Entendendo o Ciclo de Desenvolvimento Seguro

777 visualizações

Publicada em

Sobre SDL ou SDLC: Ciclo de vida de desenvolvimento seguro de software ou sistemas

Publicada em: Tecnologia
0 comentários
1 gostou
Estatísticas
Notas
  • Seja o primeiro a comentar

Sem downloads
Visualizações
Visualizações totais
777
No SlideShare
0
A partir de incorporações
0
Número de incorporações
7
Ações
Compartilhamentos
0
Downloads
17
Comentários
0
Gostaram
1
Incorporações 0
Nenhuma incorporação

Nenhuma nota no slide

Entendendo o Ciclo de Desenvolvimento Seguro

  1. 1. ENTENDENDO O SDLC Security Development Lifecycle Kleitor Franklint kleitor@prodam.am.gov.br Líder OWASP capítulo Manaus Fábrica de Teste PRODAM
  2. 2. KLEITOR Entusiasta da Vida, Qualidade, Colaborativos, Ágil, Teste e Testes Ágeis. kleitor.franklint@gmail.com br.linkedin.com/in/kfranklint 92-99416-0873
  3. 3. SDL ou SDLC: Ciclo de vida de desenvolvimento de software ou sistemas. Ou ainda: Ciclo de vida de desenvolvimento seguro. Para não confundir: S-SDL ENTENDENDO O SDLC
  4. 4. Outras propostas ao título: Construindo segurança no seu SDL; SDL, adotando uma proposta peso leve; Construindo aplicações seguras com práticas ágeis; Ou ainda... DESENVOLVIMENTO SEGURO É MAIS SIMPLES QUE VOCÊ PENSA! ENTENDENDO O SDLC
  5. 5. S- SDL: UM ROADMAP
  6. 6. S-SDL?S-SDL?  É um programa de práticas no qual segurança é só mais um atributo de software como usabilidade, desempenho, escalabilidade, etc;  Insiste na incorporação de segurança ao Ciclo de Vida de Desenvolvimento de Software;  Hackers podem quebrar redes e aplicações de várias formas, por isso existe a proposta de S-SDL;  O objetivo cresce sistematicamente. Cada fase do SDLC vai insistir em segurança para além do atual conjunto de atividades.  Existe porque vulnerabilidades são identificadas muito tardiamente ou quando violações de segurança ocorrem.
  7. 7. Iniciativas S-SDLIniciativas S-SDL
  8. 8. Uma proposta de S-SDLUma proposta de S-SDL  Abordagem sistemática flexível que agregue mais valor ao conhecimento;  Orientada a práticas ágeis;  Integração fácil com atividades correlatas;  Atividades divididas em processos discretos e simples;  Que seja fácil de adotar com sua maneira de trabalhar;  Que resulte em melhorias incrementais à segurança que sejam facilmente realizáveis, repetíveis e mensuráveis.​​ ​​
  9. 9. Não importa sua metodologia de projetoNão importa sua metodologia de projeto S-SDL ágil, prático e adaptávelS-SDL ágil, prático e adaptável
  10. 10. Beneficios do SDLBeneficios do SDL  Erradicar defeitos o mais cedo possível para ser economicamente viável;  Colabora com integração com compliance;  Solução para problemas que não foram ainda claramente definidos;  Consciência de engenharia potencial causado por problemas de segurança;  Identificação dos serviços de segurança compartilhada e reutilização de estratégias e ferramentas de segurança;  Melhoria na tomada de decisão através de um processo de gestão de risco global em tempo hábil;
  11. 11. ÁGIL = Valorável, Leve, Possível e Prático. Integrar objetivos de segurança com requisitos Avaliação de Riscos Integrar atividades, responsáveis, padrões e modelos Modelagem de ameaças Alinhar com objetivos e requisitos de segurança; Codificação segura, SAST, Spikes. DAST, Fuzz Teste Black Box. Avaliar resultados. Deploy seguro, Teste black box post production Monitoramento de incidentes, Revisão da Infra. Manutenção Monitoramento, aprendizado, Revisões, Análises Atividades do S-SDL Treinamento
  12. 12. Estratégias de adoção de S-SDLEstratégias de adoção de S-SDL
  13. 13. RACIONALIZAÇÃO DO ESFORÇO Classifique suas Aplicações Classifique suas Atividades “One time”, “Every Sprint”, “Bucket requirements” ( não precisam estar completos , menos importantes, e com menos regularidade).
  14. 14. Atividades no S-SDL: Planejamento e Requisitos  Definir objetivos de segurança no plano de requisitos;  Modelar riscos;  Definir e monitorar métricas;  Aplicar requisito a cada fase;  Revisar. Não se pode testar a segurança mais que se pode testar a qualidade.
  15. 15. Atividades no S-SDL: Planejamento e Requisitos Definir objetivos de segurança no plano de requisitos. Requisitos podem ser adicionados como tarefas dentro de um release; Todos os requisitos “every sprint” devem estar completos e exceções a eles garantidas; Pelo menos um requisito da categoria Bucket deve estar pronto, ou um exceção concedida a ele; Nenhum requisito “One time” excedeu período de carência. Modelar riscos. Defina o escopo: orientada a Empresa, a projeto ou a problema. Uma lista simples com plano de mitigação integrada ao plano de requisitos é um bom começo. Definir e monitorar métricas. Desenvolver estratégias para gerar métricas; Definir métricas alcançaveis e aplicáveis; Como as métricas serão relatadas: relatório de teste, bugtrack, daily scrum, dashboard, etc Contabilize as vulnerabilidades "pre-SDL" e “pós-SDL por período;
  16. 16. Modelagem de ameaças ( crítico every sprint, apenas os novos ); Desenho de casos de uso de vulnerabilidade; Desenho da arquitetura segura; Desenho do deploy: Definir padrões de codificação segura; Desenho do deploy; Definir padrões de codificação segura; Definir atividades e responsáveis; Revisar: checklist Atividades no S-SDL: Design e arquitetura
  17. 17. Modelagem de ameaças ( crítico every sprint, apenas os novos ): - Pode ser textual, owasp top 10, diagrama de fluxo; - Um mínimo, mas útil, pode ser feito analisando pontos de entrada de alto risco e dados no sistema. Desenho de casos de uso de vulnerabilidade: - Quais os serviços de segurança podem ser tornar vulneráveis em aplicações; Desenho da arquitetura segura: - Configuração essencial servidor web ou app, patches; Desenho do deploy: - Criptografia, conf. mudanças; Definir padrões de codificação segura: - Uso de APIs, OWAP guides, etc; Atividades no S-SDL: Design e arquitetura
  18. 18.  Utilizar melhores práticas de codificação segura; - CERT Secure Coding Initiative28, O WASP CLASP, Microsoft SDL. - Não defina modelos semideuses, pense em viável e produtivo.  Executar análise estática de código(SAST); Cumprir: alinhar Design, arquitetura e requisitos de segurança; - Meu ambiente está pronto? Use um spike como experimento de codificação e teste; Revisão: periódica ou pró sprint Atividades no S-SDL: Desenvolvimento
  19. 19. Black box manual e automatizado (DAST); - Pentest, funcional, desempenho, fuzz em pre-produção. Gerar relatórios de vulnerabilidades e recomendações; Avaliação de resultados e métricas; - Times de teste, desenvolvimento e analistas. Atividades no S-SDL: Teste
  20. 20. Deploy seguro; Teste black box pós produção; Monitoramento de incidentes; Revisão de configurações de servidores e rede; Atividades no S-SDL: Produção
  21. 21. Lições aprendidas; Monitoramento das vulnerabilidades: leve o software ao medico a cada release; Revisões: processo, projeto ou problema. Atividades no S-SDL: Manutenção
  22. 22. Atividades do S-SDL Integrar objetivos de segurança com requisitos Avaliação de Riscos Integrar atividades, responsáveis, padrões e modelos Modelagem de ameaças Alinhar com objetivos e requisitos de segurança; Codificação segura, SAST, Spikes. DAST, Fuzz Teste Black Box. Avaliar resultados. Deploy seguro, Teste black box post production Monitoramento de incidentes, Revisão da Infra. Manutenção Monitoramento, aprendizado, Revisões, Análises Avaliação de Maturidade do S-SDL
  23. 23. 23 POSSO COLABORAR COM MAIS RESPOSTAS? kleitor.franklint@gmail.com br.linkedin.com/in/kfranklint 92-99416-0873

×