web源代码流程承诺守信「多面魔方」

银行应用代码审计方案

银行是网络攻击的主要目标，企业也将信息安全作为其的关注点之一。近年来，银行系统的安全事件不绝于耳。导致这些攻击事件的主要根源是由于应用程序自身的漏洞，因此保障应用安全成了当前银行业信息安全的工作重点。

银行面临的应用安全问题主要有以下几个方面：

1、 应用数量庞大，实现全部安全测试并实时监控的难度很大。

要想实现对所有的应用进行详尽的安全测试，并在其版本更新时立即进行回归测试，无论是人工测试还是利用传统渗透测试工具及静态代码扫描工具都无法很好的达到目的。人工的方式太耗费人力。渗透测试工具依赖于人，且对于很多测试路径无法达到。静态工具误报率高，扫描的效率低下。

2、 为了应对需求变更，金融行业软件大量使用敏捷开发的模型，这使得安全代码审核的工作量加大。

敏捷开发的模型的特点是迭代，频繁的版本发布加大的安全代码审核的工作量，人工审核的方式已无法全部覆盖到。

3、 有大量项目是外包开发，其安全质量无法把控。

外包团队往往只注重对功能需求的完成，而不太顾及代码质量与安全问题。 企业没有很好的方法在过程中加强安全质理的管理。

对外包团开发的代码进行安全审计是银行保障应用安全的关键活动。SECZONE经过多年的安全服务的积累，对于银行外包代码安全审计形成了包括培训、S-SDLC流程、IAST技术组成的成熟解决方案。

1、应用安全培训

2、S-SDLC软件安全开发生命周期流程

3、利用IAST工具进行源码审核

4、兼容敏捷开发模式

5、实现对外包团队开发质量的控制

代码审计的应用

源代码作为企业核心商业，受到了高度重视和保护。然而由于其自身存在的安全缺陷、软件缺乏安全设计、不良的编程习惯等因素，使得注入、敏感信息泄露、命令执行等风险漏洞频频发生，给金融行业造成重大损失。因此，对源代码进行安全审计、提前发现系统漏洞、找出应用系统潜在风险、给出相应安全报告和修复方法成为提升用户应用系统安全性、保障软件源代码、设计、开发和应用的重要手段。

多年来持续深耕金融行业，始终为广大金融行业用户提供高质量的产品和服务，源代码安全审计服务作为专项技术检测服务的重点内容，已在诸多金融行业项目中得到实践运用，获得用户一致认可。

软件开发所面临的安全问题




1、代码与架构复杂

几十万、几百万行代码、一个业务分几十个模块几十个代码仓库家常便饭；开发语言多种多样，各种自研框架、流行框架应接不暇、架构还非常复杂。

以上两个问题对审计人员、SAST工具来说无疑都是很大的挑战。

2、工具准召率

没有工具是所谓银弹，规则、插件准召率很低，需要根据开发语言、编码风格自定义；工具对逻辑漏洞的无力，与