在數(shù)字經(jīng)濟(jì)時(shí)代，軟件是大多數(shù)企業(yè)與客戶互動(dòng)和提供客戶支持的主要方式。如果企業(yè)所銷售的軟件或包含嵌入式軟件的產(chǎn)品出現(xiàn)了影響產(chǎn)品使用的軟件安全、合規(guī)或質(zhì)量問題，將給企業(yè)帶來難以承受的影響。即使是不直接參與軟件或軟件驅(qū)動(dòng)產(chǎn)品銷售的企業(yè)，也會(huì)受到軟件質(zhì)量和安全問題的影響。例如，大多數(shù)的工資單、賬單、應(yīng)收賬款、銷售跟蹤和客戶記錄的管理系統(tǒng)都是由軟件驅(qū)動(dòng)的。軟件控制生產(chǎn)、管理庫存、指揮倉儲(chǔ)活動(dòng)、并運(yùn)行著確保正常業(yè)務(wù)運(yùn)營(yíng)的分銷系統(tǒng)。因此，對(duì)軟件安全的了解及應(yīng)用安全測(cè)試須更加全面。
新思科技(Synopsys, Inc.，Nasdaq: SNPS)近日發(fā)布了《2021年軟件漏洞快照：新思科技應(yīng)用安全測(cè)試服務(wù)分析》報(bào)告（2021 Software Vulnerability Snapshot: An Analysis by Synopsys Application Security Testing Services, 以下簡(jiǎn)稱為報(bào)告）。該報(bào)告分析了2020年對(duì)2,600個(gè)目標(biāo)（即軟件或系統(tǒng)）進(jìn)行的3,900次測(cè)試的數(shù)據(jù)。這些數(shù)據(jù)由新思科技安全顧問在評(píng)估中心為客戶進(jìn)行的測(cè)試匯編而成，包括滲透測(cè)試、動(dòng)態(tài)應(yīng)用安全測(cè)試和移動(dòng)應(yīng)用安全分析，模擬真實(shí)世界中攻擊者的行為以測(cè)試正在運(yùn)行的應(yīng)用。
其中83%的測(cè)試目標(biāo)是Web應(yīng)用，12%是移動(dòng)應(yīng)用，其余的則是源代碼或網(wǎng)絡(luò)系統(tǒng)/應(yīng)用。測(cè)試的行業(yè)包括軟件和互聯(lián)網(wǎng)、金融服務(wù)、商業(yè)服務(wù)、制造業(yè)、媒體和娛樂業(yè)以及醫(yī)療健康行業(yè)。
新思科技軟件質(zhì)量與安全部門安全顧問副總裁Girish Janardhanudu表示：“現(xiàn)在，基于云的部署、現(xiàn)代技術(shù)框架和快速的交付速度正迫使安全部門做出更快的反應(yīng)。由于市場(chǎng)上AppSec資源不足，各企業(yè)正在利用新思科技等提供的應(yīng)用安全測(cè)試服務(wù)，以便靈活地?cái)U(kuò)展其安全測(cè)試。我們已經(jīng)看到，在疫情期間，安全評(píng)估需求大幅增加。”
在3,900次測(cè)試中，97%的被測(cè)目標(biāo)被發(fā)現(xiàn)存在某種形式的漏洞；其中30%的目標(biāo)是高風(fēng)險(xiǎn)漏洞；6%是嚴(yán)重風(fēng)險(xiǎn)漏洞。結(jié)果表明，安全測(cè)試的最佳方法是利用廣泛可用工具來幫助確保應(yīng)用或系統(tǒng)沒有漏洞。例如，28%的測(cè)試目標(biāo)曾遭受過跨站腳本(XSS)攻擊。這是影響web應(yīng)用最普遍和最具破壞性的高/關(guān)鍵風(fēng)險(xiǎn)漏洞之一。許多XSS漏洞僅在應(yīng)用運(yùn)行時(shí)出現(xiàn)。
報(bào)告的其他重點(diǎn)：
