随着信息技术的飞速发展，安全问题逐渐成为目前影响和制约网络应用发展的一个重要因素。传统的信息安全评估服务多在应用系统生命周期的运维阶段开展，对于评估发现的安全隐患，特别是代码问题很难整改，在整改过程中也易导致系统运行故障。
大量用户在自主开发应用系统或委托开发应用系统时，更多的是从业务功能实现和性能方面对应用系统进行验收，缺乏相应的技术手段和能力对交付的应用系统的安全状况进行检验。如果应用系统在上线后由于存在类似SQL注入、密码明文传输、安全功能缺失等漏洞而遭受攻击，会直接影响正常业务运行，甚至造成经济和名誉的损失，再加上有些漏洞涉及代码改写，考虑到业务连续性的要求，这些漏洞几乎无法得到修复。
因此，用户需要一种能够在系统上线前对系统安全状况进行检验的服务，从信息安全的角度对应用系统、集成环境等内容的安全状况进行评估，对发现的问题进行妥善处理，避免将影响系统安全的问题遗留到系统上线后，成为系统安全的隐患。
针对上述需求，天磊卫士自有一套系统上线前安全评估手段，通过针对集成环境的安全漏洞扫描、安全配置检查，针对应用系统的渗透测试、代码审计以及针对应用系统的安全功能审核等三方面五项技术措施，对应用系统的安全状况进行评估。做系统上线前安全评估不仅能够保证集成环境的安全，避免操作系统和数据库缺失安全补丁，存在不当的安全策略以及开启不安全的服务，也能对应用系统的安全状况进行检查，而且从业务功能逻辑上，对应用系统的安全功能进行检查，避免应用系统在安全功能上的缺失。
一、什么是系统上线前安全评估？
系统上线前安全评估是针对应用系统（业务系统）正式投入生产运行之前，利用大量安全性行业经验和先进安全技术相结合的综合分析和评价的一种手段。该手段是天磊卫士为最大化减小生产运行系统可能存在的安全隐患，而设计的一套行之有效、针对性强的风险识别、检测、规避方法。
二、为什么要做系统上线前安全评估？
做系统上线前安全评估有以下原因：
1. 避免遭受攻击 :或因存在类似SQL注入、密码明文传输、安全功能缺失等漏洞而遭受攻击；
2.等保合规 :满足《网络信息安全等级保护》合规要求；
3.避免影响单位信誉 :不进行系统安全体系建设会流失红利，影响单位信誉或业务正常开展造成经济和名誉的损失；
4.保证安全 :安全评估能保证安全控制措施应用在具有最大风险的区域；
5.符合法律法规 :满足《中华人民共和国网络安全法》相关要求；
6.重要依据 :安全评估结果可作为对单位所实施的安全措施进行优先级排序的重要依据。
三、传统的安全评估
1. 被动
多是在应用系统生命周期的运维阶段，也就是上线投产后进行的，发现的安全风险难处置，甚至在发生安全事件后才被动的发现相关问题。引出物联网标准是关键；
2. 局限
少量委托专业安全厂商进行的安全测试也多局限于渗透测试（黑盒测试）部分；
3.不全面
部分安全意识较高的组织开始尝试在系统上线前进行安全评估，但多数仅使用漏洞扫描工具对操作系统和应用软件层面的漏洞进行简单发现。
四、系统上线前安全评估方法论
1.安全漏洞扫描
安全漏洞扫描主要是通过评估工具以本地扫描的方式对评估范围内的主机系统进行安全扫描，从内网和外网两个角度来查找操作系统和数据库等安全对象目标存在的安全风险、漏洞和威胁。本次扫描主要对系统层的安全性进行评估。
该层的安全问题来自网络运行的操作系统和数据库系统等。安全性问题表现在两方面：一是本身的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是安全配置存在问题。
2.安全配置检查
评估操作系统、应用软件的安全配置错误等并不能通过安全扫描工具全面发现，因此有必要在评估工具扫描范围之外进行安全配置的检查。
安全配置检查是对操作系统、应用的脆弱性和安全配置错误等方面进行安全检查的有效手段。主机安全检查包括主机操作系统和常见应用服务两大部分的检查。
3. 渗透测试
渗透测试是在获得授权后，通过模拟黑客使用的工具、攻击思路来进行实际的漏洞发现和利用的安全测试方法。这种测试方法可以非常有效的发现安全漏洞，尤其是与全面的代码审计相比，其使用的时间更短，也更有效率。
在测试过程中，用户可以选择渗透测试的强度，例如不允许测试人员对某些服务或者应用进行测试或影响其正常运行。通过对某些重点服务进行准确、全面的测试，可以发现系统最脆弱的环节，以便对危害性严重的漏洞及时修补，以免后患。
在实施过程中，安全测试人员根据实际情况从内网或外网的角度对应用系统进行渗透测试。在进行渗透测试前，将与用户技术人员确定详细的渗透方案，确定渗透系统为测试系统，必要的时候在业务应用空闲的时候（周末或晚上）进行测试。
另外，采用的测试工具和攻击手段都在可控范围内，并同时准备充分完善的系统恢复方案。渗透测试只有真正高水平，有经验和富有职业道德的测试人员才能达到良好的测试效果。
4.代码审计
FORTIFY源代码分析集是一套综合的工业标准化软件安全规范的工具集，它能够在软件应用中有效地去查找，跟踪，和修复安全漏洞。能够和现有的开发工具、评审工具和开发过程建立紧密地合作。FORTIFY源代码分析器提供精确的、一致的结果，这能够最大限度地减少用在识别，跟踪软件安全缺陷的时间和努力。
5. 安全功能审核
安全功能审核是根据国际信息安全通用准则ISO15408、国家标准GB/T18336以及国家信息安全测评认证中心的有关规范，对应用系统的功能审核分析过程。其目的是从标准的角度检查应用系统的安全功能是否完善，其安全功能强度是否达到一定的安全等级。
五、安全评估范围
- 物理环境 2. 网络设备 3. 操作系统 4.应用软件 5.代码程序 6. 数据
为避免遭受攻击，直接影响系统正常业务的运行，要加强防范才是。
标签：上线,测试,系统,必要,安全,应用,评估 来源： https://blog.csdn.net/Uguardsec/article/details/112652589
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。