Microsoft Security Development Lifecycle - Revista .NET Magazine 102

Atualmente, agilidade é o assunto mais abordado e que detém maior atenção dos gestores de TI, em especial de equipes de desenvolvimento de software. Novos ciclos e metodologias surgem e são aperfeiçoados constantemente para adequar qualidade e agilidade em seus processos de engenharia de software, até mesmo o Microsoft SDL oferece uma versão ágil de desenvolvimento. No entanto, será que estamos criando sistemas seguros e confiáveis para nossos usuários? Nós estamos confortáveis no momento da entrega? Nós realmente podemos dizer para nossos clientes que eles podem ficar despreocupados ao digitarem seus dados pessoais em nossos aplicativos?

Dito isso, se faz necessário olhar para nossa organização, equipe e processos para entender se estamos comprometidos com a “entrega” ou se realmente estamos desenvolvendo softwares seguros, eficientes e robustos para nossos usuários/clientes. É neste momento que este artigo se torna importante, ele se concentra exclusivamente na metodologia de desenvolvimento de software seguro, utilizando-se de boas práticas para confecção de aplicações e serviços online.

Vale lembrar que geralmente políticas de segurança da informação aplicadas nas organizações, ou até mesmo os softwares de segurança como antivírus, anti-spyware, entre outros, são concentrados nas operações, ou seja, nas ameaças externas e não no software e aplicativos desenvolvidos internamente. Porém, esses aplicativos podem se tornar as principais ameaças. Uma prova disso são as famosas e constantes customizações no firewall da empresa para garantir o bom funcionamento de alguns recursos implementados ou suportados pelo software/aplicativo.

O Microsoft Security Development Lifecycle (SDL) é uma proposta da Microsoft para criação de processos com práticas de segurança consistentes. Estes processos estão divididos em sete fases: treinamento, requisitos, desenho, construção, verificação, liberação e resultado. Este artigo se propõe a desvendar os conceitos e apresentar de forma simples como utilizar as práticas que compõem o Microsoft SDL. Para isso, serão introduzidos e discutidos todos os conceitos de cada fase, além de abordar os papéis e responsabilidades individuais envolvidas nos processos de desenvolvimento de aplicativos seguros.

Neste momento talvez você esteja se perguntando: esse tal Microsoft SDL realmente funciona? Segundo a Microsoft, baseado em seu desenvolvimento interno de software, ao aplicar as técnicas sugeridas no SDL seus softwares resultaram em uma redução de vulnerabilidade significativa, em torno de 50 a 60 por cento.

Os mais experientes e acostumados com engenharia de software e processos de ciclo de vida de desenvolvimento de software rapidamente irão identificar as diferenças no interior das atividades e processos. Um exemplo disso pode ser visto na fase de desenho (design), o qual a prática de modelagem de ameaças é realçada, esse procedimento é estruturado para identificar, avaliar e mitigar possíveis riscos à segurança do sistema. Essa e outras atividades que foram acrescentadas no ciclo de vida do Microsoft SDL oferecem maneiras sensatas para antecipar os ataques e revelar vulnerabilidades.