scrum sprint_将安全性纳入Sprint

scrum sprint

要构建安全的应用程序，您不能等到最后，并希望“测试安全性”。 对于遵循敏捷方法（例如Scrum）的团队，这意味着您必须找到一种在Sprint中增加安全性的方法。 方法如下：

冲刺零

需要在Sprint Zero中预先包含一些基本的安全步骤：

1. 平台选择–选择语言和应用程序框架时，请花一些时间来了解它们提供的安全功能。 然后四处寻找诸如Apache Shiro （用于身份验证，会话管理和访问控制的框架）， Google KeyCzar （加密）和OWASP Java Encode r（XSS保护）之类的安全性库，以填补所有空白。
2. 数据隐私和合规性要求–确保您了解出于合规性目的（包括PII）需要保护和审核数据以及需要向合规性审核员证明的内容。
3. 安全开发培训–检查团队的技能水平，并根据需要填写安全编码培训。 如果您负担不起培训费用，请购买几份 Iron-Clad Java副本，并查看SAFECode的免费安全代码研讨会 。
4. 编码指南和代码审查指南–考虑适合的安全性。请参阅CERT的Secure Java编码指南 。
5. 测试方法–规划持续集成管道中的安全单元测试。 然后选择一个静态分析工具，并将其连接到Continuous Integration中。 在以后的开发中计划笔测试或其他安全阶段的门/检查。
6. 指派安全主管–团队中具有安全开发方面的经验和培训（或将接受安全开发方面的额外培训）的人员，或来自Infosec的人员，他们将充当风险评估，牵头威胁建模会议，协调的关键人员笔测试，扫描和分类发现的漏洞，使新开发人员能够快速上手。
7. 事件响应–考虑团队将如何帮助操作人员响应中断和安全事件。

早期冲刺

最初的几个Sprint是在开始扩展应用程序的攻击面时，您在其中开始进行设计并构建平台，并在其中建立关键接口和集成点的第一个。

您需要进行威胁建模以了解安全风险并确保正确处理它们。

从Adam Shostack的四个基本威胁建模问题开始：

1. 你在建什么
2. 有什么问题吗？
3. 你打算怎么办呢？
4. 您在1-3时做得令人满意吗？

交付功能（安全）

许多开发工作照常进行，提供的功能与您已经完成的其他功能非常相似：另一个屏幕，另一个API调用，另一个报表或另一个表。 在执行此工作时，需要牢记一些基本的安全问题。 确保检查并修复了由静态分析工具或安全测试发现的问题。 在代码审查中请注意框架和库的正确使用，以及错误和异常处理以及防御性编码 。

当出现安全故事 （新的安全功能或对安全性或隐私要求的更改）时，请花一些时间，并在处理涉及金钱或机密数据等重要内容的功能时考虑一下滥用者的故事。机密或命令和控制功能。

重型起重

在进行繁重的工作时，您需要考虑安全性：大规模重构，升级框架代码或安全性，运行时平台，引入新的API或与新系统集成。 就像您初次开发该应用程序时一样，花费额外的时间进行威胁建模，并在测试和评论时更加小心。

安全冲刺

在开发的后期，您可能需要运行安全性Sprint或强化Sprint-使应用程序准备好发布到生产环境，或者处理笔测试或漏洞扫描或安全性审核的结果，或者在执行之后进行清理安全漏洞。

这可能涉及全部或部分团队。 它可能包括检查和修复在笔测试或扫描中发现的漏洞。 检查第三方和开源组件中的漏洞并进行修补。 与操作人员一起检查并强化运行时配置。 更新和检查事件响应计划，或改进代码检查或威胁建模实践，或检查和改进安全测试。 或以上所有。

去做就对了。

将安全性添加到Sprint中并不一定很困难或花费很多。 这样的简化方法将使您花很长的时间来构建安全软件。 而且，如果您想更深入地研究如何将安全性纳入Sprint中，可以尝试使用Microsoft的SDL for Agile 。 去做就对了。

翻译自: https://www.javacodegeeks.com/2015/03/putting-security-into-sprints.html

scrum sprint