应用层安全扫描工具

背景

根据一份报告显示，大约80%的安全问题发生在应用层，但是在应用层的投入相对匮乏。

image.png

造成上面的原因很多，其中比较突出和普遍的原因就是研发团队没有足够的安全意识，常常把安全放在最后，作为一种nice to have的事情，由于交付压力，安全测试常常被砍掉。

自动化安全

之前常常通过新闻的渠道才知道某某库出现了安全漏洞，然后通过手动的方式去查看，这种方式非常的耗时，低效。

所以我们做自动化安全，把安全相关的检测和测试，集成到jenkins流水线中，持续的获取到我们应用的安全状态，并做持续改进，避免安全造成的公司财务或者名誉损失。

自动化流水线：

image.png

源码安全扫描

常见的源码级别的静态安全扫描有Fortify（收费）,FindSecurityBugs,Sonar+FindBugs,通过这些工具，它们可以快速识别代码中的安全风险，并给出修复提示。
如图“Sonar+FindBugs插件”：

sonar.png

具体配置请参考：https://find-sec-bugs.github.io/

第三方依赖安全监测工具

80%的代码不是你写的，而来至于第三方依赖

比如知名的Apache structs2有一个版本就有远程代码执行漏洞，OpenSSL Heartbleed就存在过服务器内存泄露等问题，一般针对JAVA应用，推荐使用OWASP DependencyCheck来做三方依赖的安全监测工具，只需要引入Maven或者gradle插件即可。

<project>
    ...
    <build>
        ...
        <plugins>
            ...
            <plugin>
              <groupId>org.owasp</groupId>
              <artifactId>dependency-check-maven</artifactId>
              <version>4.0.0</version>
              <executions>
                  <execution>
                      <goals>
                          <goal>check</goal>
                      </goals>
                  </execution>
              </executions>
            </plugin>
            ...
        </plugins>
        ...
    </build>
    ...
</project>

具体配置请参见： https://jeremylong.github.io/DependencyCheck/dependency-check-maven/

其一般工作原理如下（需要网络连接）：