推荐介绍一项新的工程技术:[威胁建模]的相关系列文章《威胁建模Web 应用程序》

        以往我们建立和开发web应用,特别是要部署到Internet上的工程项目,都要多多少少考虑一些安全性问题,分析可能存在的漏洞,来决定如何有效防范攻击,但是很少有公司或个人将这种行为活动归结到项目的建模上面来,仅仅是一组人通过讨论分析得出一个不完善的防御方案,更有甚者有很多应用是等到部署以后再进行修补相关的漏洞,弄得开发人员疲于奔命,劳命伤“才”。

        如何在应用开发之前,在设计分析阶段就尽可能的注意到尽可能多的系统漏洞呢?需要建立一套相对完备的建模体系,昨天(2005-7-20),msdn推出了系列文章《威胁建模Web 应用程序》,该指南提供 patterns &practices 方法来为 Web 应用程序创建威胁模型。说明了什么是[威胁建模],为什么要[威胁建模],[威胁建模]的五个主要步骤,以及一些相关概念和相关资源;

        当然即使是这样还是不可能完全避免应用被攻击,但是通过学习这些技术文档,我们可以更好的确定安全目标、识别相关威胁、确定相关漏洞和对策,使应用程序设计符合您的安全目标,降低在开发和操作过程中引出的安全问题的风险,得出许多关于安全建模的想法,可以更有效的开发更安全的web应用系统;

下面是整理的相关资源的url,以方便阅读
·《威胁建模Web 应用程序
·《
Web 应用程序威胁模型一览
·《“How To:在设计时为 Web 应用程序创建威胁模型”
·《“演练:为 Web 应用程序创建威胁模型”
·《“模板:Web 应用程序威胁模型”
·《“模板示例:Web 应用程序威胁模型”
·《“备忘单:Web 应用程序安全框架”

同时希望各位能说说,你们以前是如何进行以上建模行为呢?是一组人通过讨论分析得出一个防御方案,还是等到部署以后受到攻击再进行补救?欢迎踊跃发言

posted @ 2005-07-21 10:11  冰戈  阅读(1038)  评论(2编辑  收藏  举报