什麼是應用程式安全？

應用程式安全是流程、工具和實踐的學科，旨在在整個應用程式生命週期中保護應用程式免受威脅。網路犯罪分子組織嚴密、專業化、有動力尋找和利用企業應用程式中的漏洞來竊取數據、智慧財產權和敏感資訊。 應用程式安全 可以幫助組織保護內部和外部利益相關者（包括客戶、業務合作夥伴和員工）使用的各種應用程式（例如舊版、桌面、Web、移動、微服務）。

為什麼選擇應用程式安全？

正如多項研究所證實的那樣，大多數成功的漏洞都針對應用程式層中的可利用漏洞，這表明企業 IT 部門需要對應用程式安全格外警惕。為了進一步加劇問題，應用程式的數量和複雜性正在增長。十年前，軟體安全挑戰是關於保護桌面應用程式和靜態網站，這些應用程式和靜態網站相當無害且易於範圍和保護。現在，考慮到外包開發、遺留應用程式的數量，以及利用第三方、開源和商業、現成軟體元件的內部開發，軟體供應鏈要複雜得多。

組織需要涵蓋其所有應用程式的應用程式安全解決方案，從內部使用的應用程式到客戶手機上使用的常用外部應用程式。這些解決方案必須涵蓋整個開發階段，並在應用程式投入使用後提供測試，以監控潛在問題。應用程式安全解決方案必須能夠測試 Web 應用程式是否存在潛在和可利用的漏洞，能夠分析代碼，通過協調工作和實現各個利益相關者之間的協作來説明管理安全和開發管理流程。解決方案還必須提供易於使用和部署的應用程式安全測試。

---

什麼 SAST, DAST和 SCA？

什麼 SAST?

靜態應用安全測試 (SAST） 掃描應用程式源檔，準確識別根本原因，並幫助修復基礎安全漏洞。

靜態應用程式安全測試的好處

• 識別並消除原始程式碼、二進位代碼或位元組碼中的漏洞。
• 即時查看靜態分析掃描結果，並訪問建議、代碼行導航以更快地發現漏洞以及協作審核。
• 與整合開發人員環境 （IDE） 完全整合。

---

什麼 DAST?

動態應用安全測試 (DAST） 類比對正在運行的 Web 應用程式或服務的受控攻擊，以識別正在運行的環境中可利用的漏洞。

動態應用程式安全測試的優點：

• 通過關注可利用的內容並涵蓋所有元件（伺服器、自定義代碼、開源、服務）來提供應用程式安全性的全面視圖。
• 可以整合到開發、QA 和生產中，以提供持續的整體檢視。
• 動態分析支援更廣泛的方法來管理專案組合風險（數百個應用程式），並且可以掃描遺留應用程式作為風險管理的一部分。
• 測試功能應用程式，因此不像 SAST，不受語言限制，可以發現與運行時和環境相關的問題。

---

什麼是 SCA？

軟體組合分析 （SCA） 是一個自動化過程，可幫助識別和追蹤應用程式中使用的開源元件。更強大的 SCA 工具可以分析所有開原始元件的安全風險、許可證合規性和代碼品質。

軟體組合分析的優點：

• 瞭解和了解組織中的開源元件（提供軟體物料清單）。
• 用於防止安全和許可證問題的策略自動化。
• 漏洞修正建議和許可證風險建議。
• 分析開源專案的健康情況，以消除貧困或腐朽社區帶來的風險。

---

本地部署、SaaS 與託管服務

應用程式安全解決方案由網路安全軟體（工具）和運行該過程以保護應用程式的實踐組成。

本地部署

應用程式安全測試 解決方案可以在內部（內部）運行，由內部團隊操作和維護。這種方法要求組織提供基礎結構和人員，並獲取應用程式安全解決方案供其使用。On-Premise 向組織保證其應用程式數據不會與第三方共用，也不會離開場所。

SaaS的

應用程式安全作為 SaaS 產品提供基於雲端的解決方案和基於 Web 的使用者介面，允許客戶配置、執行和管理應用程式安全性。此選項仍要求組織提供運行各種應用程式安全測試工具所需的人員和專業知識，但無需提供基礎架構、維護、更新等。

託管服務

應用程式安全也可以是一種 託管服務 ，客戶使用應用程式安全提供者作為統包解決方案提供的服務。此方法不需要本地方法的任何先決條件，但它確實需要部分或完全依賴 SaaS 供應商，並且在大多數情況下，允許與供應商共用應用程式數據。應用程式安全即託管服務提供了一種簡單的入門方法，並且可以提供可伸縮性和速度。混合實施（在不同的專案和實踐中同時使用本地、SaaS 和託管服務）旨在通過提供靈活性、可擴展性和成本優化來提供兩全其美的效果。

---

什麼是 OWASP 前 10 名？

OWASP 前 10 名

公開賽Web 應用程式安全專案 ( OWASP ) 是一個開源應用程式安全社區，其目標是提高軟體的安全性。其行業標準 OWASP Top 10 指南提供了最關鍵的應用程式安全風險列表，以幫助開發人員更好地保護他們設計和部署的應用程式。

應用安全解決方案

OpenText 應用程式安全解決方案解決方案提供本地、託管和即服務應用程式安全測試和管理，以説明公司保護其軟體應用程式，包括傳統、移動、第三方和開源應用程式。

Fortify 產品包括靜態程式碼分析、動態應用程式安全測試、軟體構成分析（SCA）和互動式應用程式安全測試工具，為您的程式碼安全提供保障Web 應用程式、 API 、行動應用程式、基礎架構即程式碼、容器和軟體供應鏈。

解決方案包括：

OpenText™ Fortify™靜態程式碼分析器- 靜態應用程式安全測試（ SAST ) - 在軟體開發生命週期的早期識別並找出原始程式碼中的安全漏洞。

OpenText™ Fortify™ WebInspect - 動態應用程式安全測試 （DAST） – 類比正在運行的應用程式上的真實安全攻擊，以提供對複雜 Web 應用程式和服務的全面分析。

OpenText™ Fortify™ 按需 – 安全即服務 - 一種簡單、輕鬆、快速的方法，無需安裝或管理軟體或添加其他資源即可準確測試應用程式。

移動安全 – 測試所有三層（包括用戶端、網路和伺服器）的移動測試方法。

OpenText™ 網路安全雲是一個集中式管理存儲庫，提供對整個應用程式安全測試計劃的可見性。它優先處理、管理和跟蹤安全測試活動，並準確瞭解整個企業的軟體安全風險。