搜索

[3078] 2016-08-22_Web应用安全当中的破坏性鸿沟

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-08-22_Web应用安全当中的破坏性鸿沟 W e b 应 用 安 全 当 中 的 破 坏 性 鸿 沟 原 创   E 安 全   E 安 全   2 0 1 6 - 0 8 - 2 2 E 安 全 8 月 2 2 日 文   近 年 来 ， 由 于 W e b 应 用 攻 击 方 法 的 不 断 曝 光 和 w e b 应 用 重 要 性 不 断 提 高 ， 对 W e b 信 息 系 统 的 攻 击 事 件 数 量 大 增 。 绝 大 多 数 W e b 攻 击 事 件 的 根 源 在 于 W e b 信 息 系 统 中 存 在 有 安 全 漏 洞 ： 已 经 有 超 过 4 0 % 的 泄 露 状 况 指 向 W e b 应 用 ， V e r i z o n 公 司 在 其 2 0 1 6 年 数 据 泄 露 调 查 报 告 当 中 指 出 。 为 什 么 会 出 现 这 样 的 情 况 ？ 为 什 么 那 些 安 全 度 不 高 的 应 用 仍 被 大 量 放 出 ？ 又 为 什 么 开 发 阶 段 中 的 扫 描 与 测 试 工 作 愈 发 普 遍 ， 数 据 泄 露 问 题 还 是 层 出 不 穷 ？ P r e v o t y 公 司 在 其 《 数 据 泄 露 的 真 正 根 源 》 报 告 当 中 发 现 了 一 种 令 人 忧 心 的 趋 势 ， 其 中 指 出 了 数 据 泄 露 问 题 的 一 种 深 层 潜 在 起 因 ： 安 全 与 安 全 与 I T 专 业 人 士 之 间 存 在 严 重 冲 突 专 业 人 士 之 间 存 在 严 重 冲 突 。 据 了 解 ， 目 前 的 I T 职 能 角 色 分 为 普 通 I T 人 员 、 安 全 实 践 人 员 以 及 应 用 开 发 人 员 等 等 。 最 近 的 研 究 结 果 显 示 ， 在 涉 及 安 全 因 素 认 知 与 实 现 层 面 时 ， 普 通 I T 人 员 与 特 定 安 全 人 员 间 存 在 着 巨 大 的 对 接 鸿 沟 。 “ 鸿 沟 鸿 沟 ” 的 定 义 的 定 义 根 据 这 份 报 告 所 言 ， I T 专 业 人 员 与 安 全 专 业 人 员 之 间 的 鸿 沟 可 主 要 分 为 三 大 要 点 。 首 先 ， 双 方 对 于 应 用 程 序 需 要 进 行 更 新 的 具 体 时 间 点 抱 有 不 同 观 点 。 安 全 人 员 认 为 目 前 的 安 全 解 决 方 案 需 要 即 时 且 持 续 不 断 的 更 新 ， 从 而 保 持 业 务 数 据 及 应 用 始 终 拥 有 最 新 补 丁 以 对 应 各 类 威 胁 ， 具 体 来 讲 有 超 过 一 半 （ 5 2 % ） 的 安 全 从 业 者 认 为 应 用 需 要 每 天 至 少 更 新 一 次 。 相 比 之 下 ， 有 半 数 I T 专 业 人 员 认 为 应 用 每 一 到 六 个 月 更 新 一 次 即 可 。 换 句 话 来 说 ， 应 用 程 序 可 以 在 I T 人 员 的 管 理 之 下 持 续 运 行 并 每 半 年 进 行 一 次 更 新 — — 这 种 作 法 在 安 全 层 面 上 无 疑 相 当 可 怕 。 安 全 与 I T 专 业 人 员 间 的 第 二 大 分 歧 在 于 对 安 全 漏 洞 流 行 度 的 认 知 结 论 。 在 一 方 面 ， 大 部 分 安 全 从 业 者 认 为 其 应 用 程 序 当 中 存 在 着 显 而 易 见 的 安 全 漏 洞 ， 而 有 3 9 % 的 I T 人 员 认 为 其 企 业 当 中 几 乎 甚 至 完 全 不 存 在 易 被 利 用 的 安 全 漏 洞 。 由 此 带 来 的 结 果 是 ， I T 人 员 几 乎 很 少 动 手 处 理 安 全 漏 洞 — — 而 安 全 人 员 却 在 持 续 不 断 地 对 漏 洞 进 行 审 查 、 优 先 级 排 序 以 及 / 或 处 理 。
