datasheet

保证财产安全,如何应对层出不穷的网络攻击?

2018-08-29来源: 互联网 关键字:网络攻击


作者:新思科技软件质量与安全部门管理顾问Olli Jarva

 

金融行业最基本的要求是风险控制。银行、证券等金融机构对安全的需求一直都很迫切,尤其是在大数据时代。一旦金融机构或其客户的数据被泄露,损失往往是不可估量的。



新思科技软件质量与安全部门管理顾问Olli Jarva指出:“金融服务机构经常部署复杂的应用程序,与采用不同语言的分布式地理信息系统连接。它们通过多种协议进行通信,其中一些使用的是多个平台提供的免费开源软件。”

 


这种复杂性使金融服务机构的网络面临更多漏洞。更糟糕的是,市场压力迫使软件行业要更快交付产品。在急于完成一个软件时,安全流程极有可能就被忽视了。

 

金融行业是黑客的重点攻击对象之一,从ATM攻击、DDoS攻击、勒索软件到APT攻击等,犯罪手段层出不穷。

 

为了防患于未然,我们可以探讨一下哪种防范方式更有效,能保护金融服务机构、应用程序及客户资产。

 

1. 软件安全架构

软件完整性是衡量一款软件是否卓越的关键。完整性是指软件质量与安全。在每款应用开发之初,安全专家和软件架构师应该紧密合作,以开发高度整合的、简化的软件安全架构。风险分析应该在软件开发早期阶段进行 —— 这通常被称为“左移”。

 


当所有安全决策都通过一个小型、集中式内核运行时,它不太可能会省略某个安全决策(例如授权)。开发团队可以放心地去构建一个安全的应用程序,因为代码在默认情况下从一开始就是安全的。

 

2. 威胁建模

威胁建模流程可以支持识别漏洞和潜在攻击路径,降低风险。进行威胁建模是持续风险评估过程的一部分,可以帮助开发团队保持高度的安全警惕性。不断提醒攻击的可能性,并从攻击者的角度考虑应用程序安全,有助于开发团队从不同角度进行思考,并在开发过程中进行防御。

 

 

 

3. 自动安全测试

过去,应用程序安全测试通常在软件开发过程结束时或接近结束时才进行。这就会导致如果有安全漏洞的话,开发人员要到后期才能发现,补救成本往往要更高。

 

早期发现漏洞不仅可以降低修复成本,还可以减少在后期阶段修复漏洞的时间。这对于像金融等行业的快节奏开发环境尤其重要。除了自动连续测试之外,在整个软件开发过程中采取安全措施,可以在软件投产之前就解决安全问题,避免昂贵的补救成本。

 

现在市面上有许多自动测试工具,每种工具都有优缺点。动态应用安全测试(DAST)工具(也称为黑盒测试)可识别正在运行的应用程序中的漏洞。 DAST可快速有效地查找到不同类型的应用程序漏洞,包括身份验证和授权问题。而且,即使是不熟悉编码语言的人也能使用这类工具。



静态应用安全测试(SAST)工具(也称为白盒测试)可供有权访问应用程序的源代码、字节代码或二进制文件的人使用。它能识别应用程序中的潜在漏洞,例如程序正在使用不受信任的数据,并在没有任何形式的验证和/或编码的情况下将其视为可信。黑盒测试用于正在运行的应用程序,在这个过程中不易发现的漏洞可以被 SAST工具检测出来。

 

4. 手动安全测试

自动化工具有一定的局限性,这就是为什么需要补充手动安全测试的原因。例如,自动化工具可能无法检测到逻辑和设计缺陷,这时候就需要手动代码审查和渗透测试,用来识别和解决这些问题。

 

5. 专业人员与培训计划

软件是一个团队协作开发的结果。开发过程中的所有参与者都应在安全方面获得充分的信息和培训,从而在整个软件开发生命周期(SDLC)中推动安全计划进展。推行安全计划不能只靠软件开发人员,还需要了解常见漏洞和核心安全概念的质量保证(QA)团队和项目经理。 QA团队应该能够进行基本的安全测试工作。



创造具有安全意识的环境和培养这样的团队意味着在SDLC早期就能发现安全问题,并且在其成为沉重负担前解决掉。

 

总结

金融服务机构受到高度的监管,应用程序运行环境复杂。市场日新月异,维持应用程序安全是一项有挑战的任务。但部署安全系统及在SDLC早期(即“左移”)采取安全举措可以为金融服务机构提供坚实的软件安全保障。

 


关键字:网络攻击

编辑:muyan 引用地址:http://www.eeworld.com.cn/wltx/2018/ic-news082921014.html
本网站转载的所有的文章、图片、音频视频文件等资料的版权归版权所有人所有,本站采用的非本站原创文章及图片等内容无法一一联系确认版权者。如果本网所选内容的文章作者及编辑认为其作品不宜公开自由传播,或不应无偿使用,请及时通过电子邮件或电话通知我们,以迅速采取适当措施,避免给双方造成不必要的经济损失。

