microsoft sdl dans un monde java
DESCRIPTION
Présentation sur la SDL Microsoft et la manière de l'utiliser dans un monde JAVA.TRANSCRIPT
![Page 1: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/1.jpg)
Application Security ForumWestern Switzerland
27 octobre 2011 - HEIGVD Yverdon-les-Bainshttp://appsec-forum.ch
Microsoft Security Development LifeCycle
dans un monde Java
Sébastien Gioria (OWASP French Chapter Leader & OWASP Global Education Comittee Member)[email protected]
Sunday, October 30, 11
![Page 2: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/2.jpg)
CISA && ISO 27005 Risk Manager
2
http://www.google.fr/#q=sebastien gioria
‣OWASP France Leader & Founder - Evangéliste‣OWASP Global Education Comittee Member ([email protected])
‣Responsable de la branche Audit S.I et Sécurité au sein du cabinet Groupe Y
Twitter :@SPoint
‣ +13 ans d’expérience en Sécurité des Systèmes d’Information‣ Différents postes de manager SSI dans la banque, l’assurance et
les télécoms‣ Expertise Technique
- PenTesting,- Secure-SDLC- Gestion du risque, Architectures fonctionnelles, Audits- Consulting et Formation en Réseaux et Sécurité
‣Responsable du Groupe Sécurité des Applications Web au CLUSIF
2
Sunday, October 30, 11
![Page 3: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/3.jpg)
Agenda
• La souris, le fromage et le chat• Qu’est-ce que Microsoft SDL ?• SDL Warrior• Duke in the game
3
Sunday, October 30, 11
![Page 4: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/4.jpg)
Agenda
• La souris, le fromage et le chat• Qu’est-ce que Microsoft SDL ?• SDL Warrior• Duke in the game
Sunday, October 30, 11
![Page 5: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/5.jpg)
Pourquoi ?
Les hackers sont astucieux
Sunday, October 30, 11
![Page 6: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/6.jpg)
Le cout est important
Sunday, October 30, 11
![Page 7: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/7.jpg)
Soyons donc précis !
Sunday, October 30, 11
![Page 8: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/8.jpg)
Agenda
• La souris, le fromage et le chat• Qu’est-ce que Microsoft SDL ?• SDL Warrior• Duke in the game
Sunday, October 30, 11
![Page 9: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/9.jpg)
Security Development LifeCycle(SDL)§ 2004 : « Stop Security Kiddies »§ Méthode de développement sécurisée de tous les produits MicrosoA !
Sunday, October 30, 11
![Page 10: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/10.jpg)
Security Development LifeCycle(SDL)§ 2004 : « Stop Security Kiddies »§ Méthode de développement sécurisée de tous les produits MicrosoA !
Produit 1er 2ème 3ème
Système d’exploitaEon
Linux Kernel (129)
Windows Server 2008 (93)
Apple IOS (35)
SGBD Oracle (36) Mysql (3) MS-‐SQL Server (1)
Navigateur Chrome (164) Safari (130) Firefox (115)
Vainqueurs a la CVE 2010
Sunday, October 30, 11
![Page 11: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/11.jpg)
Sunday, October 30, 11
![Page 12: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/12.jpg)
Sunday, October 30, 11
![Page 13: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/13.jpg)
Sunday, October 30, 11
![Page 14: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/14.jpg)
Agenda
• La souris, le fromage et le chat• Qu’est-ce que Microsoft SDL ?• SDL Warrior• Duke in the game
Sunday, October 30, 11
![Page 15: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/15.jpg)
Formation
• Obligatoire pour toute l’équipe projet : Architecte, Développeur, Testeur, Chef de projet
• Contenu minimum• Conception sécurisée• Modélisation des menaces• Ecriture de code sécurisé• Tests de sécurité• Respect de la vie privée
• Contenu avancé • Architecture et conception de la sécurité.• Conception de l’interface utilisateur• Problèmes de sécurité en détail• Processus de réponse de sécurité• Mise en œuvre d’atténuations personnalisées de menaces
Sunday, October 30, 11
![Page 16: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/16.jpg)
