新思科技解讀金融服務(wù)業(yè)應(yīng)用程序安全的七大誤區(qū)

由于該行業(yè)受到嚴(yán)格監(jiān)管，因此，金融服務(wù)企業(yè)往往非常善于保持合規(guī)性，從而導(dǎo)致安全主管和客戶(hù)很容易產(chǎn)生錯(cuò)誤的安全感。但如果他們不能仔細(xì)檢查安全實(shí)踐在合規(guī)范圍外的表現(xiàn)，長(zhǎng)期以往也會(huì)出現(xiàn)問(wèn)題。

事實(shí)上，金融服務(wù)企業(yè)并沒(méi)有那么安全。新思科技近期委托Ponemon Institute開(kāi)展了一項(xiàng)名為《金融服務(wù)業(yè)的軟件安全狀況》的獨(dú)立研究，凸顯出人們對(duì)金融服務(wù)安全性的誤解。報(bào)告發(fā)現(xiàn)，50%的金融服務(wù)企業(yè)由于不安全的軟件而遭遇數(shù)據(jù)盜竊。

誤區(qū)二：金融軟件不同于其他軟件（因此無(wú)法改變）
許多金融服務(wù)企業(yè)仍然認(rèn)為他們的軟件與其它類(lèi)型的軟件存在本質(zhì)上的區(qū)別，因此無(wú)法做出改變。他們認(rèn)為企業(yè)負(fù)擔(dān)不起朝著DevOps做出重大轉(zhuǎn)變的費(fèi)用，也無(wú)法無(wú)條件地信任瀑布式方法等公認(rèn)的最佳實(shí)踐。他們的看法是，過(guò)去有效的方法未來(lái)將繼續(xù)奏效。

其實(shí)金融軟件的編寫(xiě)、管理和測(cè)試方式與其它軟件大同小異。過(guò)時(shí)的開(kāi)發(fā)模式會(huì)限制開(kāi)發(fā)速度并阻礙上市速度。拒絕適應(yīng)現(xiàn)代軟件環(huán)境的企業(yè)遲早會(huì)落伍。

誤區(qū)三：小型金融服務(wù)企業(yè)的AppSec需求有別于大型金融服務(wù)企業(yè)
有人誤認(rèn)為，小銀行和大銀行對(duì)AppSec和相對(duì)安全級(jí)別有著不同的需求。小銀行通常是購(gòu)買(mǎi)軟件，而大銀行則是自己開(kāi)發(fā)軟件。有人認(rèn)為當(dāng)購(gòu)買(mǎi)軟件時(shí)，確保安全性的責(zé)任便落在了供應(yīng)商而不是購(gòu)買(mǎi)者身上。此外，他們還認(rèn)為小銀行使用的軟件不同于大銀行，這種錯(cuò)誤觀點(diǎn)常常導(dǎo)致重要的安全實(shí)踐活動(dòng)被忽視。更令人不安的是，許多規(guī)模較小的銀行認(rèn)為自己的規(guī)模太小，不可能成為攻擊目標(biāo)。

所有的金融服務(wù)企業(yè)，無(wú)論規(guī)模大小，都依賴(lài)于開(kāi)源軟件和軟件供應(yīng)鏈——即使是那些自己開(kāi)發(fā)軟件的企業(yè)。客戶(hù)對(duì)小銀行和大銀行的安全要求是一樣的。因此，所有的銀行都有責(zé)任實(shí)施可靠而全面的AppSec策略，并了解其安全風(fēng)險(xiǎn)狀況。

誤區(qū)四：企業(yè)可以控制所部署的軟件中的所有內(nèi)容
許多金融服務(wù)企業(yè)都認(rèn)為，他們對(duì)其部署的軟件中的所有組件和元素非常了解。但是，了解軟件堆棧中的所有內(nèi)容并不代表全面了解—— 甚至比較全面地了解 —— 它們?cè)谏a(chǎn)環(huán)境中的表現(xiàn)。即便是大型金融服務(wù)企業(yè)也陷入這個(gè)誤區(qū)之中。

要知道，您所擁有的是不完整的視圖。現(xiàn)在所有的金融服務(wù)企業(yè)都在使用各種形式的開(kāi)源軟件，覆蓋廣泛的AppSec活動(dòng)和環(huán)境。從Docker和Kubernetes，到供應(yīng)鏈、云部署和共擔(dān)責(zé)任模式，您需要了解環(huán)境中的所有代碼和每個(gè)組件。準(zhǔn)確了解正在部署的內(nèi)容及其安全狀態(tài)是至關(guān)重要的。

