安全軟件開發(fā)之道構(gòu)筑軟件安全的本質(zhì)方法.pdf
http://www.www.srpcoatings.com
2020年11月26日
![]() |
| 第1頁 |
![]() |
| 第5頁 |
![]() |
| 第20頁 |
![]() |
| 第27頁 |
![]() |
| 第31頁 |
![]() |
| 第279頁 |
參見附件(66133KB,322頁)。
安全軟件開發(fā)之道:構(gòu)筑軟件安全的本質(zhì)方法被譽(yù)為安全技術(shù)領(lǐng)域的“黃帝內(nèi)經(jīng)”,由安全技術(shù)大師親力打造,暢銷全球,數(shù)位安全技術(shù)專家聯(lián)袂推薦。綜合論述如何在軟件開發(fā)整個生命周期內(nèi)建立安全屏障,對于設(shè)計(jì)安全的軟件給出了高屋建瓴的指南,全面翔實(shí),深入淺出

內(nèi)容簡介
本書分為兩大部分。第一部分介紹在編寫代碼之前應(yīng)該了解的軟件安全知識,講解如何在軟件工程的實(shí)踐中引入安全性,任何涉及軟件開發(fā)的人都應(yīng)該閱讀。主要內(nèi)容包括:軟件安全概論、軟件安全風(fēng)險管理、技術(shù)的選擇、開放源代碼和封閉源代碼、軟件安全的指導(dǎo)原則、軟件審計(jì)。第二部分涉及軟件開發(fā)實(shí)現(xiàn)的細(xì)節(jié),介紹如何在編程中避免一些常見的安全問題,適合編程一線的技術(shù)人員參考。主要內(nèi)容包括:緩沖區(qū)溢出、訪問控制、競爭條件、隨機(jī)性和確定性、密碼學(xué)的應(yīng)用、信任管理和輸入驗(yàn)證、口令認(rèn)證、數(shù)據(jù)庫安全、客戶端安全、穿越防火墻等。
作者簡介
John Viega美國著名軟件安全技術(shù)專家,曾任安全軟件解決方案公司(www.securesw.com)CTO。他設(shè)計(jì)并發(fā)布了安全領(lǐng)域內(nèi)的許多工具,包括代碼掃描器(ITS4和RATS)、隨機(jī)數(shù)套件(EGADS)、自動修補(bǔ)工具以及安全編程庫等。他還是Mailman的原始開發(fā)者、GNU郵件列表的管理者。Gary McGraw美國Cigital公司CTO,在安全風(fēng)險管理領(lǐng)域從事軟件安全性研究和技術(shù)規(guī)劃工作。他是美國空軍研究實(shí)驗(yàn)室、DARPA、美國國家科學(xué)基金以及NIST高級技術(shù)項(xiàng)目的資助對象和首席調(diào)研員。曾經(jīng)撰寫了多本安全技術(shù)圖書。殷麗華博士,IEEE會員,現(xiàn)任職于中國科學(xué)院信息工程研究所。主持和參加國家973、863、自然科學(xué)基金、***安全產(chǎn)品專項(xiàng)等多項(xiàng)***重大項(xiàng)目,具有豐富的軟件開發(fā)與組織管理經(jīng)驗(yàn)。研究領(lǐng)域包括網(wǎng)絡(luò)與信息安全、安全性分析、物聯(lián)網(wǎng)安全技術(shù)等。張冬艷博士,計(jì)算機(jī)學(xué)會會員,任職于北京科技大學(xué)計(jì)算機(jī)與通信工程學(xué)院,承擔(dān)或參與了多項(xiàng)相關(guān)領(lǐng)域的重大課題,積累了豐富的項(xiàng)目開發(fā)與管理經(jīng)驗(yàn)。主要研究方向是網(wǎng)絡(luò)與信息安全、網(wǎng)絡(luò)多媒體傳輸?shù)。郭云川博士,曾參與多項(xiàng)***網(wǎng)絡(luò)與信息安全項(xiàng)目建設(shè),目前主要從事物聯(lián)網(wǎng)隱私保護(hù)研發(fā)工作。主要研究方向?yàn)榘踩治、物?lián)網(wǎng)安全技術(shù)、形式化方法等。顏?zhàn)右共┦,曾參與分布式、嵌入式、高性能計(jì)算等類型的多個軟件系統(tǒng)的開發(fā)工作,目前主要從事醫(yī)學(xué)圖像處理研究和大型醫(yī)療裝備系統(tǒng)的開發(fā)工作。