Spécifications - Exigences de sécurité
1. Identifier l’équipe ou la personne qui sera responsable du suivi et de la gestion de la sécurité
2. Vérifier que les outils de suivi et de rapport des bogues assurent effectivement le suivi des problèmes de sécurité
3. Définir et documenter l’échelle des bogues et les valeurs et seuil ainsi attribués aux bogues de sécurité.
L’échelle des bogues et le seuil associé ne doivent jamais être assouplis, même si la date de fin du projet approche.
Sunday, October 30, 11
![Page 17: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/17.jpg)
Spécifications - Exigences de respect de la vie privée
1. Désigner le conseiller en respect de la vie privée
2. Désigner le responsable dans l’équipe pour la vie privée
3. Définir et documenter l’échelle, les valeurs et seuil attribués aux bogues de respect de la vie privée
Sunday, October 30, 11
![Page 18: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/18.jpg)
Spécifications – Recommandations de sécurité
Sunday, October 30, 11
![Page 19: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/19.jpg)
Spécifications – Recommandations de sécurité
Sunday, October 30, 11
![Page 20: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/20.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
Sunday, October 30, 11
![Page 21: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/21.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
Sunday, October 30, 11
![Page 22: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/22.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
2. Vérifier que l’ouEl de bogue peut prendre en compte les éléments de la modélisaEon des a_aques . Il doit comporter 2 foncEonnalités :
Sunday, October 30, 11
![Page 23: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/23.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
2. Vérifier que l’ouEl de bogue peut prendre en compte les éléments de la modélisaEon des a_aques . Il doit comporter 2 foncEonnalités :
Sunday, October 30, 11
![Page 24: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/24.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
2. Vérifier que l’ouEl de bogue peut prendre en compte les éléments de la modélisaEon des a_aques . Il doit comporter 2 foncEonnalités :
– Il doit être compaEble STRIDE
Sunday, October 30, 11
![Page 25: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/25.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
2. Vérifier que l’ouEl de bogue peut prendre en compte les éléments de la modélisaEon des a_aques . Il doit comporter 2 foncEonnalités :
– Il doit être compaEble STRIDE
Sunday, October 30, 11
![Page 26: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/26.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
2. Vérifier que l’ouEl de bogue peut prendre en compte les éléments de la modélisaEon des a_aques . Il doit comporter 2 foncEonnalités :
– Il doit être compaEble STRIDE
– Perme_re d’idenEfier la cause du Bug
Sunday, October 30, 11
![Page 27: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/27.jpg)
Spécifications – Recommandations de sécurité
1. Me_re en place le plan de sécurité
2. Vérifier que l’ouEl de bogue peut prendre en compte les éléments de la modélisaEon des a_aques . Il doit comporter 2 foncEonnalités :
– Il doit être compaEble STRIDE
– Perme_re d’idenEfier la cause du Bug
Sunday, October 30, 11
![Page 28: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/28.jpg)
Spécifications – Evaluer le projet et les couts éventuels
1. Evaluer les porEons du projet nécessitant : – modélisaEons des menaces – revues de concepEon de sécurité – tests de pénétraEon
2. Vérifier le taux d’impact sur la vie privée– P1 : Risque élevé sur le respect de la vie privé => Le produit enregistre ou transfère des informaEons confidenEelles
– P2 : Risque modéré => un transfert unique de données anonymes, iniEé par l’uElisateur
– P3 : Risque faible => Rien n’affecte le respect de la vie
Sunday, October 30, 11
![Page 29: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/29.jpg)
Conception
1. Effectuer une revue de conception
2. Effectuer des Analyses de risque– Modélisation des menaces (STRIDE/DREAD)– Code externes– Analyse des projets classés P1 (vie privée)
Sunday, October 30, 11
![Page 30: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/30.jpg)
STRIDE ? Catégorie Descrip@on
Pas un bogue de sécurité UsurpaEon (Spoofing) A_aque par laquelle un a_aquant ou un serveur non
autorisé se fait passer pour un uElisateur ou un serveur valide, ou un code malveillant se présente comme valide
FalsificaEon (Tampering) ModificaEon malveillante des données
RépudiaEon (RepudiaEon) Menaces associées aux uElisateurs qui nient avoir effectué une acEon sans que les autres parEes aient le moyen de prouver le contraire
DivulgaEon d’informaEons (InformaEons Disclosure)
Menaces qui impliquent l’exposiEon des informaEons à des individus qui ne sont pas censés y accéder.