誤區(qū)五：確保云安全是云運(yùn)營(yíng)商和所有者的工作
就像對(duì)待第三方責(zé)任的態(tài)度一樣，金融服務(wù)企業(yè)通常認(rèn)為，在云安全問(wèn)題上，有人可以“代勞”。金融服務(wù)企業(yè)以為云安全是云運(yùn)營(yíng)商和所有者的責(zé)任，通常基本或根本不會(huì)采取任何措施來(lái)保護(hù)其云部署。

實(shí)際上，確保云安全是企業(yè)本身的責(zé)任。GitHub、GitLab和其它各色云服務(wù)提供者都在努力保護(hù)用戶(hù)的云部署。然而，能否確保部署安全仍然取決于貴企業(yè)的內(nèi)部AppSec計(jì)劃。為了運(yùn)行安全的云部署，安全團(tuán)隊(duì)必須將安全的容器部署到云端。此外，金融服務(wù)企業(yè)還要負(fù)責(zé)整體的安全最佳實(shí)踐、身份和訪問(wèn)管理以及加密安全。如果沒(méi)有內(nèi)部安全活動(dòng)，云部署也許可以正常工作，但肯定不安全。

誤區(qū)六：具備滲透測(cè)試、門(mén)禁測(cè)試和最后一步安全便足夠
金融服務(wù)企業(yè)往往認(rèn)為，開(kāi)展?jié)B透測(cè)試就足夠了。這種測(cè)試的方法簡(jiǎn)易，再加上資源匱乏問(wèn)題，很多企業(yè)誤以為已經(jīng)在現(xiàn)有條件下做到了最好。

需要強(qiáng)調(diào)的是，AppSec必須內(nèi)置。雖然滲透測(cè)試確實(shí)能在應(yīng)用安全方面起到關(guān)鍵作用，但僅開(kāi)展?jié)B透測(cè)試是不夠的。新思科技的行業(yè)經(jīng)驗(yàn)表明，在軟件中發(fā)現(xiàn)的所有缺陷中有50%是架構(gòu)缺陷，滲透測(cè)試無(wú)法檢測(cè)到這些缺陷。金融服務(wù)企業(yè)需要采用深度架構(gòu)風(fēng)險(xiǎn)分析(ARA)實(shí)踐或威脅建模方法來(lái)識(shí)別這些重大風(fēng)險(xiǎn)。

誤區(qū)七：開(kāi)發(fā)人員可以根據(jù)經(jīng)驗(yàn)自學(xué)AppSec技能
金融服務(wù)企業(yè)往往缺乏開(kāi)展重要安全活動(dòng)所需的資源。盡管如此，他們?nèi)匀幌嘈胖灰凶銐虻臅r(shí)間和自學(xué)經(jīng)驗(yàn)，開(kāi)發(fā)人員便可以滿足整個(gè)軟件開(kāi)發(fā)生命周期中的任何安全需求。

這種學(xué)習(xí)方式也許適用于少數(shù)開(kāi)發(fā)人員，但在學(xué)習(xí)過(guò)程中產(chǎn)生的不良后果會(huì)給企業(yè)帶來(lái)風(fēng)險(xiǎn)。開(kāi)發(fā)人員需要多長(zhǎng)時(shí)間才能成為安全專(zhuān)家的問(wèn)題以及缺乏用技能評(píng)估架構(gòu)和指標(biāo)的問(wèn)題，都構(gòu)成了安全上的危險(xiǎn)缺口。

然而，安全培訓(xùn)是必要的。Ponemon報(bào)告顯示，只有38%的金融服務(wù)企業(yè)的員工具備保護(hù)軟件所需的網(wǎng)絡(luò)安全技能。25%的員工根本沒(méi)有接受過(guò)安全培訓(xùn)，但仍然肩負(fù)著AppSec 的責(zé)任。

新思科技軟件質(zhì)量與安全部門(mén)高級(jí)安全架構(gòu)師楊國(guó)梁總結(jié)道：“越來(lái)越多的金融服務(wù)機(jī)構(gòu)都使用App來(lái)開(kāi)展業(yè)務(wù)。但是便利性和安全隱患共生，軟件安全問(wèn)題不能小覷，比如高危漏洞、惡意程序或者使用第三方SDK時(shí)引入的安全風(fēng)險(xiǎn)等。金融服務(wù)企業(yè)無(wú)論是剛剛開(kāi)始進(jìn)行應(yīng)用安全轉(zhuǎn)型，還是正在逐步實(shí)現(xiàn)安全計(jì)劃的更新與增強(qiáng)，都應(yīng)該盡量安全‘左移’，用基于數(shù)據(jù)的策略來(lái)修正此類(lèi)誤區(qū)，以改進(jìn)AppSec流程?！?br /> ?