如何在外包开发时抵御SQL注入攻击

日期: 2014-11-04 作者:Nick Lewis翻译:邹铮 来源:TechTarget中国 英文

Ponemon研究所最新报告称,65%的受访者在过去一年遭遇了SQL注入攻击,然而,很少有企业采取了一致的措施来阻止这种攻击。我们外包了大量开发工作,仍然难以让开发人员在质量保障(QA)过程中执行一致的审计代码验证。考虑到这一点,我们如何利用有限的资源来防止这些攻击呢?

Nick Lewis:现在有很多可用的工具让脚本小子用来广泛扫描SQL注入(SQLi),如此看来,如果只有65%的受访者遭遇了SQLi攻击,那么,这说明35%的受访者在其环境中没有有效的监控来发现这些攻击。换句换说,几乎每个企业都是SQLi攻击的目标。

当你外包开发工作时,你需要提出一些问题。首先,在与外包开发商的合同中是否有安全要求?这些外包开发商需要标准来遵循安全开发生命周期?他们是否对系统开发生命周期和如何安全地编码接受过培训?外包开发商对代码中的漏洞是否承担责任?如果这些问题的答案是否定的,那么,在未来合同中应该增加这些条款,并且,现有合同应该进行修订来涵盖这些条款。

除了外包和这些条款,企业还可以添加SQLi扫描仪或者攻击工具来发现软件开发过程质量保障周期中的SQLi漏洞,并提高安全性。

开放Web应用安全项目有一个SQLi抵御手册来帮助企业和开发人员阻止攻击。企业甚至可以使用脚本小子在其攻击中使用的相同工具来发现潜在易受攻击的代码或应用。企业还可以执行静态代码分析来审计任何SQLi攻击代码。在这些代码进入生产阶段后,企业可以使用Web应用防火墙来阻止潜在SQLi攻击,或者,利用入侵防御系统或防火墙中的功能来阻止攻击。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者

Nick Lewis
Nick Lewis

Nick Lewis是 Internet2项目经理,曾任Saint Louis大学信息安全官。

翻译

邹铮
邹铮

相关推荐