2-OWASP测试项目

2.1 OWASP测试架构概述

    本章讲的项目是SDLC（软件开发生命周期），这个参考框架的各个阶段的技术和任务。这是一个灵活的框架，考虑到这不是一个指令性质的，所以可以适当的修改、扩展，根据需求来 使用。

    本章节旨在帮助企业构建一个完整的战略测试过程。是测试，而不是战术及具体领域的测试。

    要理解为什么构建段对端的测试，架构对评估和改进软件的安全性来说是至关重要的。

思想：开发 后的测试视为黑盒测试，此架构从产生到定义到灭亡一直经过考验，但是在安全测试中，仍然强调使用渗透测试的方法，虽然渗透测试能发挥一定的作用，但是在发现bug上一般效率不高，且过度依赖测试人员的技能。所以此章节反复强调：在定义、设计、开发、部署、维护阶段就应该对其安全测试，而不是等到代码完全建立后用昂贵的价格去测试的策略。

    此模型既不是开发方法，也不是方法的具体指导，而是通用的开发模型。

    测试架构通常包括以下活动：

---

2.1.1 阶段1:开发前

首先，定义SLDC，这样就可以涵盖每个阶段固有的安全性，然后评审政策和标准，建立适当的政策、标准、文档，让开发人员知道怎么去做，最后制定测量和矩阵标准 ，确保可追溯性，定义需要测量的标准，提供可视化的方法，为了获得数据，这是非常重要的，也可能修正该过程。

2.1.2 阶段2:设计和开发阶段

首先评审安全需求，安全需求定义了应用程序从安全角度如何工作，至关重要的是对安全要求进行测试。如网站白皮书，必须明确，比如用户管理、验证、授权、数据机密性、完整性、可归责性、会话管理、传输安全、系统分层隔离、法规和标准的合规性。

接下来评审设计和架构，就是应用程序必须有书面的设计和架构说明。如在设计阶段识别出安全缺陷，就把问题交给系统架构师寻找替代方法。

创建和 评审UML模型，设计和架构完成后，需要构建模语言（UML ）模型，它描述了应用程序是如何开展工作的。如在评审UML时发现问题，就把问题交给系统架构师寻找替代方法。

最后创建和评审威胁模型，以确保这些威胁已经得到缓解方法：由业务接受或转移给第三方。如保险公司。

2.1.3 阶段3：开发阶段

开发是设计的实现。所以要提高设计时的完整性。

代码走查，通过代码走查，可以使代码团队获得一些理解，代码走查并不是代码审查，而是要高层次上了解流程、布局、应用程序的代码结构。

代码评审，测试人员开始检查实际代码的安全缺陷

静态代码的对照 清单 验证代码，包括：

可用性、机密性的完整性的义务需求。

OWASP指南的十大风险业务清单。

关于语言或框架，比如PHP的 红皮书、MicrosoftASP.NET安全编码清单

如何行业的特殊要求。

2.1.4 阶段4：部署中

首先应用渗透测试，测试过徐青青，分析了结构后，并进行代码审查，就可以假设所有问题已经全部被发现，但是为了没有问题被发现，我们最后结果渗透测试检查一遍。

然后就是配置管理测试，处于默认安装阶段的配置管理是一个小问题，都可能被漏洞利用。

2.1.5 阶段5：维护和运行

首先，执行运营管理评审，需要有一个完整的过程，详细描述如何对应用程序和基础架构进行运营管理。

然后，执行周期性的健康检查，每个月或季度，对应用程序进行 健康检查，确保没有引入新的安全风险，并且安全水平仍完好无损。

最后，确保变更验证，在每一个变更被批准后，以确保安全水平 并未收到变更的影响。

2.2 典型SDLC测试流程

---

SDLC（Software Development Life Cycle），即软件生命周期，软件生存周期，是软件的产生直到报废的生命周期，周期内有问题定义、可行性分析、总体描述、系统设计、编码、调试和测试、验收与运行、维护升级到废弃等阶段，这种按时间分程的思想方法是软件工程中的一种思想原则，即按部就班、逐步推进，每个阶段都要有定义、工作、审查、形成文档以供交流或备查，以提高软件的质量。但随着新的面向对象的设计方法和技术的成熟，软件生命周期设计方法的指导意义正在逐步减少。

这是百度的介绍

我们来看一下书上的图

2.1 SDLC测试工作流程