# 介紹微軟 Security Development Lifecycle (SDL) 推廣活動

我之前參加微軟 MSDN 研討會時曾經拿到一本微軟贈送的書籍，書名叫做 "[The Security Development Lifecycle](https://www.microsoftpressstore.com/store/security-development-lifecycle-9780735622142)" (ISBN: 9780735622142)，拿回來看過之後，雖然覺得真的要在公司內導入 [SDL](http://www.microsoft.com/sdl) 的確不太容易，但是書中所介紹的一些安全觀念、流程、工具都蠻不錯的，我覺得每一位開發人員都應該嘗試著瞭解一下 [SDL](http://www.microsoft.com/sdl) 這個東西，畢竟建立基本觀念有益無害，況且真的是好東西。

[![The Microsoft Security Development Lifecycle (SDL)](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/aadd7e25a0ab42d505a7-image_thumb.png)](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/c4cb61d59f309ff8c054-image_2.png)

在微軟的 [The Microsoft Security Development Lifecycle (SDL)](http://www.microsoft.com/sdl) 網站包含了許多 SDL 的相關資訊，從這裡開始瞭解 SDL 應該是個不錯的管道。若要瞭解如上圖的 SDL 流程各階段 ( 分 0 ~ 13 共 14 個階段 ) 的說明，可以參考 "[The Microsoft Security Development Lifecycle (SDL): Process Guidance](http://msdn.microsoft.com/en-us/security/cc420639.aspx)" 頁面的說明。

上個月(2008/11)，微軟又推出了 3 個新的計畫與工具，分別是:

-   [Microsoft SDL Pro Network](http://msdn.microsoft.com/en-us/security/dd219581.aspx) - 提供 SDL 顧問與諮詢的專業網絡
-   [Microsoft SDL Optimization Model](https://www.microsoft.com/en-us/securityengineering/sdl/) \[Word\]
-   [Microsoft SDL Threat Modeling Tool v3](http://msdn.microsoft.com/en-us/security/dd206731.aspx) - 威脅模型分析工具v3 ( 網頁中有[影片](https://web.archive.org/web/20130618094121/http://download.microsoft.com/download/1/5/0/150636A9-9EA8-4D00-9E6B-2723F4C188B4/Microsoft%20SDL%20Threat%20Modeling%20Tool.wmv)介紹與[下載](https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-getting-started) )

另外，微軟為了推廣 SDL 還製作了一個 [The SDL Awareness Campaign](http://www.bakingsecurityin.com) 活動網站，希望所有開發人員能夠對 Security 有所認知以及能夠建立起**安全開發**的需求。

這個[活動網站](http://www.bakingsecurityin.com)很有趣，他們提供了一系列的[連載漫畫](https://web.archive.org/web/20170218165950/http://www.microsoft.com/security/bakingsecurityin/strips.htm)(comic strip)，漫畫名稱是 [The Amazing Adventures of Kevlarr and the SDL](https://web.archive.org/web/20170218165950/http://www.microsoft.com/security/bakingsecurityin/strips.htm)，此漫畫會從 2008/11/10 到 2009 年 4 月份每週推出一篇(有提供PDF與XPS下載)，每一週的漫畫都會專注在每個 SDL 的元素（例如：threat modeling, privacy, code analysis, compiler defenses, fuzzing, FSR, 等等），至今已經推出 4 篇了。

因為是只有一頁漫畫，內容很少，但都是很精要的慢慢引導大家瞭解何謂 SDL，並示範開發人員(Hero)如何學到 SDL 的精髓，以及學會如何應用這些原理寫出更安全的程式碼。我想一週看一篇應該不會有太大壓力，各位也可以訂閱這個連載漫畫的 [RSS](https://web.archive.org/web/20151011200845/http://www.microsoft.com/security/bakingsecurityin/rss/) 每週定時收看即可。

除了漫畫外，還有由一些經驗老到的 SDL 專家製作一系列的 "War Stories" 影片，這一系列的影片大約會在 2008/12/15 左右開始推出。這些影片將會介紹微軟對於安全開發的歷史（這一段書中有寫）、微軟在實際導入 SDL 的過程，讓你從過去瞭解現在，並從現在出發，邁向安全開發的路。

**相關連結**

-   [The SDL Awareness Campaign](http://www.bakingsecurityin.com) ( Baking Security In )
-   [The Microsoft Security Development Lifecycle (SDL)](http://www.microsoft.com/sdl)
-   [The Microsoft Security Development Lifecycle Blog](https://www.microsoft.com/en-us/security/blog/) ( [RSS](https://www.microsoft.com/en-us/security/blog/feed/) )
-   [Michael Howard's Web Log](http://blogs.msdn.com/michael_howard/) - A Simple Software Security Guy at Microsoft!
-   [The Security Development Lifecycle](https://www.microsoftpressstore.com/store/security-development-lifecycle-9780735622142) ([Microsoft Press](https://www.microsoftpressstore.com/))
-   [Tech·Ed Online](http://www.microsoft.com/techedonline/)