隨著(zhù)我們持續將網(wǎng)絡(luò )安全納入物聯(lián)網(wǎng)應用部署，我們要考慮的下一個(gè)領(lǐng)域是創(chuàng )建自己的軟件系統所面臨的挑戰。讓我們考慮一下大多數人在創(chuàng )建軟件系統時(shí)采用的方法。開(kāi)發(fā)能夠解決客戶(hù)問(wèn)題的新應用程序的興奮感在設計過(guò)程中非常令人鼓舞。通常，系統開(kāi)發(fā)人員首先關(guān)注的是與用戶(hù)體驗相關(guān)的項目：

應用程序的目的是什么？我們將允許用戶(hù)完成什么？該應用程序的主要功能是什么？應用程序將在哪里運行——在 PC 還是移動(dòng)設備上？這對架構意味著(zhù)什么？UI 應該如何設計？怎樣才能讓它更簡(jiǎn)單、更直觀(guān)？

這些都很重要，但您發(fā)現還缺少什么嗎？從開(kāi)發(fā)過(guò)程一開(kāi)始就需要考慮安全問(wèn)題。將網(wǎng)絡(luò )安全納入應用程序開(kāi)發(fā)的設計、開(kāi)發(fā)和測試以及維護階段將使產(chǎn)品生命周期管理變得更加容易。

設計

在開(kāi)始設計應用程序時(shí)，請考慮與應用程序相關(guān)的潛在威脅。例如：

物聯(lián)網(wǎng)軟件開(kāi)發(fā)內共享的信息有多敏感？?? 

您可能正在提供一些非常通用的信息和交互——在這種情況下，您可能決定不考慮安全性，并允許匿名訪(fǎng)問(wèn)應用程序和數據。工作完成了，您現在可以繼續設計 UI 和行為的精彩部分。但如果它更敏感，那么您需要再考慮一下。

標準身份驗證和授權

如果您提供的信息需要某種程度的互動(dòng)，且該互動(dòng)應保密，則需要進(jìn)行一定程度的身份驗證。音樂(lè )流媒體平臺就是一個(gè)典型的例子；您可以匿名訪(fǎng)問(wèn)和使用該平臺，但如果您想擺脫廣告并創(chuàng )建離線(xiàn)播放的內容，則必須登錄。您還需要提供付款詳細信息，而您絕對不想與公眾分享這些信息。?? 

對于這種方法，您需要使用我們之前關(guān)于這些主題的博客中討論過(guò)的標準身份驗證和授權技術(shù)。需要記住的重要一點(diǎn)是，即使您只需要應用程序的部分內容是安全的，也需要認真對待安全性。此領(lǐng)域的一個(gè)典型錯誤是用戶(hù)可以錯誤地從應用程序未經(jīng)身份驗證的區域訪(fǎng)問(wèn)數據 - 這是設計未正確組件化安全區域的地方。

高度監管的行業(yè)

當您提供對高度機密信息的訪(fǎng)問(wèn)和交互時(shí)，例如移動(dòng)銀行應用程序，您需要提供目前可能使用的最高安全級別。在這種情況下，您的組織可能會(huì )有關(guān)于您的應用程序需要滿(mǎn)足哪些要求的詳細指南，一個(gè)很好的例子就是《安全技術(shù)實(shí)施指南》（STIG）。這種指南可能非常長(cháng)，初讀時(shí)很難理解。我們的建議是，您在組織中尋找已經(jīng)使用指南編寫(xiě)過(guò)應用程序的人，他們可以為您提供一些關(guān)于您需要在應用程序中設計哪些安全控制以滿(mǎn)足安全要求的想法。例如，標準銀行應用程序使用自適應身份驗證來(lái)正確識別用戶(hù)。

開(kāi)發(fā)與測試

讓我們從標準指南開(kāi)始——我聽(tīng)到了你的抱怨，但一旦你使用了幾次，其中的大部分就會(huì )成為你的第二天性。根據你使用的語(yǔ)言，會(huì )有不同的指南。一個(gè)很好的初始指南來(lái)自 OWASP 基金會(huì )安全編碼實(shí)踐指南，鏈接如下1。它至少會(huì )幫助你在編寫(xiě)代碼時(shí)正確思考你需要注意什么。?? 

