个人中心
文章发布
退出
作者热门文章
- ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机
- Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法
- 在Ubuntu上搭建网桥的方法
- ubuntu 虚拟机上网方式及相关配置详解
25
4
CFSDN坚持开源创造价值，我们致力于搭建一个资源共享平台，让每一个IT人在这里找到属于你的精彩世界.
这篇CFSDN的博客文章四个常见的软件安全开发问题及其解决方法由作者收集整理，如果你对这篇文章有兴趣，记得点赞哟.
随着软件已成为现代业务的支柱，网络攻击已成为一种永远存在的威胁，这使得应用程序安全成为确保业务连续性的必要条件。本文研究了四个常见的软件安全开发问题以及如何解决这些问题.
管理和维护安全软件的过程可能会给寻求尽快交付功能的开发人员带来意想不到的障碍。研究表明，59% 的公司现在每天多次、每天一次或每隔几天部署一次代码。然而，随着软件成为现代企业的支柱，网络攻击已成为一种永远存在的威胁，这使得应用程序安全成为确保业务连续性的必要条件.
左移运动——在开发过程的早期进行安全测试和修复缺陷——增加了开发人员在应用程序安全方面发挥作用的需求，但经过安全培训的开发人员仍然存在很大的技能差距。有兴趣提高安全知识的开发人员可以从了解一些常见的 DevSec 问题开始.
对于开发人员和安全团队来说，最常见的挑战之一是安全债务——代码中存在很长时间的安全漏洞，如旧的信用卡余额，现在解决起来比引入时要昂贵得多。为避免增加安全债务，开发人员可以实施自动化扫描和测试.
自动化程度越高越好：在一次年度软件安全状况 (SoSS) 报告中，我们发现将动态分析 (DAST) 与静态分析 (SAST) 结合使用的组织修复 50% 的安全漏洞平均快 24.5 天.
更快地查找和修复新缺陷的另一种方法是更频繁地扫描。更频繁的扫描使组织能够以 22.5 天的速度到达中间点，并且通过 API 运行 SAST 扫描将修复 50% 的缺陷的时间缩短了 17.5 天.
研究还表明，稳定的扫描节奏可以帮助您的团队看到缺陷类型比例的有意义的变化，并随着时间的推移减少安全债务。将安全测试视为马拉松，而不是短跑：在赛事前一周只跑 50 英里并不能为马拉松做好准备.
了解哪些缺陷对您的应用程序构成最大风险以及它们是如何引入的，对于防止这些常见缺陷导致的破坏性网络攻击至关重要。我们的 SoSS 报告发现，信息泄露 (65.9%)、CRLF 注入 (65.4%)、密码问题 (63.7%) 和代码质量 (60.4%) 是应用程序中最常见的缺陷。为了解决这些常见的缺陷，开发人员应该考虑以下几点:
对于信息泄露，在编写代码时依靠安全编码最佳实践并实施安全测试程序.
为防止 CRLF 注入，不要相信用户输入，使用正确的验证和编码清理用户提供的数据，并确保在 HTTP 标头中正确编码输出.
可以通过良好的安全编码实践来防止加密漏洞。此外，大多数主要语言本质上都支持良好的加密实践，并且对不正确实现的担忧通常只会在个案的基础上出现.
通过使用一致的编码模式、在您的 SDLC 中自动进行安全测试并通过有效的培训保持最新状态，来防止代码质量不佳问题.
值得注意的是，这四个缺陷年复一年地一直排在报告的前 10 名，表明开发人员在意识和培训方面存在差距。事实上，对开发人员的安全培训可能是最大的挑战。大学不仅没有定期教授安全编码，而且在职培训也同样难以获得，因为大多数应用程序安全都由安全团队负责。为了使开发人员能够预防、查找和修复代码中的缺陷，组织需要提供可操作的、真实的培训，开发人员可以立即应用这些培训来加强他们所学的知识，并使其成为日常工作的一部分.
开源代码几乎无处不在。当您考虑到许多开源库不是由开发人员直接选择时——应用程序中 46.6% 的不安全开源库是可传递的，由另一个正在使用的库引入应用程序——很容易理解开源代码如何扩展攻击面在应用程序中。事实上，我们的研究发现，71% 的应用程序在初始扫描时在开源库中存在缺陷.
集成软件组合分析 (SCA) 等扫描工具可以帮助更准确地检测开源漏洞。由于 74% 的开源缺陷可以通过补丁、修订或主要/次要版本更新来修复，因此该过程可以有效缓解.
使用正确的工具来掌握代码是降低风险和确保您可以自信地使用开源库的关键.
