了解软件应用面临的主要风险、应用安全工具的所有主要类别，以及保护应用程序的最佳实践。
应用程序安全是什么？
应用程序安全旨在防止和有效地应对针对软件应用程序的网络安全威胁。这包括在应用程序开发和设计过程中产生的安全考虑和风险，以及在应用程序部署后保护应用程序的系统和方法。
随着DevSecOps组织模式的出现，组织正在将应用程序安全重心左移。这意味着在早期开发和测试阶段更加注重确保应用程序的安全性。
开发人员、安全和运营团队正在协作，以识别开发生命周期每个阶段的安全问题，并将其作为正常开发工作流程的一部分进行修复。越早修复安全漏洞，越容易进行补救，攻击者利用的风险也越低。
例如，现在开发人员在编写代码时通常会收到关于安全漏洞的通知，并通过新的CI/CD工具在最初提交代码到源代码控制之前对其进行修复。代码提交后，初始构建测试会执行额外的安全漏洞和漏洞测试等操作。应用程序安全被整合到管道的每个阶段，包括运行时生产应用程序的监控和威胁预防。
应用安全风险
随着威胁环境的演变，应用安全的重要性日益增加。以下是大多数软件应用程序面临的一些常见风险：
- 已知漏洞的组件 -现代软件应用程序可能有数千个组件和依赖项，其中许多是开源的。开发人员使用库、框架和其他软件模块，通常不会对安全问题进行测试。未经测试的组件可能包含严重的漏洞，可以被攻击者利用。
- 数据泄露和暴露 -虽然这适用于所有应用程序，但Web应用程序特别容易受到攻击。许多Web应用程序没有正确保护个人信息（PII）、凭据或财务信息等敏感数据。威胁行为者可以利用初始防线的漏洞来窃取这些数据，对组织及其客户造成损害，并造成法律和合规风险。
- 注入 -常见的威胁向量是恶意SQL语句、操作系统命令、LDAP配置等的注入。如果Web应用程序没有正确对用户通过Web表单或其他方式提交的数据进行清理，攻击者可以使用相同的方法注入恶意代码。注入攻击可能会导致严重后果，从数据泄漏到整个服务器的入侵。
- 安全配置错误 -某些Web应用程序已经实施了安全控制措施，但没有正确配置它们。应用程序、它们运行的操作系统以及它们的支持库和依赖项都应该实现安全最佳实践，例如安全的通信、关闭不必要的开放端口和限制权限。未能确保安全配置可能会使应用程序容易受到攻击。
- 身份验证和授权 -如果与身份验证和会话管理相关的应用程序功能没有正确实现，攻击者可以利用它们来破解账户，并执行权限升级以获取对敏感系统或管理员功能的访问权限。
- 不安全的反序列化 -反序列化涉及将对象转换为可以存储在文件系统中的数据格式。当序列化数据被错误地转换为应用程序可用的对象时，这可能导致远程代码执行（RCE）攻击，从而使攻击者完全访问受感染的系统。
- 不足的日志记录和监控 -即使采取了所有的安全措施，攻击仍然会发生。如果没有对应用程序进行全面的日志记录和监控，攻击者可以进行应用程序侦察、尝试入侵，并最终找到绕过安全控制的方法。监控使安全团队能够检测这些活动并减轻威胁。
- 开发过程中忽视安全性 -许多组织尚未采用DevSecOps实践，只在开发过程的后期阶段包括安全性。这使得识别和纠正安全弱点变得更加困难，并且增加了风险。
OWASP前10是什么？
上述威胁对于所有类型的软件应用程序都是重要的。然而，网络应用程序通常更容易受到攻击，因为它们通常暴露在公共网络上。
开放网络应用程序安全项目（OWASP）定期进行研究，以确定网络应用程序面临的十大安全漏洞。除了我们上面列出的风险之外，OWASP前10还确定了以下其他常见的网络应用程序面临的漏洞：
- XML外部实体（XXE）- 对XML文档的不正确处理，使得攻击者能够创建对外部实体的恶意引用。XXE攻击可能导致服务器上的敏感数据暴露、内部端口扫描和拒绝服务（DoS）。
- 跨站点脚本（XSS）- 利用不安全的会话机制，使攻击者能够在未经用户同意的情况下冒充用户并在Web应用程序上执行活动。XSS攻击可用于劫持用户会话、将用户重定向到恶意网站、窃取个人数据和篡改网站内容。
应用安全工具
以下是用于应用安全的主要工具类别。这些大部分也可以被视为DevSecOps工具，因为它们将持续的安全测试作为开发和部署工作流的一部分来推广。
Web应用防火墙（WAF）
WAF是Web应用的重要防线。它过滤和监控HTTP/HTTPS通信，检测并阻止恶意流量。WAF还可以检测异常的出站连接，防止数据泄露。
Web应用防火墙在应用服务器和用户之间起到代理服务器的作用。它使用各种技术，包括攻击签名、自定义业务规则和威胁情报，来识别可疑的流量来源或恶意用户行为，并阻止其到达应用程序。
