建站
咨詢
售后
建站咨詢
新聞中心
2016年初，正當(dāng)人們?cè)阢裤叫乱荒甑拿篮迷妇爸畷r(shí)，中國(guó)股市的兩次“熔斷” 和一場(chǎng)席卷半個(gè)中國(guó)的寒潮給許多人的心理和身理上帶來(lái)了雙重寒意。悲觀的人也許會(huì)認(rèn)為這一年已經(jīng)蒙上了一層陰影，而樂(lè)觀的人則相信嚴(yán)寒過(guò)后溫暖的春天就要到來(lái)。同樣對(duì)于“應(yīng)用安全”領(lǐng)域而言，層出不窮的應(yīng)用漏洞、各種形式的應(yīng)用攻擊、不斷曝光重大事故，給各種應(yīng)用的開(kāi)發(fā)者、運(yùn)營(yíng)者及最終用戶造成了不小的心理陰影。
為景東等地區(qū)用戶提供了全套網(wǎng)頁(yè)設(shè)計(jì)制作服務(wù)，及景東網(wǎng)站建設(shè)行業(yè)解決方案。主營(yíng)業(yè)務(wù)為成都網(wǎng)站制作、成都做網(wǎng)站、景東網(wǎng)站設(shè)計(jì)，以傳統(tǒng)方式定制建設(shè)網(wǎng)站，并提供域名空間備案等一條龍服務(wù)，秉承以專業(yè)、用心的態(tài)度為用戶提供真誠(chéng)的服務(wù)。我們深信只要達(dá)到每一位用戶的要求，就會(huì)得到認(rèn)可，從而選擇與我們長(zhǎng)期合作。這樣，我們也可以走得更遠(yuǎn)！
這幾年間，我們多少都會(huì)注意到應(yīng)用本身在發(fā)生的一些變化。我們今天所看到的應(yīng)用與幾年前的應(yīng)用有很大的不同。特別是如今的應(yīng)用設(shè)計(jì)與開(kāi)發(fā)，受云計(jì)算、移動(dòng)網(wǎng)絡(luò)等技術(shù)的發(fā)展所影響，所以在應(yīng)用市場(chǎng)，基于云計(jì)算、支持智能移動(dòng)設(shè)備的應(yīng)用的市場(chǎng)份額越來(lái)越高。一些技術(shù)正在死去，個(gè)別仍有機(jī)會(huì)重生，但市場(chǎng)上最活躍的永遠(yuǎn)是新生的事物。未來(lái)我們會(huì)看到更多的傳統(tǒng)應(yīng)用向新的應(yīng)用遷移。所以我們談?wù)摻裉斓膽?yīng)用安全，更多的焦點(diǎn)會(huì)落在以云計(jì)算應(yīng)用和移動(dòng)應(yīng)用為代表的新應(yīng)用上來(lái)。
應(yīng)用的威脅發(fā)生了哪些變化?
首先，越是知名的應(yīng)用、用戶數(shù)量越多，越容易成為攻擊者的目標(biāo)。
而應(yīng)用安全都不總是與應(yīng)用的規(guī)模成正比，一些知名應(yīng)用的安全性只是比一般應(yīng)用稍好一點(diǎn)。從近年來(lái)國(guó)內(nèi)外的一些著名應(yīng)用攻擊案例看來(lái)，攻擊者的目標(biāo)更加直接而明確，動(dòng)作迅速而隱蔽，而且破害力極大。一次攻擊搞垮一家公司并不是只出現(xiàn)在電影情節(jié)中，現(xiàn)實(shí)中依然可能發(fā)生。所以如果你的應(yīng)用上了一定規(guī)模，那么一定要特別重視應(yīng)用安全，而且不僅僅是重視，還應(yīng)該有具體的措施。
第二，應(yīng)用安全應(yīng)該根據(jù)不同的服務(wù)模型采取不同的方法。
以基于云計(jì)算的應(yīng)用為例。采用SaaS或PaaS的服務(wù)模型的應(yīng)用在各個(gè)方面就有明顯的區(qū)別。當(dāng)對(duì)其展開(kāi)安全工作時(shí)，有些安全措施和方法在這個(gè)模型下有效，而在另一個(gè)模型下就無(wú)效或效果不佳。所以在方法就應(yīng)該有所差別，不能一概而論。而各種新型的應(yīng)用模型的出現(xiàn)，對(duì)應(yīng)用安全是一種挑戰(zhàn)。相關(guān)的安全技術(shù)的創(chuàng)新和突破也不斷出現(xiàn)。這些領(lǐng)域的各種創(chuàng)新和進(jìn)展都值得應(yīng)用安全的管理者關(guān)注。特別是要重點(diǎn)關(guān)注一些新興的已經(jīng)得到認(rèn)可和廣泛的使用的應(yīng)用服務(wù)模型。目前的熱點(diǎn)仍在云應(yīng)用和移動(dòng)應(yīng)用方面。下圖是給各位讀者推薦的一個(gè)混合云模型的參考，如圖：
圖片來(lái)源(IBM安全服務(wù)：十項(xiàng)安全實(shí)踐研討白皮書)
第三，不僅要關(guān)注應(yīng)用自身安全，還要關(guān)注生態(tài)系統(tǒng)及應(yīng)用周邊的安全。
