新思科技：在開發(fā)和生產(chǎn)中驗證web應(yīng)用程序的安全性

如今，為了全面保護軟件的安全，相關(guān)企業(yè)必須考慮整個攻擊面。這意味著除了傳統(tǒng)的靜態(tài)應(yīng)用安全測試 (SAST) 和軟件組成分析 (SCA) 之外，還對 Web、移動和 API 應(yīng)用實施持續(xù)的動態(tài)應(yīng)用安全測試 (DAST)，在開發(fā)和生產(chǎn)中能驗證web應(yīng)用程序的安全性。

獨立技術(shù)和市場研究公司Forrester發(fā)布的《2022年度應(yīng)用程序安全狀況報告》顯示，應(yīng)用程序是最常見的攻擊媒介，“Web 應(yīng)用程序漏洞利用”是最常見的攻擊之一。有鑒于此，新思科技建議企業(yè)以惡意攻擊者的視角去測試其運行的 Web 應(yīng)用程序，以便在被黑客發(fā)現(xiàn)和利用之前識別并修復(fù)漏洞。

新思科技軟件質(zhì)量與安全部門軟件工程師Rui Paquete介紹道：“動態(tài)應(yīng)用安全測試 (DAST) 運行的 Web 應(yīng)用程序是否存在 SQL 注入和跨站點腳本等漏洞（換句話說，如果一個應(yīng)用程序正在運行，它就是動態(tài)的）。這些在生產(chǎn)應(yīng)用程序中被利用的常見漏洞在源代碼中并不存在；它們只有在部署到生產(chǎn)環(huán)境后才會出現(xiàn)。這使得 DAST成為任何應(yīng)用安全測試計劃的重要組成部分。測試過程是通過HTTP請求和響應(yīng)進行的。DAST通常也被稱為‘黑盒’測試?！?/p>

雖然有許多方法可用于測試應(yīng)用代碼的安全和質(zhì)量，但 DAST 適用于應(yīng)用已啟動到生產(chǎn)中的場景。因此，DAST 可以評估尚未識別和/或修復(fù)的潛在軟件風險。

DAST可以在應(yīng)用生命周期的最后階段執(zhí)行。雖然仍然可以添加或修改新功能，但應(yīng)用程序的總體范圍已經(jīng)定義?；诖?，DAST 工具可以成為開發(fā)團隊在應(yīng)用程序維護方面的強大盟友。如果執(zhí)行得當，DAST 測試可以顯著減少重復(fù)工作或技術(shù)債務(wù)。

DAST的作用類似于拼寫檢查器。而且，隨著時間的推移，默認情況下，DAST還可以被視為更安全的開發(fā)實踐的教育工具，啟發(fā)開發(fā)人員了解什么方法有效，什么無效。

Rui Paquete指出，編寫代碼的方法有很多種，加固代碼的方法也有很多種。持續(xù)執(zhí)行DAST測試，隨著時間推移，這種強化代碼過程變得越來越高效，因為模式變得更加明顯。例如，您的底層代碼中可能存在特定問題，允許Javascript惡意運行。從表面上看，問題在哪里或如何發(fā)生可能并不明顯。但當使用 DAST 掃描時，您可以清晰地掌握這些信息，并快速確定根本原因——而不是在很長一段時間內(nèi)單獨評估這些問題。這樣一來，企業(yè)就能夠?qū)⒏噘Y源投入到其它領(lǐng)域，以不斷提高生產(chǎn)力。

企業(yè)的首席信息安全官(CISO)應(yīng)該了解DAST并將其視為編程增強器。企業(yè)構(gòu)建的軟件是否安全？測試機制是否貫穿于整個軟件開發(fā)過程？ DAST就是這個過程中不可或缺的環(huán)節(jié)。它不僅能識別現(xiàn)有軟件產(chǎn)品中存在的漏洞類別，而且還可以彌補在軟件開發(fā)過程早期進行的其它測試的不足。DAST 是一種可以連續(xù)自動運行的測試方法。團隊可以輕松、持續(xù)構(gòu)建應(yīng)用程序，并一直維護它們。

值得注意的是，人們對靜態(tài)應(yīng)用安全測試 (SAST) 、軟件組成分析 (SCA) 及DAST 的功能和應(yīng)用感到困惑。由于測試方式存在根本差異，SAST、SCA以及DAST的掃描結(jié)果不盡相同。因此，大多數(shù)企業(yè)在開發(fā)過程的不同階段采用了這三種技術(shù)。

當開發(fā)人員編寫代碼時，SAST 在軟件開發(fā)生命周期的早期處理專有代碼； SCA 解決開源代碼中的質(zhì)量、安全和許可證合規(guī)性問題。 DAST 涵蓋應(yīng)用程序中通過 HTTP 請求和響應(yīng)傳輸?shù)男畔ⅲ且环N有針對性的測試方法。在軟件開發(fā)過程的各個階段應(yīng)用不同工具解決方案是創(chuàng)建強大安全態(tài)勢的關(guān)鍵。

新思科技中國區(qū)軟件應(yīng)用安全技術(shù)總監(jiān)付紅勛表示：“軟件驅(qū)動創(chuàng)新，現(xiàn)在幾乎所有業(yè)務(wù)都基于軟件進行。但這些不斷演變的應(yīng)用和系統(tǒng)也可能包含漏洞，不法分子可以利用它們來破壞和竊取關(guān)鍵數(shù)據(jù)。幸運的是，我們可以通過強大的安全流程來降低大部分風險，并確保新功能和更新得到正確測試。通過將DAST納入安全流程，企業(yè)可以對其生產(chǎn)環(huán)境進行徹底和安全的掃描。這使他們能夠在功能和安全之間取得平衡，并能夠在不影響安全的情況下向客戶提供全新特性和功能?！?/p>

現(xiàn)在互聯(lián)網(wǎng)上有超過 20 億個網(wǎng)站，而且還在不斷增多。DAST在大規(guī)模測試中大有可為，能隨著安全測試需求的變化而快速擴展。DAST為開發(fā)團隊提供不拖慢開發(fā)速度的關(guān)鍵測試能力，以提高代碼的安全性和質(zhì)量。