WAF的缺点是需要对每个Web应用程序的特定业务规则进行大量的调整。WAF可能会阻止正常的用户行为，除非组织实施自定义规则来指定允许哪些操作和活动。基于静态签名的WAF规则通常可以被攻击者绕过。
静态应用安全测试（SAST）
SAST工具分析应用程序源代码以发现安全漏洞，并提出修复建议。它是一种白盒测试，其中测试机制了解被测系统的内部工作原理。
SAST工具可以：
- 检测并报告源代码中的安全漏洞
- 识别诸如不正确的输入验证、数字错误、竞争条件、问题指针或引用、路径遍历等缺陷。
- 扫描未编译的代码（使用静态代码分析）和已编译的代码（使用二进制分析器）
SAST的缺点包括它通常需要大量的定制以适应所审查的代码库。SAST解决方案也往往返回大量的误报，并且需要时间来审查误报并调整解决方案以消除它们。
动态应用安全测试（DAST）
DAST工具扫描在生产环境中运行的代码，以识别漏洞和安全弱点。它是一种“黑盒测试”，因为它在没有访问源代码或了解软件内部的情况下进行操作。出于这个原因，DAST工具可以从攻击者的角度测试软件。
DAST工具可以做到：
- 检测在运行应用程序中可能被利用的安全漏洞。
- 扫描并识别API、HTTP/S请求和响应、JavaScript、会话和cookies、身份验证等方面的安全性问题。
- 模拟各种攻击，如代码注入、跨站脚本（XSS）和跨站请求伪造（CSRF），并测试应用程序的响应。
- 执行模糊测试，查看应用程序对随机或格式错误的输入的响应。
DAST的一些缺点是，它们返回大量的误报，而且很难让它们遵循复杂的应用程序流程。在生产环境中运行DAST可能会产生意外影响，如使应用程序崩溃或生成大量新的数据记录。
交互式应用程序安全测试（IAST）
IAST 是一种混合方法，结合了静态应用程序安全测试（SAST）和动态应用程序安全测试（DAST）工具。它们可以在开发阶段使用白盒方法扫描应用程序，在运行时使用黑盒方法扫描应用程序。
这种混合方法有许多优点。它可以尽早识别缺陷和漏洞，以便在早期开发期间进行快速修复。但它也会验证在应用程序部署到测试或生产环境时，漏洞是否无法被利用。
IAST 工具可以：
- 分析数据流以模拟复杂攻击。
- 执行递归动态分析，查看应用程序对特定测试的反应并相应地生成新测试——这个过程可以持续进行，直到工具识别出漏洞。
- 通过结合和关联来自静态和动态测试的数据，减少传统 SAST/DAST 工具中常见的误报。
软件组成分析（SCA）
SCA工具测试源代码，以创建软件组件的物料清单（BOM），特别关注开源组件。对于每个开源组件，它们可以识别其完整的依赖关系树，并扫描组件和所有依赖库以查找安全漏洞和许可证问题。
SCA工具可以做到：
- 根据NIST CVE数据库和其他开放和商业漏洞数据库，识别开源组件中的已知漏洞。
- 识别需要打补丁、或已到达生命周期（EOL）并应被替换的组件。
- 扫描二进制代码、字节码和原始源代码。
运行时应用自我保护（RASP）
RASP工具被认为是SAST、DAST和IAST的进化。它们主要与部署在生产环境中的应用程序相关。RASP在运行时分析应用程序流量和用户行为，以检测和防止网络威胁。
RASP可以审查应用程序源代码（即使是编译后的应用程序），并分析弱点和漏洞。它识别安全漏洞并主动保护应用程序，通过终止会话或发出警告来实现。
RASP提供了深度检查和保护，许多人认为这减少了SAST、DAST和IAST的重要性。与修改应用程序以修复安全漏洞相比，RASP不需要复杂和耗时的操作，它可以保护应用程序并防止利用这些漏洞。然而，RASP不能替代全面的DevSecOps流程和对安全漏洞的早期检测。
应用安全测试编排（ASTO）
ASTO是由Gartner在2017年引入的一种新的工具类别。它整合了整个软件生命周期中的各种安全工具，以支持DevSecOps流程。ASTO的目的是协调应用程序安全工具，例如我们上面描述的那些工具，确保它们在开发管道的每个阶段都被适当地使用。
工具对于有效的应用安全测试过程至关重要。ASTO不仅协调和自动化这些工具，还使得在一个位置管理它们的数据和洞察成为可能。这使得组织更容易跟踪所有潜在的风险，并更快地解决它们，而无需在多个控制台和仪表板之间切换。
应用安全最佳实践
使用以下最佳实践来更有效地保护应用程序。
执行威胁评估
在规划应用程序安全计划时，按敏感性对应用程序进行映射，并调查攻击者可以用来损害每个应用程序的关键入口点。确定已经实施的安全措施，并评估它们是否适合防止威胁。设定合理的目标和里程碑，以改善保护并实现每个应用程序所需的安全水平。
