SDL建设简介

为什么要用SDL

• 提升Web应用的安全性，减少Web应用的安全漏洞
• 降低安全漏洞修复成本

SDL是什么

• 安全开发生产周期 Security Development Lifecycle
• 符合Secure at the Source原则
• 来源于微软

SDL流程

培训

• 核心安全培训

需求

• 安全需求分析
• 质量要求/BUG数量要求
• 安全和隐私风险评估

设计

• 设计需求分析
• 减小攻击面
• 威胁建模

实施 （开发）

• 使用指定工具
• 弃用不安全函数
• 静态分析

验证 （QA）

• 动态分析
• 模糊测试
• 威胁模型和攻击面评析

发布

• 事件响应计划
• 最终安全评析
• 发布存档

响应

---

参考

• 网易“白帽子黑客”训练营
• http://mooc.study.163.com/smartSpec/detail/1001227001.htm