搜索

[29403] 2017-05-04_关于软件安全，你需要问自己的7个问题

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2017-05-04_关于软件安全，你需要问自己的7个问题 关 于 软 件 安 全 ， 你 需 要 问 自 己 的 7 个 问 题 S e c Z o n e   O W A S P   2 0 1 7 - 0 5 - 0 4 扎 心 了 ！ 为 什 么 软 件 总 是 出 问 题 ？ 我 该 肿 么 办 ？ 你 有 没 有 问 过 自 己 七 个 问 题 ？ 软 件 几 乎 影 响 着 个 人 的 方 方 面 面 ， 包 括 ： 经 济 、 安 全 、 政 治 、 交 流 、 商 业 ， 甚 至 是 幸 福 。 通 常 来 说 ， 容 易 遭 受 攻 击 的 软 件 应 用 程 序 是 造 成 企 业 数 据 泄 露 的 主 要 原 因 [ 1 ] ， 它 们 不 仅 给 I T 组 织 造 成 了 困 扰 ， 也 使 得 企 业 担 负 上 了 经 济 及 法 律 责 任 。 然 而 ， 大 多 数 软 件 却 未 对 安 全 漏 洞 进 行 过 测 试 ， 原 因 在 于 传 统 的 测 试 方 法 效 率 低 、 准 确 性 低 ， 而 且 价 格 昂 贵 。 关 于 软 件 安 全 ， 你 需 要 问 自 己 的 关 于 软 件 安 全 ， 你 需 要 问 自 己 的 7 个 问 题 个 问 题 N O 1   使 用 了 哪 种 软 件 开 发 模 式 ？ 使 用 了 哪 种 软 件 开 发 模 式 ？ 您 可 能 会 使 用 敏 捷 开 发 、 D e v O p s 高 速 率 开 发 ， 或 者 更 为 传 统 的 “ 瀑 布 ” 模 式 。 无 论 您 采 用 何 种 模 式 ， 请 考 虑 你 将 如 何 以 最 小 的 中 断 将 安 全 测 试 集 成 到 现 有 的 或 已 计 划 好 的 进 程 中 。 最 常 见 的 方 法 就 是 采 用 静 态 、 动 态 或 手 动 分 析 。 它 们 通 常 需 要 时 间 来 扫 描 或 检 查 您 的 软 件 ， 同 时 需 要 给 予 软 件 安 全 专 家 更 多 的 时 间 来 对 结 果 进 行 “ 过 滤 ” ， 需 要 甚 至 更 多 的 时 间 来 让 开 发 者 修 复 漏 洞 以 及 让 专 家 审 核 修 复 结 果 。 这 些 繁 琐 和 耗 时 的 过 程 会 造 成 一 个 很 大 的 问 题 ， 那 就 是 ： 大 多 数 软 件 的 部 署 没 有 进 行 足 够 的 安 全 测 试 。 为 了 从 根 源 解 决 这 个 问 题 ， 需 要 寻 找 一 个 准 确 的 、 开 发 人 员 友 好 的 测 试 解 决 方 案 ， 这 个 方 案 在 开 发 人 员 、 运 营 人 员 和 应 用 安 全 团 队 之 间 仅 造 成 最 小 的 冲 突 。 该 方 案 应 该 能 够 在 整 个 开 发 生 命 周 期 中 进 行 频 繁 的 测 试 ， 并 提 供 自 动 和 即 时 的 测 试 结 果 。 它 应 该 集 成 在 开 发 人 员 、 测 试 人 员 、 运 营 和 安 全 团 队 已 经 在 使 用 的 工 具 中 。 N O 2 软 件 部 署 在 哪 里 ？ 软 件 部 署 在 哪 里 ？ 您 的 软 件 是 被 构 建 用 于 内 部 运 行 ？ 在 云 中 ？ 还 是 结 合 云 和 容 器 ？ 抑 或 以 上 都 有 ？ 您 将 如 何 测 试 每 个 平 台 上 的 每 一 个 应 用 程 序 ？ 理 想 的 测 试 解 决 方 案 需 要 与 云 、 容 器 和 其 他 虚 拟 化 环 境 兼 容 。 