软件安全设计

目录

一，STRIDE 威胁建模

1，STRIDE

2，总体流程（关键步骤）

3，数据流图的4类元素

二，安全设计原则

三，安全属性

---

一，STRIDE 威胁建模

1，STRIDE

STRIDE 是由Microsoft安全研究人员于 1999 年创建，是一种以开发人员为中心的威胁建模方法，通过此方法可识别可能影响应用程序的威胁、攻击、漏洞，进而设计对应的缓解对策，以降低安全风险并满足公司的安全目标。

STRIDE为每一种威胁英文的首写字母，​​​​​​Spoofing欺骗、Tampering篡改、Repudiation否认、Information disclosure信息泄露、Denial of Service拒绝服务、Elevation of privilege特权提升。

2，总体流程（关键步骤）

绘制数据流图

分析威胁

评估风险

制定消减措施

落实消减措施

3，数据流图的4类元素

外部实体、处理过程（进程）、数据存储、数据流

数据存储中Repudiation（抵赖）是红色，表示只有存储的数据是审计类日志才会有抵赖的风险，存储其他数据的时候无抵赖。

二，安全设计原则

设计	安全原则
开放设计	假设攻击者具有源代码和规格。
故障安全预设值	出故障时自动关闭，无单点故障。
最低权限	只分配所需的权限。
机制经济性	保持简单、易懂的特性。
分离权限	不允许根据单一条件执行操作。
失败-默认安全原则	默认不允许访问
最低公用机制	注意保护共享资源。
心理可接受性	他们将使用它吗？
完全仲裁原则	对每个对象进行安全检查审核，设计到后端，不要设计到前端
纵深防御原则	系统级别的安全设计，同时保护薄弱环节

三，安全属性

安全属性	详细
机密性	数据只应限具有权限的人员访问。
完整性	数据和系统资源只限适当的人员以适当的方式进行更改。
可用性	系统在需要时一切就绪，可以正常操作。
身份验证	建立用户身份（或者接受匿名用户）。
授权	明确允许或拒绝用户访问资源。
认可	用户无法在执行某操作后否认执行了此操作。

例子：