如何为 Web 应用程序执行安全测试

根据SDLC的不同阶段，有不同的方法来确保应用程序和网络安全。一些标准方法包括：

设计评审

此阶段通常包括威胁建模实践，安全团队在此阶段审查应用程序的设计和体系结构，在开始编码过程之前检查安全缺陷。

代码审查

手动检查代码以寻找安全问题使安全团队能够检测应用程序特有的软件漏洞。

黑盒测试

这种测试机制包括在运行时测试应用程序源代码是否存在安全缺陷。此外，该方法还让团队了解攻击者如何在不使用访问权限的情况下破坏生产环境。

协调漏洞管理

包括安全专家和研究人员作为顾问，执行渗透测试和道德黑客，以确定和报告漏洞。

自动化测试

利用自动化工具进行安全测试 包括不限于：

1. 静态应用安全测试(SAST)

SAST工具有助于在应用程序设计和编码期间分析源代码。由于这些测试可以在编译代码之前执行，所以它们通常也被称为白盒测试。通过静态分析，开发人员可以在SDLC的早期识别漏洞，而无需中断CI/CD工作流或将漏洞传递到下一阶段。SAST工具最常用来检测诸如SQL注入、缓冲区溢出和失效的身份验证等问题。

2.动态应用安全测试(DAST)

由于web平台包含容易发现的漏洞，web应用程序攻击在今天的技术领域中广泛流行。动态应用程序内部系统的复杂性使得黑客在入侵系统后很容易隐藏自己的身份。为了帮助降低此类风险，DAST工具用于测试生产中的安全漏洞，然后再在现实世界中利用这些漏洞。DAST工具用于在应用程序运行时搜索缺陷并发出潜在威胁警报。动态分析有助于防止运行时攻击，最常用来识别漏洞，如未经身份验证的访问、代码注入和跨站点脚本。

3. 软件组成分析(SCA)

SCA
工具使用自动化技术来识别应用程序技术堆栈中的漏洞。为了全面衡量系统的安全状况，组织需要了解开源许可和安全问题。自动执行此分析可确保不会忽略任何组件或漏洞。SCA
工具检查源代码、二进制文件、容器映像、包管理器和其他关键组件，以针对常见缺陷的数据库。此外，这些工具有助于识别应用程序是否在具有已知漏洞的组件上开发。

4.运行时应用程序自我保护(RASP)

RASP工具分析应用程序和用户行为，以帮助实时检测攻击。这些工具部署在应用服务器和操作系统上，然后监视事件和操作。RASP工具拦截入站和出站流量，确保系统调用是安全的。一旦出现恶意行为，RASP工具会向安全团队发出警报(诊断模式)，然后控制应用程序(保护模式)，以避免攻击向量的进一步渗透。

本文作者：中科天齐软件安全

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/184507.html