0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看技术视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示

如何做到更有效的安全防护成为金融服务机构的关注点

西西 作者:厂商供稿 2018-08-29 11:47 次阅读

作者:新思科技软件质量与安全部门管理顾问Olli Jarva

近年来,得益于云计算、大数据、人工智能区块链等技术的发展,金融服务也更加多样、便利及智能。与此同时,由于巨额的利益驱使,金融服务行业成为了网络攻击的重点对象。如何做到更有效的安全防护成为业界的关注点。

金融服务机构经常部署复杂的应用程序,与采用不同语言的分布式地理信息系统连接。它们通过多种协议进行通信,其中一些使用的是多个平台提供的免费开源软件。

这种复杂性使金融服务机构的网络面临更多漏洞。更糟糕的是,市场压力迫使软件行业要更快交付产品。在急于完成一个软件时,安全流程极有可能就被忽视了。

金融行业是黑客的重点攻击对象之一,从ATM攻击、DDoS攻击、勒索软件到APT攻击等,犯罪手段层出不穷。

为了防患于未然,我们可以探讨一下哪种防范方式更有效,能保护金融服务机构、应用程序及客户资产。

1.软件安全架构

软件完整性是衡量一款软件是否卓越的关键。完整性是指软件质量与安全。在每款应用开发之初,安全专家和软件架构师应该紧密合作,以开发高度整合的、简化的软件安全架构。风险分析应该在软件开发早期阶段进行 —— 这通常被称为“左移”。

当所有安全决策都通过一个小型、集中式内核运行时,它不太可能会省略某个安全决策(例如授权)。开发团队可以放心地去构建一个安全的应用程序,因为代码在默认情况下从一开始就是安全的。

2.威胁建模

威胁建模流程可以支持识别漏洞和潜在攻击路径,降低风险。进行威胁建模是持续风险评估过程的一部分,可以帮助开发团队保持高度的安全警惕性。不断提醒攻击的可能性,并从攻击者的角度考虑应用程序安全,有助于开发团队从不同角度进行思考,并在开发过程中进行防御。

3.自动安全测试

过去,应用程序安全测试通常在软件开发过程结束时或接近结束时才进行。这就会导致如果有安全漏洞的话,开发人员要到后期才能发现,补救成本往往要更高。

早期发现漏洞不仅可以降低修复成本,还可以减少在后期阶段修复漏洞的时间。这对于像金融等行业的快节奏开发环境尤其重要。除了自动连续测试之外,在整个软件开发过程中采取安全措施,可以在软件投产之前就解决安全问题,避免昂贵的补救成本。

现在市面上有许多自动测试工具,每种工具都有优缺点。动态应用安全测试(DAST)工具(也称为黑盒测试)可识别正在运行的应用程序中的漏洞。 DAST可快速有效地查找到不同类型的应用程序漏洞,包括身份验证和授权问题。而且,即使是不熟悉编码语言的人也能使用这类工具。

静态应用安全测试(SAST)工具(也称为白盒测试)可供有权访问应用程序的源代码、字节代码或二进制文件的人使用。它能识别应用程序中的潜在漏洞,例如程序正在使用不受信任的数据,并在没有任何形式的验证和/或编码的情况下将其视为可信。黑盒测试用于正在运行的应用程序,在这个过程中不易发现的漏洞可以被 SAST工具检测出来。

4.手动安全测试

自动化工具有一定的局限性,这就是为什么需要补充手动安全测试的原因。例如,自动化工具可能无法检测到逻辑和设计缺陷,这时候就需要手动代码审查和渗透测试,用来识别和解决这些问题。

5.专业人员与培训计划

软件是一个团队协作开发的结果。开发过程中的所有参与者都应在安全方面获得充分的信息和培训,从而在整个软件开发生命周期(SDLC)中推动安全计划进展。推行安全计划不能只靠软件开发人员,还需要了解常见漏洞和核心安全概念的质量保证(QA)团队和项目经理。 QA团队应该能够进行基本的安全测试工作。

创造具有安全意识的环境和培养这样的团队意味着在SDLC早期就能发现安全问题,并且在其成为沉重负担前解决掉。

总结

金融服务机构受到高度的监管,应用程序运行环境复杂。市场日新月异,维持应用程序安全是一项有挑战的任务。但部署安全系统及在SDLC早期(即“左移”)采取安全举措可以为金融服务机构提供坚实的软件安全保障。

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉
  • 云计算
    +关注

    关注

    39

    文章

    7698

    浏览量

    137075
  • 新思科技
    +关注

    关注

    5

    文章

    780

    浏览量

    50284
  • 安全防护
    +关注

    关注

    0

    文章

    59

    浏览量

    13491
  • 网络攻击
    +关注

    关注

    0

    文章

    330

    浏览量

    23411
  • 大数据
    +关注

    关注

    64

    文章

    8851

    浏览量

    137182
收藏 人收藏

    评论

    相关推荐

    伺服驱动器的安全防护措施

    工况下的安全运行。 1. 引言 随着工业自动化水平的不断提高,伺服驱动器在各种机械设备中的应用越来越广泛。伺服驱动器的安全性不仅关系到设备的正常运行,还涉及到操作人员的安全和生产效率。因此,采取
    的头像 发表于 11-04 15:25 154次阅读

