搜索

[29415] 2017-06-07_享好文代码+安全=提升软件安全

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-19
2017-06-07_享好文代码+安全=提升软件安全 为 什 么 从 事 应 用 程 序 安 全 方 面 的 工 作 如 此 为 什 么 从 事 应 用 程 序 安 全 方 面 的 工 作 如 此 “ 痛 苦 痛 苦 ” 呢 ？ 呢 ？ 享 好 文   |   代 码 + 安 全 = 提 升 软 件 安 全 S e c Z o n e   O W A S P   2 0 1 7 - 0 6 - 0 7 很 简 单 ， 因 为 有 数 不 清 的 方 式 导 致 应 用 程 序 的 安 全 问 题 发 生 。 这 并 非 任 何 一 个 安 全 专 家 可 以 解 决 所 有 的 问 题 ， 而 且 ， 我 们 理 所 当 然 地 认 为 那 些 本 已 熟 悉 软 件 开 发 语 言 和 最 佳 实 践 的 开 发 人 员 能 够 掌 握 应 用 程 序 的 安 全 开 发 方 法 。 但 是 ， 事 与 愿 违 。 为 了 “ 帮 助 ” 开 发 人 员 ， 安 全 专 家 发 布 了 安 全 战 略 、 安 全 需 求 、 安 全 架 构 、 滥 用 案 例 、 威 胁 模 型 、 安 全 标 准 、 安 全 编 码 指 南 、 安 全 测 试 指 南 等 等 一 系 列 文 档 。 所 有 这 些 文 件 都 只 是 在 阐 述 “ 如 何 实 现 安 全 ” 。 虽 然 上 述 文 档 有 所 帮 助 ， 但 这 些 文 档 缺 乏 充 分 的 解 释 和 完 整 的 说 明 ， 再 加 上 开 发 人 员 迫 于 项 目 进 度 执 行 与 项 目 成 本 消 耗 的 压 力 ， 因 而 可 能 会 忽 略 对 相 关 文 档 的 使 用 。   将 安 全 与 代 码 融 合 将 安 全 与 代 码 融 合 将 安 全 与 代 码 融 合 是 提 升 安 全 性 的 典 型 方 法 。 使 用 安 全 文 档 是 必 要 的 。 但 不 是 大 量 的 安 全 文 档 ， 而 是 那 些 准 确 定 义 了 如 何 使 用 代 码 实 现 安 全 的 文 档 。 安 全 文 档 中 的 大 部 分 内 容 可 以 转 化 为 可 重 复 的 应 用 程 序 测 试 用 例 。 请 记 住 ， 不 是 为 了 简 单 地 运 行 扫 描 程 序 尝 试 模 拟 攻 击 或 搜 索 一 些 漏 洞 。 我 们 的 目 标 是 验 证 应 用 程 序 中 的 安 全 措 施 是 否 实 际 存 在 、 是 否 正 确 部 署 、 是 否 正 确 使 用 。 通 常 ， 对 安 全 措 施 进 行 验 证 比 测 试 应 用 程 序 安 全 性 更 困 难 。 源 代 码 并 不 是 唯 一 的 对 象 ， 因 为 它 可 能 会 对 其 中 一 件 事 情 生 效 ， 但 是 对 另 一 件 事 情 却 显 得 难 以 适 用 。 真 正 的 诀 窍 在 于 获 取 访 问 信 息 。 要 做 好 这 项 工 作 ， 我 们 需 要 检 验 到 数 据 流 在 应 用 程 序 源 代 码 、 配 置 文 件 、 库 文 件 、 框 架 、 控 制 流 、 后 端 连 接 等 地 方 是 如 何 流 转 的 。 理 论 上 说 ， 如 果 把 上 述 方 法 转 化 为 程 序 代 码 ， 即 使 没 有 安 全 专 家 的 参 与 ， 开 发 团 队 也 可 以 直 接 进 行 软 件 的 安 全 开 发 和 安 全 部 署 。 而 且 ， 由 于 目 前 国 内 大 量 缺 乏 应 用 安 全 专 家 ， 这 也 能 解 决 资 源 缺 乏 的 问 题 。 建 立 建 立 A P P S E C 自 动 化 平 台 自 动 化 平 台 建 立 一 个 由 各 种 方 法 综 合 组 成 的 自 动 化 平 台 来 执 行 应 用 程 序 的 安 全 检 查 。 该 平 台 应 该 能 够 在 开 发 环 境 中 持 续 运 行 ， 并 贯 穿 整 个 S D L C 。   以 下 是 信 息 收 集 的 部 分 列 表 ， 以 供 参 考 。
安 全 与 代 码 融 合 是 安 全 与 代 码 融 合 是 D E V S E C O P S 的 关 键 的 关 键 随 着 软 件 开 发 行 业 向 D e v O p s 、 云 、 容 器 、 持 续 集 成 、 持 续 交 付 和 持 续 部 署 的 转 移 ， 我 们 同 样 需 要 把 重 心 转 向 持 续 安 全 。 仅 通 过 由 专 家 使 用 的 传 统 工 具 ， 已 不 再 确 保 应 用 的 安 全 性 。 相 反 ， 我 们 需 要 专 注 于 将 安 全 与 代 码 融 合 ， 才 能 实 现 自 动 化 的 软 件 防 御 验 证 ， 实 现 D e v S e c O p s 。 技 术 交 流 技 术 交 流 好 的 技 术 或 需 要 了 解 的 ， 欢 迎 互 动 ： ) 工 作 证 工 作 证 O W A S P   中 国

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理