隨著我們持續(xù)將網(wǎng)絡(luò)安全納入物聯(lián)網(wǎng)應(yīng)用部署，我們要考慮的下一個(gè)領(lǐng)域是創(chuàng)建自己的軟件系統(tǒng)所面臨的挑戰(zhàn)。讓我們考慮一下大多數(shù)人在創(chuàng)建軟件系統(tǒng)時(shí)采用的方法。開(kāi)發(fā)能夠解決客戶問(wèn)題的新應(yīng)用程序的興奮感在設(shè)計(jì)過(guò)程中非常令人鼓舞。通常，系統(tǒng)開(kāi)發(fā)人員首先關(guān)注的是與用戶體驗(yàn)相關(guān)的項(xiàng)目：

應(yīng)用程序的目的是什么？我們將允許用戶完成什么？該應(yīng)用程序的主要功能是什么？應(yīng)用程序?qū)⒃谀睦镞\(yùn)行——在 PC 還是移動(dòng)設(shè)備上？這對(duì)架構(gòu)意味著什么？UI 應(yīng)該如何設(shè)計(jì)？怎樣才能讓它更簡(jiǎn)單、更直觀？

這些都很重要，但您發(fā)現(xiàn)還缺少什么嗎？從開(kāi)發(fā)過(guò)程一開(kāi)始就需要考慮安全問(wèn)題。將網(wǎng)絡(luò)安全納入應(yīng)用程序開(kāi)發(fā)的設(shè)計(jì)、開(kāi)發(fā)和測(cè)試以及維護(hù)階段將使產(chǎn)品生命周期管理變得更加容易。

設(shè)計(jì)

在開(kāi)始設(shè)計(jì)應(yīng)用程序時(shí)，請(qǐng)考慮與應(yīng)用程序相關(guān)的潛在威脅。例如：

物聯(lián)網(wǎng)軟件開(kāi)發(fā)內(nèi)共享的信息有多敏感？?? 

您可能正在提供一些非常通用的信息和交互——在這種情況下，您可能決定不考慮安全性，并允許匿名訪問(wèn)應(yīng)用程序和數(shù)據(jù)。工作完成了，您現(xiàn)在可以繼續(xù)設(shè)計(jì) UI 和行為的精彩部分。但如果它更敏感，那么您需要再考慮一下。

標(biāo)準(zhǔn)身份驗(yàn)證和授權(quán)

如果您提供的信息需要某種程度的互動(dòng)，且該互動(dòng)應(yīng)保密，則需要進(jìn)行一定程度的身份驗(yàn)證。音樂(lè)流媒體平臺(tái)就是一個(gè)典型的例子；您可以匿名訪問(wèn)和使用該平臺(tái)，但如果您想擺脫廣告并創(chuàng)建離線播放的內(nèi)容，則必須登錄。您還需要提供付款詳細(xì)信息，而您絕對(duì)不想與公眾分享這些信息。?? 

對(duì)于這種方法，您需要使用我們之前關(guān)于這些主題的博客中討論過(guò)的標(biāo)準(zhǔn)身份驗(yàn)證和授權(quán)技術(shù)。需要記住的重要一點(diǎn)是，即使您只需要應(yīng)用程序的部分內(nèi)容是安全的，也需要認(rèn)真對(duì)待安全性。此領(lǐng)域的一個(gè)典型錯(cuò)誤是用戶可以錯(cuò)誤地從應(yīng)用程序未經(jīng)身份驗(yàn)證的區(qū)域訪問(wèn)數(shù)據(jù) - 這是設(shè)計(jì)未正確組件化安全區(qū)域的地方。

高度監(jiān)管的行業(yè)

當(dāng)您提供對(duì)高度機(jī)密信息的訪問(wèn)和交互時(shí)，例如移動(dòng)銀行應(yīng)用程序，您需要提供目前可能使用的最高安全級(jí)別。在這種情況下，您的組織可能會(huì)有關(guān)于您的應(yīng)用程序需要滿足哪些要求的詳細(xì)指南，一個(gè)很好的例子就是《安全技術(shù)實(shí)施指南》（STIG）。這種指南可能非常長(zhǎng)，初讀時(shí)很難理解。我們的建議是，您在組織中尋找已經(jīng)使用指南編寫過(guò)應(yīng)用程序的人，他們可以為您提供一些關(guān)于您需要在應(yīng)用程序中設(shè)計(jì)哪些安全控制以滿足安全要求的想法。例如，標(biāo)準(zhǔn)銀行應(yīng)用程序使用自適應(yīng)身份驗(yàn)證來(lái)正確識(shí)別用戶。

開(kāi)發(fā)與測(cè)試

讓我們從標(biāo)準(zhǔn)指南開(kāi)始——我聽(tīng)到了你的抱怨，但一旦你使用了幾次，其中的大部分就會(huì)成為你的第二天性。根據(jù)你使用的語(yǔ)言，會(huì)有不同的指南。一個(gè)很好的初始指南來(lái)自 OWASP 基金會(huì)安全編碼實(shí)踐指南，鏈接如下1。它至少會(huì)幫助你在編寫代碼時(shí)正確思考你需要注意什么。?? 

