Taobao SDL体系介绍

《Taobao SDL体系介绍》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、在互联网公司推行在互联网公司推行SDLSDL日期：2010年6月25日汇报人：张玉东邮箱：huangmei@taobao.com1什么是什么是SDLSDL•SDL–SecurityDevelopmentLifecycle培训需求分析设计实现验证发布响应线上扫描开发框架上线确认攻击面Fuzzing线上监控针对性培训风险评估编码规范遗留问题分析代码评审漏洞处理代码扫描信息记录应急响应2今天讲什么？今天讲什么？•与传统软件行业的SDL有何区别•为什么需要SDL•威胁建模•推行SDL有什么困难和挑战•一些经验3与传统软件行业的与传统软件行业的

2、SDLSDL有何区别有何区别•项目小所以开发周期短•产品上线更频繁•威胁模型需要基于整个互联网去考虑–网络安全–系统安全–应用安全–信息安全4为什么需要为什么需要SDLSDL•从产品研发各阶段把握项目安全性•使安全贴近业务，做到与时俱进•是所有安全规范/策略/机制的展现窗口5威胁建模威胁建模威胁威胁需求设计开发部署下线需求设计开发部署下线信息分级数据加密XSS配置管理数据备份三方合作认证授权SQL注入密钥管理资源回收Anti-Abuse日志审计CSRF版本控制敏感信息欺诈钓鱼风险分离文件上传…..…..…..…..….威胁建模方法威

3、胁建模方法主动发现问题处理外部反馈归纳馈反?SDL安全规范实现广推安全平台推行推行SDLSDL有什么困难和挑战有什么困难和挑战•增加研发成本•覆盖率问题•威胁模型需要不断的扩充•产品数量大(400+)•发布频繁(每周100)•外部环境恶劣，独善其身远远不够8推行过程中的一些经验推行过程中的一些经验•以研发流程为基础•依托流程管理部门去推动流程•前期沟通很重要•发展部门接口人•尽量获得研发部门高层的支持9Q&A10欢迎大家到淘宝购物！欢迎大家到淘宝购物！谢谢大家！谢谢大家！