jjzjj

网络安全之面向大众的应用安全保护

何威风 2023-03-28 原文
虽然应用程序安全有许多途径，但允许安全团队快速轻松地保护应用程序并以自助服务方式影响安全状况的捆绑包正变得越来越流行。

​有趣的是，这么多的推销实际上是所售产品或服务的功能列表，这很有趣的原因是，对于任何在客户方面工作过或听过客户意见的人来说，很明显客户购买的是解决方案，而不是产品。因此，通过喋喋不休地列出一大堆功能来炫耀你对你的产品有多自豪的想法对我来说总是有点奇怪。

换句话说，客户有许多他们希望解决的不同问题、问题和挑战。他们不一定对您的产品或服务可以做的所有不同事情感兴趣。相反，他们有兴趣了解您的解决方案如何帮助他们解决战略重点，并朝着他们为安全和欺诈问题设定的目标前进。供应商有责任了解这一点，并让潜在客户更容易理解该映射。

按照这些思路，提高应用程序安全性是客户的共同目标。正如您想象的那样，任何旨在提高应用程序安全性的解决方案都将非常复杂，由许多不同的活动部件组成。因此，强迫客户在您的产品数据表和概述中寻找他们需要的组件并不是让这些客户相信您有他们可能在市场上需要的解决方案的有效方法。

那么供应商如何才能让客户相信他们拥有值得客户花时间评估的解决方案呢？对于初学者，他们可以将各种功能捆绑到用例中，这些用例可以轻松地向客户演示、评估和使用。按照这些思路，围绕流行的应用程序安全保护用例的捆绑包会是什么样子？

虽然不是详尽的清单，但这里有一些想法：

  • 应用程序代理：在应用程序前面放置代理可能是最基本的应用程序安全要求之一，并且有充分的理由。有了中介，我们就可以检查和监控进出应用程序的流量，并根据安全目的进行必要的阻止或过滤。
  • 速率限制和快速访问控制列表 (ACL)：淹没站点是攻击者的老套路。这是一种原始但有效的策略。速率限制是防止此类攻击的一种相对直接的方法。同样，快速执行的访问控制列表 (ACL) 是阻止不需要的流量的另一种有效方法。
  • 路径发现：将机器学习 (ML) 应用于环境中的流量，使我们能够跟踪请求速率、访问应用程序的客户端身份、发送的有效负载的大小以及其他重要的遥测元素。使用 ML 可以让我们在恶意流量变得更严重之前识别并阻止它——通常在几分钟而不是几小时内。
  • Web 应用程序防火墙： WAF 已成为应用程序提供商所需的技术，应作为任何应用程序安全包的一部分包含在内。
  • L3/L4/L7 DDoS： DDoS 保护也已成为应用程序提供商的要求，也应作为任何应用程序安全包的一部分包含在内。
  • Bot 防御：知道如何绕过上面列出的防御的高级 bot 可能会导致应用程序提供商遭受金钱损失和声誉损害。因此，机器人防御也应作为应用程序安全包的一部分包含在内。
  • 自动证书：部署应用程序的速度对于保持竞争力至关重要，保护这些应用程序的速度也是如此。自动颁发证书和为资源自动注册 DNS 的能力可以节省时间，使应用程序提供商可以在几分钟内从无保护转变为全面保护。
  • 恶意用户检测：机器学习 (ML) 的另一个重要应用是快速了解哪些用户和模式似乎有恶意行为。这通常需要应用程序提供商花费数小时或数天才能确定。使用 ML，这可以在几分钟内完成，从而使这些应用程序提供商能够快速采取行动并阻止/缓解。
  • 客户端防御：许多应用程序提供商缺乏对最终用户环境的可见性。检查 JavaScript 的调用方式、请求的去向以及调用的第三方脚本的能力提供了重要的洞察力，这对应用程序安全目的非常有帮助。
  • URI 路由：快速轻松地控制某些请求路由到何处的能力使应用程序提供商能够阻止/控制特定端点 (URI)。没有这个重要的特性，任何应用程序安全解决方案都是不完整的。
  • 服务策略：快速简便的策略部署是应用程序安全所必需的。根据需要根据需要将服务策略链接在一起的能力，以及生成自定义规则以引导流量或允许/拒绝超出其他防御功能能力范围的流量的能力，是整个应用程序安全包的另一个重要部分。
  • 综合监视器：应用程序的外部性能如何？我的客户正在经历什么？这些是合成监视器允许企业回答的重要问题，可以快速识别可能影响应用程序的任何问题。
  • TLS 指纹和设备识别：虽然 IP 地址经常变化，但 TLS 指纹和设备标识符很少变化。因此，在涉及应用程序安全时，基于它们而不是 IP 地址的策略和规则很有意义。
  • 跨站点请求伪造保护：跨站点操作的脚本会给应用程序提供商带来严重的问题。因此，减轻它们存在的风险也应该成为任何应用程序安全包的一部分。
保护应用程序是几乎所有企业的首要任务。虽然应用程序安全有许多途径，但允许安全团队快速轻松地保护应用程序并以自助服务方式影响安全状况的捆绑包正变得越来越流行。这些捆绑包通知应用程序提供商，并允许他们做出更好、更明智的决策来改善安全状况，而不会给最终用户带来不必要的摩擦。


