲明。

生命的終結(jié)

生命周期結(jié)束指的是不再受其開發(fā)人員支持的軟件。這意味著將沒(méi)有更多的補(bǔ)丁，更新，或錯(cuò)誤修復(fù)提供。包含敏感數(shù)據(jù)的應(yīng)用程序還需要?jiǎng)h除這些數(shù)據(jù)，以防止由于舊的和不安全的應(yīng)用程序而導(dǎo)致數(shù)據(jù)泄露。任何沒(méi)有針對(duì)安全相關(guān)缺陷進(jìn)行更新的應(yīng)用程序都不應(yīng)被視為安全的。

數(shù)據(jù)保留：政府和監(jiān)管機(jī)構(gòu)定義了不同類型數(shù)據(jù)的保留要求。確認(rèn)保留要求并確保在刪除應(yīng)用程序之前適當(dāng)?shù)卮鎯?chǔ)數(shù)據(jù)，這一點(diǎn)很重要。

數(shù)據(jù)處理：在應(yīng)用程序生命周期結(jié)束時(shí)，應(yīng)安全刪除所有敏感信息，包括所有個(gè)人信息、加密密鑰或API訪問(wèn)密鑰。此處的目的是確保對(duì)所有信息保密，防止數(shù)據(jù)泄露。以下是正確處理數(shù)據(jù)的一些技巧。

為最佳產(chǎn)品解決每個(gè)階段的安全問(wèn)題

軟件開發(fā)生命周期是一個(gè)廣泛流行的模板，每個(gè)步驟都有自己的要求，需要完成這些要求才能確保應(yīng)用程序的安全。

應(yīng)用商店中超過(guò)90%的頂級(jí)應(yīng)用程序至少被黑客攻擊過(guò)一次，這表明目前開發(fā)應(yīng)用程序的過(guò)程并不十分安全。在本指南中，我為您提供了與開發(fā)周期的每個(gè)步驟相關(guān)的活動(dòng)的安全提示。遵循這些提示，您可以確保應(yīng)用程序不太可能出現(xiàn)安全問(wèn)題。

首先在規(guī)劃階段，目標(biāo)是根據(jù)技術(shù)和法規(guī)要求正確規(guī)劃應(yīng)用程序。接下來(lái)，您需要基于安全的最佳實(shí)踐來(lái)設(shè)計(jì)應(yīng)用程序。您還需要實(shí)施適當(dāng)?shù)氖謩?dòng)和自動(dòng)測(cè)試，并讓主題專家對(duì)您的應(yīng)用程序進(jìn)行審查。如果您缺乏內(nèi)部專業(yè)知識(shí)或資金來(lái)雇傭安全專業(yè)人員進(jìn)行測(cè)試，您可以使用具有成本效益的bug賞金計(jì)劃方法。

一旦應(yīng)用程序發(fā)布，就需要定期檢查并修補(bǔ)新的bug。當(dāng)它的生命周期結(jié)束時(shí)，您需要保留的信息必須得到保護(hù)，所有剩余的信息都需要進(jìn)行處理以防止數(shù)據(jù)泄漏。