Déni de service (Denial of Service)
A_aques (DoS) qui empêchent un uElisateur autorisé d’accéder aux services
ÉlévaEon de privilège (ElevaEon of Privilege)
Menace qui permet à un uElisateur de s’octroyer une autorisaEon supplémentaire
RéducEon de la surface d’a_aque. (A_ack Surface ReducEon. )
Il est important d’idenEfier la surface d’a_aque, même si les interfaces qui y sont exposées ne sont pas des vulnérabilités au sens technique
Sunday, October 30, 11
![Page 31: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/31.jpg)
DREAD ? Catégorie Descrip@on
Dommage Poten/el (Damage) Si la menace se produit, quel est le niveau de dommage :
0 – Rien
10 – Total compromission
Reproduc/ble (Reproducibility) Quelle est la complexité pour reproduire la menace
0 – quasi-‐impossible
10 – pas d’authen/fica/on, a travers un navigateur Web
Exploita/on (Exploitability) De quoi a-‐t-‐on besoin pour l’exploita/on
0 – connaissance en programma/on, des ou/ls, …
10 – juste un navigateur Web
U/lisateurs touchés (Affected Users)
Combien d’u/lisateurs seront affectés
0 – Aucun
5 – Quelques uns
10 – Tous
Découverte (Discoverability) La faille est-‐elle simple a découvrir
0 – quasi-‐impossible
5 – via un sniffing réseau ou autre type
9 – les détails sont dans le domaine public
10 – Il suffit de regarder la barre du navigateur Web
Sunday, October 30, 11
![Page 32: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/32.jpg)
Calcul final DREAD
DAMAGEREPRODUCIBILITYEXPLOITABILITYAFFECTED USERSDISCOVERABILITY
5
Sunday, October 30, 11
![Page 33: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/33.jpg)
Implémentation
1. Créer la documenta1on et les ou1ls perme4ant d’adresser les problèmes de sécurité et de vie privée
2. Suivre les bonnes pra1ques de développement
3. Intégrer les listes de contrôle de sécurité
4. Effectuer une revue automa1sée de code
Sunday, October 30, 11
![Page 34: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/34.jpg)
Vérification
1. Utilisation du Fuzzing• Fichier• Réseau• Web
2. Revue de code• Définir les priorités de revue de code :
• Code critique : noyau, utilisation d’éléments sensible• Code important : code élevant les privilèges• Code mineur : rarement utilisé.
3. Effectuer les tests de pénétration• Boite noire• Boite blanche
4. Revoir la surface d’attaque et la minimiser si possible
Sunday, October 30, 11
![Page 35: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/35.jpg)
Diffusion
1. Effectuer une revue des manipulations de données privées
2. Préparer les équipes au 2ème mercredi du mois
3. Effectuer la revue finale de sécurité
4. Publier la version et archiver une copie.
Loi de Murphy
Dernière version des documents projets et risques à destination de l’équipe sécurité.
Sunday, October 30, 11
![Page 36: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/36.jpg)
Réponse aux incidents
1. Définition des processus de réponses– Equipe dédiées à la vie privée– Equipes autres
2. Mise en place des communications– PGP
3. Interaction avec le cycle de vie
Sunday, October 30, 11
![Page 37: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/37.jpg)
Agenda
• La souris, le fromage et le chat• Qu’est-ce que Microsoft SDL ?• SDL Warrior• Duke in the game
Sunday, October 30, 11
![Page 38: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/38.jpg)
Avant-propos…• Ceci est une proposition à
certains endroits de la SDL pour éviter : • d’être aux aguets tous les 2èmes
mardi du mois.• des bulletins du CERT longs… • que Larry(*) nous sorte toujours
la même chanson….
