使用APPSCAN进行安全性检测总结[转]

xiangxiang1999 · 发表于 2010-11-10 13:56:51

感谢楼主精妙总结。谢谢。

iory · 发表于 2010-11-11 11:34:19

我认为安全测试会成为软件测试一个新分支，新的领域。正如自动化和性能测试一样。但事实上做好安全测试并不是会用Appscan就行了，对测试人员个人水平有很大依赖。用Appscan做安全测试并不难，但要做得好，就不是那么容易了。就算全系统扫描，最后没有安全问题出现。就能保证说系统安全非常好吗？事实上
基于Appscan安全扫描的机制，其实只能发现系统安全问题的部分问题，并非全部。当然这其中还要排除appscan误报（测试策略的筛选）。同时Appscan软件本身对大站点扫描一些crash的问题，虽说Appscan是安全测试工具中的神器，但神器有时也有不可靠的时候。太相信工具并不可取。现在应该很少项目有基于架构，代码级别的安全机制的review能力，交给安全机构去测试也是一个比较好的解决方法。

我给保险项目做了2个月的安全测试，有10个问题CQ记录并解决（只关注high和medium的问题）
但效果其实并不好。版本是Appscan 7.8.0.2(**版)，问题只要集中在websphere本版导致问题，敏感信息泄露，SQL注入等等。

iory · 发表于 2010-11-11 11:40:34

我认为安全测试会成为软件测试一个新分支，新的领域。正如自动化和性能测试一样。但事实上做好安全测试并不是会用Appscan就行了，对测试人员个人水平有很大依赖。用Appscan做安全测试并不难，但要做得好，就不是那么容易了。就算全系统扫描，最后没有安全问题出现。就能保证说系统安全非常好吗？事实上
基于Appscan安全扫描的机制，其实只能发现系统安全问题的部分问题，并非全部。当然这其中还要排除appscan误报（测试策略的筛选）。同时Appscan软件本身对大站点扫描一些crash的问题，虽说Appscan是安全测试工具中的神器，但神器有时也有不可靠的时候。太相信工具并不可取。现在应该很少项目有基于架构，代码级别的安全机制的review能力，交给安全机构去测试也是一个比较好的解决方法。

我给保险项目做了2个月的安全测试，有10个问题CQ记录并解决（只关注high和medium的问题）
但效果其实并不好。版本是Appscan 7.8.0.2(**版)，问题只要集中在websphere本版导致问题，敏感信息泄露，SQL注入等等。

总结：做好安全测试工具使用并不难，但对安全测试人员个人知识体系要求非常高，否则安全测试可信度不高

越影 · 发表于 2010-11-11 19:02:50

不错的总错，收下了，楼主好卖力，最近发了很多好贴，支持你

batandbird · 发表于 2010-11-18 15:20:41

看看，版本是那个？

cq_java · 发表于 2011-7-27 13:53:04

楼主，请教几个问题啊，在此先谢谢了

1.扫描过程中，提示不在会话环境中，请重新登录，这个问题是扫描原因？怎么解决呢
2.在扫描时，appscan会自动关闭，这是扫描原因？（扫描的是邮件系统，有证书的，尝试策略选择的是完全）

lllyw · 发表于 2011-8-9 14:31:31

测试是万能的。

lfc1026 · 发表于 2011-8-23 12:35:41

刚刚开始学习安全性测试，谢谢楼主了。

angelzhan · 发表于 2011-9-13 17:53:34

好好学习哈！

孟胡范b · 发表于 2011-10-24 20:25:30

感谢楼主辛苦发贴。吞噬星空 http://www.kanshu.la/

gaspar1986 · 发表于 2011-11-1 09:47:25

谢谢！

gaichifanle · 发表于 2011-11-9 17:22:01

好资料，谢谢分享

lymmxz · 发表于 2012-3-30 09:02:00

回复 17# ruanyongjie
多谢楼主，有英文的资料？能否发我一份哦？lymmxz@126.com

dhcn · 发表于 2012-4-9 12:23:39

安全测试专业化我赞成，但我不赞成安全测试全部外包，对于服务运营型的大公司，测试频繁，外包代价太高，我的观点是外部辅助+内部消化，逐渐在内部形成专门的安全管理机构，全流程参与软件开发过程，从而从根本上提高软件安全质量。
回复 6# sihanjishu

liuyuwangood · 发表于 2012-5-21 16:57:38

天士 · 发表于 2012-7-5 10:03:01

安全测试还是有点难度的！哎继续努力

syang0517 · 发表于 2012-8-27 10:45:43

不错学习学习

ljk · 发表于 2012-9-1 10:51:01

谢谢分享

ljk · 发表于 2012-9-1 10:52:51

谢谢分享

jxaa187141 · 发表于 2012-9-28 17:43:59

感谢楼主精妙总结

		自动登录	找回密码
密码			(注-册)加入51Testing

使用APPSCAN进行安全性检测总结[转]

站长推荐 /1