说 起 持 续 不 断 ， 第 三 项 也 是 最 后 一 项 分 歧 在 于 双 方 对 于 积 压 漏 洞 数 量 的 巨 大 认 识 差 异 。 几 乎 全 部 （ 9 3 % ） 安 全 人 员 都 认 为 其 积 极 漏 洞 已 经 超 过 5 0 0 0 项 ， 其 中 6 2 % 则 表 示 每 项 安 全 漏 洞 的 平 均 修 复 时 间 要 超 过 2 4 小 时 。 考 虑 到 上 述 结 论 ， 如 果 某 家 企 业 积 压 有 5 0 0 0 种 安 全 漏 洞 ， 则 需 要 近 两 年 时 间 （ 3 6 5 年 ） 才 能 将 其 全 部 修 复 完 成 。 而 I T 专 业 人 员 眼 中 的 情 况 则 完 全 不 同 — — 近 半 数 I T 人 员 表 示 企 业 中 根 本 不 存 在 积 压 的 安 全 漏 洞 。 这 就 带 来 了 一 系 列 新 的 问 题 ： I T 专 业 人 员 是 否 拥 有 与 安 全 从 业 者 相 同 的 漏 洞 识 别 能 力 ？ 他 们 又 是 否 接 受 过 同 样 的 培 训 或 者 具 备 专 业 知 识 储 备 ？ 弥 合 鸿 沟 弥 合 鸿 沟 为 了 弥 合 I T 与 安 全 专 业 人 员 之 间 的 认 识 鸿 沟 ， 大 型 I T 社 区 必 须 更 进 一 步 建 立 起 统 一 化 方 案 。 双 方 的 理 解 差 异 可 通 过 良 好 的 沟 通 、 知 识 共 享 以 及 相 互 认 同 得 到 缓 解 。 良 好 的 理 解 可 能 应 从 培 训 工 作 开 始 ， 即 帮 助 I T 专 业 人 员 了 解 如 何 维 护 并 管 理 强 大 的 安 全 解 决 方 案 ， 并 在 企 业 环 境 下 利 用 最 佳 实 践 以 推 广 应 用 安 全 性 可 见 度 、 快 速 漏 洞 修 复 以 及 安 全 编 码 习 惯 等 等 。 他 们 需 要 更 为 深 入 地 了 解 安 全 危 害 ， 认 识 到 应 用 程 序 更 新 迟 缓 、 未 发 现 安 全 漏 洞 以 及 未 能 及 时 解 决 积 压 漏 洞 可 能 带 来 的 风 险 。 在 另 一 方 面 ， 大 多 数 安 全 专 业 人 员 每 周 可 能 要 花 最 多 四 天 通 过 政 策 更 新 、 新 的 定 义 列 表 以 及 其 它 反 应 式 配 置 手 段 调 整 现 有 应 用 安 全 解 决 方 案 ， 这 意 味 着 他 们 没 有 时 间 或 者 精 力 来 专 注 于 建 立 更 具 战 略 意 义 的 应 用 安 全 项 目 。 双 方 团 队 应 当 通 过 协 作 应 对 问 题 ， 并 找 到 无 需 频 繁 更 新 或 增 添 大 量 负 担 即 可 实 现 的 安 全 解 决 办 法 。 目 前 的 安 全 形 势 已 经 非 常 明 确 ， 安 全 威 胁 因 素 永 远 不 可 能 彻 底 消 失 ， 而 安 全 与 I T 人 员 需 要 在 整 个 应 用 程 序 生 命 周 期 中 联 手 发 现 各 类 安 全 漏 洞 — — 从 开 发 阶 段 到 生 产 阶 段 再 到 常 受 忽 视 的 应 用 实 际 运 行 阶 段 。 这 可 能 意 味 着 安 全 预 算 、 时 间 与 人 力 成 本 有 所 增 加 ， 但 同 时 也 意 味 着 问 题 邂 逅 对 应 资 源 可 随 时 加 以 释 放 （ 同 时 亦 解 决 了 漏 洞 积 压 的 问 题 ） 。 最 后 ， 安 全 与 I T 专 业 人 员 需 要 建 立 起 一 套 分 层 安 全 方 案 ， 其 与 网 络 层 及 应 用 层 拥 有 同 样 重 要 的 地 位 。 另 外 ， 考 虑 使 用 静 态 应 用 安 全 测 试 与 动 态 应 用 安 全 测 试 等 测 试 技 术 方 案 ， 并 由 I T 团 队 考 虑 引 入 新 的 、 自 动 化 程 度 更 高 的 新 型 安 全 方 案 — — 包 括 下 一 代 防 火 墙 与 R A S P 等 等 。 在 回 顾 上 一 代 员 工 的 工 作 习 惯 时 ， 我 们 可 以 轻 松 发 现 组 织 内 的 低 效 率 与 部 门 间 孤 岛 的 存 在 。 利 用 同 样 的 方 式 ， 我 们 也 希 望 企 业 能 够 利 用 增 强 沟 通 、 跨 I T 社 区 实 现 理 解 以 及 积 极 实 施 全 面 保 护 措 施 等 方 式 ， 真 正 弥 合 应 用 领 域 的 安 全 鸿 沟 。 @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 相 关 阅 读 ： W A F ： 必 要 的 安 全 控 制 手 段 抑 或 过 时 的 技 术 方 案 企 业 检 测 当 前 安 全 态 势 的 五 个 核 心 问 题
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理