无论您喜欢哪种软件语言，了解对它们影响最大的缺陷都将帮助您在错误成为更大问题之前防止错误。我们的数据显示，某些语言比其他语言具有更多的高风险缺陷，这意味着应该仔细设计和测试用特定语言编写的代码。一些例子包括:
通过检查各种常见语言的缺陷频率趋势，开发人员可以更好地了解他们在编码时面临的日常风险，并可以使用这些知识在这些缺陷成为问题之前提前解决.
实施安全编码实践并利用实践培训来增加专业知识将有助于确保应用程序的安全性能够跟上现代开发需求。当开发人员不仅能够发现，而且能够修复他们的代码中的缺陷时，他们将在成为更精通安全的开发人员的道路上走得很好.
最后此篇关于四个常见的软件安全开发问题及其解决方法的文章就讲到这里了,如果你想了解更多关于四个常见的软件安全开发问题及其解决方法的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！ 。
25
4
0
我正在学习 Spring 安全性，但我对它的灵活性感到困惑.. 我知道我可以通过在标签中定义规则来保护网址 然后我看到有一个@secure 注释可以保护方法。 然后还有其他注释来保护域(或 POJO)
假设有一个 key 加密 key 位于内存中并且未写入文件或数据库... byte[] kek = new byte[32]; secureRandom.nextBytes(kek); byte[]
我有 Spring Security 3.2.0 RC1 的问题 我正在使用标签来连接我 这表示“方法‘setF
我正在创建一个使用 Node Js 服务器 API 的 Flutter 应用程序。对于授权，我决定将 JWT 与私钥/公钥一起使用。服务器和移动客户端之间的通信使用 HTTPS。 Flutter 应用
在过去的几年里，我一直在使用范围从 Raphael.js 的 javascript 库。至 D3 ，我已经为自己的教育操纵了来自网络各地的动画。我已经从各种 git 存储库下载了 js 脚本，例如 s
在 python 中实现身份验证的好方法是什么？已经存在的东西也很好。我需要它通过不受信任的网络连接进行身份验证。它不需要太高级，只要足以安全地获取通用密码即可。我查看了 ssl 模块。但那个模块让我
我正在尝试学习“如何在 Hadoop 中实现 Kerberos？”我已经看过这个文档 https://issues.apache.org/jira/browse/HADOOP-4487我还了解了基本的
我有一个带有 apache2、php、mysql 的生产服务器。我现在只有一个站点 (mysite.com) 作为虚拟主机。我想把 phpmyadmin、webalizer 和 webmin 放在那里
前些天在网上看到防火墙软件OPNsense，对其有了兴趣，以前写过一个其前面的一个软件M0n0wall（ 关于m0n0wa
我在 Spring Boot 和 oauth2(由 Google 提供)上编写了 rest 后端，在 "/login" 上自动重定向。除了 web 的 oauth 之外，我还想在移动后端进行 Fire
我想调用类 Foo，它的构造函数中有抽象类 Base。我希望能够从派生自 Base 的 Derived 调用 Foo 并使用 Derived覆盖方法而不是 Base 的方法。 我只能按照指示使用原始指
如何提高 session 的安全性？ $this->session->userdata('userid') 我一直在为我的 ajax 调用扔掉这个小坏蛋。有些情况我没有。然后我想，使用 DOM 中的
我目前正在为某些人提供程序集编译服务。他们可以在在线编辑器中输入汇编代码并进行编译。然后编译它时，代码通过ajax请求发送到我的服务器，编译并返回程序的输出。 但是，我想知道我可以做些什么来防止对服务
就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引起辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the he
目前，我通过将 session 中的 key 与 MySQl 数据库中的相同 key 相匹配来验证用户 session 。我使用随机数重新生成 session ，该随机数在每个页面加载时都受 MD5
Microsoft 模式与实践团队提供了一个很棒的 pdf，称为:“构建安全的 asp.net 应用程序”。 microsoft pdf 由于它是为 .Net 1.0 编写的，所以现在有点旧了。有谁知
在 Lua 中，通常会使用 math.random 生成随机值和/或字符串。 & math.randomseed , 其中 os.time用于 math.randomseed . 然而，这种方法有一个
就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the
我们有一个严重依赖 Ajax 的应用程序。确保对服务器端脚本的请求不是通过独立程序而是通过坐在浏览器上的实际用户的好方法是什么 最佳答案 真的没有。 通过浏览器发送的任何请求都可以由独立程序伪造。 归
我正在寻找使用 WebSockets 与我们的服务器通信来实现 web (angular) 和 iPhone 应用程序。在过去使用 HTTP 请求时，我们使用请求数据、url、时间戳等的哈希值来验证和
我是一名优秀的程序员,十分优秀！