它 应 该 作 为 在 该 平 台 上 开 发 的 任 何 新 的 应 用 程 序 或 A P I 的 一 部 分 自 动 运 行 ， 并 且 不 需 要 对 防 火 墙 、 代 理 服 务 器 或 W e b 应 用 程 序 防 火 墙 等 设 备 上 的 网 络 配 置 进 行 任 何 更 改 。 寻 找 一 个 可 以 评 估 每 个 平 台 上 的 每 个 应 用 程 序 的 每 个 应 用 实 例 的 漏 洞 的 解 决 方 案 。 N O 3 软 件 是 否 使 用 了 第 三 方 库 和 框 架 ？ 软 件 是 否 使 用 了 第 三 方 库 和 框 架 ？ 开 源 、 第 三 方 库 和 开 发 人 员 框 架 能 够 加 速 开 发 、 为 开 发 人 员 带 来 一 致 性 和 便 利 性 ， 同 时 也 会 带 来 更 大 的 代 码 库 和 更 多 的 漏 洞 。 您 所 选 择 的 应 用 程 序 安 全 解 决 方 案 应 能 够 利 用 通 用 漏 洞 列 表 （ C V E ® ） 分 析 你 的 库 和 框 架 ， 并 提 醒 您 是 否 以 不 安 全 的 方 式 使 用 库 或 框 架 。 您 的 解 决 方 案 应 该 能 够 检 测 应 用 程 序 中 的 所 有 组 件 ， 并 指 出 漏 洞 ， 而 且 不 断 提 供 详 细 、 确 切 的 报 告 单 。 它 还 应 该 能 够 指 出 正 在 执 行 哪 些 类 别 的 库 ， 并 取 消 对 尚 未 使 用 组 件 的 不 必 要 修 复 。
N O 4   软 件 是 否 包 含 软 件 是 否 包 含 W e b 服 务 、 服 务 、 A P I 和 和 M i c r o s e r v i c e s ？ ？ 现 代 软 件 开 发 人 员 不 用 维 护 一 个 完 整 的 代 码 库 ， 而 是 使 用 M i c r o s e r v i c e s 、 A P I 和 W e b 服 务 来 加 快 部 署 和 提 升 功 能 。 但 是 ， 这 些 服 务 会 使 代 码 变 得 更 加 复 杂 ， 并 且 更 加 难 以 确 保 其 安 全 性 。 您 所 选 择 的 应 用 程 序 安 全 测 试 解 决 方 案 应 完 全 支 持 测 试 W e b 服 务 的 复 杂 协 议 、 数 据 格 式 和 框 架 ， 包 括 S O A P 和 R E S T 、 X M L 和 J S O N 、 M i c r o s e r v i c e s 和 A P I 。 它 应 该 始 终 保 持 一 份 完 整 的 、 最 新 的 W e b 服 务 内 部 和 外 部 清 单 及 其 关 系 表 。 无 论 W e b 服 务 是 被 托 管 在 数 据 中 心 ， 还 是 内 部 云 ， 还 是 外 部 云 ， 还 是 容 器 ， 它 都 可 以 提 供 准 确 和 持 续 的 结 果 。 N O 5 可 以 测 试 所 有 的 应 用 程 序 吗 ？ 可 以 测 试 所 有 的 应 用 程 序 吗 ？ 由 于 传 统 的 安 全 测 试 解 决 方 案 需 要 专 家 审 核 结 果 ， 因 此 ， 对 一 个 应 用 程 序 而 言 ， 组 织 需 要 进 行 一 次 连 续 测 试 。 要 测 试 每 个 应 用 程 序 ,   您 需 要 一 个 更 好 的 工 具 和 过 程 。 您 的 解 决 方 案 应 该 支 持 连 续 和 并 行 测 试 应 用 程 序 组 合 中 的 每 个 应 用 程 序 ， 并 提 供 即 时 和 准 确 的 测 试 结 果 。 最 后 ， 您 的 解 决 方 案 应 该 使 开 发 人 员 ， 即 使 是 那 些 具 有 很 少 或 没 有 安 全 专 业 知 识 的 人 ， 在 开 发 周 期 早 期 也 能 够 找 到 并 修 复 自 己 的 漏 洞 。   N O 6 测 试 是 否 准 确 ？ 测 试 是 否 准 确 ？ 