什么是应用安全？

应用安全采用技术、流程和风险管理程序，保护应用免受恶意行为者和破坏稳定的威胁侵害。

应用安全是指在整个应用生命周期中实施各种措施和防护机制，保护软件免受多种威胁，包括漏洞利用、配置错误、业务逻辑滥用和未经授权的访问。它涉及多种技术，包括安全编码实践、漏洞评估和安全测试，以确保应用及其数据的机密性、完整性和可用性。此外，还包括Web应用防火墙、机器人管理工具和DDoS缓解措施等安全解决方案。

应用安全为何至关重要

应用安全持续演进，以跟上新兴技术、不断变化的威胁形势和开发实践。如今，应用通常可通过多种网络访问，并连接到多个云或边缘环境，这会扩大攻击面并增加风险。

此外，大多数组织同时采用传统和现代应用架构，增加了应用安全的复杂性。根据《F5应用策略现状》，受访者表示，其应用组合中有超过三分之一（40%）属于现代应用（包括移动应用和采用微服务的应用），但几乎所有受访者也表示仍在运行传统应用。“因此，绝大多数组织（85%）都面临着管理和保护现代应用与传统应用的挑战，而这些应用通常分布在多种托管环境中。”

这些复杂的混合应用环境对恶意行为者极具吸引力，而他们仍在不断改进突破安全防御的技术。应用安全必须贯穿应用设计、开发和部署的所有阶段。应用安全最佳实践、安全测试和安全技术缺一不可，有助于在攻击者利用潜在应用漏洞入侵网络和危害数据之前识别这些漏洞。鉴于软件供应链日益复杂且开源软件广泛普及，软件物料清单（SBOM）以及强化可能引入风险的自动化管道正受到越来越多的关注。

常见应用安全风险及其影响

常见的应用安全威胁包括以下几类：

注入攻击。当不受信任的数据被插入命令语言或查询语言时，就会出现注入漏洞，导致恶意命令被意外执行。这包括SQL、NoSQL、操作系统和LDAP注入攻击。
不安全设计。这是一个涵盖多种弱点的宽泛类别，例如缺失或无效的安全控制以及架构缺陷。这些缺陷与应用的设计方式有关，因此需要更多地采用威胁建模、安全设计模式和原则以及参考架构。
安全配置错误。 Web应用框架、平台、服务器或安全控制措施缺乏安全加固，可能导致未经授权的访问、敏感信息泄露或其他安全漏洞。
访问控制失效。访问控制和授权执行不充分，可能使攻击者通过绕过控制、操纵参数或超出预期权限范围执行操作，访问未经授权的功能或数据。
加密机制失效。 如果信用卡号、个人身份信息（PII）或医疗记录等敏感数据在传输和静态存储时未得到妥善保护，就会导致敏感数据保护不足。加密机制失效可能导致数据泄露、机密信息遭到未经授权的访问，以及不符合欧盟《通用数据保护条例》（GDPR）等数据隐私法规和支付卡行业数据安全标准（PCI DSS）等金融标准。

这些应用安全风险可能造成数据泄露引发的经济损失、法律和监管后果，并损害品牌声誉和客户信任。

应用安全的五种类型

以下五类应用安全措施是构建稳健的应用安全体系，以及防范各种应用层攻击和漏洞的基础。

身份验证和授权控制。身份验证会核实访问应用的用户或系统的身份，并通过密码、多重身份验证（MFA）和生物识别等方法，确保只有获得授权的实体才能访问敏感资源。授权则决定用户通过身份验证后可以执行哪些操作或访问哪些资源，并实施适当的权限和访问控制。
输入验证和输出编码。 输入验证可确保在处理用户提供的数据之前，对其进行适当验证、清理，并检查是否包含潜在恶意内容。这可以防止SQL注入或跨站脚本（XSS）等注入攻击。输出编码可确保向用户呈现数据时采用正确的编码，从而防止XSS及其他与输出相关的漏洞。
会话管理。会话管理包括安全地管理用户会话，并维护用户与应用交互的状态。其中包括生成安全的会话标识符、强制执行会话超时、保护会话数据免遭篡改，以及防范会话固定或会话劫持攻击。
密码学。密码学是使用加密算法和协议保护敏感数据的实践，包括对静态数据和传输中数据进行加密、安全密钥管理、使用哈希存储密码、使用数字签名确保数据完整性和进行身份验证，以及采用SSL/TLS等安全通信协议。
错误处理和日志记录。有效的错误处理有助于防止可能为攻击者提供便利的信息泄露。记录和监控与安全相关的事件（例如身份验证失败或可疑活动）对于检测和响应安全事件至关重要。正确实施日志记录有助于开展取证调查和识别安全漏洞。