    有效的云服务器网络安全防护措施

    服务器网络安全防护措施是确保云服务稳定性和数据安全的关键环节,最有效的云服务器网络
    的头像 发表于 10-31 09:51 97次阅读

    越界智能监测摄像机:安全防护的新利器

    随着社会的快速发展,安全问题日益凸显,尤其是在公共场所和重要设施周边,如何有效防范非法入侵和潜在威胁成为了亟待解决的难题。越界智能监测摄像机应运而生,以其先进的技术和强大的功能,为安全防护
    的头像 发表于 10-09 09:57 132次阅读
    越界智能监测摄像机:<b class='flag-5'>安全防护</b>的新利器

    软通智服荣获“2024人力资源服务机构优秀品牌”奖项

    近日,由环球人力资源智库(GHR)举办的“2024环球人力资源服务展”在深圳召开,本次活动汇集行业领袖、人力资源高管与众多企业人力资源从业者,软通智服作为人力资源服务领域的杰出品牌受邀出席,并在备受瞩目的环球人力资源服务机构品牌
    的头像 发表于 08-28 17:11 509次阅读

    电气安全防护有哪些

    在现代社会,电力的广泛应用使得我们的生活和工作变得更加便捷和高效。然而,电力的使用也伴随着一定的风险,特别是当电气安全防护措施不到位时,可能会发生严重的电气事故。这些事故不仅可能导致设备的损坏,还可
    的头像 发表于 08-27 16:54 506次阅读

    关于“低空安防”之卫星授时安全防护隔离装置,你知道吗?

    。 道路交通时间紊乱引发“撞车”! 民航时间紊乱导致“撞机”! 电力时间紊乱造成整个电力系统瘫痪…… 同时,随着无人机、无人车等广泛应用, 授时安全防护 的必要性日益突显。“授时裸奔”存在巨大隐患和现实危害。 授时方式主要
    的头像 发表于 07-30 16:00 299次阅读
    关于“低空安防”之卫星授时<b class='flag-5'>安全防护</b>隔离装置,你知道吗?

    华企盾DSC防泄密系统:多重安全防护,保障企业数据无忧

    在当今信息化快速发展的时代,随着企业数据规模和数据类型的不断增加,数据安全问题变得越来越重要,已经成为了一个不容忽视的焦点话题。华企盾DSC防泄密系统是一款专业的数据安全防护解决方案,主要面向企业
    的头像 发表于 05-30 11:09 344次阅读

    以守为攻,零信任安全防护能力的新范式

    (Zero Trust Security)被提出,并逐渐成为提升网络安全防护能力的新范式。本文主要探讨攻击路径的演变、零信任体系在各个阶段的防护作用,并探讨零信任体系未来可能的发展方向。 攻击路径 攻击路径是指攻击者利用一系列的
    的头像 发表于 05-27 10:18 881次阅读
    以守为攻,零信任<b class='flag-5'>安全防护</b>能力的新范式

    百度智能云与全球知名咨询服务机构毕马威签署战略合作协议

    近日,在首届“百度智能云GENERATE全球生态大会”上,百度智能云与全球知名咨询服务机构毕马威签署战略合作协议。
    的头像 发表于 04-14 09:24 754次阅读

    寻迹智行机器人安全防护技术提高工厂整体搬运效率!

    搬运机器人的安全防护技术旨在通过人员、机器、物料、环境的和谐运作,使搬运过程中潜在的各种事故风险和伤害因素始终处于有效控制状态,它对于确保人员、机器设备、物料以及周围环境的安全具有至关重要的作用。
    的头像 发表于 04-03 11:01 361次阅读
    寻迹智行机器人<b class='flag-5'>安全防护</b>技术提高工厂整体搬运效率!

    光伏户用如何做到低成本获客?

    光伏户用如何做到低成本获客? 随着可再生能源的日益普及和技术的不断进步,光伏系统正逐渐走进千家万户。然而,对于光伏企业来说,如何在激烈的市场竞争中低成本地获取客户,成为了他们面临的一大挑战。本文将
    发表于 02-27 10:33

    知语云全景监测技术:现代安全防护的全面解决方案

    大型企业、政府机构还是个人用户,都可以通过该技术有效提升安全防护能力。例如,在企业内部网络中部署知语云全景监测技术,可以实时监测员工行为、网络攻击等情况,有效防止数据泄露和非法入侵;在
    发表于 02-23 16:40

    光纤防尘有何意义?如何做到更有效的光纤防尘?

    光纤防尘有何意义?如何做到更有效的光纤防尘? 光纤防尘是指采取一系列措施来保护光纤免受尘埃和污染物的影响。光纤传输是现代通信和网络领域的关键技术,光纤防尘对于保持光纤传输质量和稳定性具有至关重要
    的头像 发表于 11-28 14:34 603次阅读

    介绍一种基于eBPF的Linux安全防护系统

    针对操作系统、内核安全,联通云操作系统团队开发了的一个基于 eBPF 的 Linux 安全防护系统 safeguard,可以实现安全操作的审计拦截及安全防护功能。项目采用 libbpf
    的头像 发表于 11-07 17:43 807次阅读
    介绍一种基于eBPF的Linux<b class='flag-5'>安全防护</b>系统

    防物理攻击,芯片是如何做到的?

    防物理攻击,芯片是如何做到的? 芯片是现代电子设备的核心组件,负责存储和处理数据。为了确保芯片的安全性,需要采取一系列防护措施来防范物理攻击,包括防止物理侵入、防御侧信道攻击以及防范反向工程等。下面
    的头像 发表于 11-07 10:18 712次阅读