· 在76%的被測(cè)目標(biāo)中發(fā)現(xiàn)了2021年OWASP Top 10的漏洞。應(yīng)用程序和服務(wù)器配置錯(cuò)誤占測(cè)試中發(fā)現(xiàn)的全部漏洞的21%，代表性的有OWASP A05:2021 – 安全配置錯(cuò)誤類別。另外，發(fā)現(xiàn)的總漏洞中有19%與OWASP A01:2021 – 訪問控制失效類別有關(guān)。
· 不安全的數(shù)據(jù)存儲(chǔ)和通信漏洞困擾著移動(dòng)應(yīng)用程序。在移動(dòng)測(cè)試發(fā)現(xiàn)的漏洞中，有80%與不安全的數(shù)據(jù)存儲(chǔ)有關(guān)。這些漏洞使得攻擊者可以通過物理方式（即訪問被盜設(shè)備）或者惡意軟件訪問移動(dòng)設(shè)備。移動(dòng)測(cè)試發(fā)現(xiàn)的漏洞中還有53%與不安全的通信方式相關(guān)。
· 即使是低風(fēng)險(xiǎn)漏洞也可能被利用來促成攻擊。通過測(cè)試發(fā)現(xiàn)，其中64%的漏洞被認(rèn)為是較低、低或中等風(fēng)險(xiǎn)。也就是說，攻擊者無法直接利用所發(fā)現(xiàn)的漏洞去訪問系統(tǒng)或敏感數(shù)據(jù)。盡管如此，找出這些漏洞并非無用之功，因?yàn)榧词故堑惋L(fēng)險(xiǎn)漏洞也可以被利用來促成攻擊。例如，測(cè)試中發(fā)現(xiàn)有49%的服務(wù)器橫幅能詳細(xì)提供服務(wù)器名稱、類型和版本號(hào)等信息，可能有助于攻擊者對(duì)特定的技術(shù)堆棧發(fā)動(dòng)有針對(duì)性的攻擊。
· 對(duì)軟件物料清單的迫切需求。值得注意的是，在新思科技應(yīng)用程序安全測(cè)試服務(wù)進(jìn)行的滲透測(cè)試中，發(fā)現(xiàn)了有18%的系統(tǒng)在使用易受攻擊的第三方庫。這與2021年OWASP TOP10漏洞里的A06:2021 – 易受攻擊和過時(shí)的組件類別相一致。大多數(shù)組織一般會(huì)混合使用私有代碼、商業(yè)現(xiàn)成代碼和開源組件來開發(fā)對(duì)外銷售或內(nèi)部使用的軟件。通常情況下，這些企業(yè)僅通過非正式清單或甚至沒有清單，來記錄其軟件正在使用哪些組件，以及這些組件的許可證、版本和補(bǔ)丁狀態(tài)。由于許多企業(yè)在使用數(shù)百個(gè)應(yīng)用程序或軟件系統(tǒng)，可能擁有數(shù)百至數(shù)千個(gè)不同的第三方和開源組件，因此迫切需要一份準(zhǔn)確時(shí)新的軟件物料清單（SBOM）來有效追蹤這些組件。
- 特朗普宣布200億美元投資計(jì)劃，在美國(guó)多地建設(shè)數(shù)據(jù)中心
- 工信部：“點(diǎn)、鏈、網(wǎng)、面”體系化推進(jìn)算力網(wǎng)絡(luò)工作 持續(xù)提升算網(wǎng)綜合供給能力
- 2025年超融合基礎(chǔ)設(shè)施的4大趨勢(shì)
- 2025年將影響數(shù)據(jù)中心的5個(gè)云計(jì)算趨勢(shì)
- 80萬輛大眾汽車因AWS云配置錯(cuò)誤導(dǎo)致數(shù)據(jù)泄露，包含“高精度”位置記錄
- 名創(chuàng)優(yōu)品超4000家門店接入“碰一下”支付，引爆年輕消費(fèi)熱潮
- 免稅店也能用“碰一下”支付了！中免海南免稅店：碰一下就優(yōu)惠
- 報(bào)告：人工智能推動(dòng)數(shù)據(jù)中心系統(tǒng)支出激增25%
- 密態(tài)計(jì)算技術(shù)助力農(nóng)村普惠金融 螞蟻密算、網(wǎng)商銀行項(xiàng)目入選大數(shù)據(jù)“星河”案例
- 專利糾紛升級(jí)！Netflix就虛擬機(jī)專利侵權(quán)起訴博通及VMware
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