現(xiàn)在您需要決定要將重點(diǎn)放在安全測(cè)試上。與所有其他決定一樣，這將取決于您對(duì)特定應(yīng)用程序的安全意識(shí)。例如，如果您已決定不擔(dān)心安全性，則可以忽略此部分。但是，您可能希望仔細(xì)檢查安全性較低的應(yīng)用程序是否允許用戶意外訪問(wèn)應(yīng)用程序基礎(chǔ)架構(gòu)中更安全的區(qū)域。?? 

編寫代碼時(shí)從一開(kāi)始就考慮安全性并使用一些準(zhǔn)則使其盡可能安全，下一步是進(jìn)行靜態(tài)應(yīng)用程序安全測(cè)試，或者對(duì)于我們大多數(shù)人來(lái)說(shuō)稱為源代碼掃描。根據(jù)應(yīng)用程序的大小，這可能是一個(gè)組件或整個(gè)應(yīng)用程序。掃描應(yīng)在包含所有庫(kù)的源代碼樹(shù)上運(yùn)行，即您的代碼以及第三方庫(kù)。有許多著名的源代碼掃描程序，從開(kāi)源到商業(yè)產(chǎn)品。無(wú)論您選擇哪一個(gè)，對(duì)于源代碼，輸出都將是“發(fā)現(xiàn)”列表，其中將突出顯示安全漏洞的嚴(yán)重性和位置；這些從嚴(yán)重到低評(píng)分。對(duì)于第三方第三方庫(kù)，您將獲得任何具有漏洞的庫(kù)的常見(jiàn)漏洞和暴露列表，CVE 列表的數(shù)字評(píng)分從 1 到 10，10 為嚴(yán)重，這稱為 CVSS 系統(tǒng)。? 

您可以自行決定緩解這些突出顯示的漏洞的數(shù)量，但我們建議您至少解決自己源代碼中的嚴(yán)重性和高嚴(yán)重性漏洞，并獲取 CVSS 為 7 到 10 的任何漏洞的更新庫(kù)。? 

在對(duì)源代碼進(jìn)行掃描后，我們現(xiàn)在要進(jìn)行一些動(dòng)態(tài)應(yīng)用程序安全測(cè)試。這是在編譯、構(gòu)建和部署的應(yīng)用程序上進(jìn)行的，并將為您提供另一份可利用的漏洞列表。這與源代碼掃描之間的主要區(qū)別在于，動(dòng)態(tài)應(yīng)用程序安全測(cè)試將包括運(yùn)行時(shí)環(huán)境中的配置和其他組件。無(wú)論您對(duì)單個(gè)應(yīng)用程序做出的決定如何（如上所述），都應(yīng)該對(duì)所有應(yīng)用程序進(jìn)行此操作。? 

最后，但并非最不重要的一點(diǎn)是，您需要運(yùn)行滲透測(cè)試，以確保您沒(méi)有遺漏任何東西。這可以是低調(diào)的，例如同事試圖突破您的安全防御，或者在主要IoT 物聯(lián)網(wǎng)軟件平臺(tái)雇用專門從事此類不道德黑客攻擊的第三方組織。滲透測(cè)試的一個(gè)好起點(diǎn)是使用此網(wǎng)站OWASP Top Ten | OWASP Foundation。他們讓網(wǎng)站保持最新已知漏洞、攻擊模式和其他有用信息。

維護(hù)與支持

眾所周知，安全措施一直在不斷發(fā)展，以應(yīng)對(duì)那些無(wú)能之輩不斷嘗試尋找新方法來(lái)獲取他們不應(yīng)該擁有的數(shù)據(jù)。這意味著我們必須始終假設(shè)我們的應(yīng)用程序需要不斷得到照顧；您不能部署后就忘記。同樣，根據(jù)擁有組織的規(guī)模（畢竟可能只有一個(gè)人），您需要確保定期檢查以下內(nèi)容：

檢查您的第三方庫(kù)并保持其更新運(yùn)行應(yīng)用程序的環(huán)境會(huì)及時(shí)更新補(bǔ)丁和最新版本

較大的組織將擁有一個(gè)或多個(gè)團(tuán)隊(duì)來(lái)負(fù)責(zé)此事，并將制定流程作為其符合 ISO 27001 和/或 SOC2 等標(biāo)準(zhǔn)的審計(jì)合規(guī)性的一部分。?