基于 Web 的应用程序中的安全测试类型

Question

寻找安全测试类型 动态和静态分析是安全测试的一部分吗？ 作为 QA 测试人员，我们是否需要了解编程或编码语言知识才能执行安全测试？ 我们可以在 STLC 或 SDLC 的哪个阶段进行安全测试？

Answer 1

为获得最佳结果，应在编写代码时执行自动化测试。程序员应在其 IDE 中使用静态和动态代码分析器插件持续进行测试。如果在部署之前向开发人员提供大量发现，那么补救措施将是有问题的。大量的错误将令人生畏；假阳性和无关紧要的发现的数量会掩盖真正的阳性。此外，代码在开发团队的头脑中不会是新鲜的。许多开发人员将继续前进；那些留在项目中的人可能不熟悉他们离去的同事编写的代码。

我推荐 Chess and West 的 Secure Programming with Static Analysis。另请参阅Building a web application security focused team 和Effectiveness of Interactive Application Security Testing 的讨论，后者论证了交互式分析如何向开发人员表明弱点是真正的威胁；展示代码是如何被利用的，很难将这一发现视为另一个误报。

软件源代码的静态分析测试是必要的，但还不够。在 MITRE Common Weakness Enumeration 的近 1000 个条目中，有 40% 可以在开发生命周期的架构和设计阶段引入。请参阅 CWE-701：设计期间引入的弱点 https://cwe.mitre.org/data/lists/701.html

就其本质而言，架构和设计缺陷很难通过静态分析找到。此外，对架构和设计错误的修复可能很复杂，可能会注入额外的缺陷，并且可以提醒对手这些弱点的存在。此外，设计缺陷可能会掩盖静态分析可能检测到的编码错误，正如 Heartbleed 漏洞所证明的那样。

您对编程以及所使用的语言和框架了解得越多，就越能有效地帮助开发人员防止错误。您对编程以及所使用的语言和框架了解得越多，您就越能有效地帮助开发人员防止错误。