无 论 相 信 与 否 ， 大 多 数 应 用 安 全 测 试 解 决 方 案 在 查 找 漏 洞 方 面 都 存 在 很 大 的 问 题 。 对 源 代 码 进 行 静 态 分 析 的 工 具 会 产 生 较 高 的 误 报 率 -   这 些 是 让 您 的 开 发 人 员 发 疯 的 虚 假 警 报 。 测 试 那 些 正 在 运 行 的 应 用 程 序 的 动 态 分 析 工 具 会 产 生 大 量 的 漏 报 –   这 些 遗 漏 会 让 您 的 代 码 变 得 脆 弱 。 使 用 静 态 和 动 态 分 析 的 组 织 需 要 依 靠 应 用 程 序 安 全 专 家 来 仔 细 查 看 这 些 工 具 、 解 析 结 果 并 提 出 补 救 建 议 。 为 了 确 保 准 确 性 ， 当 软 件 运 行 时 ， 应 用 程 序 代 码 内 部 可 以 寻 找 并 执 行 更 加 深 入 的 分 析 解 决 方 案 。 它 应 该 检 查 H T T P 请 求 和 响 应 ， 并 分 析 源 代 码 、 运 行 时 数 据 流 、 配 置 、 库 等 。 通 过 使 用 可 以 访 问 许 多 不 同 信 息 来 源 的 应 用 程 序 安 全 工 具 以 及 综 合 分 析 技 术 ， 您 将 可 以 更 准 确 地 了 解 漏 洞 以 及 解 决 漏 洞 的 方 法 。 N O 7 需 要 应 用 安 全 专 家 吗 ？ 需 要 应 用 安 全 专 家 吗 ？ 如 果 您 的 组 织 有 幸 设 置 有 专 人 致 力 于 应 用 程 序 安 全 方 面 的 工 作 ， 那 么 此 处 ， 您 可 以 按 以 下 方 式 最 大 化 实 现 他 们 的 价 值 ： 减 少 使 用 不 准 确 的 应 用 程 序 安 全 工 具 选 择 一 个 对 他 们 可 见 、 并 且 能 够 控 制 整 个 应 用 程 序 组 合 的 安 全 工 具 。 使 其 易 于 在 整 个 应 用 程 序 组 合 中 设 置 安 全 策 略 ， 并 在 整 个 组 织 中 建 立 最 佳 实 践 为 应 用 安 全 团 队 去 除 补 救 及 繁 琐 的 任 务 ， 以 便 他 们 去 解 决 最 棘 手 的 问 题   进 行 投 资 前 ， 请 务 必 仔 细 评 估 应 用 安 全 解 决 方 案 。 看 看 您 目 前 和 将 来 的 需 求 。 考 虑 当 今 应 用 安 全 市 场 中 的 供 应 商 ， 以 及 他 们 的 解 决 方 案 在 当 前 和 计 划 的 环 境 中 将 如 何 运 作 。 如 果 您 的 组 织 已 经 在 实 施 应 用 程 序 安 全 性 ， 问 问 自 己 它 的 运 作 状 况 如 何 ， 或 者 它 能 否 从 工 具 、 人 员 或 进 程 的 改 进 中 受 益 。 参 考 文 献 ： [ 1 ]   2 0 1 6   V e r i z o n   D a t a   B r e a c h   I n v e s t i g a t i o n s   R e p o r t . 原 著 ： C a t h y   L e m e s h e w s k y ， C o n t r a s t   S e c u r i t y 感 谢 ： 本 译 文 由 O W A S P 中 文 项 目 组 完 成 ， 在 此 非 常 感 谢 ~
翻 译 ： 李 康 伟 、 邱 士 林 审 查 ： 王 颉 （ O W A S P 中 国 副 主 席 、 O W A S P 中 文 项 目 负 责 人 ） 时 间 ： 2 0 1 7 年 5 月 2 日 达 康 书 记 1 分 钟 前 赶 紧 积 极 留 言 ， 分 享 你 的 好 方 法 ！ 点 击 阅 读 原 文 ， 查 看 英 文 原 版 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理