什么是应用程序安全？

应用程序安全（AppSec）是设计、构建和测试您开发的应用程序的安全属性的过程。AppSec 包括可帮助组织降低安全风险、预防安全事件和快速从安全事件中恢复的实践、工具和技术。采用应用程序安全测试有助于在整个软件开发生命周期（SDLC）（包括部署后）预防、识别和修复安全问题。

应用程序安全是软件开发流程中的重要环节，可确保应用程序按预期运行。无论应用程序是仅供内部使用，还是作为客户商品生产，应用程序安全都很重要。

遵循领先的应用程序安全实践能够带来以下好处。

增强用户信任度

应用程序内部发生的安全事件可能会影响用户对企业的信任，并影响品牌声誉。聚焦应用程序安全有助于防止这种可能性，同时提高用户忠诚度。

支持合规性

生产符合合规框架的软件应用程序的组织必须努力确保这些产品保持合规性。例如，如果应用程序符合《通用数据保护条例》（GDPR），则所有新功能也必须符合 GDPR。

保障业务持续运营

组织内部的活跃威胁可能会使运营停止。确保您的软件应用程序不会导致安全事件将有助于保持业务运营尽可能平稳。

保护敏感数据

敏感数据，如通过应用程序流转的个人身份信息（PII）和私密企业信息。通过优先考虑应用程序安全，您可以实施安全规范，以帮助防止未经授权的访问并防范数据泄露。

应用程序安全是更广泛的 DevSecOps 计划的核心组成部分。

DevSecOps 建立在三大基础支柱之上：人员、流程和技术。DevSecOps 以 DevOps 为基础，包括鼓励开发人员（Dev）、安全专业人员（Sec）和运维团队（Ops）之间开展协作的专用工具和流程，以构建高效、安全的软件。DevSecOps 带来了文化转型，使安全成为开发软件的每个人的共同责任。

这三大支柱通过自动化和持续的安全测试协同作用，共同构建起强大、安全且不断演进的软件开发计划。

人员：安全至上的文化和协作

在 DevSecOps 中，组织必须建立安全至上的文化，将安全视为每个人的责任，而不仅仅是安全团队的责任。开发人员对自己构建的应用程序的安全负责，运维团队对运行中的工作负载及基础设施的安全负责，安全团队则负责整个组织的安全。这种协同方式可确保在运维、安全、开发团队乃至整个组织清晰界定安全责任。

安全文化

在角色、部门和计划中嵌入安全文化和思维是应用程序安全的重要组成部分。广泛的安全文化可通过安全倡导者计划、协作式安全设计审查、事后审查，以及持续改进学习流程来实现可视化。

高频次、基于角色的安全培训

必须为参与软件开发生命周期的个人和团队（涵盖开发人员、安全和运维团队）提供培训。AppSec 安全培训可能包括安全编码规范、威胁建模、漏洞管理，以及代码提交或安全调查发现触发的学习。

在 SDLC 初期融入安全考量

早在构思阶段，就必须将安全要素纳入应用程序设计中。这包括威胁建模和设计审查等工作，以帮助产品团队明确安全需求，并将其融入用户故事与验收标准中。

流程：自动安全集成

建立应用程序安全流程对于帮助保护应用程序和敏感数据至关重要。清晰透明的安全准则能够帮助开发人员缓解代码层面的安全问题，并实施功能性的应用程序安全控制措施。

策略即代码框架

整个组织应在整个开发生命周期中定义并自动执行安全要求。这包括为运维团队提供的用于定义安全配置的基础设施即代码（IaC）模板。这些模板有助于确保在部署之前自动验证应用程序的安全性。

自动化安全检查

自动安化全测试将安全检查嵌入到持续集成和持续部署（CI/CD）管道的每个阶段。其中包括：

• 质量门槛：软件产品在特定阶段必须达到的质量水平。例如，应用程序进入生产环境前，所有库都必须是最新的，以确保没有易受攻击和过时的组件。
• 错误阈值：应用程序内部安全问题的阈值水平。例如，软件发布前不得存在任何“高”及以上级别的安全漏洞，以消除可能存在安全威胁的风险。
• 质量检查：用于检查产品是否满足质量门槛与错误阈值要求的测试和扫描。
• 持续合规性扫描：一种扫描程序，用于自动检查应用程序是否符合系统与组织控制 2（SOC 2）、支付卡行业数据安全标准（PCI DSS）以及 GDPR 等标准。

