사용자

프런트 엔드

복잡한 미들웨어

데이터 베이스

버그 추적 및 보안 기능

클라이언트: 사용자 인터페이스, 로컬 데이터베이스 운영, 통신 메커니즘

서버: 데이터 요청을 실행 및 처리하고 결과를 반환합니다.

시스템 또는 애플리케이션 기능 요구 사항

표준 및 지침

수출 제한

데이터 민감도 수준

관련 보안 정책

비용/편익 분석 결과

목표 달성에 필요한 보호 수준

하드웨어는 소프트웨어와 다르다

일반적으로 소프트웨어로 구현되는 기능은 시스템 설계 과정에서 결정됩니다.

소프트웨어 검증에서는 시스템이 설계된 모든 상황을 고려해야 합니다.

소프트웨어와 하드웨어의 차이점

시스템 및 소프트웨어 설계와 관련된 모든 활동을 포함합니다.

시스템 아키텍처, 시스템 출력 및 시스템 인터페이스 설계

데이터 입력, 데이터 흐름 및 데이터 출력 요구 사항을 설정하고 일반적으로 회사의 보안 아키텍처를 기반으로 소프트웨어 보안 기능을 설계합니다.

데이터 디자인

건축 디자인

프로세스 설계

위협 모델링(STRIDE)

공격 표면 최소화 분석

입력 및 출력 정리

후속 단계를 위한 작업분류체계(WBS)

제품의 세부 사항과 제품이 구현되는 환경

제품 모듈화 및 재사용 문제

소스 코드가 생성되었으며 이에 따라 테스트 시나리오 및 테스트 케이스가 개발되었습니다.

단위 및 통합 테스트 구현 시작

또한 유지 관리를 위해 절차와 시스템을 문서화하기 시작한 다음 승인 테스트 및 생산 전환으로 이동합니다.

단위 테스트

통합 테스트

시스템 테스트

승인 테스트

회귀 테스트

기능 검사

성능 시험

퍼징 테스트

취약점 스캔

수동 테스트

동적 분석

제품 사양이 충족되는지 확인

프로젝트의 주요 목표가 충족되는지 확인

IT 시스템과 그 시스템의 기술적, 비기술적 보안 특성 보호 조치의 안전성 평가, 특정 설계 및 구현이 어떻게 충족되는지 측정 인증 프로세스를 지원하기 위해 정의된 보안 요구 사항 세트입니다.

보안 통제를 조사하고 평가하는 프로세스

외부 독립 검사 기관에 의해 수행

보안 정책 및 표준 준수 확인

권위 있는 기관은 IT 시스템이 승인되었으며 다음을 수행할 수 있음을 공식적으로 선언합니다. 허용 가능한 수준의 위험을 충족하는 정의된 보안 조치 세트를 사용하는 특정 보안 모드에서 작동할 수 있습니다.

경영진의 시스템 승인

명확한 위험 수용

이 단계에서는 시스템이 수용 단계에서 실제 생산 환경으로 전환됩니다.

이 단계의 활동에는 안전 승인 획득이 포함됩니다. (보안 인증);

계획에 따라 사용자를 교육합니다.

설치 및 데이터 변환을 포함한 시스템 구현

필요한 경우 병렬 작업을 수행합니다.

물리적 손상

소자

덮어쓰기

유사한 생산 시스템 개발 및 테스트

반복 가능하고 안정적인 프로세스로 배포

운영 품질 모니터링 및 검증

피드백 루프 확장

객체의 구조와 상태 특성을 설명합니다.

객체가 수행할 수 있는 기능이나 프로세스

모듈이 수행할 수 있는 다양한 유형의 작업을 반영합니다.

응집력이 높을수록 업데이트 및 수정이 더 쉬워지며, 다른 모듈과 상호작용하는 다른 모듈에 영향을 주지 않고

모듈이 작업을 수행하는 데 필요한 상호 작용의 양

낮은 결합으로 인해 재사용이 더 쉬워지고 수정이 다른 모듈에 영향을 미치지 않습니다.

버퍼 오버플로 공격

XSS 크로스 사이트 스크립팅 공격

SQL 인젝션 공격

본질: 데이터에 관한 데이터

데이터 소스 정의, 대상 정의, 변환 규칙 등과 관련된 주요 데이터입니다.

