Vad är applikationssäkerhet?

Applikationssäkerhet är en disciplin som omfattar processer, verktyg och metoder som syftar till att skydda applikationer från hot genom hela applikationens livscykel. Cyberbrottslingar är organiserade, specialiserade och motiverade att hitta och utnyttja sårbarheter i företagsapplikationer för att stjäla data, immateriella rättigheter och känslig information. Applikationssäkerhet kan hjälpa organisationer att skydda alla typer av applikationer (t.ex. äldre, stationära, webb-, mobil- och mikrotjänster) som används av interna och externa intressenter, t.ex. kunder, affärspartners och anställda.

Varför applikationssäkerhet?

Flera studier har visat att majoriteten av de lyckade intrången riktas mot sårbarheter i applikationslagret, vilket visar att företagens IT-avdelningar måste vara extra vaksamma när det gäller applikationssäkerhet. Problemet förvärras ytterligare av att antalet applikationer och deras komplexitet ökar. För tio år sedan handlade utmaningen med mjukvarusäkerhet om att skydda skrivbordsapplikationer och statiska webbplatser som var ganska oskyldiga och lätta att täcka in och skydda. Nu är leveranskedjan för programvara mycket mer komplicerad med tanke på den outsourcade utvecklingen, antalet äldre applikationer i kombination med intern utveckling som utnyttjar tredjepartskomponenter, öppen källkod och kommersiella programvarukomponenter.

Organisationer behöver lösningar för applikationssäkerhet som täcker alla deras applikationer, från de som används internt till populära externa appar som används i kundernas mobiltelefoner. Dessa lösningar måste täcka hela utvecklingsstadiet och erbjuda testning efter att en applikation har tagits i bruk för att övervaka potentiella problem. Lösningar för applikationssäkerhet måste kunna testa webbapplikationer för potentiella och exploaterbara sårbarheter, ha förmågan att analysera kod, hjälpa till att hantera säkerhets- och utvecklingshanteringsprocesserna genom att samordna insatser och möjliggöra samarbete mellan olika intressenter. Lösningarna måste också erbjuda testning av applikationssäkerhet som är enkel att använda och distribuera.

---

Vad är SAST, DAST och SCA?

Vad är SAST?

Static Application Security Testing (SAST ) skannar applikationens källfiler, identifierar grundorsaken och hjälper till att åtgärda de underliggande säkerhetsbristerna.

Fördelar med statisk säkerhetstestning av applikationer

• Identifiera och eliminera sårbarheter i käll-, binär- eller bytekoder.
• Granska resultaten av statiska analyser i realtid med tillgång till rekommendationer, navigering i kodrader för att hitta sårbarheter snabbare och revision i samarbete.
• Fullt integrerad med den integrerade utvecklingsmiljön (IDE).

---

Vad är DAST?

Dynamic Application Security Testing (DAST ) simulerar kontrollerade attacker på en webbapplikation eller tjänst som körs för att identifiera sårbarheter som kan utnyttjas i en körmiljö.

Fördelar med dynamisk säkerhetstestning av applikationer:

• Ger en heltäckande bild av applikationssäkerhet genom att fokusera på vad som kan utnyttjas och täcka alla komponenter (server, anpassad kod, öppen källkod, tjänster).
• Kan integreras i utveckling, kvalitetssäkring och produktion för att ge en kontinuerlig helhetssyn.
• Dynamisk analys möjliggör ett bredare tillvägagångssätt för att hantera portföljrisker (1000-tals applikationer) och kan skanna äldre appar som en del av riskhanteringen.
• Testar den funktionella appen, så till skillnad från SAST är den inte språkbegränsad och körtids- och miljörelaterade problem kan upptäckas.

---

Vad är SCA?

Software Composition Analysis ( SCA) är en automatiserad process som hjälper till att identifiera och spåra de komponenter med öppen källkod som används i applikationer. Mer robusta SCA-verktyg kan analysera alla komponenter med öppen källkod med avseende på säkerhetsrisker, licensöverensstämmelse och kodkvalitet.

Fördelar med analys av programvarukomposition:

• Få insyn i och förståelse för open source-komponenterna i din organisation (tillhandahåll en programvaruförteckning).
• Policyautomatisering för att förebygga säkerhets- och licensproblem.
• Förslag på åtgärder för sårbarheter och rådgivning om licensrisker.
• Analysera hälsan hos projekt med öppen källkod för att eliminera risker som orsakas av dåliga eller förfallna samhällen.

