100% 安全的運(yùn)行環(huán)境是你的奮斗目標(biāo)嗎？呃...那么你有可能正在追逐一個不可能實(shí)現(xiàn)的目標(biāo)！
在如今的數(shù)字化商業(yè)世界，每一次技術(shù)的革新，都將帶來安全狀態(tài)的不斷變化，也就是說，你的運(yùn)行環(huán)境安全指數(shù)是在不斷變化的。所以，在無法確保系統(tǒng)絕對安全的狀況下，你還可以做些什么呢？
聰明的做法不應(yīng)把全部的精力集中放在反擊入侵者和安全事故中，而是思考使用高效的工具來處理、評估和減少風(fēng)險。
正如 Gartner 在 2014 年發(fā)布的報(bào)告中預(yù)測，「安全意識應(yīng)用設(shè)計(jì)、動態(tài)及靜態(tài)應(yīng)用安全測試和運(yùn)行時應(yīng)用自我保護(hù)等」，在當(dāng)今充滿安全威脅的數(shù)字化世界里都是不可或缺的。
這些工具會帶來應(yīng)用內(nèi)置安全程序的新模式。安全防護(hù)邊界和防火墻已經(jīng)無法滿足需求，每一個應(yīng)用程序都需要自我意識和自我保護(hù)功能。讓我們逐一進(jìn)行分析一下！
安全意識應(yīng)用程序
我們生活在一個令人興奮、充滿創(chuàng)新的時代。 X Applications 的崛起意味著全世界的天才可以在家試驗(yàn)應(yīng)用程序，進(jìn)行程序開發(fā)，這為創(chuàng)造與發(fā)展的史冊增添了一個不斷發(fā)展的活躍實(shí)例。
可問題在于，這些應(yīng)用程序不一定總是盡可能安全的。這就需要，使用一些簡單的修改和插件的幫助。
例如，美國國家安全局在提及群眾外包的 Linux 創(chuàng)新應(yīng)用時說道，「絕大多數(shù)」X Applications 往往是「未經(jīng)修改、傳統(tǒng)和不在意安全的」，即便是具備安全意識的 X Servers 都有其局限性。
但是，結(jié)合Windows Managers可以為制定安全決策提供指引，這正是 X Servers 所缺少的。
Windows Managers可創(chuàng)建可視化標(biāo)簽，以提醒用戶哪個窗口有鍵盤焦點(diǎn)，甚至可以根據(jù)它們的安全狀態(tài)創(chuàng)建標(biāo)簽。在此基礎(chǔ)上進(jìn)行修改可為 Linux 用戶提高「合適的保險」，幫助安全性較低的系統(tǒng)提高安全性。
動態(tài)與靜態(tài)應(yīng)用程序安全測試
動、靜態(tài)應(yīng)用程序安全測試方法的結(jié)合可以更深入地了解應(yīng)用安全狀態(tài)，這是只依靠其中一種方法無法得到的。因?yàn)殪o態(tài)應(yīng)用程序安全測試（以下全文簡稱 SAST）以由內(nèi)而外的方式測試應(yīng)用，而動態(tài)應(yīng)用程序安全測試（以下全文簡稱 DAST）則以由外向內(nèi)的方式進(jìn)行測試，可以從多個角度評估問題。
那么，這在實(shí)際工作中意味著什么呢？
SAST 深入研究應(yīng)用程序的字節(jié)代碼、源代碼和應(yīng)用二進(jìn)制來尋找漏洞。DAST 則著重檢查運(yùn)行狀態(tài)下的應(yīng)用程序。它們從不同的角度，經(jīng)常是出其不意或計(jì)劃之外的角度，查找可能出差錯的組件。
實(shí)時應(yīng)用自我保護(hù)
實(shí)時應(yīng)用自我保護(hù)（以下全文簡稱 RASP）的工作原理是通過自身監(jiān)控以防止惡意攻擊，在特定情況下自動重構(gòu)，而不需要人為干預(yù)。
RASP 內(nèi)置在應(yīng)用程序本身，結(jié)合上下文，實(shí)時保護(hù)應(yīng)用程序免受攻擊，從而提供網(wǎng)絡(luò)和端點(diǎn)邊界之外的防護(hù)。當(dāng)安全條件滿足時，RASP 將接管應(yīng)用程序，執(zhí)行必要的保護(hù)措施，比如終止用戶的會話，向安全人員發(fā)出告警，或直接關(guān)閉應(yīng)用程序。
更重要的是，通過在運(yùn)行應(yīng)用的服務(wù)器中嵌入 RASP 功能，這些安全措施不會妨礙應(yīng)用本身設(shè)計(jì)的功能。
在應(yīng)用程序中引入以上自我保護(hù)措施并不能保證應(yīng)用程序在安全的道路上戰(zhàn)無不勝，但是，他們是往正確方向邁出的一大步。
原文地址 作者：Jarrod Fitzgerald
本文系 OneASP 工程師整理翻譯。如今，多樣化的攻擊手段層出不窮，傳統(tǒng)安全解決方案越來越難以應(yīng)對網(wǎng)絡(luò)安全攻擊。OneRASP 實(shí)時應(yīng)用自我保護(hù)技術(shù),可以為軟件產(chǎn)品提供精準(zhǔn)的實(shí)時保護(hù)，使其免受漏洞所累。想閱讀更多技術(shù)文章，請?jiān)L問 OneAPM 官方技術(shù)博客
本文轉(zhuǎn)自 OneAPM 官方博客
