Ponemon研究所最新报告称,65%的受访者在过去一年遭遇了SQL注入攻击,然而,很少有企业采取了一致的措施来阻止这种攻击。我们外包了大量开发工作,仍然难以让开发人员在质量保障(QA)过程中执行一致的审计代码验证。考虑到这一点,我们如何利用有限的资源来防止这些攻击呢?
Nick Lewis:现在有很多可用的工具让脚本小子用来广泛扫描SQL注入(SQLi),如此看来,如果只有65%的受访者遭遇了SQLi攻击,那么,这说明35%的受访者在其环境中没有有效的监控来发现这些攻击。换句换说,几乎每个企业都是SQLi攻击的目标。
当你外包开发工作时,你需要提出一些问题。首先,在与外包开发商的合同中是否有安全要求?这些外包开发商需要标准来遵循安全开发生命周期?他们是否对系统开发生命周期和如何安全地编码接受过培训?外包开发商对代码中的漏洞是否承担责任?如果这些问题的答案是否定的,那么,在未来合同中应该增加这些条款,并且,现有合同应该进行修订来涵盖这些条款。
除了外包和这些条款,企业还可以添加SQLi扫描仪或者攻击工具来发现软件开发过程质量保障周期中的SQLi漏洞,并提高安全性。
开放Web应用安全项目有一个SQLi抵御手册来帮助企业和开发人员阻止攻击。企业甚至可以使用脚本小子在其攻击中使用的相同工具来发现潜在易受攻击的代码或应用。企业还可以执行静态代码分析来审计任何SQLi攻击代码。在这些代码进入生产阶段后,企业可以使用Web应用防火墙来阻止潜在SQLi攻击,或者,利用入侵防御系统或防火墙中的功能来阻止攻击。
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
翻译
相关推荐
-
黑帽2012:安全的软件开发
在黑帽2012大会上,专家重点提到了提高编码质量和软件开发安全,不仅仅针对于Web应用,也针对于操作系统内核开发。
-
黑客对ASP.Net平台网站发起SQL注入攻击 约18万网页遭到入侵
安全研究人员近日发现,黑客对微软的ASP.Net平台的网站发起了SQL注入攻击,现在已经有大约18万网页遭到入侵。
-
小心你的WEB应用程序成为数据窃贼的帮凶(一)
当心,你以为安全的数据库可能已遭到了入侵。你需要重新思考一下公司的网站是否真得不会遭到SQL注入攻击。本文将阐述攻击者如何通过这种方法来利用Web应用程序漏洞。
-
经济危机时 企业安全十技巧(三)
经济不景气总是犯罪的时机。对敏感数据、客户和架构的威胁都在大幅增加,从威胁到恶意网站到不满的员工到控制不好的合作伙伴……