應(yīng)用安全通向未來的六個做法淺析
當(dāng)你與OWASP成員討論的時候，他們都認(rèn)同這樣一個觀點：應(yīng)用安全還有十年就發(fā)展成型了，特別是在政府層面上。
該組織定期舉辦這類會議為的是能夠轉(zhuǎn)變趨勢，包括11月10日至13日期間在該國首都舉辦的2009 OWASP應(yīng)用安全大會（AppSec DC）。我們有幸與OWASP成員Matt Fisher取得了聯(lián)系，同時他也是Piscis安全公司的CEO兼AppSec參與公司之一，我們將與他來一起探討今天的應(yīng)用安全的問題所在，以及扭轉(zhuǎn)這一局面的六個方法。我們首先先為大家呈現(xiàn)一些問答，隨后會告訴大家這六個做法。
問：關(guān)于使用Web2.0企業(yè)***的問題在哪以及***的安全威脅是什么？
答：是的，“Web2.0”的形式其實與“云計算”差不多。其中***的挑戰(zhàn)就是我們?nèi)绾螌Χ哌M行定義。“Web2.0”會涉及到編程技術(shù)，會導(dǎo)致瀏覽器插件的增多，以及與富網(wǎng)絡(luò)應(yīng)用相關(guān)的客戶端技術(shù)本身已經(jīng)越來越多的成為漏洞的共享者。同樣，也會涉及到應(yīng)用的合作和了解，例如內(nèi)部WiKi和博客。其中的危機（特別是在WiKi上）是你幾乎不能對用戶生成的內(nèi)容有任何控制權(quán)。如果這樣的WIKI對于整個公司的人都開放的話，那么你就會看到公司里面的任何一個人的做法，看到他們在發(fā)送機密和不合適的內(nèi)容。現(xiàn)在，如果提到“Web2.0”，首先意味著社交網(wǎng)絡(luò)應(yīng)用，然后威脅就隨著而來了。你會發(fā)現(xiàn)，盡管你知道這些應(yīng)用在過去很長時間都以“不安全”著稱，并且因蠕蟲等不好的問題而臭名昭著，但是這些應(yīng)用在破壞你的在線名譽上都有很大的潛力。
問：一些OWASP成員認(rèn)為政府的應(yīng)用安全還有十年就會發(fā)展成熟了。請您談?wù)撘幌拢瑸槭裁茨撤N意義上來說聯(lián)邦政府需要更加了解Web2.0，與私營部門相比，其危險的獨特性在哪里？
答：我認(rèn)為在理解上最重要的是，來自政府的信息是必須被信任的，因為一個新興的Web應(yīng)用日漸流行并不意味著對于所有的政府用途是合適的媒介。從網(wǎng)絡(luò)安全的角度來看，這些應(yīng)用的托管本質(zhì)就意味著挑戰(zhàn)。人們通過這些應(yīng)用來交換部門或機構(gòu)的信息，不能用常見的安全程序管理這些應(yīng)用。除了密碼以外你沒有其他的方式來控制系統(tǒng)，簡言之就是你甚至不知道密碼是否被保存完好。你沒有托管數(shù)據(jù)中心，完全不能控制操作系統(tǒng)的安全、應(yīng)用安全、網(wǎng)絡(luò)防御，不能做出及時的回應(yīng)，你不能進行任何辯論。這就是零控制。
當(dāng)然，理論上講這種風(fēng)險是很低的，因為無論如何這些應(yīng)用都是通過大眾傳播的。我最近讀到了一個關(guān)于這個主題的分析，當(dāng)討論威脅的時候，他提到一些東西會起到影響的作用，但是完整性起到的作用并不大，因為這是一個公共的系統(tǒng)，但是我不太同意他的觀點。如果你像美國政府一樣正在使用這樣的網(wǎng)站來進行信息的交流的話，那么這些信息的完整性是極為重要的。對手在其中一個應(yīng)用中找到漏洞是完全有可能的。你只能在恰當(dāng)?shù)臅r候在錯誤信息方面使用它，或者在進行一場心理戰(zhàn)役的時候使用它。想象一下，所有的人從不同的機構(gòu)獲取信息到他們的手機上。現(xiàn)在想象一下，在一場國家災(zāi)難中這些信息突然變成虛假信息。
問：讓我們回過頭來看私營部門。政府的安全漏洞對小型的企業(yè)會形成很不好的影響，反過來也一樣。能否給我們列舉一兩個Web2.0在這方面的例子。
答：對于政府來說他們與很多行業(yè)都有著合作的關(guān)系，能夠?qū)λ麄冞M行支持，往往與這些部門和機構(gòu)有著錯綜復(fù)雜的關(guān)系，有很多過去的違規(guī)例子都說明承包商讓客戶面臨危險。當(dāng)然這些可以像其他的外部環(huán)境一樣也存在于Web2.0世界。
問：現(xiàn)在我們已經(jīng)明確了應(yīng)用安全所面臨的問題，能否給我們一些公共和私營部門可以用于應(yīng)用安全改善現(xiàn)狀的做法。
答：可以遵守以下6和步驟：
1、建立一個團隊。聯(lián)邦政府等大型企業(yè)更易于受筒倉效應(yīng)的影響。而一個管理良好的簡單的內(nèi)部站點可以出奇地利用整個企業(yè)的專業(yè)知識。
2、讓更多的人學(xué)習(xí)專業(yè)知識。現(xiàn)在大多數(shù)應(yīng)用安全的知識都存在于安全小組中。這在開始是好的，但是最終會員工也需要建立程序或者修復(fù)應(yīng)用程序；所以，你需要也讓專家來教員工怎么做。
3、在利用工具之前先思考問題。工具確實可以自動化地完成一些任務(wù)，但是要知道它們只是協(xié)助你來完成評估的工作。即使這樣，評估也只是計劃的一部分。
4、提供指導(dǎo)。軟件開發(fā)者想開發(fā)出安全并且兼容的軟件；他們根本不知道怎么做。要讓標(biāo)準(zhǔn)、需求和參考模型適用于你的程序。
5、立即開始測試。在發(fā)布之前，那些周期比較晚的測試有很大的壓力，要盡量在周期比較早的時候開始測試，并讓你的評估團隊參與軟件的開發(fā)。
6、盡量多進行持續(xù)的檢測。應(yīng)用程序的一個細小的變化可能造成巨大的漏洞。認(rèn)真審查應(yīng)用程序的細微變化，特別是面向互聯(lián)網(wǎng)或其他高風(fēng)險的系統(tǒng)。
【編輯推薦】
