کتاب The Security Development Lifecycle که شامل best practice هایی برای پیاده سازی امن نرم افزار است، از مراجع اصلی مهندسی نرم افزار امن در دنیاست.

مهندسی نرم افزار امن، پس از سال 2000 از دغدغه کارشناسان و متخصصین مهندسی نرم افزار بوده است. این کتاب نوشته مایکل هاوارد و نشر یافته توسط انتشارات مایکروسافت میباشد. گرچه انتشار این کتاب به سال 2006 باز میگردد اما آنچه در این مرجع مطرح شده پوشش دهنده نیازمندی های اصلی کارشناسان در حوزه SSDLC میباشد.

در فصل ابتدایی این کتاب ذکر میشود که مطابق آسیب پذیری های رایج منتشر شده پس از سال 2002، چهل و چهار درصد برنامه های آسیب پذیر دچار آسیب در حیطه privacy هستند. در ادامه ذکر میشود که پچ های مداوم امنیتی نمیتواند راهکار درستی برای امن سازی نرم افزار باشد. باید توجه داشت که مهندسی نرم افزار امن آمده است تا رنج کاربران و مشتریان یک محصول نرم افزاری را کاهش دهد و نباید خود ایجاد کننده دشواری جدیدی باشد.

در ادامه کتاب Security Development Lifecycle اشاره میکند که طراحی و مدلسازی نرم افزار باید با هدایت کارشناسی مسلط به اصول حفاظتی و امنیتی انجام گیرد. همچنین آموزش مداوم برای تمامی مهندسان در جهت بهبود سطح دانش الزامی است.

هنگام مدلسازی نرم افزار باید توجه داشت که برنامه حاضر کمترین سطح حمله یا Attack surface را دارد، بر اساس الگوهای صحیح و امن (Best practices) طراحی شده و برای هر حمله یا آسیب پذیری احتمالی راهکاری در نظر گرفته شده است.

در توسعه هر نرم افزاری حداقل میبایست به موارد ذیل توجه ویژه داشت:

• Spoofing جعل هویت
• Tampering bug دستکاری اطلاعات
• Repudiation انکار
• Information disclosure فاش شدن داده ها و اطلاعات شخصی
• وجود کمترین سطح حمله Attack surface reduction

فلوچارت مهندسی نرم افزار امن هم از ارزشمندترین الگوهایی است که در این کتاب ذکر شده است: