應用程式保安（AppSec）是在應用程式整個生命週期內保護其免受外部及內部威脅，包括由開發至部署階段。
目錄
甚麼是應用程式保安？
應用程式保安通常稱為 AppSec，是在應用程式整個生命週期內識別、預防及補救其保安風險的紀律。雖然高層次的定義將 AppSec 描述為保護應用程式免受威脅，但實際上，它是一個結合安全設計、測試、監控及管治的持續程序，以減低應用程式風險。
應用程式保安的重點是確保應用程式按預期運作、保護敏感資料及防止入侵。這適用於網上應用程式、流動應用程式、雲端原生應用程式、API 驅動應用程式，或嵌入至硬件。
在實際層面上，應用程式保安包括：
- 採用從一開始內建的保安管控來設計應用程式
- 識別自訂代碼、第三方資料庫及配置的漏洞
- 執行認證、授權及存取控制
- 在開發及部署後持續測試應用程式
- 監控運作期間的行為以偵測濫用、誤用或主動攻擊
這些做法共同協助機構減低在現代環境中其中一個最被針對的受攻擊面的曝露量。
應用程式保安例子
應用程式保安可透過在現代軟件環境採用的常見防禦措施來運作，例如：
- 執行強效認證及授權，防止未經授權存取
- 驗證用戶輸入，以防止注入攻擊和數據操縱
- 在傳輸和靜態應用程式內加密敏感資料
- 透過限制費率及基於令牌的控制限制 API 存取
- 監控應用程式行為以偵測可疑或惡意活動
這些例子說明應用程式保安在設計及運作層面如何運作，以保護應用程式及其用戶。
應用程式保安為何重要？
保安問題往往是由於應用程式被迫部署而出現，而沒有充分的檢查及防護。數碼轉型是機構必須採取的重要措施，以跟上不斷發展的行業格局。隨著企業擴展其數碼足印和現代化程序以支援彈性和遙距工作，機構亦必須重新考慮如何滿足客戶需求並簡化變革。
應用程式現在扮演著不可或缺的角色，許多企業和用戶都依賴於各種各樣的工作、教育、娛樂、零售和其他用途應用程式。事實上，開發團隊在確保應用程式在為用戶提供良好可用性、效能及保安方面扮演重要角色，他們經常留意系統弱點、漏洞、配置錯誤及其他可能被濫用作惡意活動的保安落差。
不安全應用程式帶來的嚴重風險，凸顯了在設計、開發及部署後期尋找、修正及強化應用程式保安的需要。
應用程式保安優點
強大的應用程式保安實務可同時提供保安及商業價值，提升數碼生態系統的彈性及信心。
應用程式保安漏洞
應用程式經常成為攻擊者的攻擊目標，因為它們經常直接位於用戶、數據及後端系統之間。應用程式保安可解決因編碼失誤、設計弱點及配置錯誤而產生的一系列威脅及漏洞。
常見的應用程式保安漏洞包括：
- 不當處理輸入程序而造成的注入攻擊，例如 SQL 注入或指令注入
- 破解認證及存取管控，讓攻擊者冒充用戶或升級權限
- 不安全的 API，包括過度的資料曝露或缺乏級別限制
- 第三方資料庫含有已知漏洞的相依項目
- 配置錯誤，例如曝露的除錯介面或過度許可權設定
- 因加密程序薄弱或數據處理不當而曝露敏感數據
應用程式保安結合安全開發實務、持續測試及運作期防護，協助減低這些風險。及早解決這些漏洞可減低入侵風險，強化應用程式的整體保安狀況。
甚麼是應用程式保安管控？
應用程式保安管控是一個結構化的措施，目的為在整個應用程式生命週期內保護應用程式。這些管控措施可分類為：
預防管控
預防管控是主動的措施，目的是在漏洞出現前預先加以攔截。包括：
- 安全編碼標準：協助開發人員避免常見缺陷的 OWASP 安全編碼實務等指引及框架。
- 輸入驗證及輸出編碼：預防注入攻擊及跨網站腳本（XSS）技術。
- 強大的認證及授權機制：實施最低存取權限及健全的身份管理（例如 OAuth 2.0、SAML）。
這些管控措施強調從一開始就將保安建構在應用程式中，減低對被動式防禦的依賴。
偵測性管控
偵測式管控集中在部署後識別保安問題及可疑活動。例子包括：
- 應用程式記錄及監控：透過 SIEM 系統擷取與保安相關的事件及進行分析。
