A Framework for Integrating Application Security into Software Engineering (FIASSE) using the Securable Software Engineering Model (SSEM)
# Фреймворк для интеграции безопасности приложений в разработку программного обеспечения (FIASSE) [](https://creativecommons.org/licenses/by-sa/4.0/) **Примечание:** Этот репозиторий находится в стадии активной разработки. Вклад приветствуется! ## Обзор Кратко: пожалуйста, прочитайте [DOC](https://github.com/owasp/fiasse/blob/main/docs/securable_framework.md). Изучите [веб-сайт FIASSE](https://fiasse.org). Посетите [GitHub Discussions](https://github.com/OWASP/FIASSE/discussions), чтобы внести свой вклад. Этот репозиторий содержит ресурсы и материалы для фреймворка OWASP по интеграции безопасности приложений в разработку программного обеспечения (FIASSE). FIASSE (произносится /feiz/, как «phase») — это независимый от поставщиков фреймворк, который продвигает **ориентированный на разработчика, основанный на принципах подход** к созданию **защищаемого** программного обеспечения. Он признаёт, что безопасность — это динамичный, непрерывный процесс, подобный разработке. Он вводит Модель разработки защищаемого программного обеспечения (SSEM) как **общий язык проектирования**, который использует устоявшиеся термины программной инженерии для интеграции безопасности в архитектуру, проектирование и разработку программного обеспечения путём встраивания безопасности в принципы, формирующие сам код. Фреймворк позволяет командам разработчиков устойчиво создавать вычислительную ценность, снижая вероятность материального ущерба от киберсобытий на протяжении всего жизненного цикла кода. FIASSE — это креационный фреймворк. Он рассматривает, как безопасность реализуется в программном обеспечении, напрямую связывая инженерные решения с защищаемыми результатами. Это не фреймворк обеспечения гарантий, не модель зрелости и не замена каталогам контролей или метрикам уязвимостей. Он дополняет эти подходы и снижает нагрузку на последующие этапы обеспечения гарантий и соответствия требованиям. ## Назначение Предоставить практические рекомендации, которые **расширяют возможности разработчиков** создавать защищаемое программное обеспечение без необходимости глубокой экспертизы в области безопасности, а также направлять специалистов по безопасности в эффективной интеграции их опыта в разработку программного обеспечения. FIASSE достигает этого через **призму программной инженерии**, снижая когнитивную нагрузку и способствуя сотрудничеству между командами разработки и безопасности. ## Чем это отличается? В то время как проекты, ориентированные на обеспечение гарантий, такие как OWASP Top 10, подчёркивают, чего следует избегать (список запретов), OWASP FIASSE предоставляет набор позитивных атрибутов и практик, которым следует следовать (список разрешений). Этот подход использует существующие навыки программной инженерии для создания защищаемого программного обеспечения, вместо того чтобы требовать от разработчиков изучения техник эксплуатации или принятия мышления, ориентированного на уязвимости. Акцент делается на обеспечении практичного, безопасного кодирования через знакомые инженерные принципы. Чётко определяя практическую роль безопасности в процессе разработки, этот фреймворк гарантирует эффективное сохранение бизнес-ценности. Установка явных ожиданий по безопасности до написания кода снижает вероятность того, что недостатки безопасности будут обнаружены и потребуют исправления позже. Эффективное внедрение должно улучшить существующие метрики обеспечения гарантий, сократить количество повторяющихся находок, обеспечить более долговечные исправления и сократить время устранения. ## Ключевые ценности FIASSE ориентирован на четыре ключевые ценности. Каждая выражает относительное предпочтение: обе стороны имеют ценность, но когда необходимо сделать выбор, FIASSE отдаёт предпочтение левой. - **Защищаемые атрибуты вместо контролей безопасности**: предпочитать инженерные качества, которые позволяют построить и поддерживать систему в защищённом состоянии, контролям безопасности, добавленным после факта для компенсации слабостей. - **Участие вместо оценки**: предпочитать структурированное взаимодействие между безопасностью и разработкой на протяжении всего жизненного цикла оценке, выполняемой после завершения работы. - **Первые принципы инженерии вместо жаргона безопасности**: предпочитать опору на устоявшиеся первые принципы программной инженерии специфичному для безопасности жаргону или эвристикам, основанным на атаках. - **Бизнес-ценность вместо активности в области безопасности**: предпочитать безопасность, которая поддерживает создание ценности организацией, безопасности, pursued как самоцели. ## Ключевые принципы - **Парадигма защищаемости**: Не существует статичного состояния «безопасно». Система, объявленная безопасной сегодня, может оказаться уязвимой завтра. FIASSE перенаправляет инженерную цель с вопроса «безопасна ли она?» на вопрос «построена ли она так, чтобы безопасность можно было поддерживать?» через адаптивную устойчивость, эволюционную безопасность и непрерывное совершенствование. - **Устойчивое создание вычислительной ценности**: Основная директива программной инженерии в бизнес-контексте. Программное обеспечение должно удовлетворять функциональным требованиям, сохраняя при этом качества защищаемости, позволяющие ему выдерживать изменения, нагрузку и атаки, следующие за каждым изменением. - **Миссия безопасности: снижение материального ущерба**: Миссия безопасности — снизить вероятность материального ущерба от киберсобытия. Полное устранение утечек не является практичной бизнес-целью, поэтому стратегии безопасности должны соответствовать бизнес-целям и допустимому уровню риска. - **Взаимосвязь качества и безопасности**: Безопасность не может превышать качество программного обеспечения. Качества, которые делают программное обеспечение простым для понимания, изменения, тестирования и наблюдения, — это те же качества, которые делают возможным его защиту. Инвестиции в инженерное качество — это инвестиции в безопасность. - **Безопасность, ориентированная на разработчика**: Расширение возможностей инженеров-программистов создавать защищаемые системы с использованием знакомых принципов программной инженерии, вместо требования перенимать образ мышления пентестера. - **SSEM как общий язык проектирования**: Использование устоявшихся терминов программной инженерии (например, анализируемость, модифицируемость, тестируемость) для определения и обсуждения атрибутов безопасности. Это делает безопасность доступной для разработчиков и даёт специалистам по безопасности общую основу для оценки. - **Согласование безопасности с целями разработки и бизнеса**: Безопасность и разработка дополняют друг друга, а не противостоят. AppSec участвует в SDLC на ранних этапах, особенно при сборе требований и планировании функций, чтобы ожидания были явными до написания кода. - **Принцип прозрачности**: Системы проектируются так, чтобы авторизованные стороны могли понимать внутреннее состояние и поведение. Структурированное журналирование, инструментирование и аудиторские следы встраиваются в код, а не обеспечиваются только внешними инструментами. - **Принцип наименьшего удивления**: Системы ведут себя интуитивно и предсказуемо для пользователей, разработчиков и администраторов. Предсказуемость помогает анализу, снижает когнитивную нагрузку и делает границы доверия ясными. - **Требования как полноправный участник AppSec**: Функции безопасности, сценарии угроз и критерии приёмки безопасности реализуются через процесс работы с требованиями. Уязвимости часто восходят к ожиданию, которое никогда не было специфицировано, поэтому этот пробел относится к процессу работы с требованиями. ## Инженерные принципы Раздел 4 фреймворка даёт разработчикам принципы, применимые непосредственно на уровне кода: - **Принцип контроля границ**: Гибкость внутри системы — это инженерное преимущество, которое следует сохранять. Контроль на каждой границе доверия — это требование безопасности, которое следует обеспечивать. - **Каноническая обработка входных данных**: Канонизируйте, валидируйте и очищайте входные данные в точке входа. **Принцип канонического разбора** преобразует внешние входные данные в канонический внутренний тип на границе и отказывает безопасно (fail closed), когда разбор не удаётся. - **Принцип изолированной целостности**: Критичные для целостности значения, такие как цены, роли и состояние объектов, выводятся из авторитетных серверных источников. Они никогда не принимаются напрямую от клиента. - **Устойчивое программирование**: Практики защитного программирования обеспечивают предсказуемое выполнение. К ним относятся строгая типизация, валидация входных данных на границах доверия, кодирование выходных данных, комплексная обработка ошибок, безопасное управление ресурсами, корректный и безопасный отказ, а также наименьшие привилегии на уровне кода. - **Управление зависимостями**: Применяйте атрибуты SSEM при выборе, интеграции, мониторинге и поддержке зависимостей на протяжении всего жизненного цикла отношений. ## Модель защищаемой программной инженерии (SSEM) SSEM определяет атрибуты, которые делают программное обеспечение защищаемым. Команды ставят цели по каждому атрибуту, оценивают системы на соответствие им и улучшают их постепенно. Атрибуты организованы в три категории: | **Сопровождаемость** | **Надёжность (доверие)** | **Отказоустойчивость** | |:--------------------|:-------------------:|----------------:| | Анализируемость | Конфиденциальность | Доступность | | Модифицируемость | Подотчётность | Целостность | | Тестируемость | Аутентичность | Устойчивость | | Наблюдаемость | | | В SSEM по замыслу отсутствует атрибут «Авторизация». Авторизация — это функция безопасности, которая собирается как требование и реализуется в соответствии с критериями приёмки. Перечисленные выше атрибуты — это то, что делает такую функцию защищаемой. Приложение A фреймворка описывает подходы к измерению каждого атрибута. ## Содержимое репозитория - [docs/securable_framework.md](https://github.com/owasp/fiasse/blob/main/docs/securable_framework.md): полный фреймворк FIASSE и спецификация SSEM в виде единого документа. - [docs/framework/](https://github.com/owasp/fiasse/blob/main/docs/framework): фреймворк, разделённый на один файл на раздел. Эти файлы разделов являются источником истины для фреймворка. [Индекс кода](https://github.com/owasp/fiasse/blob/main/docs/framework/code-index.md) отделяет разделы, непосредственно относящиеся к коду, от разделов о процессе, ролях и внедрении. [llms.txt](https://github.com/owasp/fiasse/blob/main/docs/framework/llms.txt) предоставляет индекс для языковых моделей. - [skills/](https://github.com/owasp/fiasse/blob/main/skills): FIASSE и SSEM, упакованные как навыки для ИИ-агентов программирования (см. ниже). - TODO: руководства по реализации методологии FIASSE - Примеры перенесены в [Securability-Engineering/securable-framework-supplement](https://github.com/Securability-Engineering/securable-framework-supplement) ## Начало работы 1. Ознакомьтесь с документацией в каталоге [docs](https://github.com/owasp/fiasse/blob/main/docs). Начните с [полного фреймворка](https://github.com/owasp/fiasse/blob/main/docs/securable_framework.md) или воспользуйтесь [индексом кода](https://github.com/owasp/fiasse/blob/main/docs/framework/code-index.md), чтобы найти разделы, применимые к рассматриваемому коду. 2. Обсудите концепции и принципы со своими командами и в [GitHub Discussions](https://github.com/OWASP/FIASSE/discussions) 3. Начните применять принципы в своих практиках разработки программного обеспечения, таких как сбор требований, проверка слияний и проектирование промптов. 4. Следуйте шагам внедрения из раздела 8 фреймворка: оцените текущие практики, интегрируйте терминологию SSEM, определите ключевых влиятельных лиц, обучите и подготовьте команды, внедрите агентные инструменты AppSec для снижения нагрузки, способствуйте сотрудничеству и непрерывно отслеживайте и улучшайте процессы. - Бонус: установите плагин, соответствующий вашей IDE или выбранному ИИ-агенту командной строки (например, GitHub Copilot, Claude Code, OpenCode и т. д.), и используйте предоставленные промпты для генерации защищаемого кода. Ищите «Securability Engineering» или «FIASSE» в библиотеке промптов. - FIASSE также включён в состав [OWASP Secure Agent Playbook](https://github.com/OWASP/secure-agent-playbook). ## Навыки для ИИ-агентов программирования Каталог [`skills/`](https://github.com/owasp/fiasse/blob/main/skills) упаковывает FIASSE/SSEM как готовые к использованию навыки для ИИ-агентов программирования, поддерживающих формат [Agent Skills](https://code.claude.com/docs/en/skills) (например, Claude Code). Скопируйте нужный каталог навыка в путь навыков вашего агента. - **[`securability`](https://github.com/owasp/fiasse/blob/main/skills/securability/SKILL.md)**: компактный, полностью самодостаточный справочник, охватывающий все десять атрибутов SSEM и основные принципы (No Static State of Secure, Isolated Integrity, Canonical Input Handling, Boundary Control, Least Astonishment). Предназначен как вариант по умолчанию для повседневной генерации и проверки кода. - **[`securable-code`](https://github.com/owasp/fiasse/blob/main/skills/securable-code/SKILL.md)**: углублённый навык для контекстно-насыщенной, архитектурно сложной работы, такой как проектирование границ доверия, системы аутентификации, многосервисные потоки данных или архитектура зависимостей. Он направляет к конкретному встроенному разделу фреймворка (в `skills/securable-code/framework/`), относящемуся к рассматриваемому коду, обменивая дополнительный контекст на полные рассуждения исходного фреймворка. По умолчанию используйте `securability`; обращайтесь к `securable-code`, когда проектные решения неочевидны настолько, что стоит прочитать сам фреймворк. ## Резюме Этот репозиторий определяет защищаемое программное обеспечение как ПО, созданное так, чтобы оставаться обороноспособным: структурированное таким образом, чтобы его можно было понимать, изменять, тестировать и укреплять по мере изменения окружающего мира. Он подчёркивает, что безопасность — это непрерывный процесс, а не статичное достижение. В нём представлена Модель инженерии защищаемого программного обеспечения (Securable Software Engineering Model, SSEM), которая рассматривает безопасность как неотъемлемый набор качеств хорошо спроектированного ПО. Для этого она представляет категории атрибутов: Сопровождаемость (Maintainability), Надёжность доверия (Trustworthiness) и Отказоустойчивость (Reliability, включающая Resilience). FIASSE выступает за интеграцию практик безопасности в рабочий процесс разработки там, где они дают наибольший эффект. Это переход от подхода «безопасность как запоздалая мысль» или «сдвиг влево» к проактивной, коллаборативной модели. Владельцы продукта, разработчики и специалисты по безопасности работают вместе с самых ранних этапов проектирования, в частности через определение требований безопасности, совместное моделирование угроз и критерии приёмки по безопасности. Это задаёт чёткие ожидания для работ с кодом и тестирования. Ревью при слиянии служат ограждениями, а не шлюзами. Каждое слияние порождает рекомендательный Отчёт о защищаемости (Securability Report), а блокировка — это политическое решение с путём обхода. Находки из валидации и эксплуатации рассматриваются как эмпирическая информация, указывающая вверх по потоку на этап, который мог бы их предотвратить. Инженерам-программистам даются рекомендации по балансировке гибкости и контроля. Им также даётся определённая модель для принятия решений по безопасности. В конечном счёте это позволяет всем заинтересованным сторонам вносить вклад в создание более надёжных, устойчивых и изначально защищаемых систем. FIASSE отличается от существующих подходов тем, что не требует от разработчиков становиться экспертами по безопасности или перенимать состязательный образ мышления. Он называет распространённые антипаттерны AppSec, такие как «Shoveling Left» (перекладывание сырого вывода инструментов на разработчиков) и обучение с упором на эксплуатацию, и заменяет их Принципом действенной разведки безопасности (Actionable Security Intelligence Principle). Этот подход направлен на снижение когнитивной нагрузки на разработчиков при одновременном обеспечении уверенности специалистов по безопасности в том, что их опасения учтены через конкретные атрибуты кода и процессов инженерии ПО. FIASSE стремится быть открытым, доступным и коллаборативным. ## Дорожная карта Начальные вехи проекта FIASSE: - **Основы проекта** - Установление управления проектом, руководств по внесению вклада и каналов коммуникации. - **Основные спецификации** - Официальная публикация фреймворка FIASSE и спецификации SSEM с подробным описанием ключевых атрибутов и стратегий интеграции. - **Внедрение и образовательные ресурсы** - Букварь по SSEM для знакомства с моделью и её применением. - Сборник начальных вариантов использования и шаблонов внедрения, иллюстрирующих практические преимущества. - Постоянная разработка руководств по реализации, примеров и других образовательных материалов. Дальнейшие вехи будут разработаны совместно с командой проекта. Вклад сообщества приветствуется через [GitHub Discussions](https://github.com/OWASP/FIASSE/discussions). ## Дополнительные ресурсы Этот репозиторий дополняет [веб-сайт FIASSE](https://fiasse.org). Проект [OWASP FIASSE](https://owasp.org/www-project-fiasse/) является частью [OWASP Foundation](https://owasp.org/) — некоммерческой организации, сосредоточенной на миссии по искоренению небезопасного программного обеспечения. OWASP Foundation предоставляет множество ресурсов и фреймворков, соответствующих принципам FIASSE. Этот фреймворк сосредоточен на инженерии защищаемого программного обеспечения и дополняется другими проектами OWASP: - Проверка функций безопасности и готовая библиотека требований безопасности: [OWASP Application Security Verification Standard (ASVS)](https://owasp.org/www-project-application-security-verification-standard/) - Зрелость обеспечения: [OWASP Software Assurance Maturity Model (SAMM)](https://owasp.org/www-project-samm/) - Соответствие требованиям безопасности продукта: [OWASP Product Security Capability Framework (PSCF)](https://owasp.org/www-project-product-security-capability-framework/) OWASP также размещает множество проектов, документирующих требования и функции безопасности, например [OWASP Mobile Application Security](https://mas.owasp.org/). [OWASP Developer Guide](https://owasp.org/www-project-developer-guide/) — это всеобъемлющий ресурс по различным другим ресурсам OWASP. Ещё один отличный ресурс для справочных требований и практик обеспечения — [OpenCRE](https://opencre.org/), который собирает и сопоставляет различные фреймворки безопасности. --- [Read more](https://github.com/owasp/fiasse)