应用安全实践指南

实施并遵循应用安全最佳实践，有助于为有效的安全控制奠定坚实基础。应在整个软件开发生命周期中融入安全考量，并随着新威胁和漏洞的出现，持续重新评估和改进安全措施。

实现有效应用安全的关键最佳实践包括：

开展全面的威胁评估，识别应用特有的潜在风险和漏洞，包括分析应用的架构、依赖项和潜在攻击途径。
确保应用组件、服务器、框架和平台均采用安全配置。遵循供应商提供的安全最佳实践和加固指南，包括禁用不必要的服务、安全管理凭据，并确保所有组件均已安装最新可用版本的补丁。
安全左移，即在软件开发生命周期的早期阶段纳入安全考量。从初始设计阶段开始融入安全编码、威胁建模和安全测试等安全实践，以便主动应对潜在漏洞。
实施强健的身份验证机制，例如使用强密码、多重身份验证（MFA）或生物特征身份验证来验证用户身份。实施适当的授权控制，确保用户拥有相应的访问权限，限制其访问敏感资源和功能，并防止横向扩散和权限提升。
制定基于风险的方法，确定修复工作的优先级。根据潜在影响和可利用性，优先处理高风险漏洞。建立明确的流程，确保及时修复。
实施健全的监控和日志记录机制，以有效检测和响应安全事件。监控可疑活动、登录失败尝试和异常行为。保留审计日志，以协助开展事件调查和响应。

确保应用安全

应用安全是一个持续的过程，需要采用多层防护方法来提供全面保护。请使用以下检查清单，定期重新评估并更新安全实践，帮助应用抵御不断变化的安全风险。

开展全面的安全评估和代码审查。开展全面的安全评估，识别应用中潜在的漏洞和薄弱环节，包括使用自动化工具扫描常见漏洞，并利用动态代码分析发现安全缺陷。
实施安全编码实践和框架。从一开始就采用安全编码实践，包括使用业界认可的编码标准，以及经过严格安全测试并由开发者社区积极维护的安全编码框架和库。
定期更新应用程序并安装补丁。保护第三方组件，并定期更新应用程序中使用的库、框架和依赖项及安装补丁，以缓解已知漏洞带来的风险。
执行漏洞测试和渗透测试。定期使用自动扫描工具执行漏洞测试，包括动态应用安全测试（DAST），以识别应用中可能存在的漏洞。执行模拟真实攻击的渗透测试，以评估应用的安全状况，并发现自动化工具可能遗漏的弱点。可将这些测试结果纳入Web应用防火墙安全策略，为防范漏洞利用提供关键的临时保护。
培训开发人员，倡导安全优先的理念。为开发人员提供安全培训和意识提升计划，帮助他们加深对常见漏洞和安全编码实践的理解。强调在整个开发过程中落实安全措施的重要性，并鼓励开发人员优先考虑安全因素。

应用安全测试

应用安全测试对于及时检测和识别漏洞、薄弱环节及缺陷，防止其被攻击者利用至关重要。

静态应用安全测试（SAST）通过分析应用的源代码、字节码或二进制代码，识别安全漏洞和薄弱环节。此类测试通常在开发阶段进行，SAST工具结合使用模式匹配、代码分析和基于规则的技术，识别常见漏洞和编码错误。

