。
Gartner最近推出的應(yīng)用程序安全測(cè)試（AST）Magic Quadrant總結(jié)得出，由于AST解決方案適應(yīng)新的開發(fā)方法和增加的應(yīng)用程序復(fù)雜性，所以安全測(cè)試的增長(zhǎng)速度要快于任何其他安全市場(chǎng)。安全和風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者必須將AST納入其應(yīng)用安全計(jì)劃。隨著虛擬世界的風(fēng)險(xiǎn)和攻擊數(shù)量的增加，確保應(yīng)用程序安全性的需求也隨之增加。這是自動(dòng)安全測(cè)試優(yōu)先考慮的原因，并且持續(xù)測(cè)試和交付的想法也得到了認(rèn)可。
作為常規(guī)做法，安全測(cè)試在應(yīng)用程序交付后進(jìn)行。這個(gè)應(yīng)用測(cè)試了安全漏洞和認(rèn)證，但是結(jié)果不足，可能會(huì)導(dǎo)致應(yīng)用程序中斷。 DevSecOps已經(jīng)進(jìn)展到通過(guò)將DevOps的內(nèi)在優(yōu)勢(shì)納入安全測(cè)試過(guò)程來(lái)平衡安全測(cè)試需求。該模型提供了一個(gè)框架，用于在開發(fā)和部署管道中添加安全檢查，并使每個(gè)人都確保安全。
因此，自動(dòng)化測(cè)試被嵌入測(cè)試周期中，保持DevOps模型作為重點(diǎn)。這導(dǎo)致了各種工具和技術(shù)的興起，使企業(yè)能夠使用DevOps提供安全測(cè)試。
軟件應(yīng)用越來(lái)越復(fù)雜，由于市場(chǎng)風(fēng)險(xiǎn)和各種固有的漏洞，可能會(huì)受到威脅。因此，測(cè)試必須嚴(yán)格和迭代。 DevSecOps匯集了DevOps，安全測(cè)試和自動(dòng)化的優(yōu)勢(shì)。 DevOps的核心目標(biāo)是為開發(fā)團(tuán)隊(duì)提供更多的權(quán)力來(lái)部署和監(jiān)控應(yīng)用程序。因此，實(shí)施自動(dòng)化測(cè)試以實(shí)現(xiàn)更快的結(jié)果可確保更好的應(yīng)用程序質(zhì)量。
DevSecOps運(yùn)動(dòng)仍在進(jìn)行，規(guī)則仍然落后。企業(yè)正逐步了解自動(dòng)化和實(shí)施安全測(cè)試的最佳方式。這樣，安全測(cè)試就會(huì)變得更加強(qiáng)大，迭代，更靈活地應(yīng)對(duì)市場(chǎng)挑戰(zhàn)。這個(gè)概念還在不斷發(fā)展，但是其根本是一樣的，仍然非常接近于自動(dòng)化測(cè)試和DevOps模型。結(jié)合安全方面很重要。持續(xù)測(cè)試和交付構(gòu)成了DevSecOps模型的核心，使測(cè)試和開發(fā)過(guò)程更加協(xié)調(diào)。
自動(dòng)化安全測(cè)試的最佳做法與實(shí)施任何自動(dòng)測(cè)試項(xiàng)目的最佳方法相似。只有安全測(cè)試必須在此過(guò)程中無(wú)縫集成。
1.識(shí)別漏洞
建議將應(yīng)用程序分解成零件/單位，并檢查它們是否存在漏洞。這有助于識(shí)別應(yīng)用程序漏洞各個(gè)方面的故障路徑和漏洞。網(wǎng)絡(luò)空間中的許多病毒和錯(cuò)誤傾向于挖掘基本的和最不被忽視的安全漏洞。它們有可能是認(rèn)證不足，密碼無(wú)效或安全策略不足。有一些漏洞掃描器用于識(shí)別主機(jī)上的隱藏網(wǎng)絡(luò)和漏洞。通過(guò)打破應(yīng)用程序并對(duì)每個(gè)功能進(jìn)行自動(dòng)測(cè)試，可以有效地識(shí)別漏洞。這是第一步或最基本的方面，因?yàn)檫@將使團(tuán)隊(duì)能夠采取進(jìn)一步的行動(dòng)。
實(shí)際上，在執(zhí)行測(cè)試后，團(tuán)隊(duì)可以根據(jù)技術(shù)嚴(yán)重程度對(duì)漏洞進(jìn)行分類，推薦單個(gè)安全解決方案或多個(gè)補(bǔ)丁和升級(jí)。
