好色先生TV

应用程式安全是流程、工具和實踐的學科，旨在在整個應用程式生命週期中保護應用程式免受威脅。網路犯罪分子組織嚴密、專業化、有動力尋找和利用公司应用程式中的漏洞來竊取數據、智慧財產權和敏感資訊。 应用程式安全 可以幫助組織保護內部和外部利益相關者（包括客戶、業務合作伙伴和員工）使用的各種應用程式（例如舊版、桌面、Web、移動、微服務）。

為什麼選擇应用程式安全？

正如多項研究所證實的那樣，大多數成功的漏洞都針對應用程式層中的可利用漏洞，這表明企業 IT 部門需要對应用程式安全格外警惕。為了進一步加劇問題，應用程式的數量和複雜性正在增長。十年前，軟體安全挑戰是關於保護桌面應用程式和靜態網站，這些應用程式和靜態網站相當無害且易於範圍和保護。現在，考慮到外包開發、遺留應用程式的數量，以及利用第三方、開源和商業、現成軟體元件的內部開發，软体供应链要複雜得多。

組織需要涵蓋其所有應用程式的应用程式安全解决方案，從內部使用的應用程式到客戶手機上使用的常用外部應用程式。這些解决方案必須涵蓋整個開發階段，並在應用程式投入使用後提供測試，以監控潛在問題。应用程式安全解决方案必須能夠測試 Web 應用程式是否存在潛在和可利用的漏洞，能夠分析代碼，通過協調工作和實現各個利益相關者之間的協作來説明管理安全和開發管理流程。解决方案還必須提供易於使用和部署的应用程式安全測試。

---

什麼 SAST, DAST和 SCA？

什麼 SAST?

静态应用安全测试 (厂础厂罢） 扫描应用程式源档，準确识别根本原因，并帮助修復基础安全漏洞。

靜態应用程式安全測試的好處

• 识别并消除原始程式码、二进位代码或位元组码中的漏洞。
• 即时查看静态分析扫描结果，并访问建议、代码行导航以更快地发现漏洞以及协作审核。
• 與整合开发人员環境 （IDE） 完全整合。

---

什麼 DAST?

动态应用安全测试 (顿础厂罢） 類比對正在運行的 Web 應用程式或服務的受控攻擊，以識別正在運行的環境中可利用的漏洞。

動態应用程式安全測試的優點：

• 通過關注可利用的內容並涵蓋所有元件（伺服器、自定義代碼、開源、服務）來提供应用程式安全性的全面視圖。
• 可以整合到開發、QA 和生產中，以提供持續的整體檢視。
• 动态分析支援更广泛的方法来管理专案组合风险（数百个应用程式），并且可以扫描遗留应用程式作為风险管理的一部分。
• 測試功能應用程式，因此不像 SAST，不受語言限制，可以發現與運行時和環境相關的問題。

---

什麼是 SCA？

软体组合分析 （厂颁础） 是一個自动化過程，可幫助識別和追蹤應用程式中使用的開源元件。更強大的 SCA 工具可以分析所有開原始元件的安全風險、許可證合規性和代碼品質。

软体组合分析的優點：

• 瞭解和了解组织中的开源元件（提供软体物料清单）。
• 用於防止安全和許可證問題的策略自动化。
• 漏洞修正建议和许可证风险建议。
• 分析開源專案的健康情況，以消除貧困或腐朽社区帶來的風險。

---

本地部署、SaaS 與託管服务

应用程式安全解决方案由网路安全軟體（工具）和運行該過程以保護應用程式的實踐組成。

本地部署

应用程式安全測試 解决方案可以在內部（內部）運行，由內部團隊操作和維護。這種方法要求組織提供基礎結構和人員，並獲取应用程式安全解决方案供其使用。On-Premise 向組織保證其應用程式數據不會與第三方共用，也不會離開場所。

厂补补厂的

应用程式安全作為 SaaS 产物提供基於雲端的解决方案和基於 Web 的使用者介面，允許客戶配置、執行和管理应用程式安全性。此選項仍要求組織提供運行各種应用程式安全測試工具所需的人員和專業知識，但無需提供基礎架構、維護、更新等。

託管服务

应用程式安全也可以是一種 託管服务 ，客戶使用应用程式安全提供者作為統包解决方案提供的服務。此方法不需要本地方法的任何先決條件，但它確實需要部分或完全依賴 SaaS 供应商，並且在大多數情況下，允許與供应商共用應用程式數據。应用程式安全即託管服务提供了一種簡單的入門方法，並且可以提供可伸縮性和速度。混合實施（在不同的專案和實踐中同時使用本地、SaaS 和託管服务）旨在通過提供靈活性、可擴展性和成本優化來提供兩全其美的效果。

---

什麼是 OWASP 前 10 名？

OWASP 前 10 名

開放 Web 应用程式安全專案 （OWASP） 是一個開源应用程式安全社区，旨在提高軟體的安全性。其行业標準 OWASP Top 10 指南提供了最關鍵的应用程式安全風險清單，以幫助开发人员更好地保護他們設計和部署的應用程式。

應用安全解决方案

好色先生TV 应用程式安全解决方案解决方案提供本地、託管和即服務应用程式安全測試和管理，以説明公司保護其軟體應用程式，包括傳統、移動、第三方和開源應用程式。

Fortify 产物包括 静态代码分析、 動態应用程式安全測試、 和互動式应用程式安全測試工具，可為您的 Web 應用程式、 、 、 、 和 提供代码安全性。

解决方案包括：

好色先生TV? Fortify? 静态代码分析器 - 靜態应用程式安全測試 （SAST） - 在軟體開發生命週期的早期識別和查明原始程式碼中的安全漏洞。

好色先生TV? Fortify? WebInspect - 動態应用程式安全測試 （DAST） – 類比正在運行的應用程式上的真實安全攻擊，以提供對複雜 Web 應用程式和服務的全面分析。

好色先生TV? Fortify? 按需 – 安全即服務 - 一種簡單、輕鬆、快速的方法，無需安裝或管理軟體或添加其他资源即可準確測試應用程式。

– 測試所有三層（包括用戶端、網路和伺服器）的移動測試方法。

好色先生TV? 网路安全雲是一個集中式管理存儲庫，提供對整個应用程式安全測試計劃的可見性。它優先處理、管理和跟蹤安全測試活動，並準確瞭解整個企業的軟體安全風險。