What is Application Security?

Application security is the discipline of processes, tools and practices aiming to protect applications from threats throughout the entire application lifecycle. Cyber criminals are organized, specialized, and motivated to find and exploit vulnerabilities in enterprise applications to steal data, intellectual property, and sensitive information. Application security can help organizations protect all kinds of applications (such as legacy, desktop, web, mobile, micro services) used by internal and external stakeholders including customers, business partners and employees.

Why Application Security?

As validated by multiple studies, the majority of successful breaches target exploitable vulnerabilities residing in the application layer, indicating the need for enterprise IT departments to be extra vigilant about application security. To further compound the problem, the number and complexity of applications is growing. Ten years ago, the software security challenge was about protecting desktop applications and static websites that were fairly innocuous and easy to scope and protect. Now, the software supply chain is much more complicated considering the outsourced development, the number of legacy applications, coupled with in-house development that takes advantage of 3rd party, open source and commercial, off-the-shelf software components. Organizations need application security solutions that cover all of their applications, from those used internally to popular external apps used on customers’ mobile phones. These solutions must cover the entire development stage and offer testing after an application is put into use to monitor for potential problems. Application security solutions must be capable of testing web applications for potential and exploitable vulnerabilities, have the ability to analyze code, help manage the security and development management processes by coordinating efforts and enabling collaboration between the various stakeholders. Solutions also must offer application security testing that is easy to use and deploy.

Static Application Security Testing (SAST) scans the application source files, accurately identifies the root cause and helps remediate the underlying security flaws. Developer Benefits of Static Application Security Testing: Identify and eliminate vulnerabilities in source, binary, or byte code Review static analysis scan results in real-time with access to recommendations, line-of-code navigation to find vulnerabilities faster and collaborative auditing. Fully integrated with the Integrated Developer Environment (IDE)

Dynamic Application Security Testing (DAST) simulates controlled attacks on a running web application or service to identify exploitable vulnerabilities in a running environment. Benefits of Dynamic Application Security Testing: Provides a comprehensive view of application security by focusing on what’s exploitable and covering all components (server, custom code, open source, services) Can be integrated into Dev, QA and Production to offer a continuous holistic view Dynamic analysis enables a broader approach to manage portfolio risk (1000s of applications) and may scan legacy apps as part of risk management Tests functional app, so unlike SAST, is not language constrained and runtime and environment-related issues can be discovered

On-Premise vs SaaS Application Security Solutions

Application security solutions consist of the cybersecurity software (the tools) and the practices that run the process to secure applications. On-Premise Application security testing solutions can be run on-premise (in-house), operated and maintained by in-house teams. This approach requires organizations to provide the infrastructure, the personnel and acquire application security solutions for their usage. On-premise assures organizations that their application data is not shared with third parties and does not leave the premises. SaaS Application security can also be a SaaS (or application security as a service ) offering where the customer consumes services provided as a turnkey solution by the application security provider. This approach doesn’t require any of the prerequisites of the on-premise approach but it does require relying partially or completely on the SaaS vendor and in most cases, allow the application data to be shared with the vendor. SaaS provides an easy way to get started on application security and can offer scalability and speed. Hybrid implementations (using on-premise and SaaS together in different projects and practices) aim to provide the best of both worlds by providing flexibility, scalability and cost optimization.

What is the OWASP Top 10?

The Open Web Application Security Project ( OWASP ) is an open source application security community with the goal to improve the security of software. Its industry standard OWASP Top 10 guidelines provide a list of the most critical application security risks to help developers better secure the applications they design and deploy. Find overviews and practical tips for each of the Top 10 in A Developer’s Guide to the OWASP Top 10 .

What are Application Security Solutions?

Micro Focus Application Security solutions offer application security testing and management on-premise and as-a-service that can help companies secure their software applications including legacy, mobile, third-party, and open-source applications. The Micro Focus Fortify offerings included static, dynamic, interactive application security testing, and runtime application self-protection, as well as services to support a Software Security Assurance program, which are processes to ensure that the applications that run your business are protected and secure. The solutions include: Fortify Static Code Analyzer - Static Application Security Testing (SAST) - Identifies and pinpoints security vulnerabilities in source code early in the software development lifecycle. Fortify WebInspect - Dynamic application security testing (DAST) – Simulates real-world security attacks on a running application to provide comprehensive analysis of complex web applications and services. Interactive application security testing (IAST) – Integration of our dynamic testing and runtime analysis to identify more vulnerabilities by expanding coverage of the attack surface and exposing exploits better than dynamic testing alone. Fortify Application Defender - Runtime application self-protection (RASP) – Actively monitors and protects applications in production that have known and unknown vulnerabilities. Fortify on Demand – Security as a Service - A simple, easy and quick way to accurately test applications without having to install or manage software, or add additional resources. Mobile Security – Mobile testing methodology that tests all three tiers including the client, network and server. Software Security Assurance – Centralized management repository provides visibility that helps resolve security vulnerabilities. Fortify Software Security Center - Centralized management repository providing visibility to the entire application security testing program. It prioritizes, manages and track security testing activities and provides an accurate picture of software security risk across your enterprise. Contact us

애플리케이션 보안이란?

