Безопасная разработка программного обеспечения

Программа курса.

Безопасная разработка программного обеспечения

1.     Актуальность безопасной разработки программного обеспечения

• Мировые тенденции

• Российские особенности (протестное ПО)

2.     История появления методов безопасной разработки ПО

3.     Термины и определения

• Уязвимости информационной системы (классификация)

• Чем уязвимость отличается от недостатка

4.     Нормативная база. Какие документы действуют и по каким ведомствам.

5.     Описание цикла безопасной разработки программного обеспечения

6.     Методы тестирования (описание, преимущества и недостатки)

7.     Основные базы угроз и уязвимостей и их использование

• Mitre

• БДУ ФСТЭК

8.     Система сертификации России. Почему требования нужно соблюдать.

9.     ГОСТ Р 56939-2016 «Общие требования по разработке БПО»

• Принципы, заложенные в него и основа, на которой он базируется

• Структура и общие требования

• Область применения

• Термины и определения

• Меры по безопасной разработке

• Какие нормативные документы в поддержку ГОСТ Р 56939-2016 выпущены и что готовится к выпуску

10. Основные шаги по внедрению мер БПО

11. Управление конфигурацией.

• Требования к документу.

• Применение инструментов автоматизации.

• Структура документа документация управления конфигурацией.

12. Программа обучения сотрудников.

• Кто имеет право проводить обучение. Требования к обучению.

• Журнал обучения сотрудников

13. Моделирование угроз безопасности

14. Описание архитектуры безопасности

15. Анализ уязвимостей. Тестирование на проникновение.

• Основные понятия

• Наиболее распространенные уязвимости: OWASP top10, OWASP ZAP

• Инъекции. Понятия и применение, инструменты автоматизации.

• Анализ уязвимостей при использовании компонентов с известными уязвимостями

• Нарушение контроля доступа. Суть, разновидности, особенность, методика атаки)

• Раскрытие чувствительной информации. Суть, последствия, схема.

16. Функциональное тестирование

17. Статический анализ объекта оценки

• Общее понятие, преимущества и недостатки, виды статического анализа, принцип работы статического анализатора.

• Основные этапы статического анализа

18. Code review

• Общее понятие, преимущества и недостатки

• Формирование отчета

19. Динамический анализ кода

• Общее понятие, преимущества и недостатки

• Формирование отчета

20. Файзинг-тестирование объекта оценки

• Общее понятие, преимущества и недостатки, виды файзинг-тестирования, принцип работы инструментов файзинг-тестирования.

• Основные этапы файзинг-тестирования

21. Формирование регламента обновления и устранения недостатков