Microsoft Security Development Lifecycle

Search


Les outils SDL

Intégrer l'automatisation dans le cycle de développement représente un investissement dans la qualité logicielle. Le Guide Microsoft Security Development Lifecycle (SDL) exige ou recommande l'utilisation de certains outils centrés sur la sécurité dans le cadre du processus de développement. Il est important de comprendre quels outils sont les plus appropriés à chaque phase du cycle de développement. Les entreprises devront choisir des outils qui répondent à leurs exigences de qualité et à leurs critères de coût. Elles devront aussi vérifier que leurs développeurs et leurs testeurs possèdent une expertise suffisante pour utiliser correctement ces outils.

Microsoft diffuse des modèles et des outils – gratuitement – pour aider les entreprises dans ce sens.

Le graphique ci-dessous aide à situer chacun de ces outils dans le cycle SDL. Cliquez sur le nom d'un outil pour le télécharger.


Security Development Lifecycle (SDL)

Modèle de processus SDL pour VSTS
Le modèle de processus SDL pour VSTS est un modèle téléchargeable qui intègre automatiquement la stratégie, les processus et les outils associés à chaque phase du Cycle de développement sécurisé (SDL) Microsoft version 4.1, dans l'environnement de développement Visual Studio Team System (VSTS).

Ce modèle facilite l'adoption de SDL, permet la définition d'exigences de sécurité pouvant être auditées et démontre le retour sur investissement dans le domaine de la sécurité en apportant un cadre familier aux développeurs, aux testeurs et aux chefs de projet.

Visual Studio Team System 2008 est requis : Télécharger une version d'évaluation VPC ou Hyper-V. Pour d'autres informations, cliquez ici.

Modèle de processus Microsoft SDL Agile
Le modèle de processus Microsoft SDL Agile est un modèle téléchargeable qui intègre la stratégie, les processus et les outils du Guide SDL pour un développement Agile dans le modèle MSF (Microsoft® Solution Framework) pour Agile (MSF Agile) fourni avec Visual Studio Team System (VSTS).

Le modèle Microsoft SDL Agile est similaire au modèle de processus SDL, mais il est mieux adapté aux projets qui suivent une méthodologie de développement Agile. Les projets qui suivent une méthodologie de développement traditionnel en spirale ou en cascade devraient plutôt utiliser le modèle de processus SDL. Le modèle Microsoft SDL Agile est utilisable avec Visual Studio Team System (ou Team Foundation Server) 2008 ou 2010.

Outil SDL de modélisation des menaces
L'outil SDL de modélisation des menaces permet à des experts sur des sujets autres que la sécurité de créer et d'analyser des modèles de menaces :

  • en communiquant sur la conception de sécurité de leurs systèmes,
  • en analysant cette conception pour y rechercher des problèmes potentiels de sécurité via une méthodologie ayant fait ses preuves,
  • en suggérant et en gérant des atténuations des problèmes de sécurité.
    Cliquez ici pour obtenir des informations supplémentaires sur l'outil SDL de modélisation des menaces.

Banned.h
Le fichier d'en-tête banned.h est une ressource qui prend en charge l'exigence SDL de retirer les fonctions interdites du code. Ce fichier répertorie toutes les API interdites et permet aux développeurs de les situer dans le code.

Modèle ATL SiteLock
Le modèle ATL (Active Template Library) SiteLock permet à des développeurs de contrôles ActiveX de restreindre l'utilisation d'un contrôle ActiveX à une liste prédéterminée de noms de domaines ou de zones de sécurité. Cela limite la possibilité pour d'autres pages Web de réutiliser ce contrôle.

Par exemple, le développeur peut utiliser le modèle SiteLock pour être sûr qu'un contrôle ActiveX développé pour une utilisation sur l'intranet de l'entreprise ne peut pas être exploité par des pages de la zone Internet. Cela contribue à réduire la surface d'attaque présentée par le contrôle : même s'il contient des vulnérabilités de sécurité, ces vulnérabilités ne pourront pas être exploitées par des pages en provenance d'Internet car le contrôle refusera de s'exécuter en dehors de la zone intranet locale.

