SDL en une slide Modélisation des menaces Démo…interactive!

Présentation au sujet: "SDL en une slide Modélisation des menaces Démo…interactive!"— Transcription de la présentation:

1

2 SDL en une slide Modélisation des menaces Démo…interactive!

3 …Ce processus consiste à ajouter une série d'activités et de tâches relatives à la sécurité à chacune des phases du processus de développement des logiciels Microsoft… L'équipe SWI est d'accord sur le fait que la modélisation des menaces est le composant le plus important du SDL Concentrer les efforts sur la modélisation des menaces, les révisions de code, l'utilisation d'outils automatisés ainsi que des tests de robustesse plutôt que sur des tests de pénétration.

4 Faire vivre un document listant toutes les menaces pesant sur la solution Initier un « brainstorm » avec l’équipe projet Identifier les risques et les impacts Identifier les parades Distribuer les rôles et responsabilités Faire vivre ce document tout au long de cycle de développement

5 Échec de la connexion Attaques d'entreprise Données confidentielles Violations accidentelles de la sécurité Attaques automatisées Pirates Virus, chevaux de Troie et vers Déni de service (DoS) DoS

6

7

8 Une compagnie d’assurance prévois d’utiliser le format OpenXML (ici DOCX) pour stocker les informations liées a un sinistre automobile. Une assistante doit pouvoir constituer un dossier depuis un site Web de l’entreprise création du docx avec éléments initiaux L’expert doit faire sa visite et utilise une application riche sur son TabletPC Modification du docx avec annotations schéma et photos de l’expert en mode remote Le garagiste doit pouvoir consulter et ajouter au dossier le détail et coût de ses réparations Ajout depuis un site web des éléments garagistes

9 Site Web interne Site Web externe Web Service Application TabletPC

10 Altération des données (mal formaté peut donner un Deny de Service) Altération des données (falsification des données ) quelles validation ? Authentification / Autorisation = Usurpation d’identité (se faire passer pour un expert) DOCX contient des binaires malicieux DOCX « énorme » et DoS Quid de la saisie sur page Web (upload docx, avec saisie N° assuré date du constat + upload) Securité (WSI ?) sur le WebService Signature digitale / DRM sur DOCX Anti virus sur le docx Macro dans docx ? « on pète la gueule à l’expert » = lui permettre d’annuler un constat dans les 24 ou 48 heures (pince monseigneur + cable sur pc de l’expert) Bonne foi du garagiste ? (Qui valide quoi précisément)

11 S’informer - Un portail d’informations, des événements, une newsletter bimensuelle personnalisée Se former - Des webcasts, des articles techniques, des téléchargements, des forums pour échanger avec vos pairs Bénéficier de services - Des cursus de formations et de certifications, des offres de support technique Visual Studio 2005 + Abonnement MSDN Premium Abonnement TechNet Plus : Versions d’éval + 2 incidents support

12 © 2007 Microsoft France Votre potentiel, notre passion TM