軟件系統(tǒng)安全運(yùn)營(yíng)的守護(hù)神 – 系統(tǒng)安全測(cè)試方法與工具

【課程背景】

當(dāng)今經(jīng)濟(jì)運(yùn)行、行業(yè)發(fā)展、工作生活等帶來(lái)的大數(shù)據(jù)，像水、電、氣一樣，已經(jīng)成為我們工作和生活的基本物質(zhì)，關(guān)系到經(jīng)濟(jì)運(yùn)行、社會(huì)發(fā)展、個(gè)人隱私等方方面面內(nèi)容。數(shù)據(jù)的國(guó)內(nèi)年復(fù)合增長(zhǎng)率84%，數(shù)據(jù)的爆炸帶動(dòng)各行業(yè)的應(yīng)用系統(tǒng)數(shù)量的與日俱增，從企業(yè)的數(shù)據(jù)中心應(yīng)用，到互聯(lián)網(wǎng)企業(yè)的大型移動(dòng)應(yīng)用，都無(wú)時(shí)無(wú)刻不在存儲(chǔ)和管理著大量的數(shù)據(jù)資源，這些數(shù)據(jù)能夠幫助個(gè)人、企業(yè)和社會(huì)更好地發(fā)展。

如何保證應(yīng)用系統(tǒng)的安全性和可靠性？這個(gè)問(wèn)題已經(jīng)引起全社會(huì)的廣泛關(guān)注。

安全測(cè)試是建立在功能測(cè)試基礎(chǔ)上進(jìn)行的測(cè)試，安全測(cè)試提供證據(jù)表明，在面對(duì)惡意攻擊時(shí)，應(yīng)用仍能充分滿足它的需求，主要是對(duì)產(chǎn)品進(jìn)行檢驗(yàn)以驗(yàn)證是否符合安全需求定義和產(chǎn)品質(zhì)量標(biāo)準(zhǔn)的過(guò)程

軟件產(chǎn)品大多具備很強(qiáng)的實(shí)用性，盡管無(wú)法完全適用于某個(gè)行業(yè)，但它能夠 覆蓋絕大多數(shù)企業(yè)的絕大多數(shù)業(yè)務(wù)，并且一般實(shí)施軟件周期通常不會(huì)太長(zhǎng)，所以在時(shí)間緊任務(wù)重的情況下，要重點(diǎn)地驗(yàn)證軟件性能，對(duì)于本企業(yè)的工作流程對(duì)軟件做單元測(cè)試、壓力測(cè)試及全面檢測(cè)等。

軟件的安全性是一個(gè)長(zhǎng)期性連續(xù)不斷的過(guò)程，圍繞整個(gè)軟件的項(xiàng)目生命周期。企業(yè)從系統(tǒng)上線、試運(yùn)營(yíng)到正式運(yùn)行，甚至完全擺脫手工賬，整個(gè)期間軟件的安全性都是一個(gè)不容忽視的難題。驗(yàn)證軟件安全性的最常用辦法以上所述軟件原型檢測(cè)，因?yàn)橄到y(tǒng)軟件是信息集成系統(tǒng)，所以在檢測(cè)時(shí)，應(yīng)該是全系統(tǒng)的檢測(cè)，每個(gè)部門的人員都需要同時(shí)參與，這樣才可以了解各個(gè)數(shù)據(jù)信息、功能和工作流程之間彼此的集成關(guān)聯(lián)。

檢測(cè)時(shí)，找出存在問(wèn)題的方面，明確提出處理企業(yè)管理難題的方案，以便明確提出對(duì)軟件的改進(jìn)方案;然后再模擬運(yùn)行，在基本上了解軟件功能的基礎(chǔ)上，按企業(yè)的工作流程模擬操作，挑選有代表性的業(yè)務(wù)，將各種各樣需要的數(shù)據(jù)整理錄入系統(tǒng)，按企業(yè)日常工作中常常遇到的難題，組織項(xiàng)目團(tuán)隊(duì)開展實(shí)戰(zhàn)演練性模擬，并按照發(fā)現(xiàn)的難題及市場(chǎng)需求，由項(xiàng)目團(tuán)隊(duì)制訂解決方案。

