应对应用漏洞：安全测试实践指南

F5研究 | 2025年9月17日

现代应用和API是数字创新的支柱，可帮助组织提供变革性的用户体验、简化运营并开拓新的业务机会。然而，当今的应用生态系统日益复杂，涵盖基于微服务的架构、分布式环境、嵌入式AI功能以及快速迭代的开发周期，导致大多数组织的攻击面迅速扩大。

已知和未知漏洞正以惊人的速度不断涌现，使组织面临数据泄露、运营中断和声誉受损的风险。为保护这些系统，必须在整个软件开发生命周期（SDLC）中融入可靠的安全测试实践。本文探讨组织如何利用现代测试技术和策略来识别并解决漏洞，以满足当今应用和API环境的安全需求。

漏洞持续激增，测试为何至关重要

推动创新的力量也在促使应用漏洞的数量和复杂性迅速上升。仅2024年就公布了40,077个新的常见漏洞与暴露（CVE），平均每周超过750个，较2023年大幅增长38%。

Web应用程序仍是攻击者青睐的目标，2024年，34%的安全事件涉及Web应用程序。CI/CD流水线加快了开发周期，但往往更重视速度而非安全性，导致测试时间缩短，使关键漏洞未被发现。

这些安全缺口为威胁行为者利用应用和API中的弱点提供了大量可乘之机，可能导致数据泄露、服务中断以及敏感系统遭到入侵。

“通过在整个软件开发生命周期中融入持续、主动的多层测试方法，组织可以在不减缓创新步伐的情况下保护应用和API。”

在努力平衡创新与安全的过程中，面对当今大多数组织所处的更为动荡且不断变化的威胁形势，持续、主动且全面的风险缓解方法已不可或缺。

测试应成为任何组织安全策略的关键组成部分，发挥“耳目”作用。测试可提供宝贵的信息和洞察，帮助组织强化代码并全面改善安全态势，具体包括：

梳理、记录并了解其应用和API代码及基础设施中潜在的漏洞和利用方式。
测试并验证当前的安全态势（例如，已实施的策略和安全控制措施）。
通过更新、补丁和补偿性安全控制措施强化代码安全。

制定全面的安全测试计划

要应对范围不断扩大且日益复杂的漏洞，需要采用多模式测试方法。通过结合多种方法的分层测试策略，可以在软件开发生命周期（SDLC）的各个阶段尽早识别并处理尽可能多的风险。一些传统方法包括：

1. 静态应用安全测试（SAST）：此类解决方案侧重于分析源代码，无需执行代码即可在开发流程早期识别漏洞，因此能够在部署前有效发现逻辑错误、不安全的编码实践和语法问题等缺陷。SAST可无缝集成到开发人员工作流中，有助于从一开始就推动安全编码，同时支持CI/CD环境中的持续测试。

不过，SAST解决方案也存在局限性。它们无法识别运行时漏洞或与第三方库相关的问题，还可能产生大量误报。如果管理不当，这会给开发团队带来困扰并拖慢流水线。因此，需要投入额外的人工工作来验证剩余的缺陷和漏洞并确定其优先级。

2. 动态应用安全测试（DAST）：解决方案针对实时运行的应用（生产环境或模拟实时运行的预发布环境）开展测试，通过模拟真实攻击场景，发现运行时显现的安全风险。DAST尤其擅长识别与应用逻辑、外部集成和运行时特定交互相关的漏洞，因此是安全测试中不可或缺的一层。

但是，由于DAST侧重于运行时行为，因此无法处理源代码中存在的漏洞，而且通常需要专业人员进行繁琐的配置和调优，以免测试覆盖范围出现缺口或结果不理想。尽管存在这些挑战，DAST仍是评估实际环境中漏洞的有力工具。

3. 渗透测试：渗透测试的优势在于，由专业人员模拟针对性攻击，对应用漏洞进行深入、由人工主导且结合具体情境的分析。这种通常高度依赖人工的方法，有助于识别仅靠自动化工具可能遗漏的复杂威胁。它有助于梳理和验证漏洞，提供可付诸行动的发现结果，同时尽可能减少误报。

不过，渗透测试需要投入大量资源，因此通常无法频繁开展，更适合用于定期评估或针对性评估，而非持续测试。尽管存在这些限制，渗透测试仍是任何组织开展应用和API安全工作的重要组成部分。

此外，还有许多新兴的安全测试解决方案可以补充这些传统方法，包括模糊测试、交互式应用安全测试（IAST）、运行时应用自我保护（RASP），以及利用机器学习确定漏洞优先级、检测异常并简化测试流程的AI增强测试。

这些新方法与传统方法相结合，有助于组织应对当今应用生态系统中不断变化的复杂性和风险。组织应将其视为可叠加使用的补充工具，并在整个SLDC中纳入应用和API安全体系，以应对持续演变的应用和API威胁形势。

增强应用安全测试的实践方法

为增强应用安全态势，组织可以根据以下经过验证的最佳实践评估当前的测试机制：

尽早并频繁开展安全测试。通过将安全测试集成到软件开发生命周期（SDLC）中，组织可以更主动地保障应用和API安全，形成持续改进的反馈闭环，尽早发现漏洞，验证部署后的防护措施，并让应用安全成为战略推动力，而非发展瓶颈。在设计或开发阶段发现漏洞，有助于降低修复成本，并防止严重安全缺陷进入生产环境。至少可以在实施永久性代码修复期间部署补偿性安全控制措施。

采用持续的多层测试方法。多层测试策略对于增强应用安全至关重要。通过综合运用SAST、DAST、模糊测试和定期渗透测试等解决方案与方法，组织可以更全面地掌握自身的漏洞情况。持续测试有助于组织适应现代应用开发快速迭代的特点，并近乎实时地提供具备上下文感知能力的洞察，以维护安全控制措施和策略，确保应用和API在不断变化和演进的过程中始终保持韧性并获得充分保护。

寻找可实现测试自动化的工具和流程。将测试工具和流程（例如SAST、DAST和模糊测试工具等）集成到CI/CD工作流中，并探索如何将自动化和持续测试纳入标准开发生命周期，尽可能减少对发布速度和产出的影响。此外，应尽可能实现测试自动化，尤其是在现代应用组合规模庞大的情况下。这有助于扩展测试能力，并确保在快节奏的CI/CD环境中快速发现和修复漏洞。

促进跨团队协作。打破团队之间的壁垒（例如工程、开发、基础设施、架构和安全等团队）至关重要。组织应通过专门的培训计划，帮助开发人员、工程师及安全团队以外的其他核心岗位人员成为“安全倡导者”，鼓励他们在各自团队中倡导安全实践。通过打破壁垒，并持续开展常见漏洞以及各岗位在应用和API设计中不同职责的相关培训，安全可以成为整个组织共同承担的责任。