軟件系統(tǒng)安全運營的守護(hù)神 – 系統(tǒng)安全測試方法與工具

【課程背景】

當(dāng)今經(jīng)濟(jì)運行、行業(yè)發(fā)展、工作生活等帶來的大數(shù)據(jù)，像水、電、氣一樣，已經(jīng)成為我們工作和生活的基本物質(zhì)，關(guān)系到經(jīng)濟(jì)運行、社會發(fā)展、個人隱私等方方面面內(nèi)容。數(shù)據(jù)的國內(nèi)年復(fù)合增長率84%，數(shù)據(jù)的爆炸帶動各行業(yè)的應(yīng)用系統(tǒng)數(shù)量的與日俱增，從企業(yè)的數(shù)據(jù)中心應(yīng)用，到互聯(lián)網(wǎng)企業(yè)的大型移動應(yīng)用，都無時無刻不在存儲和管理著大量的數(shù)據(jù)資源，這些數(shù)據(jù)能夠幫助個人、企業(yè)和社會更好地發(fā)展。

如何保證應(yīng)用系統(tǒng)的安全性和可靠性？這個問題已經(jīng)引起全社會的廣泛關(guān)注。

安全測試是建立在功能測試基礎(chǔ)上進(jìn)行的測試，安全測試提供證據(jù)表明，在面對惡意攻擊時，應(yīng)用仍能充分滿足它的需求，主要是對產(chǎn)品進(jìn)行檢驗以驗證是否符合安全需求定義和產(chǎn)品質(zhì)量標(biāo)準(zhǔn)的過程

軟件產(chǎn)品大多具備很強(qiáng)的實用性，盡管無法完全適用于某個行業(yè)，但它能夠 覆蓋絕大多數(shù)企業(yè)的絕大多數(shù)業(yè)務(wù)，并且一般實施軟件周期通常不會太長，所以在時間緊任務(wù)重的情況下，要重點地驗證軟件性能，對于本企業(yè)的工作流程對軟件做單元測試、壓力測試及全面檢測等。

軟件的安全性是一個長期性連續(xù)不斷的過程，圍繞整個軟件的項目生命周期。企業(yè)從系統(tǒng)上線、試運營到正式運行，甚至完全擺脫手工賬，整個期間軟件的安全性都是一個不容忽視的難題。驗證軟件安全性的最常用辦法以上所述軟件原型檢測，因為系統(tǒng)軟件是信息集成系統(tǒng)，所以在檢測時，應(yīng)該是全系統(tǒng)的檢測，每個部門的人員都需要同時參與，這樣才可以了解各個數(shù)據(jù)信息、功能和工作流程之間彼此的集成關(guān)聯(lián)。

檢測時，找出存在問題的方面，明確提出處理企業(yè)管理難題的方案，以便明確提出對軟件的改進(jìn)方案;然后再模擬運行，在基本上了解軟件功能的基礎(chǔ)上，按企業(yè)的工作流程模擬操作，挑選有代表性的業(yè)務(wù)，將各種各樣需要的數(shù)據(jù)整理錄入系統(tǒng)，按企業(yè)日常工作中常常遇到的難題，組織項目團(tuán)隊開展實戰(zhàn)演練性模擬，并按照發(fā)現(xiàn)的難題及市場需求，由項目團(tuán)隊制訂解決方案。

　　總的來說，綜合檢測系統(tǒng)軟件是否穩(wěn)定的辦法。應(yīng)用軟件和共享數(shù)據(jù)結(jié)構(gòu)間的這種關(guān)聯(lián)決定了它一定要實施穩(wěn)固的檢測和監(jiān)測流程才可以保證企業(yè)重要應(yīng)用的正常運行。所以，確保應(yīng)用系統(tǒng)的安全性以上所述在確保企業(yè)內(nèi)部正常的工作的安全性。

【課程收益】

?  了解“安全監(jiān)測”的內(nèi)涵與關(guān)鍵功能點

?  了解“安全監(jiān)測”的類型，及其在應(yīng)用發(fā)開與使用中的定位

?  熟悉 “安全監(jiān)測”常用的工具，與使用的場景

?  了解“移動應(yīng)用”的檢測方式

?  了解如何建立正確的“安全監(jiān)測”系統(tǒng)化思維

【課程特色】分析理論，知其所以然；實戰(zhàn)解析，能趨吉避兇

【課程對象】信息技術(shù)部門相關(guān)主管， 信息科技部首席/資深架構(gòu)師，CIO（首席信息官），CTO（首席技術(shù)官），COO（首席運營官），信息科技部數(shù)據(jù)中心運維人員

【課程時間】6小時

【課程大綱】

一、“安全測試”的內(nèi)涵為何？

a)       安全測試的定義為何？

b)      安全測試的主要目的為何？

c)       安全測試與“通常測試”與“滲透測試”的差別為何？

d)      安全測試目前面臨的挑戰(zhàn)為何？

二、“安全測試”的功能點有哪些？

a)       網(wǎng)絡(luò)安全

b)      用戶程序安全

c)       數(shù)據(jù)安全

d)      是否使用“第三方”評測軟件？

三、安全測試有哪些類型？

a)       跨站腳本（XSS, Cross Set script）

                   i.           反射型跨站（Reflected XSS）

                  ii.           存儲型跨站（Stored XSS）

                 iii.           DOM 跨站（DOM-based XSS）

                 iv.           跨站請求偽造（CSRF）

b)      注入類

                   i.           SQL 注入

                  ii.           XML 注入

                 iii.           URL 跳轉(zhuǎn)

c)       文件類

                   i.           文件系統(tǒng)跨越

                  ii.           文件上傳

                 iii.           文件下載

d)      系統(tǒng)命令

e)       控制類

                   i.           權(quán)限控制

                  ii.           訪問控制

四、業(yè)界常用的安全測試工具，以及其應(yīng)用場景？

a)      AppScan

b)      BurpSuite

c)       Nmap

d)      salmap

五、移動應(yīng)用（Mobility Application）的安全監(jiān)測有哪些方式？

a)       漏洞掃描

b)      滲透測試

c)       代碼審計

d)      安全加固

e)       安全配置檢查

f)        個人信息收集合規(guī)評估

六、系統(tǒng)安全測試的正確思路為何？

a)       知道問什么要測試？

b)      了解運行的網(wǎng)絡(luò)環(huán)境

c)       明確設(shè)置的范圍

d)      做好測試計劃

e)       使用合適的團(tuán)隊資源

f)        不要對過程進(jìn)行干預(yù)

g)      注重結(jié)果

h)       全面溝通結(jié)果

七、課程總結(jié)

a)       學(xué)員心得分享

b)      課程重點摘要

c)       答客問