*:Oracle unbreakable? => dernier Patch Update 10/10 à la CVSS (encore une fois)…
Sunday, October 30, 11
![Page 39: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/39.jpg)
Sunday, October 30, 11
![Page 40: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/40.jpg)
Le problème• Confidentialité
• Protéger les données, les systèmes, les processus d’un accès non autorisé
• Intégrité• Assurer que les données, systèmes et processus
sont valides et n’ont pas été modifiés de manière non intentionnelle.
• Disponibilité• Assurer que les données, systèmes et processus
sont accessible au moment voulu
Sunday, October 30, 11
![Page 41: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/41.jpg)
Le problème• Traçabilité
• Assurer le cheminement de toute donnée, processus et la reconstruction des transactions
• « Privacy »• Assurer que les données personnelles sont
ConformitéAdhérer aux lois et réglementaEons
Image de marqueNe pas se retrouver à la une du journal « Le Monde » suite à un incident
Sunday, October 30, 11
![Page 42: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/42.jpg)
Le problème• Traçabilité
• Assurer le cheminement de toute donnée, processus et la reconstruction des transactions
• « Privacy »• Assurer que les données personnelles sont
ConformitéAdhérer aux lois et réglementaEons
Image de marqueNe pas se retrouver à la une du journal « Le Monde » suite à un incident
Sunday, October 30, 11
![Page 43: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/43.jpg)
Le problème• Traçabilité
• Assurer le cheminement de toute donnée, processus et la reconstruction des transactions
• « Privacy »• Assurer que les données personnelles sont
ConformitéAdhérer aux lois et réglementaEons
Image de marqueNe pas se retrouver à la une du journal « Le Monde » suite à un incident
Sunday, October 30, 11
![Page 44: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/44.jpg)
Le problème
Sunday, October 30, 11
![Page 45: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/45.jpg)
0x01
Sunday, October 30, 11
![Page 46: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/46.jpg)
0x01
Régler 80% des problèmes avec 20% d’effort
Sunday, October 30, 11
![Page 47: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/47.jpg)
0x10b• Se jeter à l’eau :
Sunday, October 30, 11
![Page 48: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/48.jpg)
0x10b• Se jeter à l’eau :
Corrigez tous les problèmes que vous pouvez trouver
Sunday, October 30, 11
![Page 49: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/49.jpg)
0x10b• Se jeter à l’eau :
Si vous n’êtes pas prêts à corriger, ne cherchez pas !
Corrigez tous les problèmes que vous pouvez trouver
Sunday, October 30, 11
![Page 50: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/50.jpg)
0x10b• Se jeter à l’eau :
Si vous n’êtes pas prêts à corriger, ne cherchez pas !