FxCop
FxCop est un analyseur statique. Il analyse les assemblies en code managé (code qui cible le CLR du .NET Framework) et donne des informations, comme des améliorations qui pourraient être apportées en sécurité, performance, localisation et conception.

FxCop est conçu pour les développeurs de bibliothèques de classes. Toutefois, toute personne qui crée des applications devant respecter les pratiques recommandées .NET Framework devrait l'utiliser. Cliquez ici pour en savoir plus.

Code Analysis for C/C++
Code Analysis for C/C++ est un analyseur statique qui est fourni lors de l'installation de Visual Studio Team System Development Edition ou Visual Studio Team Suite. Il aide à détecter et à corriger certaines lacunes dans le code.

Il analyse le code source une fonction à la fois et recherche les utilisations incorrectes et les séquences de code C/C++ qui peuvent indiquer une erreur de programmation.

Bibliothèque Anti-XSS
La bibliothèque Anti-XSS est spécifiquement conçue pour aider à limiter les attaques potentielles par scripts intersites (XSS) dans les applications Web.

Cette version inclut aussi SRE (Security Runtime Engine) qui s'exécute comme un module HTTP pour fournir un niveau de protection contre XSS sans avoir besoin de recompiler l'application.

CAT.NET
CAT.NET est un outil d'analyse de code qui aide à identifier des variantes courantes de certaines vulnérabilités, qui pourraient être sensibles à des vecteurs d'attaques répandues comme les Scripts intersites (XSS), l'Injection SQL et l'Injection XPath.

Cet outil peut fonctionner comme un module additionnel de Visual Studio 2005/2008, une règle personnalisée de FxCop, une tâche personnalisée MSBuild ou un exécutable à la ligne de commande. Il analyse les binaires .NET compilés. Outil d'analyse du code .NET (CAT.NET) v1 CTP 64 bits

BinScope
L'analyseur binaire BinScope est un outil de vérification qui analyse les binaires pour vérifier qu'ils ont été construits dans le respect des exigences et des recommandations SDL.

  • BinScope vérifie que les indicateurs du compilateur et de l'éditeur de liens, requis par SDL, ont bien été positionnés, que des assemblies fortement nommés sont utilisés et que les outils de compilation sont à jour.
  • BinScope signale aussi des constructions dangereuses interdites ou déconseillées par SDL (par exemple lire/écrire des sections partagées et des pointeurs de fonctions globales).
  • Pour une liste plus détaillée des contrôles effectués par BinScope, veuillez consulter la présentation et la démonstration de BinScope. BinScope est disponible en tant qu'exécutable autonome ou complément à Visual Studio.

MiniFuzz
MiniFuzz est un outil de test basique qui aide à détecter des problèmes et des vulnérabilités dans le code de gestion des fichiers.

  • Cet outil crée de nombreuses variations aléatoires de contenus de fichiers et les fournit à l'application afin de tenter d'obtenir des comportements inattendus.
  • En diffusant MiniFuzz, nous permettons aux développeurs de pratiquer des injections de fautes aléatoires sur le contenu de fichiers, et nous les aidons à découvrir davantage de vulnérabilités dans leurs codes.
  • Pour obtenir des informations supplémentaires, veuillez consulter la présentation et la démonstration MiniFuzz. MiniFuzz est disponible en tant qu'exécutable autonome ou complément à Visual Studio.

Outils d'autres éditeurs pour SDL

Nous avons récemment accueilli de nouvelles entreprises éditrices d'outils dans le réseau SDL Pro Network. Ces entreprises proposent des outils de sécurité et des services associés pour aider à développer un code plus sûr. Visitez la page SDL Pro Network pour en savoir plus sur ces entreprises et leurs offres.