Специалист по процессам разработки безопасного программного обеспечения

Программа курса включает в себя максимально полное погружение в процессы разработки безопасного программного обеспечения и охватывает знания и практические навыки, приобретаемые на курсах:

• М БРПО-01 «Внедрение процессов разработки безопасного программного обеспечения в организации (для руководителей и ответственных)»;

• М БРПО-02 «Внедрение процессов разработки безопасного программного обеспечения для специалистов по информационной безопасности»;

• М БРПО-03 «Сертификационные испытания с учётом требований по разработке безопасного программного обеспечения для экспертов органов по сертификации (испытательных лабораторий) различных систем сертификации средств защиты информации»;

• М БРПО-04 «Формирование практических навыков по разработке безопасного программного обеспечения для разработчиков и программистов»;

• М БРПО-05 «Методология подготовки предприятия к сертификации процессов безопасной разработки программного обеспечения средств защиты информации в соответствии с требованиями ФСТЭК России».

Программа курса:

Организация ЭВМ и вычислительных систем. Операционные системы Windows. Операционные системы Linux.

• Установка, настройка и администрирование безопасной среды функционирования программного обеспечения на примере операционных систем Windows и Linux.

Сетевые технологии. OSI vs TCP/IP. Принципы организации безопасного межсетевого взаимодействия, принципы организации и структуры кадров основных протоколов стека TCP/IP.

• Настройка и администрирование ЛВС. Настройка и администрирование безопасной среды функционирования программного обеспечения на примере компьютерной сети предприятия;

•  Сбор информации об ИТ-инфраструктуре (инвентаризация активов) с помощью программного комплекса «Сканер-ВС 6.0».

Основы информационной безопасности. Основные руководящие нормативные и методические документы РФ. Основные методы защиты от угроз нарушения конфиденциальности, целостности и доступности информации. Модели угроз, нарушителя и модели защиты.

• Создание проекта модели угроз, нарушителя и модели защиты с использованием БДУ ФСТЭК России.

Хроника языков программирования. Проектирование архитектуры программного обеспечения. Жизненный цикл разработки безопасного программного обеспечения.

• Практика создания программ на популярных языках программирования с учетом требований безопасности.

Понятийная база (основные термины и определения) процессов безопасной разработки программного обеспечения.

• Оценивание программного обеспечения в соответствии с ГОСТ ИСО/МЭК 15408-Х (ч. 1, 2, 3);
• Изучение взаимосвязи мер по разработке безопасного программного обеспечения (ГОСТ Р 56939–2016) и требований ГОСТ Р ИСО/МЭК 15408–3.

• Основные практики и принципы безопасной разработки;

• Software Development Lifecycle (SDLc);

• Основные практики Security Development Lifecycle (SDL);

• DevOps;

• DevSecOps;

• Методики оценки зрелости ИБ процессов;

• Принципы дизайна.

Методологии разработки безопасного программного обеспечения.

• Практическое занятие для усвоения различных методологий разработки безопасного программного обеспечения.

Понятийная база (основные термины и определения) по направлению разработки безопасного программного обеспечения.

• Оценивание программного обеспечения в соответствии с ГОСТ ИСО/МЭК 15408-Х (ч. 1, 2, 3). Изучение взаимосвязи мер по разработке безопасного программного обеспечения (ГОСТ Р 56939–2016) и требований ГОСТ Р ИСО/МЭК 15408–3;

• Практическое занятие по изучению основных положений ГОСТ ИСО/МЭК 15408-Х.

Общие сведения о сертификации и лицензировании программного обеспечения. Основные руководящие нормативные и методические документы. Сертифицированные испытания. Структура документации для подачи заявки и проведения сертификационных испытаний по требованиям доверия согласно требованиям приказа ФСТЭК России от 2 июня 2020 г. № 76. Структура документации для подачи заявки и проведения сертификационных испытаний в соответствии с требованиями приказа Министра обороны Российской Федерации 2020 года № 488.

• Создание проекта документации для подачи заявки на проведение сертификационных испытаний по требованиям доверия в соответствии с требованиями приказа ФСТЭК России от 2 июня 2020 г. № 76;

• Создание проекта документации для подачи заявки на проведение сертификационных испытаний по требованиям системы сертификации средств защиты информации в Министерстве обороны Российской Федерации.

Организация на предприятии процессов БРПО. Руководство по разработке безопасного ПО в соответствии с требованиями ГОСТ Р 56939–2016.

• Руководство по разработке безопасного ПО в соответствии с требованиями ГОСТ Р 56939–2016.

Планирование процессов разработки безопасного ПО. Процессы жизненного цикла ПО. Порядок организации работ по созданию безопасного ПО, выполняемых в рамках процессов жизненного цикла ПО.