- 運作期威脅偵測：使用代理程式或傳感器偵測應用程式行為的異常情況。
- 警報及事故偵測：自動警示，以即時標記異常的存取模式或漏洞攻擊嘗試。
這些工具有助保安團隊在應用程式上線後維持應用程式視野。
修正管控
修正管控在漏洞或事故發生後進行解決。常見例子包括：
- 補丁及更新管理：及時修正已知漏洞。
- 自動化補救管道：將修正整合到 CI/CD 流程中，提供快速回應。
- 還原與復原機制：確保在入侵後能夠恢復安全的應用程式版本。
這些管控方案在整個應用程式週期內共同組成一個持續的深度防禦模式。
應用程式保安類型
應用程式保安涵蓋多個網域，視乎軟件、平台及環境而定。每個網域都帶來獨特的風險，並需要專門的防護。
網站應用程式防護
網站應用程式依然是歹徒的主要攻擊面。保護它們涉及解決 OWASP 十大漏洞，包括注入漏洞、破解驗證及曝露敏感資料。安全工作段處理、Cookie 管理、HTTP 執行及輸入消毒是 Web AppSec 的基礎。
流動應用程式保安
由於裝置多元化及平台特定 API，流動應用程式會帶來額外的複雜性。關鍵考慮因素包括資料加密、安全儲存及逆向工程防護。Android 及 iOS 應用程式必須實施沙盒模擬分析、安全通訊 （TLS） 及運作期完整性檢查，以防止未經授權的存取或篡改。
API 保安
雲原生應用程式保安
隨著機構採用容器、Kubernetes 及基礎架構即代碼（IaC），雲原生 AppSec 便變得不可或缺。保安團隊必須處理錯誤配置、掃瞄容器影像以找出漏洞，並確保 IaC 範本遵循保安最佳實務守則。與 CI/CD 流程的整合有助在建構過程中及早發現問題。
嵌入式/物聯網應用程式防護
在嵌入式及物聯網系統中，保安延伸至韌體及硬件層面。開發人員必須實施安全啟動機制、韌體簽署及受限介面。實體篡改防護及裝置層面加密可進一步減少分散式或遠程環境的曝露。
應用程式保安程序
有效的應用程式保安是持續融入軟件開發生命週期（SDLC）每個階段的過程。Secure SDLC （SSDLC） 模式整合設計、部署及維護等保安考慮因素。
威脅建模
在撰寫程式碼之前，團隊會進行威脅建模來預測攻擊者可能如何利用應用程式。STRIDE 或 PASTA 等架構有助識別攻擊媒介、潛在影響及必要的緩解措施。
安全開發
安全編碼實務與持續開發者教育同時實施。常見的活動包括遵循安全的設計模式、將依賴性減至最低，以及執行碼審查來檢查安全漏洞。
持續測試
現代化管道整合自動化應用程式保安測試（AST）來及早偵測問題。這包括對源碼（SAST）、運行應用程式動態測試 （DAST）及相依性掃描（SCA）的靜態分析。持續測試可確保在部署前發現漏洞。
補救及回應
當發現漏洞時，它們會經由保安與工程團隊協調的工作流程分類、排列優先次序及進行修正。自動化排序票據系統及補丁部署有助維持速度，同時減低曝露。
應用程式保安測試（AST）
為建構安全應用程式，開發團隊應整合應用程式保安測試（AST），以組成任何 AppSec 計劃的技術支柱。它採用自動化及手動技術來識別、評估及修正 SDLC 所有階段的漏洞。以下是一些需要探討的技巧和工具：
靜態應用程式保安測試（SAST）
SAST 亦稱為保安編碼審查或編碼審核，在未有執行應用程式的情況下分析源碼或二進制漏洞。它幫助開發人員在 SDLC 早期發現安全問題，例如 SQL 注入、硬編碼憑證及緩衝區溢出。在此階段尋找保安問題有助機構節省時間和資源。熱門的 SAST 工具包括 SonarQube、Checkmarx 及 Fortify。
動態應用程式保安測試（DAST）
DAST 亦稱為黑盒測試，透過模擬外部攻擊來即時測試正在運行的應用程式，以發現跨網站腳本（XSS）、SQL 注入或認證繞道等漏洞。DAST 方案協助測試在受歹徒利用的惡意技巧影響時，應用程式、容器及群組的韌性。常見的 DAST 工具包括 Burp Suite 及 OWASP ZAP。