Corrigez tous les problèmes que vous pouvez trouver
Sunday, October 30, 11
![Page 51: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/51.jpg)
Sunday, October 30, 11
![Page 52: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/52.jpg)
Sunday, October 30, 11
![Page 53: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/53.jpg)
Sunday, October 30, 11
![Page 54: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/54.jpg)
Sunday, October 30, 11
![Page 55: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/55.jpg)
Sunday, October 30, 11
![Page 56: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/56.jpg)
Sunday, October 30, 11
![Page 57: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/57.jpg)
Sunday, October 30, 11
![Page 58: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/58.jpg)
Sunday, October 30, 11
![Page 59: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/59.jpg)
Sunday, October 30, 11
![Page 60: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/60.jpg)
Phase 0 - Formation• OWASP Top10 2010 : Les 10 risques les plus critiques
des applications• CWE/SANS list : Top 25 Most Dangerous Programming
Errors. • CERT Java Secure Coding
• https://www.securecoding.cert.org/confluence/display/java/The+CERT+Oracle+Secure+Coding+Standard+for+Java
Sunday, October 30, 11
![Page 61: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/61.jpg)
Phase 0 - Formation• OWASP Top10 2010 : Les 10 risques les plus critiques
des applications• CWE/SANS list : Top 25 Most Dangerous Programming
Errors. • CERT Java Secure Coding
• https://www.securecoding.cert.org/confluence/display/java/The+CERT+Oracle+Secure+Coding+Standard+for+Java
Sunday, October 30, 11
![Page 62: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/62.jpg)
Phase 0 - Formation• OWASP Top10 2010 : Les 10 risques les plus critiques
des applications• CWE/SANS list : Top 25 Most Dangerous Programming
Errors. • CERT Java Secure Coding
• https://www.securecoding.cert.org/confluence/display/java/The+CERT+Oracle+Secure+Coding+Standard+for+Java
Sunday, October 30, 11
![Page 63: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/63.jpg)
Phase 0 - Formation• OWASP Top10 2010 : Les 10 risques les plus critiques
des applications• CWE/SANS list : Top 25 Most Dangerous Programming
Errors. • CERT Java Secure Coding
• https://www.securecoding.cert.org/confluence/display/java/The+CERT+Oracle+Secure+Coding+Standard+for+Java
Sunday, October 30, 11
![Page 64: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/64.jpg)
Phase 1 -‐ Spécifica/ons
§ Mise en place du bugtracker– Catégories d’effet des bugs :
• Elements STRIDE (ou autre des modélisaEons)
– Catégories de cause des bugs : • XSS, CSRF, SQL-‐i, DOS, Crypto….
Sunday, October 30, 11
![Page 65: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/65.jpg)
Phase 2 – Design OWASP – ASVS ? • Quelles sont les fonctionnalités à mettre en oeuvre dans
les contrôles de sécurité nécessaires à mon application
• Quelle est la couverture et le niveau de rigueur à mettre en oeuvre lors de la vérification de sécurité d'une application.
• Comment comparer les différentes vérifications de sécurité effectuées
• Quel niveau de confiance puis-je avoir dans une application
Spécifications/Politique de sécurité des développements
Aide à la revue de code
Chapitre sécurité des contrats de développement ou des appels d’offres !
Sunday, October 30, 11
![Page 66: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/66.jpg)
Phase 2 – Design OWASP – ASVS ? • Quelles sont les fonctionnalités à mettre en oeuvre dans
les contrôles de sécurité nécessaires à mon application
• Quelle est la couverture et le niveau de rigueur à mettre en oeuvre lors de la vérification de sécurité d'une application.
• Comment comparer les différentes vérifications de sécurité effectuées
• Quel niveau de confiance puis-je avoir dans une application
Spécifications/Politique de sécurité des développements
Aide à la revue de code
Chapitre sécurité des contrats de développement ou des appels d’offres !
Sunday, October 30, 11
![Page 67: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/67.jpg)
Poli/que de sécurité logicielle
Sunday, October 30, 11
![Page 68: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/68.jpg)
Phase 2 - Modélisation des attaques
• Utilisation des méthodologies :• STRIDE• ISO 27005• SDL Threat Modeling Tool• …..
• Garder à l’esprit : • 0x01 : la règle du 80/20
• 0x10b
Garder a l’esprit l’impact métier !
Sunday, October 30, 11
![Page 69: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/69.jpg)
Phase 2 - Modélisation des attaques
• Utilisation des méthodologies :• STRIDE• ISO 27005• SDL Threat Modeling Tool• …..
• Garder à l’esprit : • 0x01 : la règle du 80/20
• 0x10b
Si vous n’êtes pas prêts à corriger, ne cherchez pas !
Garder a l’esprit l’impact métier !
Sunday, October 30, 11
![Page 70: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/70.jpg)
Phase 2 - Modélisation des attaques
• Utilisation des méthodologies :• STRIDE• ISO 27005• SDL Threat Modeling Tool• …..
