Micro Focus

Что такое безопасность приложений?

Безопасность приложений — это комплексное понятие, включающее процессы, инструменты и методы защиты приложений от угроз на протяжении всего жизненного цикла. Киберпреступники достаточно хорошо организованы и обладают достаточно высокой специализацией и мотивацией, чтобы обнаруживать и использовать уязвимости в корпоративных приложениях и красть данные, интеллектуальную собственность и конфиденциальную информацию. Решения для обеспечения безопасности приложений могут защитить любые приложения (устаревшие, для ПК, веб-служб, мобильных и микрослужб), используемые внутренними клиентами, бизнес-партнерами и сотрудниками.

Зачем нужна безопасность приложений?

По данным различных источников большинство успешных атак производится путем эксплуатации уязвимостей на уровне приложений, свидетельствуя о том, что ИТ-отделы предприятий должны сохранять особую бдительность и обеспечивать безопасность приложений. Проблема усугубляется непрерывным ростом количества и сложности приложений. Десять лет назад основной задачей специалистов по защите программ была защита приложений для ПК и статичных веб-сайтов, что было относительно просто и неопасно. Сейчас же процесс доставки ПО стал намного сложнее: он включает разработку с применением аутсорсинга, объединение ряда устаревших приложений со внутренними разработками и сторонними инструментами, открытым исходным кодом и коммерческими готовыми программными компонентами.

Организациям нужны решения для обеспечения безопасности приложений, защищающие все их приложения: от используемых внутри компании до популярных приложений, установленных на мобильных телефонах клиентов. Такие решения должны охватывать всю стадию разработки и поддерживать возможность тестирования после того, как приложение начали использовать, для мониторинга потенциальных проблем. Решения для обеспечения безопасности приложений должны обеспечивать возможность тестирования веб-приложений для выявления потенциальных и фактических уязвимостей, анализа кода, управления процессами обеспечения безопасности и разработки за счет координации усилий и обеспечения взаимодействия между различными заинтересованными сторонами. Также они должны поддерживать простые в использовании и развертывании средства проверки безопасности приложений.

Что такое SAST и DAST?

Что такое SAST?

Статическое тестирование безопасности приложений (SAST) — это сканирование исходных файлов приложения, точное выявление главной причины возникновения уязвимости и устранение пробелов в системе защиты.

Преимущества статического тестирования безопасности приложений для разработчика:

  • возможность поиска и устранения уязвимостей в исходном, бинарном и байтовом коде;
  • статический анализ результатов сканирования в режиме реального времени с выводом рекомендаций, навигацией по строкам кода и средствами совместной проверки;
  • полное совмещение с интегрированной средой разработки (IDE).

Что такое DAST?

Система динамического тестирования безопасности приложений (DAST) моделирует контролируемые атаки на приложение или сервис для поиска уязвимостей в работающем приложении.

Преимущества динамического тестирования безопасности приложений:

  • показывает работу всей системы безопасности приложения, указывая на уязвимые места и охватывая все компоненты (сервер, индивидуальный код, открытый код, службы);
  • поддерживает интеграцию в средства разработки, тестирования и управления производством для получения полного комплексного представления;
  • динамический анализ позволяет применять более широкий подход к управлению портфелем рисков (в масштабах тысяч приложений) и в рамках этого дает возможность сканировать устаревшие приложения;
  • тестирует работающее приложение — в отличие от SAST не ограничивается конкретными языками программирования и позволяет выявлять проблемы, связанные с рабочей средой исполнения кода.

Сравнение локальных приложений и ПО, предоставляемого как услуга

Решения для безопасности приложений содержат программные средства (инструменты) кибербезопасности и методики безопасного исполнения приложений.

Локальные решения

Решения для тестирования безопасности приложений могут работать на внутренних (локальных) системах. В этом случае за их использование и обслуживание отвечают внутренние специалисты. Этот подход требует от организации наличия соответствующей инфраструктуры, персонала и установленных решений для безопасности приложений. Данный подход гарантирует, что данные не передаются сторонним лицам и не покидают помещений организации.

Программное обеспечение как услуга

Кроме того, безопасность приложений может обеспечиваться по модели SaaS (безопасность приложений как услуга). Этот подход означает, что за безопасность предложений отвечает поставщик соответствующих услуг. В этом случае от заказчика не требуется наличия оборудования, кадров и ПО, однако требуется полностью или частично доверить свои данные поставщику SaaS-услуг и в большинстве случаев передачи ему данных приложения. Модель SaaS — самый простой способ обеспечить безопасность приложений на ранних этапах развития. Помимо прочих преимуществ, этот способ отличается скоростью и масштабируемостью. Гибридные системы (с использованием сочетания локальных и SaaS-решений в проектах) берут лучшее от обоих подходов и обеспечивают гибкость, масштабируемость и оптимизацию расходов.

Скорость и точность

Сегодня в основе работы любого предприятия лежит программное обеспечение. Поэтому мы наблюдаем существенный рост количества мобильных и веб-приложений и сокращение времени между выпусками. Чтобы не снижать производительность бизнес-систем, многие организации выполняют поверхностное сканирование систем безопасности, что приводит к уменьшению точности и невозможности выявления уязвимостей. Гибкость в сфере безопасности заключается в поиске баланса между тщательной глубокой проверкой и возможностью получения ложных результатов, которые могут исказить процедуру устранения уязвимостей.

Что входит в число 10 самых опасных векторов атак на веб-приложения, составленный сообществом OWASP (открытый проект по обеспечению безопасности веб-приложений)?

