建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
我們最常聽(tīng)到源于跨站腳本和SQL注入攻擊的安全泄露事故，這些事故通常發(fā)生在相關(guān)漏洞被成功利用后。那么我們應(yīng)該怎樣做來(lái)防止這種攻擊呢?
創(chuàng)新互聯(lián)專(zhuān)注于海倫網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗(yàn)。 熱誠(chéng)為您提供海倫營(yíng)銷(xiāo)型網(wǎng)站建設(shè)，海倫網(wǎng)站制作、海倫網(wǎng)頁(yè)設(shè)計(jì)、海倫網(wǎng)站官網(wǎng)定制、微信小程序開(kāi)發(fā)服務(wù)，打造海倫網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供海倫網(wǎng)站排名全網(wǎng)營(yíng)銷(xiāo)落地服務(wù)。
一個(gè)全面的安全團(tuán)隊(duì)不僅能夠?qū)κ录吐┒蠢锰峁╉憫?yīng)措施，還能夠積極配合內(nèi)部信息系統(tǒng)團(tuán)隊(duì)來(lái)打造一個(gè)積極主動(dòng)的軟件安全態(tài)勢(shì)。用于為信息系統(tǒng)和軟件構(gòu)建安全代碼的有效的應(yīng)用安全程序通常依賴(lài)于兩種類(lèi)型的自動(dòng)安全測(cè)試：靜態(tài)安全掃描測(cè)試和動(dòng)態(tài)安全掃描測(cè)試。
靜態(tài)掃描通常發(fā)生在代碼開(kāi)發(fā)周期中，其中，靜態(tài)代碼通過(guò)威脅建模和分析進(jìn)行掃描，從中發(fā)現(xiàn)漏洞。而動(dòng)態(tài)掃描是對(duì)生產(chǎn)環(huán)境的實(shí)際代碼進(jìn)行掃描，在代碼處于工作狀態(tài)時(shí)查找漏洞。還有第三種類(lèi)型的測(cè)試—手動(dòng)滲透測(cè)試，其中涉及白帽分析，需要人類(lèi)參與。通常，有效的應(yīng)用安全程序會(huì)利用這三種安全掃描測(cè)試，靜態(tài)安全和動(dòng)態(tài)安全掃描是作為應(yīng)用開(kāi)發(fā)生命周期的一部分，而滲透測(cè)試則在需要時(shí)使用。
有效的自動(dòng)代碼掃描策略必須盡可能地?zé)o縫連接IT開(kāi)發(fā)團(tuán)隊(duì)。有效的自動(dòng)安全程序的關(guān)鍵成功因素是，需要IT開(kāi)發(fā)團(tuán)隊(duì)最少量的工作。在周期內(nèi)工作和主動(dòng)安全程序之間有著反比關(guān)系。所需的周期外工作越多，安全代碼掃描程序部署和成功率就越低。在IT應(yīng)用開(kāi)發(fā)周期外的代碼掃描通常需要開(kāi)發(fā)進(jìn)度以外的時(shí)間，并被視為額外的不受歡迎的任務(wù)。另外，調(diào)度和追蹤過(guò)程以及保持狀態(tài)還需要額外的努力。
成功部署安全代碼掃描程序的主要障礙是：
手動(dòng)掃描工作：代碼掃描需要手動(dòng)工作來(lái)上傳代碼(通過(guò)API或者通過(guò)門(mén)戶(hù)網(wǎng)站)，而這需要額外的開(kāi)發(fā)時(shí)間和精力。在某些情況下，還需要特殊的編譯指令，以及特殊的構(gòu)建來(lái)支持這種掃描工作。