上一篇:5G芯片,高通、华为谁能吃第一口螃蟹?
下一篇:5G牌照,三大运营商或将人手一张

关注eeworld公众号 快捷获取更多信息
关注eeworld公众号
快捷获取更多信息
关注eeworld服务号 享受更多官方福利
关注eeworld服务号
享受更多官方福利

推荐阅读

富士通研发新技术,可检测车载网络攻击

据外媒报道,富士通(Fujitsu Limited)和富士通研究所(Fujitsu Laboratories)研发了一项技术,可检测车载网络攻击。近年来,汽车与互联网的联系越来越紧密,互联汽车的数量也在逐年增加。但互联汽车可能遭遇网络攻击被远程控制,从而引发严重的后果。正常情况下,通过车载网络,也被称为控制器局域网(CAN)传输信息,车载系统及其操作行为是可以被控制的。然而网络攻击者通过远程袭击控制系统,“劫持”连接外部网络的通信设备及网关,并发送恶意信息,导致汽车违背司机的意图进行操作,包括突然加速或者刹车,从而引发交通事故。当前采用的检测车载网络是否接收到攻击信息的方法:检查通过车载网络定期传输的信息之间的间隔是否在可接受
发表于 2018-02-14
富士通研发新技术,可检测车载网络攻击

富士通研发一项新技术 可检测车载网络攻击

 据外媒报道,富士通(Fujitsu Limited)和富士通研究所(Fujitsu Laboratories)研发了一项技术,可检测车载网络攻击。近年来,汽车与互联网的联系越来越紧密,互联汽车的数量也在逐年增加。但互联汽车可能遭遇网络攻击被远程控制,从而引发严重的后果。正常情况下,通过车载网络,也被称为控制器局域网(CAN)传输信息,车载系统及其操作行为是可以被控制的。然而网络攻击者通过远程袭击控制系统,“劫持”连接外部网络的通信设备及网关,并发送恶意信息,导致汽车违背司机的意图进行操作,包括突然加速或者刹车,从而引发交通事故。当前采用的检测车载网络是否接收到攻击信息的方法:检查通过车载网络定期传输的信息之间的间隔是否
发表于 2018-02-07
富士通研发一项新技术 可检测车载网络攻击

网络攻击成电力业者最关切威胁

管理顾问服务公司Accenture新报告《OutsmarTIng Grid Security Threats》指出,将近63%的电力事业高层相信,未来5年内他们的国家电网将遭受网络攻击,导致电力供应中断危机。北美电业高层相信的比例更高达76%。该报告调查全球20国100多个电业高层,统计出「因网络攻击而瘫痪电力供应」是最受关切的问题,共有57%的受访者表达此一关切;53%表示担心员工与顾客的安全问题;43%对物理资产可能遭受破坏表达最大的关切。Accenture Resources表示,由于更复杂化、甚至武器化的恶意软件不断进化,这种因网络犯罪者恶意目的而起的攻击行为具有很高的风险,攻击产业中的控制系统,可能会摧毁电网耐受度
发表于 2018-01-17

黑客控制你的车!不信?其实很简单

汽车和电脑之间的友谊日益密切且复杂。专业软件可实现车辆各部件的互联,从刹车到方向盘再到到门锁乃至收音机,所有部件均能实现网络连接。许多较新车型还能实现车辆与互联网的连接。那么,您爱车被黑客攻击的机率有多大呢?黑客所造成破坏究竟有多大呢?车企正在做打造自动驾驶汽车,面对黑客发起的网络攻击,其防黑客能力有多强呢?今天我们就让全球权威大咖给咱们详细介绍一下。斯蒂芬·萨维奇是2017年麦克阿瑟基金会的“天才”奖学金获得者兼加州大学圣地亚哥分校教授,负责专门研究汽车黑客。他表示:“相较于从前,车企做了更多努力,但做得还不够。这或将使驾驶员及行人面临受伤甚至死亡的风险。同时,这也会涉及驾驶员的隐私。”当前的挑战包括:“提升汽车业的标准,将过去
发表于 2017-12-27
黑客控制你的车!不信?其实很简单

腾达路由APP四招保护家庭上网安全,无惧网络攻击

近日,安全研究人员发出警告称,全世界有多达一百万个组织已经受到一种全新计算机僵尸网络的感染。英国网络安全公司的Check Point已经发现了一种全新的僵尸网络,它能够控制物联网设备,最主要是互联网路由器和远程遥控摄像头,可以在短时间内发动大量的DDoS攻击。DDoS的原理:通过大量数据请求来让DNS服务器瘫痪,使其他用户无法通过域名查询 IP 地址,导致无法访问网站。研究人员给本次来袭的僵尸网络命名为IoTroop,并称这是他见过的发展最快的僵尸网络。研究表明,这些新的僵尸网络有可能引发与去年“Mirai”相同形式的网络攻击。去年10月份,美国发生过大规模的DDoS攻击,这次攻击几乎令半个美国的网络陷入瘫痪,其中就包括
发表于 2017-10-29
腾达路由APP四招保护家庭上网安全,无惧网络攻击

小广播

电子工程世界版权所有 京ICP证060456号 京ICP备10001474号 电信业务审批[2006]字第258号函 京公海网安备110108001534 Copyright © 2005-2018 EEWORLD.com.cn, Inc. All rights reserved