针对恶意攻击的防御性编程

Question

我工作的公司正在重新开发外部使用的内部产品。

该产品最初将在C＃中使用WPF开发，然后移植到Silverlight。

其中一个焦点是针对恶意攻击进行编码，例如， SQL注入等

问题：

1. 谁能推荐指着安全“最佳实践”文章的网址。
2. 任何人都可以推荐分析工具来分析代码来识别弱点。如果可能，我们会将该工具包含在我们的持续集成脚本中。

Answer 1

尝试MSDN上的以下文章：Security (How Do I in C#)。

Answer 2

我发现最好的资源是在这里：

http://www.owasp.org/index.php/Main_Page

在该网站，我会从这里开始：

http://www.owasp.org/index.php/Top_10_2007

前10位的网站漏洞，但这些概念适用于所有类型的应用程序。以我个人的观点来看，在学习安全编码方面，你真的无法从起点上做得更好。

本网站提供了最佳实践和工具，并且无论您的技能水平如何，都可以让所有内容都可以理解。

*增加*

另一个很好的资源是MSDN文档，因为你的问题被标记为C＃。

http://msdn.microsoft.com/en-us/library/ms998408.aspx

Answer 3

我想首先是安全发展就意味着三个步骤：

识别和理解大局：什么可能出错

这意味着理解一个漏洞的技术方面，以及它如何帮助制造事情出错了。

通常情况下，我会使用OWASP的前10个Web应用程序安全漏洞（google：owasp top 10 2007）。

如果你不明白的话，那么请指点。理解这样的文档并不直接告诉你如何构建安全代码，但它是你对安全开发理解水平的一个很好的指标。

查找导致安全开发

虽然许多文件告诉你的事情怎么可能出问题，少的资源实际上是告诉你如何避免它们在一般的方式很好的通用做法。

目前，我主要推荐以下资源：

• 大卫·鲁克的“安全开发原则”（谷歌：安全发展的大卫车原则）
• OWASP十大安全漏洞保护部分页面（每个条目在顶部10的在线版本）点击

查找为您量身定做技术

资源

获取使用您所说的语言告诉您“如何做到这一点”的资源。通常情况下，C＃。 MSDN门户为开发人员提供了许多安全检查表（http://msdn.microsoft.com/en-us/library/ms998408.aspx）。最后，进入它：连接到应用程序安全的常规输入，查找博客，阅读新闻（使用一些漏洞名称或单词（如“应用程序安全性”或“安全开发”）构建Google警报），并查看会发生什么情况。

希望它有帮助。

某人

PS：抱歉“谷歌”的链接，我是一个新用户，只能在我的答案:(