Качество и безопасность ПО

Безопасность является ключевой характеристикой качества согласно ISO 25010. Она охватывает конфиденциальность, целостность, доступность и такие аспекты, как подлинность.

Коротко о главном

• Безопасность это характеристика качества.
• CIA-триада: конфиденциальность, целостность, доступность.
• Безопасность нужно закладывать в дизайн с самого начала.
• Security Testing это часть работы, но одного его недостаточно.

CIA-триада

CIA-триада составляет основу информационной безопасности. Она описывает три центральных цели защиты, которые должно обеспечивать любое защищённое ПО.

Конфиденциальность

Конфиденциальность гарантирует, что чувствительная информация доступна только авторизованным лицам. Для этого используют шифрование, контроль доступа и аутентификацию.

Целостность

Целостность означает, что данные не должны изменяться без уведомления. Для защиты применяют хеширование, цифровые подписи и системы контроля версий.

Доступность

Доступность гарантирует, что системы и данные доступны при необходимости. DDoS-атаки и сбои могут её нарушить. Защищают её через избыточность и мониторинг.

Прочие аспекты безопасности

• Подлинность: надёжная проверка личности пользователей и систем.
• Подотчётность: возможность отследить выполненные действия.
• Неотрицаемость: доказательство того, что действие имело место.
• Защита данных: охрана персональных данных.

Безопасные практики

Security by Design

Безопасность закладывается в архитектуру и дизайн с самого начала. Добавленная позже безопасность обходится дороже и менее эффективна.

Принцип наименьших привилегий

Каждый пользователь и процесс получают только необходимые права. Это ограничивает урон от успешной атаки.

Валидация входных данных

Все входные данные должны проверяться на тип, длину, формат и диапазон значений. Валидация на сервере обязательна, так как клиентскую валидацию легко обойти.

Защищённая аутентификация

Строгие требования к паролям, хеширование с солью, Rate Limiting, MFA и защищённые токены сессий укрепляют процесс входа.

Логирование и мониторинг

События, связанные с безопасностью, записываются и мониторятся. Это позволяет рано выявить атаки и отследить произошедшее.

Регулярные обновления

Уязвимости в фреймворках, библиотеках и операционных системах закрываются через обновления и патчи.

Практический пример

Защищённый вход в систему служит классическим примером применения безопасности как характеристики качества. Этот пример выбран потому, что вход в систему часто становится объектом атак и демонстрирует множество целей CIA-триады одновременно. Список ниже показывает, как практики безопасности работают вместе.

Защищённый вход в систему:
- Хеширование паролей при сохранении
- Rate Limiting против перебора
- Обязательный HTTPS
- Многофакторная аутентификация
- Защищённое управление сессиями

Зачем нужны эти меры?

• Хеширование паролей при сохранении: защищает конфиденциальность учётных данных даже если база данных скомпрометирована.
• Rate Limiting: предотвращает автоматизированные атаки и повышает доступность системы.
• Обязательный HTTPS: защищает данные при передаче и обеспечивает целостность.
• Многофакторная аутентификация: повышает подлинность даже если пароль известен.
• Защищённое управление сессиями: предотвращает перехват сессии и обеспечивает подотчётность.

Эти меры показывают, что безопасность это не отдельный инструмент, а синергия между дизайном, реализацией и эксплуатацией.

Плюсы и минусы

Плюсы	Минусы
Защита данных и пользователей	Дополнительные затраты на разработку
Доверие и репутация	Повышенная сложность архитектуры
Соответствие требованиям нормативных документов	Баланс с удобством использования
Ранее выявление атак	Необходимо постоянное обслуживание и обновления
Конкурентное преимущество через надёжность	Требуется специализированное знание
Снижение затрат через раннюю профилактику ошибок	Ложные срабатывания и затраты на проверку инструментов

Ключевые пункты для подготовки

• ISO 25010: безопасность является отдельной характеристикой с подхарактеристиками: конфиденциальность, целостность, доступность и подлинность.
• CIA-триада: конфиденциальность, целостность, доступность это три столпа информационной безопасности.
• Security by Design: безопасность должна учитываться уже на этапе проектирования.
• Принцип наименьших привилегий: выдавать только необходимые права.
• Валидация входных данных: проверять все входные данные на сервере, чтобы предотвратить инъекции и другие атаки.
• Защищённая аутентификация: хеширование паролей, MFA, Rate Limiting и защищённые сессии.
• Логирование и мониторинг: записывать и контролировать события, связанные с безопасностью.
• Регулярные обновления: держать фреймворки, библиотеки и системы в актуальном состоянии.
• Защита данных: охрана персональных данных согласно GDPR.
• Threat Modeling: системный анализ угроз на этапе проектирования.
• Defense in Depth: несколько слоёв защиты вместо одной меры.
• Безопасность vs Security Testing: безопасность это характеристика качества, Security Testing это метод проверки.

Основные источники

1. https://owasp.org/www-project-top-ten/
2. https://iso25000.com
3. https://en.wikipedia.org/wiki/Information_security

Продолжение пути обучения: Качество ПО

Следующий материал в пути обучения «Качество ПО» посвящен качеству ПО и производительности — как производительность становится атрибутом качества.