Microsoft deelt kennis veilig ontwikkelen

Microsoft deelt zijn kennis voor betere beveiliging.

Microsoft deelt zijn kennis voor betere beveiliging.

Microsoft deelt eigen kennis en intern gebruikte tools voor het ontwikkelen van veilige software. De Windows-producent stelt zijn Secure Development Lifecycle-concepten en software (SDL) gratis ter beschikking.

De lessen die Microsoft-ontwikkelaars hebben geleerd met de ontwikkeling van nieuwe producten als Windows Vista, Office 2007 en SQL Server 2008 komen beschikbaar voor andere programmeurs. Microsoft deelt namelijk die kennis én de intern gebruikte tools voor het ontwikkelen van beter beveiligde software. Dit is gebaseerd op de Secure Development Lifecycle (SDL) die de Windows-producent hanteert voor zijn softwareontwikkeling.

Dit SDL is qua concepten, kennis en daaruit voortgekomen tools het resultaat van de ommezwaai voor beveiliging, die topman Bill Gates in 2001 afdwong. Alle ontwikkelaars bij Microsoft zijn toen verplicht op een diepgaande beveiligingscursus gegaan. Daarna is Service Pack 2 voor Windows XP ontwikkeld, wat de beveiliging van dat besturingssysteem flink heeft verbeterd.

Checklist en tool

Concreet biedt Microsoft drie tools aan. Het SDL Optimization Model is een auditingtool die een vragenlijst en controlepunten (checklist) omvat voor de ontwikkelpraktijken binnen een organisatie. Dit brengt in kaart hoe daar wordt omgegaan met beveiliging.

Deze audit meet bijvoorbeeld hoe een organisatie reageert op security alerts en patches, wat het doet aan training op het gebied van beveiliging en veilig ontwikkelen, en wat het doet om bedreigingen in kaart te brengen (threat modelling). Dit optimalisatiemodel is vanaf november gratis te downloaden op de SDL-site van Microsoft.

Daarnaast biedt de Windows-producent de SDL Threat Modelling Tool 3.0. Die applicatie moet hulp bieden aan ontwikkelaars die niet zo thuis zijn in beveiliging. De Threat Modelling Tool moet potentiële beveiligingsproblemen in kaart brengen in software die nog in ontwikkeling is.

De tool brengt onder meer de datastromen van de te ontwikkelen programmatuur in beeld en legt die naast beveiligingsregels. De ontwikkelaar krijgt daarbij direct feedback op wijzigingen die hij in reactie daarop weer aanbrengt. Deze ontwikkeltool komt ook in november uit, en is dan gratis te downloaden op het MSDN (Microsoft developer network).

Adviesgroep

Tot slot richt Microsoft ook een adviesgroep op met bedrijven die thuis zijn in SDL. Die ondernemingen kunnen andere ontwikkelaars weer helpen met het ontwikkelen van beter beveiligde software. Dit zogeheten SDL Pro Network omvat nu negen bedrijven, waaronder security-dienstverleners, consultancies en trainingsbedrijven.

Ondernemingen die hier gebruik van willen maken, moeten daarvoor reguliere consultancy-tarieven betalen. Een abonnementsconstructie voor betaling van dit advies is ook mogelijk. Het SDL Pro Network gaat ook in november van start.