Security API のベスト プラクティス

セキュリティで保護されたソフトウェアの開発に役立つには、アプリケーションの開発時に次のベスト プラクティスを使用することをお勧めします。 詳細については、「セキュリティ デベロッパー センター」を参照してください。

セキュリティ開発ライフサイクル

セキュリティ開発ライフサイクル (SDL) は、セキュリティに重点を置いた一連のアクティビティと成果物をソフトウェア開発の各フェーズに合わせたプロセスです。 これらのアクティビティと成果物は次のとおりです。

• 脅威モデルの開発
• コード スキャン ツールの使用
• コード レビューとセキュリティ テストの実施

SDL についての詳細は、「Microsoft セキュリティ開発ライフサイクル」を参照してください。

脅威モデル

脅威モデル分析を実行すると、コード内の潜在的な攻撃ポイントを検出するのに役立ちます。 脅威モデル分析の詳細については、「Howard、Michael、LeBlanc、David [2003]」、「Writing Secure Code」、「2d ed.、ISBN 0-7356-1722-8、Microsoft Press、Redmond、Washington」を参照してください。 （このリソースは、一部の言語や国では利用できない場合があります。）

サービス パックとセキュリティ更新

ビルド環境とテスト環境では、対象となるユーザー ベースの同じレベルのサービス パックとセキュリティ更新プログラムを反映する必要があります。 ビルドおよびテスト環境の一部である Microsoft プラットフォームまたはアプリケーション用の最新のサービス パックとセキュリティ更新プログラムをインストールし、完成したアプリケーション環境に対して同じ操作を行うことをユーザーに推奨することをお勧めします。 Service Pack とセキュリティ更新プログラムの詳細については、「Microsoft Windows Update および Microsoft Security」を参照してください。

承認

最小限の特権を必要とするアプリケーションを作成する必要があります。 最小限の特権を使用すると、悪意のあるコードによってコンピューター システムが侵害されるリスクが軽減されます。 最小限の特権レベルでコードを実行する方法の詳細については、「特別な特権を使用した実行」を参照してください。

その他の情報

ベスト プラクティスの詳細については、次のトピックを参照してください。