• Garder à l’esprit : • 0x01 : la règle du 80/20
• 0x10b
Si vous n’êtes pas prêts à corriger, ne cherchez pas !
Garder a l’esprit l’impact métier !
Sunday, October 30, 11
![Page 71: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/71.jpg)
Phase 3 -‐ Développement
§ Suivre les best-‐pracEces :– OWASP Secure Coding Prac@ces
• hJps://www.owasp.org/index.php/Secure_Coding_Principles
– CERT/Oracle Secure Coding for Java• https://www.securecoding.cert.org/confluence/display/java/The+CERT
+Oracle+Secure+Coding+Standard+for+Java
– Secure Coding Guidelines for Java (Oracle)• hJp://www.oracle.com/technetwork/java/seccodeguide-‐139067.html
§ UEliser les bons ouEls/bibliothèques (h_ps://www.owasp.org)– OWASP CSRF Guard– OWASP Java Sani@zer– OWASP S@nger
Sunday, October 30, 11
![Page 72: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/72.jpg)
Phase 3 -‐ Cookies
Sunday, October 30, 11
![Page 73: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/73.jpg)
Phase 3 -‐ Valida/ons
Sunday, October 30, 11
![Page 74: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/74.jpg)
Phase 3 – SQL
Sunday, October 30, 11
![Page 75: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/75.jpg)
Phase 3 – Pour aller plus loinOWASP Enterprise Security API
Sunday, October 30, 11
![Page 76: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/76.jpg)
Phase 4 - Revue de code§ Design :
• OWASP Cheat Sheets : https://www.owasp.org/index.php/Category:Cheatsheets
• OWASP Application Verification Standard : https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification_Standard_Project
§ Semi-Automatisé :
• OWASP LAPSE+ : https://www.owasp.org/index.php/OWASP_LAPSE_Project
• CodePro Analytix : http://code.google.com/javadevtools/download-codepro.html
Sunday, October 30, 11
![Page 77: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/77.jpg)
Phase 4 – Revue de code (Code Pro AnalyEx)
Sunday, October 30, 11
![Page 78: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/78.jpg)
Phase 4 - Tests de pénétration1. S’adresser à des cabinets/consultants dont le méEer est la gesEon des
risques informaEques.
2. Demander des rapports orientés méEersØ ne pas se contenter de rapports techniques
3. Demander des classificaEons compaEbles avec votre ouEl de bogue.Ø Ne pas u@liser des référen@els non standards
4. Demande un transfert de compétences sur les failles pour éduquer les acteursØ Et donc savoir comment corriger
Sunday, October 30, 11
![Page 79: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/79.jpg)
Phase 4 - Mettre en place des tableaux de décision
Sunday, October 30, 11
![Page 80: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/80.jpg)
Phase 4 - Mettre en place des tableaux de décision
Sunday, October 30, 11
![Page 81: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/81.jpg)
Phase 4 - Mettre en place des tableaux de décision
Sunday, October 30, 11
![Page 82: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/82.jpg)
Phase 4 - Mettre en place des tableaux de décision
Sunday, October 30, 11
![Page 83: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/83.jpg)
Phase 5 – Release / Produc/on
Sunday, October 30, 11
![Page 84: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/84.jpg)
• Introduction à la Sécurité Web avec Ruby on Rails• Les 10 Risques sur les mobiles• Microsoft SDL
Sunday, October 30, 11
![Page 85: Microsoft SDL dans un monde Java](https://reader038.vdocuments.mx/reader038/viewer/2022103018/5585a1c8d8b42ae22a8b45fe/html5/thumbnails/85.jpg)
Il n'y a qu'une façon d'échouer, c'est d'abandonner avant d'avoir réussi [Olivier Lockert]
• Introduction à la Sécurité Web avec Ruby on Rails• Les 10 Risques sur les mobiles• Microsoft SDL
Sunday, October 30, 11