데이터 일관성

데이터 공유

데이터 복구

안전하게 제어하다

데이터베이스 언어

효과적인 접근 방식이나 프로세스 보장

논리적 트리 구조에 연관된 레코드와 필드로 구성된 논리적 트리 구조

트리 구조에는 많은 가지가 있고, 각 가지에는 많은 잎이나 데이터 필드가 있습니다.

접근하려면 명확한 경로가 필요합니다. 빈번한 변경에는 적합하지 않으며 빈번한 쿼리에는 적합합니다.

예: 경량 디렉터리 액세스 프로토콜(Lightweight Directory Access Protocol) LDAP, 레지스트리 구조

방향성 그래프를 사용하여 엔터티 유형과 엔터티 간의 관계를 나타냅니다. 엄격한 트리 구조가 아닌 네트워크형 중복 구조

각 데이터 요소에는 여러 개의 상위 노드와 하위 노드가 있습니다.

계층적 모델에 비해 더 빠른 검색

기능: 속성/필드(열) 및 튜플/레코드(행)

기본 및 외래 키

기본 구성 요소:

(RDBMS) 관계 무결성

데이터 사전:

객체지향 프로그래밍의 객체 데이터 모델을 DBMS와 결합하여, 이미지, 음성, 비디오 및 기타 데이터를 저장할 수 있습니다.

객체 지향 데이터베이스는 클래스를 사용하여 객체의 속성과 프로시저를 정의합니다.

롤백

제출하다

세이브포인트/체크포인트 (체크포인트)

동시 작업의 위협을 처리하기 위해 잠금 메커니즘을 사용합니다.

일부 정보는 개별적으로는 민감하지 않지만 함께 민감합니다.

해결책

원하는 결과를 집계

추론에서는 표시할 수 있는 정보를 얻을 수 없습니다.

해결책:

ACID 원칙

OLAP은 데이터웨어 하우스 시스템의 주요 응용 프로그램입니다.

의사 결정자 및 고위 관리자에게 적합

정보 검색 및 데이터 분석을 활성화하려면 여러 데이터베이스 또는 데이터 소스를 하나의 대규모 데이터베이스로 결합

데이터 수집

추론 엔진은 사용자 인터페이스, 외부 파일, 계획 및 프로그램 액세스 기능을 제공합니다.

기술 자료에는 특정 문제 또는 도메인과 관련된 데이터가 포함되어 있습니다.

발행된 이미지 및 제목을 수정된 이미지 및 제목으로 교체

인식과 현실

가상 환경에서의 서비스 및 거래 사기

권한이 있는 사용자에게 액세스를 제한합니다.

메시지 수집

관리 인터페이스

인증 및 접근 제어

구성 관리

확인 입력

매개변수 확인

세션 관리

SAML 보안 주장 마크업 언어, XML 기반 프로토콜입니다. 페더레이션 ID 표준입니다. 다양한 보안 도메인에서 인증 및 권한 부여 정보를 전송하는 데 사용되며 Single Sign-On을 구현하는 데 사용할 수 있습니다. KDC에 대한 Kerberos의 의존성과 유사하게 SAML은 IDP(ID 공급자)에 의존합니다. SAML에는 정책 시행이라는 기능이 있습니다.

OAuth(Open Authorization)는 개방형 표준으로, 사용자가 타사 애플리케이션이 사용자가 웹사이트에 저장한 개인 리소스(예: 사진, 비디오, 연락처 목록)에 액세스할 수 있도록 허용합니다. 타사 애플리케이션에 사용자 이름과 비밀번호를 제공하지 않고.

원래 OAuth는 유효 기간이 매우 긴(일반적으로 1년 또는 유효 기간 제한 없음) 토큰을 발행합니다. OAuth 2.0에서는 서버가 단기 유효 액세스 토큰과 장기 갱신 토큰을 발행합니다. 이를 통해 클라이언트는 사용자에게 다시 요청하지 않고도 새 액세스 토큰을 얻을 수 있으며 액세스 토큰의 유효 기간도 제한됩니다.

자바 언어는 바이트코드, 자바 가상 머신으로 구성된다. 기계가 인식할 수 있는 기계어 코드로 변환합니다.

