در حال بارگذاری...
فعالیت‌های امنیتی که باید قبل از شروع توسعه نرم‌افزار انجام شوند: سیاست‌گذاری، آموزش و برنامه‌ریزی تست.
اهداف این درس
فاز ۱ از چارچوب تست امنیت وب OWASP شامل تمام فعالیت‌هایی است که قبل از شروع نوشتن کد باید انجام شوند. این فاز پایه و اساس تمام فعالیت‌های امنیتی بعدی را تشکیل می‌دهد و شامل سه بخش اصلی است: سیاست‌گذاری امنیتی، آموزش تیم و برنامه‌ریزی تست.
سیاست‌های امنیتی (Security Policies) اسنادی هستند که الزامات امنیتی سازمان را تعریف می‌کنند. این سیاست‌ها باید قبل از شروع توسعه تدوین شوند تا تیم توسعه بداند چه معیارهایی باید رعایت کند.
علاوه بر سیاست‌های داخلی، باید استانداردهای امنیتی صنعت نیز در نظر گرفته شوند. این استانداردها چارچوب‌های معتبری برای تعریف الزامات امنیتی ارائه می‌دهند:
| استاندارد | کاربرد | ویژگی |
|---|---|---|
| OWASP ASVS | الزامات امنیتی برنامه | سه سطح امنیتی |
| PCI DSS | پرداخت الکترونیکی | الزامات سختگیرانه |
| ISO 27001 | مدیریت امنیت اطلاعات | چارچوب جامع |
| NIST | راهنمای امنیت | استاندارد ملی آمریکا |
آموزش امنیت یکی از مؤثرترین سرمایه‌گذاری‌ها در امنیت برنامه است. توسعه‌دهندگانی که اصول امنیتی را می‌دانند، از ابتدا کد امن‌تری می‌نویسند و آسیب‌پذیری‌های کمتری ایجاد می‌کنند.
Security Champions
Security Champions اعضای تیم توسعه هستند که آموزش‌های تخصصی امنیت دیده‌اند و نقش رابط بین تیم توسعه و تیم امنیت را ایفا می‌کنند. وجود آن‌ها در هر تیم توسعه توصیه می‌شود.
برنامه تست (Test Plan) سندی است که دامنه، روش‌شناسی، منابع و زمان‌بندی تست را تعریف می‌کند. این سند باید قبل از شروع تست تهیه شود.
انتخاب ابزارهای مناسب تست امنیت یکی از تصمیمات مهم در فاز ۱ است. ابزارها باید متناسب با تکنولوژی، اندازه و بودجه پروژه انتخاب شوند.
| دسته | مثال | کاربرد |
|---|---|---|
| SAST | SonarQube, Semgrep | تحلیل کد منبع |
| DAST | OWASP ZAP, Burp Suite | تست برنامه در حال اجرا |
| SCA | Snyk, Dependabot | تحلیل وابستگی‌ها |
| IAST | Contrast Security | تحلیل ترکیبی |
توصیه عملی
با ابزارهای رایگان و متن‌باز مثل OWASP ZAP شروع کنید. نیازی نیست ابتدا ابزارهای گران‌قیمت بخرید.
سیاست‌های امنیتی باید قبل از شروع توسعه تعریف شوند.
آموزش امنیت برای تمام اعضای تیم ضروری است.
برنامه تست باید شامل دامنه، روش‌شناسی و معیارهای موفقیت باشد.
ابزارهای تست باید در این فاز انتخاب و آماده شوند.
کدام فعالیت مربوط به فاز ۱ (قبل از توسعه) است؟
چه فعالیت‌هایی باید قبل از شروع توسعه انجام شود؟
قبل از شروع توسعه باید: ۱) سیاست‌های امنیتی سازمان تعریف شود، ۲) استانداردهای امنیتی انتخاب شود، ۳) تیم توسعه آموزش ببیند، ۴) ابزارهای تست انتخاب شود، ۵) برنامه تست تهیه شود.