动态应用安全测试（DAST）侧重于在Web应用运行期间实时识别其中的漏洞和薄弱环节。DAST使用安全扫描器或工具与应用交互，通过发送各种请求和输入来识别漏洞。

渗透测试通过模拟真实攻击，主动评估应用的安全性。在测试中，经验丰富的安全专业人员会尝试利用应用中的漏洞，以确定应用抵御不同攻击向量的能力。

组织通常会结合使用这些测试方法，对应用安全进行全面评估。STRIDE和DREAD等威胁建模工具也可为运用这些风险管理技术提供实用指导。

安全编码和漏洞管理的重要性

安全编码是构建具有韧性且安全的软件应用程序的基础。开发过程中应遵循既定的编码标准、最佳实践和指南，以尽可能降低引入安全缺陷和常见漏洞的风险，例如注入攻击、缓冲区溢出或不安全的直接对象引用。开发人员应及时了解最新的安全对策，并通过缩小应用程序的攻击面来防范新兴威胁。

漏洞管理在识别和解决应用安全缺陷方面也发挥着关键作用。通过自动化工具或手动技术，可以识别应用代码、库或依赖项中潜在的漏洞、错误配置和薄弱环节。识别出漏洞后，可根据其严重程度、可利用性和潜在影响确定优先级。这样，组织便可集中资源和精力，优先解决对应用安全构成严重威胁的高风险漏洞。

安全编码和漏洞管理是持续性流程，应集成到开发生命周期中，以便在所有云环境和架构中提供应用安全防护并一致地实施策略。

探索应用安全控制措施

应用安全控制对于保护应用和敏感数据至关重要。其中包括身份验证控制，用于确保尝试访问应用的用户或系统经过身份验证并获得授权。密码、多因素身份验证（MFA）或生物特征身份验证等强身份验证机制可验证用户身份，并防止未经授权的访问。

访问控制还可根据用户角色、权限或属性限制用户权限，并确定用户可在应用中执行哪些操作或访问哪些资源，从而帮助保护应用。

应用安全控制还包括强加密算法和安全的密钥管理实践，即使数据遭到泄露，也有助于防止未经授权访问敏感信息。

此外，审计和日志记录机制可记录应用内与安全相关的事件和活动，从而增强应用安全性。这些事件和活动包括用户操作、登录失败尝试、访问控制变更和关键系统事件。保留日志并执行审计有助于开展监控和取证分析，还可帮助检测安全事件或策略违规行为。

云端应用安全

随着组织利用多个云提供商的能力和边缘计算资源，应用设计日益分布式，应用安全也变得更加复杂。

分布式云环境通常由基于微服务的现代应用组成，这些应用采用模块化、可扩展且互联互通的设计。这种架构带来诸多优势，但也会引入新的安全风险。每个微服务都可能成为潜在攻击面和横向扩散路径，因此需要采取专门的安全措施。

要在分布式应用环境中实现全面安全防护，组织必须使用应用和API安全解决方案来增强传统网络防火墙的防护能力。网络防火墙擅长执行网络策略并检查网络协议栈较低层的流量，但无法有效检测和缓解应用层威胁，例如跨站脚本攻击（XSS）、SQL注入和API滥用。

随着组织采用跨多云和边缘的分布式应用环境，对覆盖各层的强大安全措施的需求愈发迫切。通过将应用和API安全解决方案与传统网络安全措施相结合，组织可以为其现代多云和边缘应用提供全面的保护。

移动应用安全

由于移动设备具有特定的特性和运行环境，保护移动应用面临独特挑战。与Web应用相比，移动应用采用不同的架构模式，并且需要在操作系统、版本和硬件功能各异的多种设备上运行。这种多样性增加了在不同平台上确保一致安全性的复杂程度，导致难以统一处理漏洞和实施安全控制。

此外，iOS和Android等移动操作系统会限制应用开发者对底层系统的控制程度，这可能影响某些安全措施的实施。移动设备还会处理大量个人数据和敏感数据，包括位置信息、联系人和个人通信内容。对于移动应用设计人员而言，因通信渠道不安全、存储缺乏保护或数据加密不足而导致的数据泄露风险是一项重大隐患。