今天的應(yīng)用安全并不是只做好自身就夠了。去年曝光的“XcodeGhost"事件就是一個(gè)例子，Apple公司的應(yīng)用開(kāi)發(fā)工具Xcode被植入惡意代碼，導(dǎo)致國(guó)內(nèi)外許多公司的應(yīng)用受到影響。類似這樣的風(fēng)險(xiǎn)是許多應(yīng)用廠商以往從未考慮過(guò)的，更沒(méi)有相應(yīng)的的安全設(shè)計(jì)來(lái)消除的這類風(fēng)險(xiǎn)。而第三方工具只是應(yīng)用所處的生態(tài)系統(tǒng)中的一個(gè)環(huán)節(jié)，還有許多環(huán)節(jié)的安全問(wèn)題會(huì)影響到我們的應(yīng)用。對(duì)于這一點(diǎn)，我們要有意識(shí)地去關(guān)注和獲取一些安全情報(bào)，這是一項(xiàng)非常必要的工作，它讓我們的安全視野從近景拉到遠(yuǎn)景，從而及時(shí)發(fā)現(xiàn)感知潛在的安全問(wèn)題。
盡管安全形勢(shì)不容樂(lè)觀，但應(yīng)用安全的內(nèi)外部環(huán)境的變化趨勢(shì)似乎漸漸明朗，許多應(yīng)用安全的思想和方法在過(guò)去的基礎(chǔ)上繼續(xù)發(fā)展進(jìn)化。我們相信未來(lái)蘊(yùn)含著許多機(jī)遇，而前提是我們需要做好準(zhǔn)備，并開(kāi)動(dòng)腦筋從各個(gè)方面去迎接應(yīng)用安全的挑戰(zhàn)，努力讓我們的應(yīng)用變得更安全。
全生命周期保障應(yīng)用安全
顯然，如果可以在整個(gè)軟件開(kāi)發(fā)生命周期內(nèi)，管理漏洞測(cè)試并可以自動(dòng)關(guān)聯(lián)靜態(tài)、動(dòng)態(tài)和互動(dòng)式測(cè)試結(jié)果，才是解決問(wèn)題的關(guān)鍵。面對(duì)這種現(xiàn)狀，IBM推出了應(yīng)用安全測(cè)試解決方案IBM Security AppScan，其針對(duì)移動(dòng)和基于 Web 的應(yīng)用提供先發(fā)制人式保護(hù)，可保護(hù)應(yīng)用當(dāng)前不被惡意使用，并補(bǔ)救未來(lái)可能的潛在攻擊，讓安全和開(kāi)發(fā)團(tuán)隊(duì)能夠在整個(gè)應(yīng)用生命周期中協(xié)作、制定策略并擴(kuò)展測(cè)試。
據(jù)了解，在開(kāi)發(fā)過(guò)程中IBM Security AppScan通過(guò)在軟件開(kāi)發(fā)過(guò)程中及早識(shí)別基于 Web 的和移動(dòng)應(yīng)用源代碼漏洞并在部署之前使之消失，幫助組織節(jié)省成本，降低風(fēng)險(xiǎn)。為了提供增強(qiáng)的移動(dòng)應(yīng)用掃描功能，并支持對(duì)移動(dòng) Web、本機(jī)應(yīng)用和混合應(yīng)用的測(cè)試，IBM Security AppScan包含對(duì) JavaScript、HTML5、Java 和 Objective-C 的支持，同時(shí)也支持與 IBM Worklight Studio 集成，并可掃描 Worklight 應(yīng)用。
在集成和發(fā)布階段，可以通過(guò)簡(jiǎn)單的配置，使用IBM Security AppScan對(duì)應(yīng)用進(jìn)行全面的掃描，企業(yè)僅需要指明 Web 應(yīng)用的入口鏈接，IBM Security AppScan就會(huì)利用網(wǎng)絡(luò)爬行(Crawling)技術(shù)，遍歷應(yīng)用中所有需要測(cè)試的鏈接，并對(duì)每個(gè)鏈接發(fā)送多種測(cè)試參數(shù)，診斷其有無(wú)漏洞可被利用，最后將結(jié)果呈現(xiàn)在用戶面前。
值得一提的是，IBM Security AppScan 不僅可以對(duì) Web 應(yīng)用進(jìn)行自動(dòng)化的掃描、指出安全漏洞的修復(fù)意見(jiàn)，還可以將診斷結(jié)果，使用不同的行業(yè)標(biāo)準(zhǔn)、法規(guī)，形成針對(duì)性的報(bào)告，讓相關(guān)人員對(duì)應(yīng)用安全狀況和法規(guī)遵從等有了全面的認(rèn)識(shí)。
總之，借助第三方專業(yè)的安全服務(wù)廠商是一條捷徑，畢竟他們的經(jīng)驗(yàn)和專業(yè)可以給企業(yè)帶來(lái)的有力的幫助，但需要謹(jǐn)慎選擇。以上這幾點(diǎn)只代表本人對(duì)應(yīng)用安全的個(gè)人想法和體會(huì)，希望能給大家起到一點(diǎn)借鑒的作用。
網(wǎng)頁(yè)題目：2016，拿什么拯救我的應(yīng)用安全?
網(wǎng)站路徑：http://www.dlmjj.cn/article/djeihhe.html