現在您需要決定要將重點(diǎn)放在安全測試上。與所有其他決定一樣，這將取決于您對特定應用程序的安全意識。例如，如果您已決定不擔心安全性，則可以忽略此部分。但是，您可能希望仔細檢查安全性較低的應用程序是否允許用戶(hù)意外訪(fǎng)問(wèn)應用程序基礎架構中更安全的區域。?? 

編寫(xiě)代碼時(shí)從一開(kāi)始就考慮安全性并使用一些準則使其盡可能安全，下一步是進(jìn)行靜態(tài)應用程序安全測試，或者對于我們大多數人來(lái)說(shuō)稱(chēng)為源代碼掃描。根據應用程序的大小，這可能是一個(gè)組件或整個(gè)應用程序。掃描應在包含所有庫的源代碼樹(shù)上運行，即您的代碼以及第三方庫。有許多著(zhù)名的源代碼掃描程序，從開(kāi)源到商業(yè)產(chǎn)品。無(wú)論您選擇哪一個(gè)，對于源代碼，輸出都將是“發(fā)現”列表，其中將突出顯示安全漏洞的嚴重性和位置；這些從嚴重到低評分。對于第三方第三方庫，您將獲得任何具有漏洞的庫的常見(jiàn)漏洞和暴露列表，CVE 列表的數字評分從 1 到 10，10 為嚴重，這稱(chēng)為 CVSS 系統。? 

您可以自行決定緩解這些突出顯示的漏洞的數量，但我們建議您至少解決自己源代碼中的嚴重性和高嚴重性漏洞，并獲取 CVSS 為 7 到 10 的任何漏洞的更新庫。? 

在對源代碼進(jìn)行掃描后，我們現在要進(jìn)行一些動(dòng)態(tài)應用程序安全測試。這是在編譯、構建和部署的應用程序上進(jìn)行的，并將為您提供另一份可利用的漏洞列表。這與源代碼掃描之間的主要區別在于，動(dòng)態(tài)應用程序安全測試將包括運行時(shí)環(huán)境中的配置和其他組件。無(wú)論您對單個(gè)應用程序做出的決定如何（如上所述），都應該對所有應用程序進(jìn)行此操作。? 

最后，但并非最不重要的一點(diǎn)是，您需要運行滲透測試，以確保您沒(méi)有遺漏任何東西。這可以是低調的，例如同事試圖突破您的安全防御，或者在主要IoT 物聯(lián)網(wǎng)軟件平臺雇用專(zhuān)門(mén)從事此類(lèi)不道德黑客攻擊的第三方組織。滲透測試的一個(gè)好起點(diǎn)是使用此網(wǎng)站OWASP Top Ten | OWASP Foundation。他們讓網(wǎng)站保持最新已知漏洞、攻擊模式和其他有用信息。

維護與支持

眾所周知，安全措施一直在不斷發(fā)展，以應對那些無(wú)能之輩不斷嘗試尋找新方法來(lái)獲取他們不應該擁有的數據。這意味著(zhù)我們必須始終假設我們的應用程序需要不斷得到照顧；您不能部署后就忘記。同樣，根據擁有組織的規模（畢竟可能只有一個(gè)人），您需要確保定期檢查以下內容：

檢查您的第三方庫并保持其更新運行應用程序的環(huán)境會(huì )及時(shí)更新補丁和最新版本

較大的組織將擁有一個(gè)或多個(gè)團隊來(lái)負責此事，并將制定流程作為其符合 ISO 27001 和/或 SOC2 等標準的審計合規性的一部分。?