1.安全程序设计---安全编程基本概念

《1.安全程序设计---安全编程基本概念》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、安全程序设计授课教师：何慧计算机网络与信息安全技术研究中心1安全程序设计课程基础知识v编程基础（CC++编程，VisualC++)v操作系统(UNIX和Windows)v网络编程的基础v网络与信息安全22安全程序设计课程安排Classhours:Weeks11-15Tuse.，3-4p.m.A312Thus.，3-4p.m.A312Office:综合楼709Informationexchange:wewillmainlyuseemailEmail:hehui@hit.edu.cnContacttimes:aftercl

2、assorbyappointmentTransparencies:availableafterclass(*.pdf)邮箱secprog@hit.edu.cn中去下载33安全程序设计教材（一）v《编写安全的代码》(第二版)，又名:WritingSecureCode(SecondEdition)-微软公司核心技术书库作者:MichaelHoward,DavidLeBlanc著译者:程永敬等译出版社:机械工业出版社出版年:2005-144安全程序设计教材（二）v《软件安全测试艺术》，又名:TheArtofSoftwarese

3、curityTesting(IdentifyingSoftwareSecurityFlaws)作者:ChrisWysopal等著译者:程永敬等译出版社:机械工业出版社出版年:2007-155安全程序设计教材（三）v《程序设计实践》（双语版、英文版、中文版）又名:Thepracticeofprogrammingv作者：BrianW.Kernighan,RobPike（美）柯奈汉，（美）派克著v译者：裘宗燕v出版社：机械工业出版社v出版时间：2007-3、2002-46安全程序设计教材（四）v《C++编程思想》（第二版）—第

4、1卷：标准C++导引、实用编程技术v作者（美）埃克尔著v译者：刘宗田等译、刁成嘉等译v出版社：机械工业出版社v出版日期：2003-4、2006-177安全程序设计课程设置目的v背景：§网络安全问题是当前热点问题；§可信软件、可信计算、软件确保领域研究；§云计算、物联网应用安全需求产生！v本课程培养学生采用系统的设计方法，将安全性设计思想贯穿于系统设计开发、测试、发布过程。v使学生掌握最常见的、最新的安全编码技术，能够找出设计缺陷、代码缺陷，改进编码质量，改进测试过程和文档。v提高学生的专业程序设计素质，培养学生计算机安全

5、程序设计过程中安全编程的思想和安全编程的能力。software.hit.edu.cn8HIT-computerscience安全程序设计课程内容v第一部分：安全需求、安全设计原则与安全分析技术§概要说明为什么要保护系统安全免受攻击；设计这种系统的原则和分析技术；采用主动安全开发过程和威胁建模进行安全设计。v第二部分：应用程序的安全编码技术§基础部分：编程过程中的安全问题，包括缓冲区溢出问题、访问控制问题、安全设计的形式化描述模型，程序运行的权限及访问控制问题、输入的数据问题。v第三部分：安全测试、安全代码审查过程§软件测

6、试理论，安全设计过程中测试（例如内存泄漏）、安全代码审核等问题。software.hit.edu.cn9HIT-computerscience安全程序设计课程安排（1）v安全需求安全程序设计是可信软件开发以及可信计算的需求，让每个人都参与进来，分别从攻击者的优势和防御者的劣势角度讲解安全程序设计的背景。v主动的安全开发过程安全教育的角色、设计阶段工作、开发阶段工作、测试阶段、软件发行和维护阶段的工作，安全程序设计遵循的法则。v威胁建模威胁建模流程、分析攻击事件与漏洞威胁以及应用程序开发之间的关系，确定系统所面临的威胁、威

7、胁分级、选择威胁的应对策略和方法。v缓冲区溢出stack堆栈溢出、heap堆溢出、数据索引错误、格式化字符串等。software.hit.edu.cn10HIT-computerscience安全程序设计课程安排（2）v数据输入的安全问题防御输入攻击的策略、如何检查合法性、正则表达式的规范做法、规范文件名的问题、数据库输入问题、web特有的输入问题。v安全编程形式化描述模型以及确定适当的访问控制ACL、ACL组成、如何选择有效的ACL、ACL的创建、NULLDACL和其他危险的访问控制类型、NULLDACL。v特殊的安全

8、问题安全测试与一般测试的区别、使用安全模板进行测试、确定攻击面；安全代码的审查，包括多遍审查、内存泄漏审查、整数溢出审查、返回结果审查、额外检查指针类代码，并对软件的安装过程进行检查。software.hit.edu.cn11HIT-computerscience安全程序设计课程组织安全需求安全设计的背景威胁分析、分