10 самых опасных векторов атак на веб-приложения, составленный сообществом OWASP (открытый проект по обеспечению безопасности веб-приложений)

Проект Open Web Application Security Project (OWASP) — сообщество, посвященное системам безопасности с открытым кодом, цель которого заключается в повышении безопасности программного обеспечения. Список «OWASP Top-10» — это перечень самых опасных рисков безопасности для приложений. Он помогает разработчикам обезопасить приложения, над которыми они работают. Обзор и рекомендации по каждому из 10 пунктов списка приведены в Руководстве разработчика по OWASP Top-10.

Решения по безопасности приложений

Решения Micro Focus Application Security для тестирования безопасности приложений и управления ею, доступные для развертывания в среде организации или как услуга, помогают компаниям защитить любые приложения, в т. ч. устаревшие и мобильные, приложения от сторонних поставщиков и приложения с открытым исходным кодом.

В возможности Micro Focus Fortify входит статическая, динамическая и интерактивная проверка приложений, самозащита приложений во время выполнения, а также средства для поддержки программы обеспечения безопасности программного обеспечения. Эта программа содержит процессы, гарантирующие защиту и безопасность приложений, используемых в вашей компании.

Эти решения включают:

Fortify Static Code Analyzer — система статического тестирования безопасности приложений (SAST). Позволяет выявить уязвимости в исходном коде на ранних этапах цикла разработки программного обеспечения.

Fortify WebInspect — система динамического тестирования безопасности приложений (DAST). Имитирует атаки на приложение в режиме реального времени для всестороннего анализа сложных веб-приложений и сервисов.

Система интерактивного тестирования безопасности приложений (IAST) — интеграция динамического тестирования и анализа времени выполнения для выявления большего количества уязвимостей путем расширения охвата атаки и более эффективного выявления эксплойтов, чем при отдельном динамическом тестировании.

Fortify Application Defender — самозащита приложения в ходе выполнения (RASP). Активно контролирует и защищает работающие приложения, которые имеют известные и неизвестные уязвимости.

Fortify on Demand — безопасность как услуга. Простой и быстрый способ точного тестирования приложения без необходимости установки или настройки программного обеспечения или добавления дополнительных ресурсов.

Mobile Security — метод тестирования мобильных приложений, позволяющий проверить все три уровня, включая клиента, сеть и сервер.

Software Security Assurance — централизованное хранилище обеспечивает видимость, которая помогает устранять уязвимости безопасности.

Fortify Software Security Center — централизованное хранилище, обеспечивающее прозрачность всей программы тестирования безопасности приложений. Оно определяет приоритеты, управляет и отслеживает действия по тестированию безопасности, обеспечивает точное видение всех рисков для безопасности программного обеспечения на вашем предприятии.

Контактная информация

Ресурсы для обеспечения безопасности приложений

Информационный документ. Руководство покупателя TechBeacon 2019 по безопасности приложений

Информационный документ. Абсолютная безопасность приложений: защита в темпе DevOps

Видео. Введение в безопасность приложений за день

Вебинар. Сдвиг влево: 3 шага для привлечения разработчиков к созданию системы безопасности

Информационный документ. Доклад о рисках безопасности приложений

Вебинар. Безопасность в жизненном цикле приложения: автоматизация и интеграция

Информационный документ. Состояние системы безопасности приложений на предприятии

Самые значимые риски для веб-приложений согласно OWASP Top 10

Ресурсы Micro Focus Fortify

Fortify Marketplace

Канал Fortify Unplugged на YouTube

Бесплатная пробная версия Fortify on Demand

Сообщество Fortify

Тест по обеспечению безопасности ПО с помощью Fortify

Интегрированная экосистема Fortify

Наши решения

SAST: сервис для выявления уязвимости исходного кода Fortify Static Code Analyzer

Автоматический статический анализ исходного кода позволяет разработчикам устранить уязвимости и создать безопасное ПО.

Подробнее
DAST: сервис для обеспечения безопасности веб-приложений и интернет-сервисов Fortify WebInspect

Инструмент для автоматизированного динамического тестирования безопасности, предназначенный для поиска и приоритизации веб-уязвимостей.

Подробнее
Fortify on Demand

Безопасность вашего программного обеспечения благодаря нашему опыту, простое внедрение и возможность масштабирования по мере роста.

Подробнее
Fortify Software Security Center

Управляйте рисками на протяжении всего жизненного цикла программного обеспечения — от разработки до контроля качества и производства.

Подробнее
RASP: решение Fortify Application Defender для самозащиты приложений в ходе их выполнения

Защитите производственные приложения изнутри с помощью функции самозащиты приложений в ходе их выполнения.

Подробнее

Дополнительные ресурсы

Блог. Встраивание — внедрение безопасности приложений в операции ПО
Блог. Когда безопасность мобильного приложения встраивается в пользовательский интерфейс
Информационные ресурсы SANS о проблемах безопасности
Ресурсы Computer Weekly о проблемах безопасности в ИТ
Ресурсы Dark Reading о проблемах безопасности
Что такое DAST?

Связанные продукты, решения и услуги

Тестирование безопасности приложения: Fortify
SAST: сервис для выявления уязвимости исходного кода Fortify Static Code Analyzer (SCA)
DAST: сервис для обеспечения безопасности веб-приложений и интернет-сервисов Fortify WebInspect
Безопасность приложений как услуга: Fortify on Demand (FoD)
Централизованная информационная панель: Fortify Software Security Center (SSC)
RASP: решение Fortify Application Defender для самозащиты приложений в ходе их выполнения

Форум

Блог о безопасности AppSec
Блог об исследованиях в сфере безопасности
Micro Focus Security в Twitter
Micro Focus Security в LinkedIn
Сообщество Fortify
Поддержка продукта и документация
Fortify Marketplace
Fortify Unplugged
release-rel-2020-9-2-5123 | Tue Sep 15 18:06:14 PDT 2020
5123
release/rel-2020-9-2-5123
Tue Sep 15 18:06:14 PDT 2020