2.使用DevOps進(jìn)行自動(dòng)整合實(shí)例
測(cè)試的自動(dòng)化是整個(gè)DevOps方法的推動(dòng)者。只有自動(dòng)化成功實(shí)現(xiàn)，DevOps才能取得成功。連續(xù)測(cè)試和交付的概念是基于測(cè)試自動(dòng)化的基礎(chǔ)，通過(guò)該過(guò)程有效地實(shí)現(xiàn)。 DevSecOps的概念提促成了通過(guò)測(cè)試周期自動(dòng)執(zhí)行安全測(cè)試的想法。
最好的方法是將自動(dòng)化測(cè)試和DevOps方法的最佳實(shí)踐與安全測(cè)試目標(biāo)相結(jié)合。在連續(xù)測(cè)試過(guò)程運(yùn)行時(shí)，Test Automation可以幫助同時(shí)找到缺陷，軟件版本會(huì)持續(xù)發(fā)生。因此，在部署階段，測(cè)試正在驗(yàn)證應(yīng)用程序的安全性。
3.選擇正確的工具
市場(chǎng)上有多種工具和技術(shù)來(lái)促進(jìn)DevOps的實(shí)施。類似地，隨著自動(dòng)化，安全測(cè)試和DevOps的強(qiáng)大結(jié)合，我們有迫切需要去選擇正確的實(shí)施工具。
您可以凍結(jié)任何測(cè)試自動(dòng)化框架，但它必須與項(xiàng)目的目標(biāo)和安全要求協(xié)調(diào)一致。理想情況下，建議選擇開發(fā)，運(yùn)營(yíng)和安全團(tuán)隊(duì)熟悉的工具，并可以有效地整合到測(cè)試周期中以獲得明確的結(jié)果。
4. 通過(guò)定期路由實(shí)現(xiàn)自動(dòng)安全測(cè)試
安全測(cè)試不需要特殊待遇或方法。用于安全測(cè)試的自動(dòng)化類似于功能或性能測(cè)試的自動(dòng)化。在自動(dòng)化測(cè)試過(guò)程中，安全測(cè)試可以分為功能安全測(cè)試，如認(rèn)證和密碼生成，和針對(duì)已知缺點(diǎn)的特定非功能測(cè)試，應(yīng)用程序和基礎(chǔ)架構(gòu)的安全掃描以及安全測(cè)試應(yīng)用程序邏輯。
核心思想是分析安全測(cè)試的目標(biāo)，通過(guò)自動(dòng)化測(cè)試指定成功標(biāo)準(zhǔn)。獲得所需的結(jié)果并解決具有所需自動(dòng)化的漏洞很重要。只要滿足業(yè)務(wù)關(guān)鍵目標(biāo)，就無(wú)法解決過(guò)度自動(dòng)化或自動(dòng)化不足的問(wèn)題。
5.測(cè)試漏洞爆發(fā)
自動(dòng)化安全測(cè)試的目的是使應(yīng)用程序準(zhǔn)備好進(jìn)行任何可能的爆發(fā)或大規(guī)模攻擊。在確定目標(biāo)和戰(zhàn)略的同時(shí)，重要的是使用正確的工具/框架來(lái)防止爆發(fā)。目前的情況對(duì)于任何應(yīng)用程序都是可怕的，漏洞可能會(huì)從應(yīng)用程序或外部應(yīng)用程序中出現(xiàn)。開發(fā)自動(dòng)化框架來(lái)測(cè)試任何此類的漏洞攻擊可能是一個(gè)很好的做法。
自動(dòng)化框架在一段時(shí)間內(nèi)可以通過(guò)更好的測(cè)試用例來(lái)增強(qiáng)。因此，為企業(yè)/團(tuán)隊(duì)投資建立一個(gè)強(qiáng)大的安全測(cè)試框架是絕對(duì)值得的。
總結(jié)
最近的新聞報(bào)道發(fā)布說(shuō)世界上最大的保險(xiǎn)公司（勞埃德）受到網(wǎng)絡(luò)攻擊，該公司的損失為531億美元到1,124億美元之間。網(wǎng)絡(luò)攻擊和病毒威脅加強(qiáng)了每個(gè)行業(yè)對(duì)安全測(cè)試的需求。最佳做法是構(gòu)建一個(gè)全面的自動(dòng)安全測(cè)試策略，并確保您的關(guān)鍵業(yè)務(wù)應(yīng)用程序。
聯(lián)系客服
