信息安全技术-应用软件安全编程指南-编译说明

国家标准“应用软件安全编码指南”（征求意见稿）编译说明I.工作简介该标准是根据GB / T 1.1-2009中给出的规则起草的. 由国家信息安全标准化技术委员会（SAC / TC 260）提出和管理. 本标准的起草单位: 北京邮电大学国家计算机网络应急技术协调中心，北京奇虎德腾安全技术. 本标准主要起草人: 舒敏，王波，吴谦，黄元飞，张家旺，林星辰，陈宇，王鹏飞，李艳伟，高强，杨鹏，陈亮，范乐军，张苗，徐国爱，郭艳辉，李琦，杨新宇，王辰宇，黄永刚，韩健张磊二，标准编制原则和确定主要内容和要解决的主要问题的论点. 该标准的编制原则是科学，实用和通用的. 该标准规范和指导了应用程序软件安全性编程，以帮助应用程序软件开发人员在编程过程中提高软件安全性，并避免在软件发布后因安全性问题而造成的重大损失. 该标准的制定已广泛吸收了相关编码标准或技术报告的内容，并同时在实际编程中深入考虑了安全性问题. 它已在通信和金融等关键行业的软件开发部门试用过. 结果表明该标准可以提供软件安全性. 编程提供了有效的指导，大大提高了软件的安全性，具有很高的可行性和指导意义. 3.主要测试[[或验证]]情况分析目前，该试验已在通信和金融等关键行业的软件开发部门启动. 效果良好，可以显着提高软件安全性.

四个. 知识产权说明. 五. 工业化，推广和应用示范以及预期的经济效果. 该标准旨在为应用软件开发人员提供安全的编程指南，可以帮助开发人员快速建立安全意识并减少系统中的代码安全隐患，从而提高软件安全性. 已在通信和金融等关键行业的软件开发部门启动了试用，并取得了良好的效果. 此外，该标准还可以供信息系统构建单元用来为应用软件开发人员实施安全性编程规范，例如合同附件，投标要求等. 6.国际标准和国外先进标准的采用尚未直接采用国际标准. 目前，国际上最具影响力的是CERT，C ++，Java，Perl的安全编程指南，该指南由CERT（计算机应急准备小组）维护，旨在为开发人员提供指导和建议，以帮助他们开发健壮且安全的程序. 软件. 该指南目前以Wiki的形式公开，它处于打开状态，允许开发人员添加和修改. 国际标准化组织ISO和国际电工委员会（IEC）在信息技术领域对编程语言进行了一系列研究. ISO 17961“ C安全编码规则”包含46种C语言安全编程规则和代码示例，ISO / IEC TR 24772: 2013“通过编程语言的语言特性避免编程语言中的漏洞的指南”首先，给出了语言选择指南和避免使用特定语言时存在安全漏洞的建议.

汽车工业软件可靠性协会（MISRA，汽车工业软件可靠性协会）提出了一套用于嵌入式软件的C / C ++编码标准. 最新版本是MISRA C: 2012. 通常认为，如果您可以完全遵守这些标准，则该代码易于阅读，可靠，可移植且易于维护. 许多嵌入式开发人员使用此标准来衡量其编码样式. 本标准的基本内容吸收了CWE，OWASP等国外安全编程技术规范，并引用了ISO / IEC，CERT，MISRA等相关国际标准. 与ISO / IEC（17061，24772）和其他与安全编程有关的国际标准不同，该标准独立于特定的编程语言，并提出了可以大大降低编程时软件安全风险的通用解决方案，并且具有更通用的性. 因此，本标准具有被制定为国际标准的可能性. 7.与现行有关法律，法规，规则和相关标准的协调. 本标准严格遵守《计算机信息网络国际联网安全保护》，《全国人民代表大会常务委员会关于维护互联网安全的决定》，《中国人民政府关于管理互联网的暂行规定》. 共和国计算机信息网络国际联网，《中华人民共和国计算机信息系统安全保护条例》，《互联网信息管理服务措施》，《中华人民共和国电信条例》， ”和其他相关的国家互联网信息安全政策和法规.

“ GB / T28452-2012信息安全技术应用软件系统通用安全技术要求”描述了GBT 17859所规定的每个安全保护等级应用软件系统的通用技术要求，其中第4.2节“应用软件的获取或开发阶段”. 技术要求提到“应根据确定的安全技术要求来设计和实施自行开发的应用软件”，但未描述软件编程的特定安全要求. 《 GB / T 30998-2014信息技术软件安全保证规范》规定了开发安全关键软件所需的软件安全活动. 第6.4节中对软件实现的安全保证分析提到“应在代码中实现所有软件安全设计功能和方法”，“开发软件代码时应使用软件编码标准”，但具体的编码标准尚不清楚. 本标准为应用软件开发提供了通用的安全编程指南，并且可以补充上述标准内容. 8.处理主要意见分歧的过程和基础遇到的问题是应用软件安全编程标准的适用性. 由于应用软件和应用环境种类繁多，因此很难使用完全一致的应用软件安全性编程指南，同时考虑到特定行业在特定领域的不同安全性要求，因此本标准的适用范围由PC确定. 或（和）服务器架构. 应用软件，需要特定安全编程措施的特定领域的应用软件不在本标准范围之内.

本标准的某些部分已根据该范围进行了调整. 9.关于标准性质的建议建议用作推荐标准. 十，实施标准的要求和措施本标准旨在为应用软件开发人员提供安全的编程指导，以帮助开发人员快速树立安全意识，减少代码中的安全风险并提高软件安全性. 建议使用本标准的内容对软件开发人员进行安全编程培训. 同时，可以随时参考此标准，以作为软件安全开发的参考. 另外，对于可以自动验证的标准内容，可以使用源代码一致性测试工具来检查程序的一致性，从而有效地帮助开发人员提高软件安全性. 11.取代或废除现有相关标准的建议无. 12.其他应解释的事项无. 国家标准“应用软件安全编码准则”准备工作组2017-12-05

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-304976-1.html