軟件系統安全運營的守護神 – 系統安全測試方法與工具

【課程背景】

當今經濟運行、行業發展、工作生活等帶來的大數據，像水、電、氣一樣，已經成為我們工作和生活的基本物質，關系到經濟運行、社會發展、個人隱私等方方面面內容。數據的國內年復合增長率84%，數據的爆炸帶動各行業的應用系統數量的與日俱增，從企業的數據中心應用，到互聯網企業的大型移動應用，都無時無刻不在存儲和管理著大量的數據資源，這些數據能夠幫助個人、企業和社會更好地發展。

如何保證應用系統的安全性和可靠性？這個問題已經引起全社會的廣泛關注。

安全測試是建立在功能測試基礎上進行的測試，安全測試提供證據表明，在面對惡意攻擊時，應用仍能充分滿足它的需求，主要是對產品進行檢驗以驗證是否符合安全需求定義和產品質量標準的過程

軟件產品大多具備很強的實用性，盡管無法完全適用于某個行業，但它能夠 覆蓋絕大多數企業的絕大多數業務，并且一般實施軟件周期通常不會太長，所以在時間緊任務重的情況下，要重點地驗證軟件性能，對于本企業的工作流程對軟件做單元測試、壓力測試及全面檢測等。

軟件的安全性是一個長期性連續不斷的過程，圍繞整個軟件的項目生命周期。企業從系統上線、試運營到正式運行，甚至完全擺脫手工賬，整個期間軟件的安全性都是一個不容忽視的難題。驗證軟件安全性的最常用辦法以上所述軟件原型檢測，因為系統軟件是信息集成系統，所以在檢測時，應該是全系統的檢測，每個部門的人員都需要同時參與，這樣才可以了解各個數據信息、功能和工作流程之間彼此的集成關聯。

檢測時，找出存在問題的方面，明確提出處理企業管理難題的方案，以便明確提出對軟件的改進方案;然后再模擬運行，在基本上了解軟件功能的基礎上，按企業的工作流程模擬操作，挑選有代表性的業務，將各種各樣需要的數據整理錄入系統，按企業日常工作中常常遇到的難題，組織項目團隊開展實戰演練性模擬，并按照發現的難題及市場需求，由項目團隊制訂解決方案。

　　總的來說，綜合檢測系統軟件是否穩定的辦法。應用軟件和共享數據結構間的這種關聯決定了它一定要實施穩固的檢測和監測流程才可以保證企業重要應用的正常運行。所以，確保應用系統的安全性以上所述在確保企業內部正常的工作的安全性。

【課程收益】

?  了解“安全監測”的內涵與關鍵功能點

?  了解“安全監測”的類型，及其在應用發開與使用中的定位

?  熟悉 “安全監測”常用的工具，與使用的場景

?  了解“移動應用”的檢測方式

?  了解如何建立正確的“安全監測”系統化思維

【課程特色】分析理論，知其所以然；實戰解析，能趨吉避兇

【課程對象】信息技術部門相關主管， 信息科技部首席/資深架構師，CIO（首席信息官），CTO（首席技術官），COO（首席運營官），信息科技部數據中心運維人員

【課程時間】6小時

【課程大綱】

一、“安全測試”的內涵為何？

a)       安全測試的定義為何？

b)      安全測試的主要目的為何？

c)       安全測試與“通常測試”與“滲透測試”的差別為何？

d)      安全測試目前面臨的挑戰為何？

二、“安全測試”的功能點有哪些？

a)       網絡安全

b)      用戶程序安全

c)       數據安全

d)      是否使用“第三方”評測軟件？

三、安全測試有哪些類型？

a)       跨站腳本（XSS, Cross Set script）

                   i.           反射型跨站（Reflected XSS）

                  ii.           存儲型跨站（Stored XSS）

                 iii.           DOM 跨站（DOM-based XSS）

                 iv.           跨站請求偽造（CSRF）

b)      注入類

                   i.           SQL 注入

                  ii.           XML 注入

                 iii.           URL 跳轉

c)       文件類

                   i.           文件系統跨越

                  ii.           文件上傳

                 iii.           文件下載

d)      系統命令

e)       控制類

                   i.           權限控制

                  ii.           訪問控制

四、業界常用的安全測試工具，以及其應用場景？

a)      AppScan

b)      BurpSuite

c)       Nmap

d)      salmap

五、移動應用（Mobility Application）的安全監測有哪些方式？

a)       漏洞掃描

b)      滲透測試

c)       代碼審計

d)      安全加固

e)       安全配置檢查

f)        個人信息收集合規評估

六、系統安全測試的正確思路為何？

a)       知道問什么要測試？

b)      了解運行的網絡環境

c)       明確設置的范圍

d)      做好測試計劃

e)       使用合適的團隊資源

f)        不要對過程進行干預

g)      注重結果

h)       全面溝通結果

七、課程總結

a)       學員心得分享

b)      課程重點摘要

c)       答客問