互動式應用程式保安測試（IAST）
IAST 為網絡應用程式執行運行期測試，並結合 SAST 及 DAST 的元素。它透過在執行期間監控應用程式行為提供更深入的啟示，並涵蓋更多程式碼，同時產生更準確的結果。IAST 以更少的誤判結果提供豐富情境，因此 DevSecOps 團隊在 SDLC 尋求精確的反饋是有價值的。
軟件成分分析（SCA）
SCA 工具能識別開放源碼及第三方組件的漏洞，當中涵蓋了大部分現代化代碼庫。它們可偵測源碼及相依嵌入的過時或易受攻擊的資料庫。OWASP Dependency-Check、Snyk 及 WhiteSource 等工具持續掃瞄已知的 CVE，協助機構維持安全的軟件供應鏈。
運行期應用程式自我保護（RASP）
RASP 方案在應用程式運行環境中運作，以即時監控流量及偵測攻擊。與外部防火牆不同，RASP 對應用程式的邏輯具有上下文的認識，可偵測及阻截惡意行為，例如 SQL 攻擊、跨網站腳本（XSS）或程式碼篡改。採用 RASP 可強化運行期防禦，並支援跨環境的持續應用程式防護。
應用程式保安工具
應用程式保安工具是軟件方案，在軟件開發週期內運作應用程式保安測試及防護。這些工具不須引入新的保安技術，而是實施及擴展 AppSec 計劃中描述的測試方法，讓團隊及環境都能貫徹執行。
實際上，應用程式保安工具會用於：
- 在開發及部署期間自動化保安測試
- 將多種測試技術的結果集中在單一工作流程中
- 透過關聯性及背景減少人手努力及誤判
- 在應用程式及團隊之間貫徹執行保安管控
- 支援持續的應用程式防護，而又不會拖慢開發速度
應用程式保安工具如何支援測試技巧
大部份應用程式保安工具都配合一個或多個測試方法，例如靜態、動態、互動、相依性或運作期測試。現代工具通常結合多種功能，提供更廣泛的覆蓋範圍和更好的優先次序，而非將它們視為獨立的活動。
例如：
- 以代碼為重點的工具，在開發過程中支援早期偵測
- 以執行期為重點的工具在部署後提供防護
- 相依性工具有助管理第三方及供應鏈風險
這種多層式工具讓機構能在不同階段處理漏洞，而非依賴單一的即時評估。
TrendAI Vision One™ 如何強化應用程式保安
應用程式保安不單是保護個別應用程式，而是確保它們在安全、整合的生態系統內運作。TrendAI Vision One™ 提供一個統一平台，在用戶端、網絡及應用程式提供視野及管控，協助機構更快偵測及回應威脅。
將應用程式保安實務與 TrendAI Vision One 連繫起來，您就能取得進階威脅情報及自動化回應功能。這項整合讓保安團隊超越隔離防禦，採取全面方案，減低風險及改善整個數碼環境的韌性。
Fernando Cardoso 是趨勢科技產品管理副總裁，專長於不斷演進的人工智能與雲端世界。他的職業生涯由擔任網路與銷售工程師開始，並在數據中心、雲端、DevOps 及網絡資訊保安領域都具備優異技能，而他對這些領域依然煥發了無比熱情。
常見問題
甚麼是應用程式保安？
應用程式保安包括在開發及部署期間識別、修正及防止漏洞，以保護軟件免受威脅。
哪四種應用程式保安類型？
認證、授權、加密及記錄檔都保護應用程式免於未經授權的存取、資料外洩及惡意活動。
甚麼是靜態應用程式保安測試？
靜態應用程式保安測試（SAST）分析源碼的漏洞，而無須執行應用程式，確保安全開發。
甚麼是動態應用程式保安測試？
動態應用程式保安測試（DAST）透過模擬即時環境中的攻擊來評估運行中的應用程式是否存在漏洞。
甚麼是應用程式保安測試工具？
應用程式保安測試工具可偵測、分析及報告軟件代碼、配置及運行期環境的漏洞。
為何應用程式保安如此重要？
應用程式防護可保護敏感資料、防止入侵、確保合規及維持用戶對數碼平台的信任。
甚麼是 Web Application Security？
網站應用程式防護能保護網站免受威脅，例如 SQL 攻擊、跨網站腳本及未經授權存取。