Segurança de Aplicações Aula 6

Transcrição

1 Segurança de Aplicações Aula 6 Prof. Msc. Anderson da Cruz

2 Apresentação Atividade Apresentação da atividade realizada na aula 4 2

3 Desenvolvimento de Software 3

4 Modelos de Desenvolvimento de Software Cascata Espiral Prototipação Incremental Métodos Ágeis 4

5 Cascata 5

6 Espiral 6

7 Espiral Foco em grandes projetos Utilizado pelo Exército Americano Favorece as estimativas Versátil com relação a mudanças 7

8 Prototipação 8

9 Prototipação Abordagem de desenvolvimento baseado na evolução do software Tem início com uma versão inicial do software (protótipo) Esta versão é alterada de acordo com a avaliação do cliente até ser considerada finalizada, entrando em produção 9

10 Incremental Modelo clássico Criado para atender a fragilidades do modelo de desenvolvimento em cascata Possui padrões de desenvolvimento, como: RUP Desenvolvimento Ágil 10

11 Incremental Entregas parciais facilitam a correção de erros Requisitos não identificados no início do projeto pode ser desenvolvidos nos incrementos Melhoria contínua Entregas parciais favorecem o cumprimento dos prazos Facilita a manutenção 11

12 Incremental Dificuldade em determinar o número de interações do projeto Dificuldade em gerir o custo do projeto A verba pode acabar antes da última interação 12

13 RUP 13

14 RUP Rational Unified Process Abordagem orientada a objetos para concepção de projetos Utiliza UML para documentação Fases Concepção Elaboração Construção Transição 14

15 RUP Baseado nos 4 Ps Pessoas Projeto Produto Processo 15

16 Desenvolvimento Ágil 16

17 Princípios Garantir a satisfação do consumidor entregando rapidamente e continuamente softwares funcionais; Softwares funcionais são entregues frequentemente (semanas, ao invés de meses); Softwares funcionais são a principal medida de progresso do projeto; Até mesmo mudanças tardias de escopo no projeto são bemvindas. Cooperação constante entre pessoas que entendem do 'negócio' e desenvolvedores; 17

18 Princípios Projetos surgem através de indivíduos motivados, entre os quais existe relação de confiança. Design do software deve prezar pela excelência técnica; Simplicidade; Rápida adaptação às mudanças; Indivíduos e interações mais do que processos e ferramentas; Software funcional mais do que documentação extensa; Colaboração com clientes mais do que negociação de contratos; Responder a mudanças mais do que seguir um plano. 18

19 Manifesto Ágil Indivíduos e interação entre eles mais que processos e ferramentas Software em funcionamento mais que documentação abrangente Colaboração com o cliente mais que negociação de contratos Responder a mudanças mais que seguir um plano 19

20 Como avaliar a segurança no processo de desenvolvimento Como a empresa funciona Quais softwares são desenvolvidos Quais modelos de desenvolvimento utilizados Quais plataformas adotados Quanto vale a aplicação (informação manipulada) 20

21 Microsoft SDL 21

22 Microsoft SDL Treinamento Núcleo de formação de Segurança Considerado como um pré-requisito para o SDL Envolve programadores, testadores e gerentes 22

23 Microsoft SDL Requisitos Requisitos de Segurança e Privacidade Define critérios mínimos de segurança e privacidade Criação de Portais de Qualidade Local em que informações de qualidade são mantidas, como: bugs, vulnerabilidades etc. Avaliação de Risco de Segurança e Privacidade Identifica aspectos funcionais que necessitam mais análise 23

24 Microsoft SDL Projeto Estabelecer Requisitos de Projeto Define as especificações de segurança e privacidade do projeto, assim como sua revisão e requisitos de criptografia Análise/Redução da Superfície de Ataque Utiliza o princípio do menor privilégio Modelagem de Ameaças Entender as potenciais ameaças que podem afetar o sistema 24

25 Microsoft SDL Implementação Uso de ferramentas aprovadas Define as ferramentas que podem ser utilizadas no desenvolvimento do software Depreciar Funções Inseguras Define funções proibidas Uso de ferramentas de varredura para auditar o código Realizar análise estática Análise do código fontes antes de compilar o software 25

26 Microsoft SDL Verificação Realizar Análise Dinâmica Analisa a execução do software em tempo de execução Monitoramento do comportamento do software Fuzz Testing Testa o software com o uso de dados malformados e/ ou aleatórios Revisão superfície de ataque Prática que garante que todas as alterações no projeto e implementações levaram em consideração com relação a analise de superfície de ataque 26

27 Release Plano de Resposta a Incidentes Defines os contatos apropriados em caso de emergência Também considera códigos herdados de terceiros Revisão Final de Segurança Revisão de todas as questões relacionadas a segurança antes da entrega do software Entrega/Pacote Certifica se o cliente está satisfeito e se dos requisitos de segurança e privacidade foram atendidos 27

28 Resposta Executar Plano de Resposta a Incidentes Caso alguma ameaça não considerada seja identificada, o plano de resposta a incidentes tem início 28