Skip to main content
if (empty($secureCodeDesign)) {return
FAIL; } или
Cisco Secure Development Lifecycle
Лукацкий Алексей, консультант по безопасности
Что такое защищенный код?
• 10% функций защиты
– МСЭ
– ACL
– криптография
• 90% защищенных функций
– Защита от переполнения
– Проверка входных данных
– Контроль выходных данных
• Требуется непрерывный процесс обеспечения и повышения
качества ПО, включающий решение различных задач
• Для Cisco важно не только программное обеспечение, но и
железо
– Включая риски Supply Chain Management
Как протестировать ПО?
Учет задач CSDL на всех этапах
Запрос на
продукт
Дизайн
продукта
Разработка
продукта
Тесты
продукта
Сертификация
Адаптация
Доверенная платформа
Архитектура
Подпись кода
Secure Boot
ASLR
Криптомодуль
Разработка функций
безопасности
Общие инструменты
и библиотеки
безопасности
Общие требования по
сертификации
Индустриальные
помощники
Тестирование и
проверка соответствия
Cisco Secure Development Lifecycle
Исследования
угроз
PSIRT
Сертификация
Бюллетени 3rd
Лучшие практики по обеспечению качества ПО
• Включает не только
анализ качества
ПО, но и также
• Правила
защищенного
программирования
• Регулярные тренинги
и программы
повышения
осведомленности
• Моделирование угроз
• Тестирование
• И т.д.
Меры по защите информации
Cisco Security Ninja: все начинается с тренингов и
повышения осведомленности
• Стимулирование изучения
CSDL широким спектром
сотрудников Cisco
• Система распознавания и
мотивации сотрудников
• Применение практик CSDL в
работе
PSIRT находит больше проблем, чем TAC
FY10 FY11 FY12
PSIRT
TAC
Библиотека угроз при разработке ПО ускоряет время
разработки
Библиотека угроз при разработке ПО ускоряет время
разработки
Модели угроз / графы атак
Оценка рисков для каждой угрозы позволяет учесть
приоритеты
Не только ПО: базовые требования по безопасности
Cisco SaaS
Рекомендации по защищенному программированию
Рекомендации для разработки облачных сервисов
Рекомендации по тестированию ПО
Чем тестировать ПО?
Как протестировать Cisco Smart Grid Router?
Как протестировать Cisco Smart Grid Router?
Как оценить для руководства? Пример SaaS-метрик
© Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 21
Благодарю вас
за внимание
security-request@cisco.com