手動(dòng)過(guò)程：開(kāi)發(fā)過(guò)程周期外的代碼掃描需要為掃描時(shí)間表和重新掃描之前的持續(xù)時(shí)間建立一個(gè)程序。這將需要專(zhuān)門(mén)的資源來(lái)管理這個(gè)程序，以確保提醒設(shè)置和掃描在規(guī)定日期完成。
代碼覆蓋：測(cè)試領(lǐng)域有一句老話，你不能測(cè)試你不知道的東西。需要開(kāi)發(fā)人員上傳代碼的周期外測(cè)試同樣依賴(lài)于開(kāi)發(fā)人員上傳正確的代碼，以用于靜態(tài)代碼掃描。對(duì)于維護(hù)該程序的安全團(tuán)隊(duì)來(lái)說(shuō)，確保所有庫(kù)和相關(guān)代碼被上傳幾乎是不可能的任務(wù)。有效的應(yīng)用程序靜態(tài)和動(dòng)態(tài)代碼掃描程序有四個(gè)關(guān)鍵要素。
·內(nèi)部部署
·連續(xù)掃描
·與開(kāi)發(fā)構(gòu)建周期緊密整合
·與缺陷追蹤系統(tǒng)緊密集成
1.內(nèi)部部署
內(nèi)部部署并鏈接到源代碼控制系統(tǒng)的掃描程序不再需要開(kāi)發(fā)人員花時(shí)間來(lái)尋找代碼、進(jìn)行特殊的編譯和上傳代碼。相反地，開(kāi)發(fā)人員可以在源代碼控制樹(shù)選擇代碼的正確位置，所有子文件都將進(jìn)行定期掃描。內(nèi)部部署的動(dòng)態(tài)掃描解決方案可以簡(jiǎn)化動(dòng)態(tài)掃描，因?yàn)椴恍枰姆阑饓σ?guī)則來(lái)允許掃描測(cè)試供應(yīng)商使用外部工具來(lái)訪問(wèn)測(cè)試網(wǎng)站。
2.連續(xù)掃描
內(nèi)部部署系統(tǒng)可以設(shè)置為連續(xù)掃描，這不需要手動(dòng)來(lái)上傳代碼，內(nèi)部部署系統(tǒng)還可以配置為連續(xù)掃描或定期掃描，因?yàn)檫@種內(nèi)部部署設(shè)置，現(xiàn)在企業(yè)可以更為頻繁地進(jìn)行掃描。
3. 與開(kāi)發(fā)構(gòu)建周期緊密整合
與源代碼控制和構(gòu)建系統(tǒng)緊密集成的掃描程序允許代碼掃描利用很多源代碼控制和構(gòu)建系統(tǒng)的功能。例如，使用連續(xù)構(gòu)建集成的高級(jí)開(kāi)發(fā)團(tuán)隊(duì)可將構(gòu)建系統(tǒng)配置為：在開(kāi)發(fā)人員的構(gòu)建被整合或簽入到主代碼庫(kù)之前通過(guò)某些測(cè)試。代碼安全掃描測(cè)試還可以設(shè)置為這些性能測(cè)試或單元測(cè)試之一。
4.與缺陷追蹤系統(tǒng)緊密集成
大多數(shù)現(xiàn)代源代碼控制和構(gòu)建系統(tǒng)還與缺陷跟蹤系統(tǒng)緊密集成，這樣一來(lái)，軟件缺陷就可以連接到特定版本的代碼，這反過(guò)來(lái)又可以聯(lián)系到特定系統(tǒng)構(gòu)建。有些代碼掃描程序會(huì)在現(xiàn)有缺陷管理系統(tǒng)自動(dòng)創(chuàng)建缺陷，這能幫助減少周期外時(shí)間，并將無(wú)縫整合安全缺陷到團(tuán)隊(duì)缺陷積壓中。
有效的主動(dòng)應(yīng)用安全需要代碼掃描無(wú)縫地整合到應(yīng)用開(kāi)發(fā)周期，安全掃描越能夠像現(xiàn)有開(kāi)發(fā)流程一樣工作，開(kāi)發(fā)團(tuán)隊(duì)成功部署和持續(xù)使用的機(jī)會(huì)就越大。
分享文章：影響應(yīng)用程序安全的四大關(guān)鍵因素
當(dāng)前URL：http://www.5511xx.com/article/djihcji.html