　　總的來(lái)說(shuō)，綜合檢測(cè)系統(tǒng)軟件是否穩(wěn)定的辦法。應(yīng)用軟件和共享數(shù)據(jù)結(jié)構(gòu)間的這種關(guān)聯(lián)決定了它一定要實(shí)施穩(wěn)固的檢測(cè)和監(jiān)測(cè)流程才可以保證企業(yè)重要應(yīng)用的正常運(yùn)行。所以，確保應(yīng)用系統(tǒng)的安全性以上所述在確保企業(yè)內(nèi)部正常的工作的安全性。

【課程收益】

?  了解“安全監(jiān)測(cè)”的內(nèi)涵與關(guān)鍵功能點(diǎn)

?  了解“安全監(jiān)測(cè)”的類型，及其在應(yīng)用發(fā)開與使用中的定位

?  熟悉 “安全監(jiān)測(cè)”常用的工具，與使用的場(chǎng)景

?  了解“移動(dòng)應(yīng)用”的檢測(cè)方式

?  了解如何建立正確的“安全監(jiān)測(cè)”系統(tǒng)化思維

【課程特色】分析理論，知其所以然；實(shí)戰(zhàn)解析，能趨吉避兇

【課程對(duì)象】信息技術(shù)部門相關(guān)主管， 信息科技部首席/資深架構(gòu)師，CIO（首席信息官），CTO（首席技術(shù)官），COO（首席運(yùn)營(yíng)官），信息科技部數(shù)據(jù)中心運(yùn)維人員

【課程時(shí)間】6小時(shí)

【課程大綱】

一、“安全測(cè)試”的內(nèi)涵為何？

a)       安全測(cè)試的定義為何？

b)      安全測(cè)試的主要目的為何？

c)       安全測(cè)試與“通常測(cè)試”與“滲透測(cè)試”的差別為何？

d)      安全測(cè)試目前面臨的挑戰(zhàn)為何？

二、“安全測(cè)試”的功能點(diǎn)有哪些？

a)       網(wǎng)絡(luò)安全

b)      用戶程序安全

c)       數(shù)據(jù)安全

d)      是否使用“第三方”評(píng)測(cè)軟件？

三、安全測(cè)試有哪些類型？

a)       跨站腳本（XSS, Cross Set script）

                   i.           反射型跨站（Reflected XSS）

                  ii.           存儲(chǔ)型跨站（Stored XSS）

                 iii.           DOM 跨站（DOM-based XSS）

                 iv.           跨站請(qǐng)求偽造（CSRF）

b)      注入類

                   i.           SQL 注入

                  ii.           XML 注入

                 iii.           URL 跳轉(zhuǎn)

c)       文件類

                   i.           文件系統(tǒng)跨越

                  ii.           文件上傳

                 iii.           文件下載

d)      系統(tǒng)命令

e)       控制類

                   i.           權(quán)限控制

                  ii.           訪問(wèn)控制

四、業(yè)界常用的安全測(cè)試工具，以及其應(yīng)用場(chǎng)景？

a)      AppScan

b)      BurpSuite

c)       Nmap

d)      salmap

五、移動(dòng)應(yīng)用（Mobility Application）的安全監(jiān)測(cè)有哪些方式？

a)       漏洞掃描

b)      滲透測(cè)試

c)       代碼審計(jì)

d)      安全加固

e)       安全配置檢查

f)        個(gè)人信息收集合規(guī)評(píng)估

六、系統(tǒng)安全測(cè)試的正確思路為何？

a)       知道問(wèn)什么要測(cè)試？

b)      了解運(yùn)行的網(wǎng)絡(luò)環(huán)境

c)       明確設(shè)置的范圍

d)      做好測(cè)試計(jì)劃

e)       使用合適的團(tuán)隊(duì)資源

f)        不要對(duì)過(guò)程進(jìn)行干預(yù)

g)      注重結(jié)果

h)       全面溝通結(jié)果

七、課程總結(jié)

a)       學(xué)員心得分享

b)      課程重點(diǎn)摘要

c)       答客問(wèn)