安全网络安全strongdata-id的应用安全$应用保护

有关网络安全之面向大众的应用安全保护的更多相关文章

  1. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  2. ruby-on-rails - Rails 应用程序之间的通信 - 2

    我构建了两个需要相互通信和发送文件的Rails应用程序。例如，一个Rails应用程序会发送请求以查看其他应用程序数据库中的表。然后另一个应用程序将呈现该表的json并将其发回。我还希望一个应用程序将存储在其公共(public)目录中的文本文件发送到另一个应用程序的公共(public)目录。我从来没有做过这样的事情，所以我什至不知道从哪里开始。任何帮助，将不胜感激。谢谢! 最佳答案 无论Rails是什么，几乎所有Web应用程序都有您的要求，大多数现代Web应用程序都需要相互通信。但是有一个小小的理解需要你坚持下去，网站不应直接访问彼此

  3. ruby - 无法运行 Rails 2.x 应用程序 - 2

    我尝试运行2.x应用程序。我使用rvm并为此应用程序设置其他版本的ruby​​:$rvmuseree-1.8.7-head我尝试运行服务器，然后出现很多错误:$script/serverNOTE:Gem.source_indexisdeprecated,useSpecification.Itwillberemovedonorafter2011-11-01.Gem.source_indexcalledfrom/Users/serg/rails_projects_terminal/work_proj/spohelp/config/../vendor/rails/railties/lib/r

  4. ruby-on-rails - Rails 应用程序中的 Rails : How are you using application_controller. rb 是新手吗？ - 2

    刚入门rails，开始慢慢理解。有人可以解释或给我一些关于在application_controller中编码的好处或时间和原因的想法吗？有哪些用例。您如何为Rails应用程序使用应用程序Controller？我不想在那里放太多代码，因为据我了解，每个请求都会调用此Controller。这是真的？ 最佳答案 ApplicationController实际上是您应用程序中的每个其他Controller都将从中继承的类(尽管这不是强制性的)。我同意不要用太多代码弄乱它并保持干净整洁的态度，尽管在某些情况下ApplicationContr

  5. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  6. ruby-on-rails - 如何在我的 Rails 应用程序 View 中打印 ruby​​ 变量的内容？ - 2

    我是一个Rails初学者，但我想从我的RailsView(html.haml文件)中查看Ruby变量的内容。我试图在ruby​​中打印出变量(认为它会在终端中出现)，但没有得到任何结果。有什么建议吗？我知道Rails调试器，但更喜欢使用inspect来打印我的变量。 最佳答案 您可以在View中使用puts方法将信息输出到服务器控制台。您应该能够在View中的任何位置使用Haml执行以下操作:-puts@my_variable.inspect 关于ruby-on-rails-如何在我的R

  7. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不，不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本，提供另一个脚本，它将在其标准输入上获取请求，并在其标准输出上返回完整的响应。到目前为止一切顺利，但事实证明这真的很脆弱，因为它在第二个请求上中断并出现错误:/usr/b

  8. ruby - 如何安全地删除文件？ - 2

    在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  9. ruby-on-rails - 如何在 Gem 中获取 Rails 应用程序的根目录 - 2

    是否可以在应用程序中包含的gem代码中知道应用程序的Rails文件系统根目录？这是gem来源的示例:moduleMyGemdefself.included(base)putsRails.root#returnnilendendActionController::Base.send:include,MyGem谢谢，抱歉我的英语不好 最佳答案 我发现解决类似问题的解决方案是使用railtie初始化程序包含我的模块。所以，在你的/lib/mygem/railtie.rbmoduleMyGemclassRailtie使用此代码，您的模块将在

  10. 世界前沿3D开发引擎HOOPS全面讲解——集3D数据读取、3D图形渲染、3D数据发布于一体的全新3D应用开发工具 - 2

    无论您是想搭建桌面端、WEB端或者移动端APP应用，HOOPSPlatform组件都可以为您提供弹性的3D集成架构，同时，由工业领域3D技术专家组成的HOOPS技术团队也能为您提供技术支持服务。如果您的客户期望有一种在多个平台（桌面/WEB/APP，而且某些客户端是“瘦”客户端）快速、方便地将数据接入到3D应用系统的解决方案，并且当访问数据时，在各个平台上的性能和用户体验保持一致，HOOPSPlatform将帮助您完成。利用HOOPSPlatform，您可以开发在任何环境下的3D基础应用架构。HOOPSPlatform可以帮您打造3D创新型产品，HOOPSSDK包含的技术有：快速且准确的CAD

随机推荐