实时安全监控和响应

在 DevSecOps 流程中，可以创建和构建自动事件响应工作流程、自我修复功能和持续的安全态势评测。在这些工作流程中，您可以为低风险和低复杂度的调查发现添加自动补救措施。对于其他调查发现，可以将自动标记发送给开发人员或工单系统。

智能风险管理

应用内安全风险管理使用自动风险评分来确定安全调查发现的优先级。此风险评分评估基于每个漏洞的业务影响和可利用性。此流程可突出显示需要开发人员关注的严重漏洞。

自适应安全保护和缓解措施

对于拥有成熟 DevSecOps 计划的组织，可以独立调整每个应用程序的安全性。项目负责人和智能系统可以根据应用程序上下文、用户行为和新威胁动态调整安全要求。通过此流程，新的安全需求可在新旧软件开发项目中重复使用并自动实施。

技术：云原生安全自动化

现代应用程序使用传统和云原生技术以及人工智能驱动的自动化来增强安全性。

自动化安全测试

应该在不同项目中部署标准软件安全测试。这些自动化测试包括：

静态应用程序安全性测试（SAST）

静态应用程序安全性测试会扫描代码库中是否存在已知漏洞。

动态应用程序安全性测试（DAST）

动态应用程序安全性测试会扫描正在运行的应用程序中是否存在漏洞。

交互式应用程序安全性测试（IAST）

交互式应用程序安全性测试会根据用户交互，在运行时分析代码输出。

软件组成分析（SCA）

软件组成分析会扫描开源依赖项中是否存在漏洞。

容器和基础设施安全

容器和基础设施安全会考虑软件运行所在的底层组件的安全性。在此基础设施管理中，您可以组合多项安全措施，如：

• 具有运行时保护的容器安全扫描
• 用于持续监控配置的云安全态势管理（CSPM）
• 自动密钥管理平台，可轮换凭证，无需硬编码密钥
• 渗透测试和其他实时测试

零信任架构

使用零信任架构设计应用程序有助于减少基于权限的软件漏洞。零信任架构的组件包括：

• 使用基于身份的访问控制的网络微分段
• 通过服务间通信加密实现服务网格安全

零信任架构有助于在分布式和基于云的应用程序中强制执行安全策略。

人工智能驱动的威胁检测和分析

组织可以使用机器学习（ML）算法和行为分析进一步增强应用程序的安全性。

例如，人工智能和机器学习服务可以帮助实时检测异常模式，包括内部威胁或账号被盗后出现的异常访问。此外，这些服务还可以对漏洞进行关联和优先级排序，从而帮助减少警报数量。

和 DevSecOps 一样，应用程序程序安全也被视为一个持续的过程。让 AppSec 适应不断变化的威胁态势和业务需求，可以确保应用程序安全计划始终有用且处于最新状态。

有许多方法可以帮助实现持续的反馈循环：

• 实时控制面板用于跟踪应用程序组合中的安全 KPI、平均修复时长、安全债务等项目。这些控制面板提供自动安全指标，以帮助确定优先级并进行改进。
• 持续改进循环通过定期安全回顾、安全日志记录以及包含跟进操作的事后审查来实施。
• 对 AppSec 的安全投资应基于“降低业务风险”和“安全投资回报（ROSI）”的计算结果来确定优先级。

软件计划上的这些持续适应护栏有助于其随业务增长扩展。通过评估和改进该计划，您可以获得持续的保护，从而抵御新的网络威胁。

开发人员可以使用这些方法来保护软件应用程序，使其防范未经授权的访问和其他风险。 

代码安全

静态和动态代码分析是在应用程序发布完整软件版本前识别漏洞的基础。开发团队将自动安全测试工具直接集成到他们的开发工作流程中，以扫描源代码、编译的应用程序和正在运行的系统中是否存在安全漏洞。