• Порядок организации работ по созданию безопасного ПО, выполняемых в рамках процессов жизненного цикла ПО;

• Дорожная карта (алгоритм) внедрения БРПО на предприятии.

Обучение сотрудников в соответствии с требованиями ГОСТ Р 56939–2016.

• Создание проекта плана обучения. Организация учёта обучения сотрудников;

• Мероприятия по повышению осведомленности разработчика о возможных типовых угрозах, ошибках и уязвимостях в разрабатываемом ПО, механизмах их недопущения или минимизации вероятности их возникновения, порядке сопровождения ПО и управления жизненным циклом.

Формирование и предъявление требований безопасности к ПО.

• Формирование требований к безопасному ПО с учётом требований законов, нормативных правовых актов, отраслевых стандартов, перечня требований пользователя, а также сценариев применения безопасного ПО. Разработка технического задания на создание безопасного ПО в соответствии с требованиями ГОСТ 19.201.

Управление конфигурацией ПО.

• Регламент управления конфигурацией в рамках жизненного цикла ПО;

• Регламент управления конфигурацией в рамках жизненного цикла ПО.

Управление недостатками и запросами на изменение ПО.

• Регламент управления недостатками ПО.

Разработка, уточнение и анализ архитектуры ПО.

• Требования безопасности к принципам проектирования архитектуры ПО, направленным на снижение количества потенциальных уязвимостей с учетом результатов моделирования угроз безопасности информации;

• Как получить документально оформленный проект архитектуры программы.

Моделирование угроз.

• Меры по нейтрализации угроз безопасности, связанных с особенностями реализации архитектуры ПО, модель угроз.

Разработка описания поверхности атаки.

• Описание поверхности атаки. Угрозы безопасности ПО, актуальные для выполненных изменений. Анализ поверхности атаки методом сканирования интерфейсов ПО (локальных и сетевых интерфейсов взаимодействия с ПО (модулями ПО) пользователя и взаимодействий модулей ПО между собой, средой функционирования и внешними объектами при их наличии;

• Перечень целей (функциональных подсистем, программных модулей ПО и их интерфейсов) для проведения дальнейших исследований безопасности ПО (например, фаззинг - тестирования) с учетом архитектуры ПО, результатов моделирования угроз и выполнения анализа поверхности атаки для разработанного кода ПО).

Формирование и поддержание в актуальном состоянии правил кодирования. Примеры опасных и безопасных конструкций для используемых в ПО языков программирования. Перечень правил и рекомендаций, направленных на устранение недостатков программы (потенциально уязвимых конструкций) в исходном коде программы, либо правила документирования.

• Регламент оформления исходного кода и безопасного кодирования. Программные средства автоматической проверки правил кодирования.

Экспертиза исходного кода.

• Регламент проведения экспертизы исходного кода ПО;

• Экспертиза исходного кода ПО.

Использование инструментов композиционного анализа.

• Регламент композиционного анализа. Перечень зависимостей ПО.

 Формирование и поддержание в актуальном состоянии правил кодирования. Примеры опасных и безопасных конструкций для используемых в программном обеспечении языков программирования. Перечень правил и рекомендаций, направленных на устранение недостатков программы (потенциально уязвимых конструкций) в исходном коде программы, либо правила документирования.

• Регламент оформления исходного кода и безопасного кодирования. Программные средства автоматической проверки правил кодирования.

 Экспертиза исходного кода программного обеспечения.

• Регламент проведения экспертизы исходного кода программного обеспечения;

• Экспертиза исходного кода программного обеспечения. 

Использование инструментов композиционного анализа.

• Регламент композиционного анализа. Перечень зависимостей программного обеспечения.

Методы, подходы и инструменты декомпиляции исходного кода программы для компонентов, заимствованных у сторонних разработчиков ПО, с целью получения исходного кода программы и проведения его статического анализа. Реверс-инжиниринг. Введение, базовые понятия и инструменты реверс-инжиниринга. Применение реверс-инжиниринга при безопасной разработке ПО. Реверс-инжиниринг. Язык ассемблера, дизассемблирование и декомпиляция исполняемого кода.

• Проведение анализа заимствованных компонентов, составляющих поверхность атаки, на предмет наличия известных уязвимостей при сборке (непосредственно перед сборкой) ПО (компонентов, модулей ПО). Преодоление методов защиты от реверс-инжиниринга;

• Дизассемблирование и декомпиляция конструкций языков высокого уровня в коде, выполняющемся до загрузки операционной системы, в программах пользовательского уровня. Поиск уязвимостей и недокументированных возможностей с помощью реверс-инжиниринга.

Статический анализ исходного кода. Регламент проведения статического анализа исходного кода ПО. Инструменты статического анализа.

• Практика применения статических анализаторов на стеке разработки веб-приложений.

Применение статического анализа для обеспечения безопасной разработки. Инструменты статического анализа. Методы статического анализа программного кода.

