SDL介绍----4、S-SDLC安全开发生命周期

---

一、S-SDLC

OWASP Secure Software Development Lifecycle Project(S-SDLC)是OWASP组织首个由OWASP中国团队独立发布并主导的研究项目，并在全球范围内正式发布。S-SDLC被越来越多的企业所重视，纷纷开始实施。

S-SDLC是安全软件开发生命周期，是一套完整的，面向Web和APP开发厂商的安全工程方法。帮助软件企业降低安全问些，提升软件安全质量。S-SDLC的理念来源于微软SDL，最终目标是帮助用户减少安全问题，并使用该方法从每个阶段提高总体安全级别。

S-SDLC实践原则是实践S-SDLC成功与否的决定性因素，即：S-SDLC实践中的安全活动应融入公司现有的系统开发和项目管理流程中，而不是新建一套针对S-SDLC的管理流程或系统。若新建一套安全管理流程，一方面增加安全人员审核和流程维护的工作量，另一方面开发和运维人员需重新适应全新的流程，很大程度上增加了信息系统开发和运维成本，最终可能导致S-SDLC被摒弃以失败告终。

---

二、 S-SDLC流程

S-SDLC定义了安全软件开发的流程，以及各个阶段需要进行的安全活动，包括活动指南，工具、模板等，主要包括：

1、培训：提供安全培训体系，包含安全意识培训，安全基础知识培训，安全开发生命周期流程培训和安全专业知识培训；
2、需求阶段：如何对软件产品的风险进行评估，建立基本的安全需求
3、设计阶段：提供安全方案设计及威胁建模
4、实现阶段：提供主流编程语言的安全编码规范，安全函数库以及代码审计方法
5、测试阶段：基于威胁建模的测试设计，Fuzzing测试，渗透测试
6、发布/维护阶段：建立漏洞管理体系

项目目标：
（1）制定面向Web和APP开发企业的安全开发流程
制定动态的安全开发流程，对安全活动及活动要求进行分级，不同类型的软件，可以根据产品的风险及可用的投入资源来确定开发过程中要执行的安全活动，明确活动的输入，输出，执行者及依赖关系；
（2）制定及开发安全基础培训课程
制定安全培训体系，确定不同的角色需要接受的培训内容及培训的周期；开发基础性的培训课程；
（3）根据实践经验，输出各个安全活动的方法指导及模板，主要的安全活动有：安全风险评估、设计Review、威胁建模、基于威胁建模的测试
（4）制定WEB应用/移动应用安全设计指南
（5）制定安全编码（C/C++、JAVA、PHP，C#）
（6）将OWASP现有项目，如开发指南、测试指南融合到软件全开发体系中；

---

三、S-SDLC项目流程

1、安全需求

SSDLC平台进行需求评审。
涉及人员：产品经理、安全审核人员等
输出结果。

2、安全设计

SSDLC平台进行需求评审。分析攻击面、威胁建模。
需求设计：合规、反爬、安全、风控等。
涉及人员：开发人员、测试人员、安全审核人员等
输出结果。

3、安全编码

使用批准的工具、安全组件、开源组件等等,进行安全扫描,上线代码审计工具、漏洞扫描工具等。
涉及人员：开发人员、安全人员等。
输出结果。
针对漏洞进行修复。
上线代码审计工具、漏洞扫描工具等。
输出结果。

4、安全测试

上线前安全测试人员进行安全测试。
涉及人员：安全人员，开发人员等
输出结果。
针对漏洞进行修复。
安全测试人员测试。
输出结果。

5、上线发版

---

参考链接：
https://wiki.owasp.org/index.php/OWASP_Secure_Software_Development_Lifecycle_Project#tab=Main