애플리케이션 보안은 애플리케이션의 수명 주기 전체에서 애플리케이션을 위협으로부터 보호하는 것을 목표로 프로세스, 도구, 규칙을 제어하는 것입니다. 사이버 범죄는 조직적이고 전문적이며 데이터, 지적 재산 및 민감한 정보를 훔치기 위해 기업 애플리케이션에서 취약점을 찾아 악용하는 데 중점을 둡니다. 애플리케이션 보안을 통해 조직은 고객, 비즈니스 파트너 및 직원을 포함한 내외부 이해관계자가 사용하는 모든 종류의 애플리케이션(예: 레거시, 데스크톱, 웹, 모바일, 마이크로 서비스)을 보호할 수 있습니다.

애플리케이션 보안이 필요한 이유

여러 연구에서 증명되었듯이, 위협 성공 사례 중 대다수가 애플리케이션 계층에 존재하는 취약점을 악용 가능한 표적으로 삼고 있으며 이는 기업 IT 부서가 애플리케이션 보안에 대해 보다 강화된 경계 태세를 가져야 함을 의미합니다. 여기에 점점 증가하는 애플리케이션의 수와 복잡성이 더해져 문제를 더욱 심각하게 만듭니다. 10년 전 소프트웨어 보안 과제는 크게 위험하지 않고 범위 지정과 보호가 쉬운 데스크톱 애플리케이션과 정적 웹 사이트를 보호하는 것이었습니다. 이제 소프트웨어 공급망은 개발 아웃소싱과 수많은 레거시 애플리케이션, 그리고 타사의 오픈 소스 및 상용 소프트웨어 구성요소를 활용한 사내 개발이 결부되어 훨씬 더 복잡해졌습니다.

조직들은 직원들이 회사 내부에서 사용하는 애플리케이션부터 회사 밖의 고객이 휴대폰에서 사용하는 인기 앱들까지, 모든 애플리케이션에 적용할 수 있는 애플리케이션 보안 솔루션을 필요로 합니다. 이러한 솔루션은 전체 개발 단계에 적용되어야 하며 애플리케이션을 사용하기 시작한 후 테스트를 통해 잠재적인 문제를 모니터링해야 합니다. 애플리케이션 보안 솔루션은 웹 애플리케이션에서 악용될 수 있는 취약점을 테스트하고 코드를 분석할 수 있어야 하며 다양한 이해관계자들 간의 업무를 조율하고 협업을 지원함으로써 보안 및 개발 관리 프로세스 관리에 도움을 주어야 합니다. 또한 솔루션은 사용 및 구현이 쉬운 애플리케이션 보안 테스트도 제공해야 합니다.

SAST와 DAST란?

SAST란?

Static Application Security Testing(SAST)은 애플리케이션의 소스 파일을 검사하고 근본 원인을 정확하게 식별하여 기본 보안 결함을 해결하는 데 도움이 됩니다.

Static Application Security Testing으로 개발자가 얻을 수 있는 이점:

소스, 이진 또는 바이트 코드의 취약성을 식별하고 제거합니다
정적 분석 검색 결과를 실시간으로 검토하고 권장사항 활용 및 코드 줄 탐색 기능을 통해 취약점을 보다 빠르게 찾아 협업 감사를 수행합니다.
통합 개발자 환경(IDE)과 완벽하게 통합

DAST란?

Dynamic Application Security Testing(DAST)은 실행 중인 웹 애플리케이션 또는 서비스를 대상으로 제어된 공격을 시뮬레이션하여 실행 중인 환경에서 악용 가능한 취약성을 식별합니다.

Dynamic Application Security Testing의 이점:

악용 가능한 기능에 초점을 맞추고 모든 구성 요소(서버, 사용자 지정 코드, 오픈 소스, 서비스)를 포괄하여 애플리케이션 보안에 대한 종합적인 관점을 제공합니다
개발, QA 및 생산에 통합해서 연속적인 총체적 관점을 확보합니다
동적 분석을 통해 포트폴리오 위험(수 천개의 애플리케이션)을 보다 광범위하게 관리하는 접근법을 취할 수 있으며, 위험 관리의 일환으로 레거시 애플리케이션을 스캔할 수 있습니다
기능 앱을 테스트하므로 SAST와 달리 언어 제약이 없으며 런타임 및 환경 관련 문제를 발견할 수 있습니다

온프레미스 솔루션과 SaaS 솔루션의 비교

애플리케이션 보안 솔루션은 사이버 보안 소프트웨어(도구)와 애플리케이션을 보호하기 위해 프로세스를 실행하는 규칙으로 구성됩니다.

온프레미스

애플리케이션 보안 테스트 솔루션은 사내(내부)에서 실행될 수 있으며 내부 팀에서 운영 및 유지 관리합니다. 이러한 접근법을 사용하기 위해 조직은 인프라와 인력을 제공하고 이들이 사용할 애플리케이션 보안 솔루션을 확보해야 합니다. 온프레미스 방식은 조직의 애플리케이션 데이터가 제3자와 공유되지 않고 사내에서 반출되지 않도록 보장합니다.