• Практика применения статических анализаторов для компилируемых языков;

• Статический анализ кода, экспертиза исходного кода программы (ручное рецензирование). Применение автоматизированных средств при сертификационных испытаниях на примере использования анализатора исходных текстов «АК-ВС 3». Разбор дефектов и ручная разметка результатов статического анализатора.

Подходы к формированию исходных данных для выполнения динамического анализа кода программы, фаззинг-тестирования программы и тестирования на проникновение в рамках процесса квалификационного тестирования ПО. Квалификационное тестирование ПО.

• Практика применения динамических анализаторов на стеке разработки веб-приложений.

Динамический анализ кода программы. регламент проведения динамического анализа кода ПО. Инструменты динамического анализа и фаззинг-тестирования.

• Практика применения динамических анализаторов для компилируемых языков;

• Практика применения динамических анализаторов для анализа бинарных исполняемых модулей без исходного кода.

Использование безопасной системы сборки ПО.

• Регламент безопасной сборки ПО.

Обеспечение безопасности сборочной среды ПО.

• Регламент обеспечения безопасности сборочной среды;

• Схема сборочной среды. Журналы аудита процессов сборки ПО.

Обеспечение целостности кода при разработке ПО.

• Политика доступа к исходному коду ПО и обеспечения его целостности. Модель управления доступом к исходному коду ПО.

Обеспечение безопасности используемых секретов.

• Регламент использования секретов;

• Описание реализации процедуры использования секретов.

Проверка кода на предмет внедрения вредоносного кода через цепочки поставок.

• Организация контроля зависящих от сторонних поставщиков элементов разработки. Организация контроля договорных обязательств со сторонними поставщиками. Организация процесса выявления элементов инфраструктуры разработчика, воздействие на которые может повлиять на возникновение недекларированных возможностей в ПО.

Функциональное тестирование.

• План функционального тестирования. Отчет по результатам функционального тестирования. Журналы регистрации хода проведения функционального тестирования;

• Системы управления ошибками.

Нефункциональное тестирование. Проведение нефункциональных тестов, в том числе, имитирующих действия потенциального нарушителя.

• Регламент проведения нефункционального тестирования. Описание объекта нефункционального тестирования. Отчет по результатам нефункционального тестирования.

Теоретическая часть по анализу уязвимостей (тестирования на проникновение). Введение в OWASP Top 10. Разбор наиболее опасных уязвимостей веб-приложений.

• Проведение тестирования на проникновение на примере уязвимого веб-приложения. Практика применения автоматизированных средств (инструментов) при сертификационных испытаниях;

• Практика выявления уязвимостей при проведении сертификационных испытаний класса: «Cross Site Scripting», «Cross Site Request Forgery», «SQL injection», «Path traversal».

Обеспечение безопасности при выпуске готовой к эксплуатации версии ПО.

• Регламент приемки ПО. Регламент обеспечения целостности ПО, передаваемого пользователям.

Применение цифровой подписи ПО в качестве меры, реализующей возможность проверки целостности ПО.

• Применение цифровой подписи ПО в качестве меры, реализующей возможность проверки целостности ПО.

Безопасная доставка ПО пользователям.

• Документация безопасной доставки ПО пользователям. Состав и порядок передачи эксплуатационной документации.

Обеспечение поддержки ПО на этапе эксплуатации пользователями

• Документация технической поддержки. Организация работы службы технической поддержки;

• Процедура оповещения пользователей о выпуске обновлений (включая обновления безопасности) и необходимости их установки. Процедура информирования пользователей ПО о выявленных уязвимостях и способах реализации мер по их нейтрализации до разработки обновлений безопасности, устраняющих уязвимость, по установленным каналам взаимодействия.

Обеспечение реагирования на информацию об уязвимостях.

• Регламент реагирования на информацию об уязвимостях. Использование средств автоматизации (системы управления изменениями, системы отслеживания ошибок, системы управления задачами);

• Поиск уязвимостей в эксплуатирующемся ПО, регламент поиска ошибок и уязвимостей в ПО при его эксплуатации. Отчеты по результатам проводимых проверок, в которые включается информация об исправлении найденных ошибок, выпуска обновлений ПО и доставки обновлений ПО пользователям.

Обеспечение безопасности при выводе ПО из эксплуатации.

• Описание условий, при которых ПО (версию ПО) необходимо выводить из эксплуатации. Регламент вывода ПО из эксплуатации;

• Рекомендации по формированию совокупности процессов, подлежащих реализации разработчиком безопасного ПО в рамках научно-исследовательских и опытно-конструкторских работ.

Рекомендации по формированию совокупности процессов, подлежащих реализации разработчиком безопасного программного обеспечения в рамках научно-исследовательских и опытно-конструкторских работ.

• Экзамен.