引言：
保护网络、设备和数据免受未经授权的访问或非法使用的能力被称为网络安全。它也是确保信息保密性、完整性和可用性的一种方式。应用程序安全是网络安全的重要组成部分，因为它保护应用程序内的数据，并防止未经授权的用户访问这些数据。
应用程序安全侧重于识别应用程序的功能和使用方法、应用程序中的数据流、业务逻辑、访问限制和授权问题，以保护应用程序和协议。遵循应用程序开发阶段制定的安全应用开发指南是应用安全的重要组成部分。例如，为确保定制的业务应用程序不会遭受恶意软件的攻击，开发人员必须采用安全的应用开发方法。
什么是应用程序安全？
应用合规是指在应用程序中生成、混合或集成并评估安全协议的实践，以保护应用程序免受非法访问和篡改等威胁。
为什么应用程序安全很重要？
由于如今的应用程序通常可通过众多网络访问并连接到云端，它们更容易受到安全威胁和入侵。发现并修复漏洞可以降低安全风险，从而缩小组织的整体攻击面。
软件中的漏洞十分常见。即使是非关键漏洞，也可能被聚合起来用于攻击链，即使它们本身都不严重。减少安全缺陷和漏洞的数量有助于减轻攻击的总体影响。
采取主动的应用安全方式比依赖被动的安全解决方案更可取。主动防御者能够更早地发现并消除攻击，有时甚至在造成任何损害之前。
随着企业将越来越多的数据、代码和运营迁移到云端，针对这些资产的攻击数量必然会攀升。实施应用安全机制可以缓解此类攻击。[1]
应用程序安全是如何运作的？
在整个软件开发周期和整个应用程序生命周期中改进安全程序，都属于安全措施。所有应用安全操作都应防止恶意行为者未经授权访问系统、应用程序或数据。应用安全的最终目标是防止攻击者访问、篡改或删除敏感或专有数据。
为保证应用程序安全而采取的任何步骤都被称为防护措施或安全控制。根据美国国家标准与技术研究院 (NIST) 的定义，是“为信息系统或组织推荐的保护措施或对策，用以维护其信息的保密性、完整性和可用性，并满足一组既定的安全标准”。
应用程序防火墙是一种软件防护措施。防火墙根据已安装的应用程序来确定文件如何运行以及数据如何管理。最常见的硬件防护措施是路由器。它们可防止单台计算机的互联网协议 (IP) 地址在互联网上被直接看到。
以下是一些其他防护措施：
- 标准防护措施
- 用于加密和解密的程序
- 杀毒软件
- 间谍软件检测和清除应用程序
- 使用生物识别的身份验证系统
应用程序安全有哪些类型？
加密、身份验证、日志记录、授权和应用安全测试都是应用安全结构的示例。设计人员还可以使用代码来缓解应用程序中的安全缺陷。
加密：用于保护您的敏感数据免受未经授权人员的侵害。数据经过加密，以防止被未经授权或被犯罪分子使用。
身份验证：指软件开发人员在程序中采用的各种机制，以确保只有合法的操作人员才能访问它。验证用于检查操作人员是否就是其声称的身份。这可以通过在登录应用程序时要求用户输入用户名和密码来实现。身份验证结合了多种要素，例如您知道的东西（密码）、您是谁（您的身份）（指纹或面部识别）以及您拥有的东西（移动设备）。
日志记录：如果应用程序的安全被攻破，日志记录可以帮助确定是谁获得了对数据的访问权限以及他们是如何做到的。程序的哪些部分被谁访问过，其轨迹都保存在应用程序日志文件中。
授权：在操作人员通过验证后，可以授予其进入和操作程序的权限。系统可以通过将用户身份与已批准用户列表进行比对，来确保该员工有权访问程序。身份验证必须在授权之前进行，以便程序能够将刚刚验证的用户名和密码与已批准的用户列表相匹配。
应用程序安全测试：测试是确保所有这些安全策略都已到位并有效运行的关键步骤。[2]
应用程序安全控制措施有哪些？
应用安全控制是提高用户已编译代码安全性并减少其受攻击暴露面的技术。其中许多选项与程序如何响应黑客可能尝试利用的异常输入有关。程序员可以为应用编写代码，使其对意外输入的处理拥有更多控制。模糊测试是一种应用安全测试，开发者通过检查意外值或输入的结果，找出哪些会导致程序出现意外行为，从而可能暴露安全缺陷。
应用程序安全有哪些优势？
- 降低这两类潜在威胁的风险。
- 通过表明自己不会成为负面新闻的主角来提升品牌形象。
- 保障消费者数据安全，并提升消费者忠诚度。
- 防止敏感信息泄露。
- 增强主要投资者和贷款方的信心。
- Loshin, P. application security。来源：https://searchsoftwarequality.techtarget.com/definition/application-security。
- What is Application Security?；来源：https://www.vmware.com/topics/glossary/content/application-security.html。
常见的应用程序漏洞
- 注入（SQL、命令）：不受信任的输入改变了查询的含义。
- 失效的身份验证：弱密码或会话处理不当。
- 失效的访问控制：用户可以访问不属于自己的数据。
- 跨站脚本 (XSS)：恶意脚本在访问者的浏览器中运行。
- 安全配置错误和过时的组件。
OWASP Top 10 是最关键的 Web 应用程序风险的标准列表。
最佳实践
- 验证输入并使用参数化查询。
- 对密码进行妥善哈希，并提供多因素身份验证。
- 在服务器端而不仅仅是界面上实施最小权限访问控制。
- 保持库和框架为最新版本。
- 测试：代码审查、自动化扫描和定期渗透测试。
- 记录并监控。
我们从第一行代码开始，就采用这些实践构建安全的网页和移动应用程序。
More about application security
Want to go further with application security? These Netstech guides and services are a good next step:
