適于
要加強全員應(yīng)用安全意識，就需要對每一個相關(guān)角色落實安全要求。
1) 對于需求分析、設(shè)計人員而言，是否已將產(chǎn)品的安全性考慮到產(chǎn)品的需求設(shè)計中，從而保證在項目初期，安全因素已被關(guān)注；
2) 對于開發(fā)人員，在應(yīng)用中實現(xiàn)了身份認(rèn)證等安全功能，并不意味著在編程中已考慮到了應(yīng)用安全性，它們還必須掌握 Web 應(yīng)用安全編程規(guī)范等技術(shù)；
3) 對于測試人員，驗證了應(yīng)用的 FURPS，不能保證產(chǎn)品已具備安全性，還需要借助其他工具或平臺，對應(yīng)用的安全隱患，進(jìn)行自動化的掃描，得出全面的安全性報告；
4) 對于質(zhì)量管理人員，產(chǎn)品的質(zhì)量過關(guān)，也不等于產(chǎn)品已經(jīng)安全可靠，他們和測試人員一樣，需要借助工具，掌握 Web 應(yīng)用全面的安全隱患匯總和分析。
使用先進(jìn)的工具確保軟件開發(fā)生命周期中的安全性
在企業(yè)全員都具有了應(yīng)用安全意識之后，必須將該意識貫徹到項目的具體工作之中，除了要求每個人具備嚴(yán)謹(jǐn)認(rèn)真、不斷學(xué)習(xí)的態(tài)度之外，還需要借助先進(jìn)的工具，對開發(fā)的 Web 應(yīng)用進(jìn)行自動化的安全隱患發(fā)現(xiàn)、分析、報告、提供修復(fù)意見等工作，建立人工檢查和自動化工具配合的完整保障措施。IBM Rational AppScan，正是這樣一種 Web 應(yīng)用自動化診斷工具，下面我們對其進(jìn)行簡單的介紹。
Rational AppScan，是對 Web 應(yīng)用和 Web Services 進(jìn)行自動化安全掃描的黑盒工具，它不但可以簡化企業(yè)發(fā)現(xiàn)和修復(fù) Web 應(yīng)用安全隱患的過程（因為這些工作，以往都是由人工進(jìn)行，成本相對較高，但是效率卻非常低下），還可以根據(jù)發(fā)現(xiàn)的安全隱患，提出針對性的修復(fù)建議，并能形成多種符合法規(guī)、行業(yè)標(biāo)準(zhǔn)的報告，方便相關(guān)人員全面了解企業(yè)應(yīng)用的安全狀況。圖 6 說明了 AppScan 在軟件開發(fā)生命周期中的各個階段，都可以協(xié)助安全隱患的診斷。
圖 6: AppScan 對軟件開發(fā)生命周期的支持
1) 開發(fā)過程中的安全保障
AppScan DE（AppScan 開發(fā)版）可以作為多種平臺的插件，這些平臺包括 Eclipse、WebSphere、Visual Studio、JBuilder，協(xié)助開發(fā)人員對編寫的模塊進(jìn)行自我安全診斷。圖 7 是 AppScan DE 作為 Visual Studio 插件使用的示例。
圖 7: AppScan DE 作為 Visual Studio 的插件
2) 質(zhì)量管理過程中的安全保障
通過和 Rational ClearQuest 的集成，AppScan 可以將發(fā)現(xiàn)的安全隱患方便的導(dǎo)入到變更管理平臺中，確保發(fā)現(xiàn)的每一個問題，都被記錄，并詳細(xì)跟蹤其在整個修復(fù)過程中的狀態(tài)變化。如圖 8 所示。
圖 8: AppScan 和 Rational ClearQuest 集成
除 Rational ClearQuest 之外，AppScan 還可以和 Mercury 的 Quality Center 集成。
3) 在集成和發(fā)布階段中的安全保障
在集成和發(fā)布階段，可以通過簡單的配置，使用 AppScan 對應(yīng)用進(jìn)行全面的掃描，企業(yè)僅需要指明 Web 應(yīng)用的入口鏈接，AppScan 就會利用網(wǎng)絡(luò)爬行（Crawling）技術(shù)，遍歷應(yīng)用中所有需要測試的鏈接，并對每個鏈接發(fā)送多種測試參數(shù)，診斷其有無漏洞可被利用。最后將結(jié)果呈現(xiàn)在用戶面前。如圖 9 是對示例網(wǎng)站 [url]http://demo.testfire.net[/url] 進(jìn)行診斷的結(jié)果。
從結(jié)果可以看出，本次診斷共發(fā)現(xiàn)了 88 個安全隱患，并按照嚴(yán)重程度進(jìn)行了統(tǒng)計。診斷結(jié)果的中部，顯示了 AppScan 掃描出來的應(yīng)用結(jié)構(gòu)、每個模塊或鏈接包含的漏洞數(shù)；右上方則按照嚴(yán)重程度，對掃描出來的漏洞進(jìn)行了分類；結(jié)果的右下方對每一種隱患，進(jìn)行了解釋，并提出了詳細(xì)的修復(fù)建議，同時說明了為發(fā)現(xiàn)這個漏洞，AppScan 發(fā)送了哪些測試參數(shù)等。
圖 9: AppScan 的診斷結(jié)果示例
4) 對診斷結(jié)果進(jìn)行全面的分析和報告
Rational AppScan 不僅可以對 Web 應(yīng)用進(jìn)行自動化的掃描、指出安全漏洞的修復(fù)意見，還可以將診斷結(jié)果，使用不同的行業(yè)標(biāo)準(zhǔn)、法規(guī)，形成針對性的報告，讓相關(guān)人員對應(yīng)用安全狀況和法規(guī)遵從等有了全面的認(rèn)識。如圖 10，左圖是 AppScan 可以自動生成的行業(yè)標(biāo)準(zhǔn)報告，而右圖則是近 40 種的法規(guī)遵從報告，如賽班斯法規(guī)遵從等。
圖 10: 自動生成的行業(yè)標(biāo)準(zhǔn)報告
自動生成的行業(yè)標(biāo)準(zhǔn)報告
小結(jié)
通過上述對 Web 應(yīng)用現(xiàn)狀和常見的 Web 應(yīng)用攻擊示例分析，我們可以看出，目前因特網(wǎng)上的 Web 應(yīng)用，存在著極大的安全隱患和風(fēng)險，企業(yè)對 Web 應(yīng)用安全的保護，已經(jīng)刻不容緩。IBM Rational AppScan，作為先進(jìn)的 Web 應(yīng)用自動化診斷工具，可以協(xié)助企業(yè)在整個 Web 應(yīng)用開發(fā)生命周期，將安全意識貫徹到企業(yè)全員具體的工作中，高效率的發(fā)現(xiàn)應(yīng)用中存在的安全隱患、給出詳細(xì)的修復(fù)建議、并生成多種符合行業(yè)標(biāo)準(zhǔn)和法規(guī)的報告，已在全球擁有近千個成功案例，是一個完整的、端到端的 Web 應(yīng)用安全解決方案，能真正為企業(yè)的 Web 應(yīng)用披上安全的盔甲。