加密、安全密钥管理和安全文件处理等安全数据存储实践，对于防止设备丢失、被盗或遭入侵时发生数据泄露至关重要；代码混淆和防篡改技术等措施同样不可或缺。定期开展安全测试和评估、采用移动设备管理（MDM）解决方案以及加强用户教育，也是构建稳健移动应用安全策略的重要组成部分。

还必须防止客户端篡改，因为恶意行为者可能会在用户不知情的情况下植入恶意软件或键盘记录器，以窃取数据。

Web应用安全

强大的Web应用安全至关重要，原因有很多。随着服务日益数字化，越来越多的敏感数据通过Web应用在线存储和处理。Web应用安全有助于保护这些数据，防止未经授权的访问、数据泄露和盗窃。

此外，Web应用对许多组织的业务运营至关重要，任何中断或失陷都可能严重影响这些应用的可用性和可靠性。尽管网络攻击和其他漏洞利用带来的风险日益增加，Web应用安全仍有助于保护推动营收和客户满意度的数字服务。

许多行业还受到严格的数据隐私和安全法规约束。通过实施可靠的Web应用安全措施，企业可以确保持续遵守这些法规要求。

常见的Web应用漏洞包括SQL注入攻击和跨站脚本攻击。攻击者可利用这些漏洞，未经授权访问应用的敏感区域或底层服务器基础设施，进而提取敏感数据或登录凭据、操纵应用行为，或提升权限以控制应用。Web应用还经常遭受自动化攻击，例如凭据填充攻击和暴力破解攻击。

为降低这些攻击带来的风险，组织应采用安全编码实践、输入验证和输出编码，并遵循安全最佳实践。

定期开展安全测试也很重要，包括DAST、SAST和渗透测试。对于登录、创建账户、重置密码、购物车和转账等关键业务逻辑，还需要采用能够防止账户接管（ATO）和欺诈的机器人管理解决方案。

不断变化的环境下的应用安全

新技术和新趋势不断演进。随着客户日益依赖数字体验来办公、办理银行业务、购物、获取医疗服务、出行和娱乐，组织需要相应调整应用安全措施。以下是应用安全领域的一些重要趋势和挑战。

云原生应用安全。随着云计算的广泛采用，各组织正在开发和部署基于微服务架构和容器化技术构建的云原生应用。在可能涉及多个云位置和云提供商的环境中，为确保全面的安全态势，必须在整个开发流程中统筹开展应用安全测试，覆盖应用安全的各个层面，包括代码、依赖项和云配置。
API安全。随着组织为第三方集成开放越来越多的API，保护这些接口变得至关重要。现代应用通常依赖多个API，这增加了保护整个API生态系统的复杂性。每个API可能有不同的安全要求、身份验证方法和访问控制，因此难以保持一致且全面的安全态势。API安全面临的挑战包括防范注入、身份验证和授权不当等攻击，以及确保数据隐私和完整性。
分布式多云环境中的应用安全。许多组织面临攻击面不断扩大的挑战，其范围涵盖传统和现代应用架构，以及多个云、本地数据中心和边缘站点。要在分布式部署中管理并实施一致的应用和数字服务安全策略，复杂度极高。但通过在应用和API产品组合中采用一套一致的多云应用安全与交付解决方案，组织可以增强安全性、提升性能和韧性，并在本地、多云和边缘环境中统一策略。

F5如何保障应用安全？

应用安全涉及多种工具和方法，但目标一致：识别薄弱环节和漏洞，并在攻击者利用它们之前加以修复。

F5深知，应用安全旨在打造更安全的数字世界。通过整合对应用和数字服务的保护，并持续一致地执行安全策略，我们的应用和API安全解决方案可降低混合云和多云环境的运营复杂性。

这意味着，组织可以在同一云服务提供商的不同位置之间或跨不同提供商安全连接，还能以原生方式连接并保护分布式数字服务，从而在降低运营复杂性的同时，为最终用户提供更出色的安全性、可用性和性能。

F5提供全面的安全产品组合，为应用、API及其支持的数字服务提供强有力的保护。我们的安全解决方案开箱即用，适用于传统和现代应用，覆盖数据中心、云端和边缘环境，既能融入现有架构，也能适配未来多年支持贵组织发展的架构。