Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

如何解决APP越权漏洞? 从安全评估检测入手



       既然越权扫描器不能解决所有的业务逻辑漏洞,那么尝试改变生产关系?在业务、产品、开

发、测试、安全之间合作关系的变化中,每个人都应该对APP安全负责。业务逻辑漏洞的解决方

案分为三个行动:架构安全审查、质量保证覆盖和风险再提供。
 
 
1、APP安全检测
 
为什么要做建筑评论?究其原因,可以从本文微服务架构下的越权风险、开发模式和开发架构的

变化,以及许多类似Gateway的APP的出现等方面来看。如果这些APP的架构不安全地参与评估

,往往会导致整个系统的框架权限失效,极难修复。这里需要注意的是,并不是所有的APP都需

要参与架构安全审查,否则很容易陷入“人力比”的困境,要根据实际情况选择审查策略。
 
 
2.QA覆盖率
 
QA中的人力往往比较充裕,会覆盖所有的发布和迭代,所以试想一下,如果测试生帮我们做一些

安全测试工作,不仅覆盖面大幅度提高,还能把安全体验集中在其他环节。那怎么做呢?一是要

明白业务逻辑漏洞既是漏洞也是bug,是达成共识的关键;第二,测试学生不是专业安全,不可

能覆盖所有类型的漏洞。要有选择,重点关注越权等风险类型;第三,是风险恢复。
 
3.风险恢复
 
即使经过各种审查和测试,网上也肯定会有漏洞。此时,有必要进行深入的风险重新检查。复测

的目的是什么?找出漏洞的根本原因。如果应用程序架构有问题,那么就拉项目,改变架构。如

果是人的问题,要考虑安全意识。至于哪些风险需要再做,这个要根据目前的安全情况有选择的

再做。其中一个关键点是,开发、产品和测试都应该参与到重新提供中。
 
第二点:APP安全评估。
 
红蓝对抗、安全公测、漏洞扫描等详细流程。将不在本文中讨论。有很多文章介绍了这几个方面

,作者重点介绍了这个环节的重要性。安全评估相当于检查泄漏和填补空白,并测试安全开发的

效果。要和黑灰生产争时间,想办法在他们之前找到风险。这个阶段发现的每一个风险都是通过

投入大量的人力、物力、财力获得的,所以要充分利用它的价值而不是固定它。通过这个环节发

现的每一个高风险风险,都要用“风险重关”来关闭,要深入发现风险的根本原因。
分享:

相关推荐