SaaS

또 다른 애플리케이션 보안 솔루션은 애플리케이션 보안 공급자가 턴키 솔루션으로 제공하는 서비스를 고객이 소비하는 방식의 SaaS(또는 서비스형 애플리케이션 보안)입니다. 이러한 접근법은 온프레미스 방식의 전제 조건을 요구하지는 않지만, SaaS 공급업체에 부분적으로 또는 완전히 의존해야 하며 대부분의 경우 애플리케이션 데이터를 공급업체와 공유해야 합니다. SaaS는 애플리케이션 보안을 쉽게 시작할 수 있는 방법으로, 확장성과 속도를 제공합니다. 하이브리드 구현(서로 다른 프로젝트 및 규칙에서 온프레미스 접근법과 SaaS 접근법을 함께 사용하는 방식)은 유연성, 확장성, 비용 최적화를 통해 두 접근법의 장점을 하나로 모아 제공합니다.

속도 대 정확성

오늘날의 비즈니스는 모두 소프트웨어와 연결되어 있습니다. 이에 따라 웹 및 모바일 애플리케이션의 수와 애플리케이션 릴리스 빈도가 크게 증가했습니다. 오늘날의 비즈니스 수요에 뒤처지지 않기 위해 많은 조직들이 보다 가벼운 보안 스캔을 수행하는데, 이러한 스캔은 정확도가 떨어져 중요한 취약성을 감지하지 못할 수 있습니다. 보안의 민첩성은 철저하고 정확한 검색과 문제 해결 프로세스를 마비시킬 수 있는 오탐지율 간에 균형이 이루어질 때 얻어집니다.

OWASP 상위 10대란?

OWASP 상위 10대

OWASP(Open Web Application Security Project)는 소프트웨어의 보안 향상을 목표로 하는 오픈 소스 애플리케이션 보안 커뮤니티입니다. 업계 표준 OWASP 상위 10대 지침이 개발자가 설계 및 배포하는 애플리케이션의 보안을 강화하는 데 도움을 주기 위해 가장 치명적인 애플리케이션 보안 위험 목록을 제공합니다. 각 상위 10에 대한 개요와 유용한 팁은 OWASP 상위 10대 개발자 가이드에서 찾을 수 있습니다.

애플리케이션 보안 솔루션

Micro Focus 애플리케이션 보안 솔루션은 기업이 레거시, 모바일, 제3자 및 오픈 소스 애플리케이션 등의 소프트웨어 애플리케이션을 보호하는 데 도움이 되는 온프레미스 또는 서비스형 방식의 애플리케이션 보안 테스트와 관리를 제공합니다.

Micro Focus Fortify 제품에는 정적, 동적 및 인터랙티브 Application Security Testing, 런타임 애플리케이션 자가 보안과 함께 비즈니스 운영 애플리케이션을 안전하게 보호하는 프로세스인 Software Security Assurance 프로그램 지원 서비스가 포함되어 있습니다.

솔루션 구성 요소는 다음과 같습니다.

Fortify Static Code Analyzer - Static Application Security Testing(SAST) - 소프트웨어 개발 수명 주기 초기에 소스 코드에서 보안 취약점을 식별하고 감지합니다.

Fortify WebInspect - 동적 애플리케이션 보안 테스트(DAST) – 실행중인 애플리케이션에 대한 실제 보안 공격을 시뮬레이션하여 복잡한 웹 애플리케이션과 서비스에 대한 포괄적인 분석을 제공합니다.

인터랙티브 Application Security Testing(IAST) – 동적 테스트와 런타임 분석을 통합하여 공격 표면 범위를 확대시키고 악용 사례를 노출시킴으로써 동적 테스트만 사용하는 경우보다 많은 취약점을 식별할 수 있습니다.

Fortify Application Defender - 런타임 애플리케이션 자가 보안(RASP) – 알려진 취약점과 알려지지 않은 취약점이 있는 생산 환경에서 애플리케이션을 적극적으로 모니터링하고 보호합니다.

Fortify on Demand - SaaS(Security as a Service) - 소프트웨어를 설치 또는 관리하거나 리소스를 더 추가하지 않고 애플리케이션을 정확하게 테스트할 수 있는 빠르고 쉽고 간편한 방법.

모바일 보안 – 클라이언트, 네트워크, 서버를 포함한 3가지 계층을 모두 테스트하는 모바일 테스트 방법론입니다.

소프트웨어 보안 보증 – 중앙 집중식 관리 저장소가 보안 취약성 해결에 도움을 주는 가시성을 제공합니다.

Fortify Software Security Center - 중앙 집중식 관리 저장소가 전체 application security testing 프로그램에 대한 가시성을 제공합니다. 보안 테스트 활동의 우선 순위를 지정하고 관리 및 추적하며 엔터프라이즈 전체에서 소프트웨어 보안 위험을 정확하게 파악할 수 있게 해줍니다.

문의하기