这些应用程序安全工具可检测常见漏洞。例如，在 Web 应用程序安全性测试中，必须涵盖 SQL 注入、跨站脚本攻击以及不安全配置等项目。在移动应用程序安全性测试中，可能会包括设备端存储测试等安全考量因素。这些工具可以突出漏洞，同时为开发人员提供切实可行的修复指导。

例如，开发人员使用 Amazon Q 开发者版代码审查或 Amazon Inspector Code Security 在代码审查期间自动识别安全漏洞和违反编码最佳实践的行为，从而提供改善应用程序安全性的智能建议。

依赖项管理

第三方库和开源组件会通过已知漏洞和许可证合规问题引入重大安全风险。组织需要实施全面的依赖项扫描和管理流程，以保持对应用程序中使用的所有外部组件的可见性。

这些流程包括自动化漏洞检测、许可证合规性监控以及安全更新机制，这些机制可以确保依赖项通过安全补丁始终保持最新状态。

例如，开发团队可以使用 Amazon Inspector Code Security 来持续评测代码和容器映像中的漏洞依赖项、自动生成包含修复指导的详细调查发现。

基础设施安全

云基础设施配置错误是现代应用程序中最常见的安全漏洞来源之一。

团队可以使用 Amazon Inspector Code Security 来实施持续监控和自动修复，以确保其云资源在整个生命周期始终保持安全配置。这包括验证安全组规则、加密设置、访问策略以及对组织安全标准的遵守情况。

此外，还可以通过 AWS Config 持续监控和评估 AWS 资源配置是否符合安全最佳实践，自动检测偏差并触发修复工作流程，以保持合规性。

持续集成和持续部署

使用 CI/CD 管道将现代应用程序部署到云端。为了降低应用程序部署的风险，团队可以使用 AWS CodePipeline 等服务。CodePipeline 可以与安全扫描服务集成，以便在部署过程的每个阶段进行持续的安全验证。这包括自动静态代码分析、依赖项漏洞扫描、容器映像安全评测以及部署前的基础设施即代码安全审查。

AWS CodeBuild 可与第三方安全工具集成，以便在构建和测试应用程序期间执行全面的安全测试。此外，使用 AWS CloudFormation Guard 实施策略即代码可确保基础设施部署自动符合安全标准。这可以防止不安全的配置进入生产阶段，从而帮助在所有部署阶段保持一致的安全性。

AWS 云安全为组织提供各种资源，以强化私有网络和公共网络上的应用程序安全性。您的安全团队可以使用 AWS 上的网络和云应用程序安全服务来创建安全的应用程序、识别代码和基础设施漏洞、评测工作负载合规性以及开展更多工作。无论是在应用程序、网络还是主机级别应用安全最佳实践，我们都能提供支持您的安全要求的服务。

• Amazon Inspector 可用于近乎实时地检测 Amazon EC2、AWS Lambda 函数和 Amazon Elastic Container Registry（Amazon ECR）中的容器映像等 AWS 工作负载、代码存储库等非 AWS 资源，以及持续集成和持续交付（CI/CD）工具中的软件漏洞和意外网络暴露。
• Amazon Q 开发者版可以扫描代码中是否存在难以检测的漏洞，例如凭证泄露和日志注入。Amazon Q 开发者版可以自动提出针对应用程序代码定制的修复建议，让您放心地快速接受修复。
• AWS WAF 可帮助您最大程度地减少 Web 应用程序事件。借助 AWS WAF，您可以创建适用于 Web 应用程序防火墙的安全规则来控制机器人流量并阻止常见的攻击模式，例如 SQL 注入或跨站脚本攻击（XSS）。
• AWS Security Hub 有助于优先处理关键安全问题，并帮助您大规模作出响应，以保护您的环境。通过关联信号并将其丰富为切实可行的洞察来检测关键问题，从而简化响应。

立即创建免费账户，开始提升应用程序安全性。