마이크로소프트 보안 개발 수명 주기

마이크로소프트 보안 개발 수명 주기(Microsoft Security Development Lifecycle, SDL)는 마이크로소프트가 데브옵스 프로세스에 보안을 통합하는 데 사용하는 접근 방식이다(때로는 DevSecOps 접근 방식이라고도 함). 이 SDL 지침과 설명서를 사용하여 이 접근 방식과 관행을 조직에 맞게 조정할 수 있다.

SDL 접근 방식에 설명된 관행은 모든 유형의 소프트웨어 개발과 클래식 워터폴에서 최신 데브옵스 접근 방식에 이르기까지 모든 플랫폼에 적용할 수 있으며 일반적으로 다음에서 적용할 수 있다.

• 소프트웨어 - 펌웨어, AI 애플리케이션, 운영 체제, 드라이버, IoT 기기, 모바일 기기 앱, 웹 서비스, 플러그인 또는 애플릿, 하드웨어 마이크로코드, 로우코드/노코드 앱 또는 기타 소프트웨어 형식에 대한 소프트웨어 코드를 개발하는지 여부. SDL의 대부분 관행은 보안 컴퓨터 하드웨어 개발에도 적용할 수 있다.
• 플랫폼 - 소프트웨어가 '서버리스' 플랫폼 접근 방식, 온프레미스 서버, 모바일 기기, 클라우드 호스팅 VM, 사용자 엔드포인트, SaaS(Software as a Service) 애플리케이션의 일부, 클라우드 에지 기기, IoT 기기 또는 다른 곳에서 실행되는지 여부.

SDL은 개발 워크플로에 통합할 10가지 보안 관행을 권장한다. SDL의 10가지 보안 관행을 적용하는 것은 지속적인 개선 프로세스이므로 주요 권장 사항은 특정 지점에서 시작하여 진행하면서 지속적으로 개선하는 것이다. 이 지속적인 프로세스에는 DevOps 워크플로에 보안 기술과 관행을 포함시키면서 문화, 전략, 프로세스 및 기술적 통제를 변경하는 것이 포함된다.

10가지 SDL 관행은 다음과 같다.

1. 보안 표준, 메트릭 및 거버넌스 설정
2. 입증된 보안 기능, 언어 및 프레임워크 사용 요구
3. 보안 설계 검토 및 위협 모델링 수행
4. 암호화 표준 정의 및 사용
5. 소프트웨어 공급망 보안
6. 엔지니어링 환경 보안
7. 보안 테스트 수행
8. 운영 플랫폼 보안 보장
9. 보안 모니터링 및 대응 구현
10. 보안 교육 제공

버전

버전	출시일	링크
1	January 2004	미출시
2	July 2004	미출시
2.1	January 2005	미출시
2.2	July 2005	미출시
3	January 2006	미출시
3.2	2008-04-15	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=24308
4.1	2009-06-01	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=15526
4.1a	2010-04-15	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=17701
5	2010-05-11	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=12285
5.2	2012-05-23	http://www.microsoft.com/en-us/download/details.aspx?id=29884
6	2024-05-21	https://www.microsoft.com/securityengineering/sdl

외부 링크

• 마이크로소프트 보안 개발 수명 주기 - 공식 웹사이트