从一开始，我就了解到安全联系是网络安全。那时，我不明白学习的意义。我只了解到网络安全可以到网络查找易受攻击的应用程序，获取webshell，然后升级系统权限。最高权威，这个过程基本上已达到顶峰，并且在突破时最为充实。我相信在这种情况下有很多同行进入市场。 Web安全性是应用程序安全性的一部分

说到应用程序，应用程序是什么？百度百科说，一个需要适应，为了使用，在当前互联网时代，所有软件都可以称为应用程序，它们是为满足我们的日常需求而生成的，方便我们的温饱多年前，它是时代的PC互联网。近年来，它已进入移动互联网时代。未来将是物联网时代，人工智能时代等。随着技术的进步，对安全的需求也在不断变化。在这一年中渗透的朋友越来越难以做到，网络的安全漏洞越来越少。这可以说是一系列因素，如时代的进步，安全意识的提高，代码安全性的提高，应用主战场的变化等等。因此，这对安全行业来说是件好事，整体安全性也在不断提高。这一面显示了我们的安全从业者的价值。

对于应用程序的整个生命周期，请尽快考虑安全性。早期的应用主要是实现功能和快速在线。互联网行业反复更新速度非常快，时间具有竞争力，并且仅在业务中因安全问题而造成损失时，会特意招募或购买安全服务以及时制止损失。在发布之前，不考虑安全性，并且漏洞被联机，这导致大量用户隐私泄露。最终的受害者是使用该应用程序的用户。经过多年的安全人员的努力，企业更加注重安全性，那么应用安全性如何做？

每个人都听说过SDLC。翻译是软件开发生命周期。它是标准化开发过程，提高开发效率，提高代码质量，实现闭环。 SDLC包括五个阶段：需求分析，设计，编码，测试和发布。数字：
SDLC
但是这里没有安全感。我们可以通过整个软件开发生命周期传递安全性吗？怎么做？请看下图：在需求阶段进行风险评估，提前识别风险，并将其作为安全要求提交给研发部门。它不仅具有功能性，还包括一些不合理的架构。这对安全人员来说非常高。
在设计阶段进行威胁建模和安全参与，审查设计，指出设计中的安全威胁，共同完成安全设计；
在开发阶段，需要进行代码审查，并且通过手动或自动方法提前完成代码审计。对安全专业人员的需求也很高；
在测试阶段，安全评估（即安全测试或渗透测试）通过黑匣子找到安全漏洞，并在上线前解决。您可以使用功能测试合作伙伴进行合作或其他方法；
在发布阶段，应检查主机的安全性，使用最新的修补程序进行升级，并关闭无用的端口以最小化攻击面。
上线后，它将通过启动SRC平台接收白帽提交的漏洞，补充缺乏安全测试并实现闭环；
经过上述一系列操作后，大部分安全问题都可以在上线前被杀死，大大降低了应用程序的安全风险，但这需要大量的人力和时间，这对大多数企业来说是不可能的。完全是因为，由于过程的复杂性或人员的能力，项目延迟，商机，具体不做和怎么做，上层领导的支持，不同公司的情况，需要是制定过程不同，着陆情况也不同。

理想情况下，每个项目都是按照上述流程完成的。这是许多安全领导者的理想选择。但是，投入产出比不是那么好看，并且不支持领导人的支持。参与该过程的同事也对此非常抵触。毕竟，增加更多的工作，并不是每个人都愿意这样做，因此安全人员不能强迫每个人按照你的要求去做，我们需要平衡我们和开发人员之间的关系，同时不增加他人的工作量同时，在标准化流程的同时提高软件安全性，提高自动化能力，并将研发视为我们的用户。我们为企业服务，而不是监管机构。

我今天在这里谈谈。降落并不容易。并非每家公司都能做到。如果你没有足够的人力，就不要这样做。在恶意攻击之前进行渗透测试并发现安全问题。促进开发，尽快解决安全问题。如果有更多的业务系统并且无法涵盖全面的渗透测试，您可以打开SRC白帽的角色来帮助企业找到安全问题，然后自行开发扫描仪将历史安全问题集成到扫描中。在设备中，为了确保不再出现历史安全问题，我们的价值可以得到很好的反映，并且安全无止境！

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 身份和访问管理安全相关术语

• 分享到：