imported>SchlurcherBot: Bot: http → https

2025-05-25T22:27:11Z

Bot: http → https

Neue Seite

'''Trustworthy Computing Security Development Lifecycle''' (Abgekürzt '''SDL''', zu Deutsch '''Entwicklungszyklus für vertrauenswürdigen Computereinsatz''') ist ein [[2004]] von [[Microsoft]] veröffentlichtes Konzept zur [[Softwaretechnik|Entwicklung]] von sicherer [[Software]] und richtet sich an Softwareentwickler, die Software entwickeln, die böswilligen Angriffen standhalten muss. Stark vereinfacht handelt es sich dabei um Gebote und Verbote, Tipps und Tools.<ref>Steve Lipner und Michael Howard: ''[https://msdn.microsoft.com/de-de/library/ms995349.aspx Entwicklungszyklus für sichere Software]''. In: MSDN. 30. Mai 2005.</ref> Es kam erstmals bei der Entwicklung von [[Microsoft Windows Vista|Windows Vista]] zum Einsatz.<ref>[https://www.microsoft.com/security/sdl/benefits/measurable.aspx Beschreibung der Verbesserungen in Windows Vista durch Nutzung des Security Development Lifecycle]</ref>

SDL ist weiterhin in die Softwareentwicklung bei Microsoft eingebunden; 2011 zog die Trustworthy Computing Group des Unternehmens eine Zwischenbilanz über die bisher erreichten Ergebnisse mit dieser Methode.<ref>{{Internetquelle |url=https://www.microsoft.com/en-us/download/details.aspx?id=14107 |titel=The SDL Progress Report |sprache=en-us |abruf=2022-02-01}}</ref><ref>{{Internetquelle |autor=heise online |url=https://www.heise.de/developer/meldung/Microsoft-zieht-Zwischenbilanz-fuer-Security-Development-Lifecycle-1219377.html |titel=Microsoft zieht Zwischenbilanz für Security Development Lifecycle |sprache=de |abruf=2022-02-01}}</ref>

== Grundsätze ==
Microsoft geht bei SDL von folgenden Grundsätzen aus:

; Secure by design
: Schon in der Planungsphase sollte auf die Sicherheitsbelange der Software eingegangen werden.
; Secure by default
: Trotz sorgfältigster Planung sollte ein Entwickler von dem Vorhandensein von [[Sicherheitslücke (Software)|Sicherheitslücken]] ausgehen. Aus diesem Grund sollten die Standardeinstellungen (z. B. erforderliche Privilegien) möglichst niedrig gewählt werden und selten benutzte Features standardmäßig deaktiviert werden.
; Secure in deployment
: Die mitgelieferten Dokumentationen und Tools sollen die [[Systemadministrator|Administratoren]] dabei unterstützen, die Software möglichst optimal einzurichten.
; Communications (Software)
: Die Entwickler sollten offen mit möglichen Sicherheitslücken umgehen und den Endanwendern schnell [[Patch (Software)|Patches]] oder [[Workaround]]s zur Verfügung stellen.
; Privacy by design
: Schon in der Planungsphase sollten Datenschutzbelange der Software berücksichtigt werden.
; Privacy by default
: Die Standardeinstellungen der Software sollten konservativ gewählt werden.
; Privacy in deployment
: Datenschutzmechanismen sollten offengelegt werden, um es Administratoren zu ermöglichen, die internen Datenschutzrichtlinien des Unternehmens umzusetzen.
; Communications (Privacy)
: Datenschutzerklärungen sollten transparent formuliert werden. Ein Team für Datenschutzvorfälle sollte eingerichtet werden.

== Der SDL-Prozess ==
Die untenstehende Liste entstammt der Dokumentation von Microsoft:<ref>{{Internetquelle |url=https://www.microsoft.com/en-us/sdl |titel=Microsoft Security Development Lifecycle |zugriff=2018-10-22 |sprache=en-us}}</ref>
# Anforderungsphase: Identifikation der Sicherheitsanforderungen und Schutzziele der zu erstellenden Software und deren Schnittstellen
# Entwurfsphase: Identifikation der Komponenten, die grundlegend für die Sicherheit sind; Risikomodellierung
# Implementierung: Verwendung von Tools und Test-Methoden sowie Code Reviews
# Überprüfungsphase: Beta Test mit Nutzern, systematische Suche nach Sicherheitsmängeln
# Veröffentlichung: Ist die Software auch wirklich reif für die Auslieferung
# Schaffung der Möglichkeit auf entdeckte Fehler und Schwachstellen schnell zu reagieren

{{Lückenhaft|Wie weit wurde das Konzept tatsächlich angewendet, mehr Geschichte, weitere Quellen --[[Benutzer:Crazy1880|Crazy1880]] 19:25, 24. Mai 2010 (CEST)}}

== Einzelnachweise ==
<references />

== Weblinks ==
* [https://www.microsoft.com/en-us/download/details.aspx?id=29884 Microsoft Security Development Lifecycle]
* [https://msdn.microsoft.com/magazine/msdn-magazine-issues A Look Inside the Security Development Lifecycle at Microsoft]: Michael Howard in MSDN Magazine, 11/2005
* [https://www.heise.de/developer/artikel/Sichere-Softwareentwicklung-nach-dem-Security-by-Design-Prinzip-403663.html Der Microsoft-SDL]: Niklaus Schild in heise Developer, 19. August 2009
* [https://www.heise.de/security/meldung/SDL-fuer-Dummys-920186.html SDL für Dummys]: Uli Ries in heise Security, 2. Februar 2010
* [https://www.heise.de/security/meldung/Microsoft-stellt-SDL-fuer-Agile-Softwareentwicklung-vor-855147.html Microsoft stellt SDL für Agile-Softwareentwicklung vor]: Daniel Bachfeld in heise Security, 10. November 2009

[[Kategorie:IT-Sicherheit]]
[[Kategorie:Microsoft]]

Security Development Lifecycle - Versionsgeschichte

imported>SchlurcherBot: Bot: http → https