将安全性集成到持续集成/持续交付（CI/CD）流程中
现代软件开发过程使用持续集成/持续交付（CI/CD）工具进行管理，自动化整个发布过程。安全测试工具应与CI/CD管道完全集成，从规划、开发、测试、部署到生产环境。
自动化应用安全工具允许团队在CI/CD管道的多个检查点测试应用程序。例如，当开发人员提交代码并触发构建时，它应该自动进行安全测试，并将反馈返回给开发人员，以便他们能够快速修复代码中的安全问题。
优先考虑补救措施
在大多数组织中，应用安全工具将识别大量应用程序漏洞。通常不可能立即补救所有漏洞，优先级非常重要——团队需要轻松识别最关键的漏洞。他们应该建立有效的流程来补救它们，而不影响开发人员的生产力。
安全测试过程应包括每个漏洞的严重性和潜在利用情况的自动化指标。如有必要，可以进行手动评估，以了解漏洞是否确实对企业构成风险。例如，可能存在未在生产应用程序中使用的易受攻击的组件，或者存在其他安全措施使利用漏洞变得更加困难的易受攻击的系统。
管理权限
工具和与应用程序安全相关的数据非常敏感，可能对攻击者非常有用。这包括可用于访问CI/CD工具的安全策略、流程、工具配置和凭据。几个灾难性的供应链攻击，如全球SolarWinds攻击，都是由于CI/CD管道安全性的弱点而成为可能的。
使用最小权限原则来确保每个用户只具有对他们完成任务绝对必要的数据和系统的访问权限。确保CI/CD工具使用多因素身份验证并受到密切监控，以检测异常行为。
进行渗透测试
自动化测试可以修复许多安全问题，但可能无法发现重要的漏洞。考虑使用人工渗透测试人员测试你的应用程序。他们是从攻击者的角度评估应用程序的道德黑客，检测漏洞，找到潜在的攻击途径，并实际尝试入侵应用程序，而不会造成损害。
你也可以执行“盲”渗透测试，在安全和运维人员不知情的情况下进行，作为对你的安全性实践和人员的实时测试。
测试第三方组件
现代软件使用大量的第三方代码组件进行组装，其中许多是开源的。开源有很多优势，但也可能使组织面临安全和合规风险。开源项目可能没有得到适当的维护，也可能没有实施安全的编码实践。即使他们这样做了，他们也必须定期更新以防止已知的漏洞。
扫描第三方组件的一个常见解决方案是软件组成分析（SCA）。SCA解决方案扫描开源组件及其依赖项，识别安全漏洞，并处理可能威胁软件开发项目的许可证问题。这些解决方案提供了详细的建议，可以帮助团队修复问题或替换有问题的开源组件。
使用Aqua Security保护您的云原生应用
Aqua 替换了过时的基于签名的方法，采用了利用云原生原则（不变性、微服务和可移植性）的现代控制。通过使用动态威胁分析、机器学习行为白名单、完整性控制和纳米分割，Aqua 实现了跨生命周期的现代应用安全保护。
Aqua 的全生命周期安全方法覆盖所有云和平台，与企业现有的基础设施和云原生生态系统进行集成。
确保构建安全
通过早期检测您的制品中的安全问题并缩短修复时间来加速开发。将“左移”安全纳入CI/CD管道，在应用部署之前获得对管道安全态势的全面可见性，并减少应用攻击面。
确保基础设施安全
在整个堆栈上执行合规性，实时了解和控制您的安全态势。监控、检测并自动修复公共云服务和Kubernetes集群中的配置问题。确保符合CIS基准、PCI-DSS、HIPAA、GDPR和其他法规。
确保工作负载安全
使用零信任模型在运行时保护应用程序，具有准确检测和阻止攻击的细粒度控制。统一任何云、编排器和操作系统上的虚拟机、容器和无服务器的工作负载的安全。利用微服务概念来实施不变性和微细分。
关键特性：
- 漏洞扫描：扫描CI管道和注册表，容器镜像，虚拟机镜像以及功能。发现已知的漏洞，恶意软件，嵌入式秘密，OSS许可，配置和权限问题，并根据潜在的影响进行优先排序。
- 动态威胁分析：使用安全的沙箱检测和缓解容器镜像中的隐藏恶意软件和供应链攻击。
- 云安全态势管理（CSPM）：持续审计云账户和服务，以发现安全风险并自动纠正配置错误。
- 容器安全：使用扫描结果设置映像部署策略，并防止使用未经批准的映像。使用Aqua vShield缓解已知漏洞，防止无需代码更改即可利用漏洞。通过防止偏离其原始映像来强制实施容器的不可变性。
原文：https://www.aquasec.com/cloud-native-academy/application-security/application-security/
