网络应用程序安全的最佳实践对每个组织,特别是对金融服务机构而言至关重要。金融服务网站是攻击者的首选目标,那些有安全漏洞的网站给网络犯罪分子提供了大量的攻击机会,他们可以威胁到你的在线产品并对客户信息进行恶意利用。坚持开发以及基础设施管理的标准,将大大减轻企业的风险状况,不过这同样存在着比较关键的细微差别,如果不考虑到这些因素,依然会给网络应用程序带来不必要的漏洞和法律责任。因此,在开发过程中,你需要坚持软件开发版本控制和软件回归测试(software regression testing),以避免再次出现漏洞和责任追究。
WhiteHat Security公司是美国加州Santa Clar……
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
网络应用程序安全的最佳实践对每个组织,特别是对金融服务机构而言至关重要。金融服务网站是攻击者的首选目标,那些有安全漏洞的网站给网络犯罪分子提供了大量的攻击机会,他们可以威胁到你的在线产品并对客户信息进行恶意利用。坚持开发以及基础设施管理的标准,将大大减轻企业的风险状况,不过这同样存在着比较关键的细微差别,如果不考虑到这些因素,依然会给网络应用程序带来不必要的漏洞和法律责任。因此,在开发过程中,你需要坚持软件开发版本控制和软件回归测试(software regression testing),以避免再次出现漏洞和责任追究。
WhiteHat Security公司是美国加州Santa Clara的一家网络应用安全提供商,该公司的首席技术执行官Jeremiah Grossman说,“从我们对网站进行安全评估的经验来看,出现严重安全漏洞的主要原因之一是严格版本控制流程和回归测试的缺失。”
版本控制(也称为源代码控制、版本控制或源代码管理)是为了确保代码的变化被清楚地标明,并关联时间戳和开发人员。版本控制使开发人员能够审查代码库中以往的文件,如有需要,当有出现bug时,你还可以恢复到上一版本。这个过程也可以确保旧的漏洞不会再次出现在应用程序里。一旦代码被认为是稳定和安全的,你就可以做相应的标记,而且该项目以后的所有工作,也都是基于这个代码稳定的声明之上。
软件开发版本控制对应用程序回归测试而言也至关重要。正如测试标准工作组(Testing Standards Working Party,一个致力于新软件测试标准开发的志愿者团队)所定义那样,软件回归测试是对以前已经测试过的程序上的修改部分再次进行测试,以确保错误不是因为软件的修改而被引入、重新引入或被揭露的。在2006年欧洲OWASP AppSec会议上,Rix Groenboom曾发表演讲,讨论如何对网站服务和网络应用程序进行保护以对抗安全威胁,其中他对回归测试有以下几点看法:
- 软件开发是一个迭代的过程。
- 一个没进行过回归测试的迭代开发过程是失败的。这一点对于安全同样适用。
- 弥补一个安全漏洞需要同安全政策和执行机制相结合,以防止该漏洞再次发生。
- 回归测试的应用实际是一个有形的质量保证过程,这可以增强用户对应用程序的信任。
最近出现了一起安全事故,起因是没有保持适当的版本控制和缺乏适当的软件回归测试。去年8月,作为网上财务缺陷运动(Online Finance Flaws campaign)的一部分,我在一个网站(属于Minneapolis财务计划和服务提供商Ameriprise财务公司)上找到并确认了网络应用程序的安全缺陷。在风险报告提交到Ameriprise公司之后,这个漏洞得到了修补,但这一处理过程却不幸持续了5个月。Ameriprise修改了相关代码,以防止在ameripriseadvisors.com 网页的ColdFusion应用上出现跨站点脚本攻击(XSS)。然而在1月下旬,我接到一个匿名报告,反映该网站的跨站脚本漏洞(参阅以下图1)又回来了,居然还是通过同一个offer_id参数允许JavaScript代码的执行。
如果此漏洞的危害性更加严重的话(如,可以导致数据外泄),那么这个再次出现的漏洞还可能带来其他的不良影响:品牌和声誉的损害,堵住数据外泄的成本费用,等等。
有份公告显示,Ameriprise公司的一名发言人淡化了初步缺陷报告,称其只会影响到公司网站的一部分,并不会让所有人都处于风险之中。然而,美国国土安全部发现,再次出现的Ameriprise XSS漏洞的危害程度已足以让其列入国土安全部2月3日的每日开源基础设施报告(Daily Open Source Infrastructure Report,这是对重大关键基础设施问题的开源信息的总结)中。
这个教训非常明晰:如果你不想被列入国土安全部的名单,就需要进行版本控制,并且要求你的开发团队进行软件回归测试。虽然这不能保证一定就是安全的,但通过这几个简单的步骤就能让外界觉得,你确实改变了在财务和所有商业部门中对待安全的态度。
作者
翻译
相关推荐
-
应用程序安全管理的“八大”主张(二)
任何环境中最大的风险之一是终端用户安装和运行所有他们想要的软件的能力。有很多工具可用来限制终端用户是否可以在桌面上运行程序。
-
应用程序安全管理的“八大”主张(一)
在BYOD、云计算、大数据充斥的年代里,应用程序仍然是企业信息安全不可忽略的危险地带,系统管理员应该把管理应用程序及其安全作为首要任务。
-
如何缓解Windows应用程序本地管理权限风险?
用户总想多安装一些Windows应用程序,但是,如果管理员真的给了用户这个权限,那么网络有可能面临严重的威胁。
-
Web应用安全保障“六要素”(一)
Web应用程序比客户端应用程序更难保证安全性,它有大量的web应用程序和自定义脚本数量,而且每个都可能包含潜在的漏洞。