軟件安全概論
計(jì)算機(jī)安全是一個重要的課題。隨著經(jīng)濟(jì)的發(fā)展,網(wǎng)絡(luò)滲入到我們生活的點(diǎn)點(diǎn)滴滴,安全和隱私越來越重要。計(jì)算機(jī)安全已經(jīng)不再僅僅是前沿技術(shù),而開始逐漸影響我們的日常生活。
關(guān)于安全問題的討論可能出現(xiàn)在任何地方,從新聞頭條到電視脫口秀,都不足為奇。
由于普通公眾對安全知之不多,因此大部分關(guān)于計(jì)算機(jī)安全的討論都包含在基礎(chǔ)的技術(shù)話題之中,例如什么是防火墻,什么是密碼,哪個防病毒產(chǎn)品更好。大部分計(jì)算機(jī)安全問題報道的熱點(diǎn)話題,通常與難以控制的病毒或者惡意攻擊有關(guān)。歷史上,大眾媒體更多關(guān)注病毒和拒絕服務(wù)攻擊,很多人仍然記得庫爾尼科娃蠕蟲(Anna Kournikova worm)、愛蟲(Love Bug)或者梅利莎病毒(Melissa virus ad nauseam)。這些話題無疑是非常重要的。
不過,媒體在報道安全問題時通常沒有涉及問題的核心。其實(shí),在每個計(jì)算機(jī)安全問題背后,在每個惡意攻擊背后,都存在一個共同問題-糟糕的軟件。
什么是Bugtraq
Bugtraq郵件清單由secrityfocus.com管理,這是一個致力于研究安全問題的電子郵件討論組。許多安全漏洞最早在Bugtraq里披露(這產(chǎn)生了大量信息),Bugtraq上有效信息含量較低,建議讀者在閱讀這些信息時加以鑒別。不管怎樣,這里通常是安全入侵新聞和相關(guān)技術(shù)討論的來源。大量的計(jì)算機(jī)安全報道使用Bugtraq信息作為原始信息。
Bugtraq最早以“完全披露”出名,這種有爭議的方式讓安全漏洞公諸于世,從而使廠商能盡快修復(fù)這些問題。這種做法是由廠商漠視安全問題的眾多案例造成的,廠商往往會認(rèn)為幾乎沒有用戶會發(fā)現(xiàn)這些漏洞,所以拒絕修正。
如果對你而言Bugtraq的有效信息含量太低,那么securityfocus.com網(wǎng)站上會有最新的漏洞信息。
什么是安全
目前為止,我們一直在回避這個經(jīng)常被問到的問題:什么是安全?對不同的人來說,安全意味著不同的事,甚至對同一個人來說,不同情況下,安全也意味著不同的事。對我們來說,安全可歸結(jié)為執(zhí)行描述資源訪問規(guī)則的策略。如果不希望非授權(quán)用戶登錄系統(tǒng).但他們登錄了,那么就說有一個登錄安全被違反了。類似地,如果有人有針對性地執(zhí)行了一個拒絕服務(wù)攻擊(DOS),那么他們就違反了訪問我們的服務(wù)器或者產(chǎn)品的可用性策略。
在許多情況下,并不需要顯式的安全策略,因?yàn)殡[式的安全策略是相當(dāng)明顯且得到廣泛認(rèn)同的。
然而,如果沒有定義良好的策略,就難以判斷某個事件是否真的破壞安全。一次端口掃描是否是破壞安全?需要采取行動來反擊這種“攻擊”嗎?對這一問題沒有統(tǒng)一的答案。盡管對這些灰色地帶有廣泛的證據(jù)表明不夠安全,大多數(shù)人仍然傾向于使用隱式策略使他們遠(yuǎn)離這些問題。相較于鑒定某人的某個特定行為是不是一個安全問題來說,我們擔(dān)心的是事情的后果是否嚴(yán)重,或者對于潛在的問題有什么事情是我們可以做的。
安全軟件開發(fā)之道構(gòu)筑軟件安全的本質(zhì)方法截圖



您現(xiàn)在查看是摘要介紹頁, 詳見PDF附件(66133KB,322頁)。
之道構(gòu)筑軟件安全的本質(zhì)方法_1.jpg)
之道構(gòu)筑軟件安全的本質(zhì)方法_2.jpg)
之道構(gòu)筑軟件安全的本質(zhì)方法_3.jpg)
之道構(gòu)筑軟件安全的本質(zhì)方法_4.jpg)
之道構(gòu)筑軟件安全的本質(zhì)方法_5.jpg)
之道構(gòu)筑軟件安全的本質(zhì)方法_6.jpg)