애플릿은 샌드박스에서 실행됩니다. (샌드박스는 최소한의 인증을 달성하는 데 도움이 됩니다. 악성코드 공격에 효과적으로 대처할 수 있는 수단입니다. 바이러스 백신 소프트웨어의 대안)

특성 : 번식과 파괴, 숙주가 필요함

매크로 바이러스

부트 섹터 바이러스

압축 바이러스

은밀한 바이러스

변성 바이러스

분할 바이러스

자해 바이러스

스크립트 바이러스

터널 바이러스

호스트 없이 자체 복제 가능

이메일, 웹사이트 다운로드 등을 통해 배포됩니다.

봇은 악성코드의 일종으로, 잠복해 있는 악성코드입니다. 암호

다른 프로그램으로 위장한 프로그램

특정 이벤트가 발생하면 논리폭탄이 실행됩니다.

의심 카운터

일부 바이러스 백신 소프트웨어는 의심스럽게 샌드박스를 생성합니다. 의심스러운 코드를 동적으로 분석

분류:

바이러스를 표적으로 삼아 감염되었다고 생각하게 만듭니다.

관리적, 물리적, 기술적 방법을 통해 바이러스로부터 보호

피해자의 네트워크 대역폭을 소비합니다.

피해자의 자원을 소비한다

스머프 공격

프래글 공격

smurf와 Farggle은 프로토콜 결함을 악용하는 두 가지 방법입니다. 증폭된 네트워크를 사용하여 DoS를 실행하는 예

SYN 플러드 공격

눈물방울 공격

분산 서비스 거부 공격 (디도스)

지문과 디지털 서명의 MD5 비교

파일 무결성 검사

테스트 환경에서 패치 테스트

이제 덜 중요한 시스템에 배포됨

패치 업데이트 로그, 기록 및 보관

보안 평가자 또는 기타 독립 기관이 확인이 필요한 취약점을 확인하고 확인합니다.

대규모 조직에서

개발자와 시스템 소유자는 독립 단체의 동의 없이 위험이 완화되었다는 선언을 승인할 수 없습니다.

코드 서명은 코드의 무결성을 보장하고, 해당 코드를 개발한 사람을 식별하고, 개발자가 해당 코드를 사용하려는 목적을 결정하는 데 사용되는 기술입니다.

코드 서명 인증서와 디지털 인증서는 사용자가 누출된 파일이나 애플리케이션을 다운로드하는 것을 방지하는 데 도움이 됩니다.

코드가 서명되면 코드의 진위 여부를 확인하고 개발자가 아닌 다른 사람이 코드를 수정했는지 감지할 수 있습니다.

코드 서명은 다음 용도로 사용됩니다.

코드 서명은 세 부분으로 구성됩니다.

코드 서명으로 할 수 없는 것

신속하게 버그 테스트

패치의 부작용 관찰

각 버그 수정에 대한 회귀 테스트 계획 작성

두 개 이상의 테스트가 유사한 경우 어느 테스트가 덜 효율적인지 판단하고 폐기합니다.

테스트 계획을 식별하고 이를 지속적으로 제공 및 문서화합니다.

디자인보다는 기능적인 문제에 대한 고민

크기에 관계없이 데이터의 변경 사항을 확인하고 그에 따른 손상을 찾아냅니다.

프로그램 메모리에 대한 변경 사항의 영향 추적

가장 효과적인 접근 방식은 새 버전이 빌드될 때마다 실행할 수 있는 표준 테스트 사례 풀을 기반으로 하는 테스트 라이브러리입니다.

테스트 라이브러리를 구축할 때 어려운 점은 어떤 테스트 사례를 포함할지 결정하는 것입니다.

자동화된 테스트 및 테스트 케이스에는 모두 테스트 라이브러리에 속하는 경계 조건 및 타이밍도 포함됩니다.

자동화된 테스트가 효과적이려면 복잡한 테스트 방법론의 일부로 충분한 변수를 통합할 때 비용 효과적이고 효율적입니다.

시스템이 승인 기준을 충족하는지 확인하고 고객이 시스템 승인 여부를 결정할 수 있도록 하기 위해 수행되는 공식 테스트입니다.

민첩한 개발에서 수용성 테스트/기준은 일반적으로 비즈니스 고객이 설정하고 비즈니스 도메인의 언어로 설명됩니다.