---

Lokalt vs. SaaS vs. Managed Service

Lösningar för applikationssäkerhet består av programvara för cybersäkerhet (verktygen) och de metoder som driver processen för att säkra applikationer.

Lokalt på plats

Lösningar för testning av applikationssäkerhet kan köras lokalt (internt) och driftas och underhållas av interna team. Detta tillvägagångssätt kräver att organisationerna tillhandahåller infrastruktur och personal och att de skaffar applikationssäkerhetslösningar för sin användning. On-premise försäkrar organisationerna om att deras applikationsdata inte delas med tredje part och inte lämnar lokalerna.

SaaS

Applikationssäkerhet som ett SaaS-erbjudande tillhandahåller molnbaserade lösningar med ett webbaserat användargränssnitt, vilket gör det möjligt för kunden att konfigurera, utföra och hantera applikationssäkerhet. Detta alternativ kräver fortfarande att organisationer tillhandahåller den personal och expertis som krävs för att köra de olika verktygen för testning av applikationssäkerhet, men utan att behöva tillhandahålla infrastruktur, underhåll, uppdateringar etc.

Managed service

Applikationssäkerhet kan också vara en hanterad tjänst där kunden konsumerar tjänster som tillhandahålls som en nyckelfärdig lösning av leverantören av applikationssäkerhet. Detta tillvägagångssätt kräver inga av de förutsättningar som gäller för ett lokalt tillvägagångssätt, men det kräver att man helt eller delvis förlitar sig på SaaS-leverantören och i de flesta fall tillåter att applikationsdata delas med leverantören. Applikationssäkerhet som en hanterad tjänst är ett enkelt sätt att komma igång och kan erbjuda skalbarhet och snabbhet. Hybridimplementeringar (där on-premise, SaaS och managed services används tillsammans i olika projekt och metoder) syftar till att ge det bästa av två världar genom att erbjuda flexibilitet, skalbarhet och kostnadsoptimering.

---

Vad är OWASP Top 10?

OWASP Topp 10

Open Web Application Security Project(OWASP) är ett nätverk för applikationssäkerhet med öppen källkod som har som mål att förbättra säkerheten för programvara. Dess branschstandard OWASP Top 10-riktlinjer innehåller en lista över de mest kritiska säkerhetsriskerna för applikationer för att hjälpa utvecklare att bättre säkra de applikationer de designar och distribuerar.

Lösningar för applikationssäkerhet

OpenText Lösningar för applikationssäkerhet erbjuder testning och hantering av applikationssäkerhet på plats, hos en värd och som en tjänst för att hjälpa företag att säkra sina mjukvaruapplikationer - inklusive äldre applikationer, mobila applikationer, tredjepartsapplikationer och applikationer med öppen källkod.

Fortify Erbjudandet omfattar statisk kodanalys, dynamisk säkerhetstestning av applikationer, SCA (Software Composition Analysis) och interaktiva verktyg för säkerhetstestning av applikationer för att tillhandahålla kodskydd för dina webbappar, API:er, mobilappar, Infrastructure-as-Code, containrar och Software Supply Chain.

Lösningarna inkluderar:

OpenText™ Fortify™ Static Code Analyzer - Static Application Security Testing (SAST) - Identifierar och lokaliserar säkerhetsproblem i källkoden tidigt i programvarans livscykel.

OpenText™ Fortify™ WebInspect - Dynamic application security testing (DAST) - Simulerar verkliga säkerhetsattacker på en applikation som körs för att ge omfattande analys av komplexa webbapplikationer och tjänster.

OpenText™ Fortify™ On Demand - Security as a Service - Ett enkelt och snabbt sätt att testa applikationer på ett korrekt sätt utan att behöva installera eller hantera programvara eller lägga till ytterligare resurser.

Mobile Security - Testmetodik för mobila enheter som testar alla tre nivåer, inklusive klient, nätverk och server.

OpenText™ Cybersecurity Cloud är ett centraliserat hanteringssystem som ger insyn i hela programmet för testning av applikationssäkerhet. Det prioriterar, hanterar och spårar säkerhetstestaktiviteter och ger en korrekt bild av programvarusäkerhetsrisken i hela företaget.