只有 50% 的應用程序安全問題是與代碼相關的缺陷。另外50%是設計級問題。如何解決這些問題：通過架構分析。

Verizon對世界各地發生的大量違規和攻擊樣本進行年度評估，并分析導致重大攻擊的最常見問題和關鍵領域。在本文中，我們將討論Verizon報告中的三種特定安全事件模式，以及架構分析評估如何幫助組織在軟件開發生命周期（SDLC）的早期檢測和預防這些問題。

銷售點 （POS） 入侵

銷售點 （POS） 入侵是指攻擊者試圖通過破壞運行 POS 應用程序的計算機/服務器來捕獲支付數據。此類攻擊可能源于社會工程攻擊（如電話以獲取憑據）到涉及多個步驟的更復雜的機制。過去三年的趨勢顯示POS攻擊持續增長（2013年有173次，2014年有196次，2015年有396次）。

通常，POS 入侵是由于使用弱身份驗證控制來遠程訪問存儲敏感信息（如用戶密碼或信用卡詳細信息）的系統。對于較小的組織，攻擊者通常通過猜測或暴力破解密碼來對 POS 系統進行直接攻擊，這可能是因為密碼復雜性策略較弱。對大型組織的攻擊通常包括多個步驟，攻擊者在以 POS 為目標之前會破壞其他系統。

過去妥協的一個主要因素是使用默認憑據，但最近的轉變是被盜憑據。導致這些違規成功的其他因素是 POS 系統中普遍缺乏安全控制和審核日志、網絡分段不足以及 POS 設備軟件中的漏洞。

體系結構分析評估可以幫助檢測這些弱點，并提供補救指導，以防止它們在違規中被利用。架構分析有助于識別薄弱或缺失的安全控制，因此是從各個角度分析對 POS 系統的訪問的有效方法。例如，它可以評估密碼復雜性策略、憑據存儲和多重身份驗證控制，以確定它們是否足以防止對 POS 系統的這些類型的攻擊。該分析還可以識別對其他組件和系統的依賴關系，以突出顯示在其他內部系統遭到入侵時可以利用的弱點。根據Verizon的報告，這是大規模POS漏洞的常見攻擊媒介。

架構分析不僅可以識別技術故障，還可以識別面向流程的漏洞。例如，它可以分析添加或修改用戶訪問權限的過程是否必須遵循一系列批準和驗證檢查，以及是否審核這些檢查以避免濫用。

內部威脅和權限濫用

最突出和最常見的安全事件模式之一是內部威脅。內部人員通常在其組織內具有高度的信任度，因此更容易訪問關鍵信息，例如信用卡號、SSN 和銀行帳戶信息。因此，缺乏集中的數據分類和 PII 清單，加上不適當的訪問控制，很容易導致災難。

為了履行其職責，某些用戶需要不時提升的權限來訪問應用程序存儲的敏感數據。但是，持續且未經審核的特權訪問可能會導致這些內部人員濫用的風險增加。

另一個風險是，數據庫特權用戶的意外更改或配置錯誤可能會向惡意最終用戶提供敏感數據訪問。Verizon違規報告指出，大多數內部違規行為都是由最終用戶進行的，而不是開發人員或系統管理員。蓄意內部攻擊的原因包括個人經濟利益和沮喪的員工通過泄露敏感的內部信息來發泄不滿。

體系結構分析評估可以幫助識別駐留在應用程序中的數據，對數據進行適當分類，并評估現有的控件是否足以保護數據。它可以進一步評估參與者（內部人員和外部人員）及其特權，以確保他們遵循最小特權和職責分離原則，這有助于防止特權濫用。最后，架構分析還可以幫助識別應用程序日志記錄和審計跟蹤中的缺陷，這在發生內部違規時作為威懾和取證調查的寶貴信息來源都很重要。

網頁應用攻擊

Verizon的2015年數據泄露調查報告（DBIR）顯示，9.4%的攻擊與Web應用程序有關。這些攻擊的原因包括缺乏雙因素身份驗證、配置錯誤、暴力攻擊以及缺乏導致數據泄露的流量出口過濾器。

滲透測試和代碼審查是組織用來識別 Web 應用攻擊的主要工具。但是，您可以使用體系結構分析來補充這些評估。架構分析審查評估關鍵的安全控制，以防止應用程序受到潛在的 Web 相關攻擊的危害。這些控件的一些示例包括身份驗證、授權、加密、輸入驗證、輸出編碼、審核/日志記錄、監視/警報、會話管理、運行時環境驗證和密碼存儲。

評審不必局限于安全控制的驗證。它還可能包括配置問題。良好的體系結構分析可以指出與安全配置錯誤和缺乏環境隔離相關的問題。

架構分析還可以在識別許多與 Web 應用程序相關的漏洞方面發揮關鍵作用。例如，應用程序中通常發現的兩個主要問題是SQL注入（SQLi）和跨站點腳本（XSS）。定義明確的體系結構分析評審可以評估應用程序是否采用有效的安全控制，并遵循最佳實踐來防御這些和其他常見攻擊模式。

除了這些標準攻擊模式之外，更高級的體系結構分析評審可以評估特定于系統的攻擊并執行依賴關系分析，以發現與應用程序所依賴的框架和組件相關的漏洞。保持這些漏洞的清單并部署一個流程，確保它們保持最新狀態并定期修補安全問題，對于應對機會主義網絡攻擊大有幫助，這些攻擊占Verizon報告中分析的所有網絡應用程序妥協的四分之三。

在 SDLC 中更早地保護應用程序

統計數據顯示，雖然50%的安全問題是與代碼相關的缺陷，但其余50%是設計級問題，僅通過代碼審查或滲透測試無法有效發現。架構分析可以通過分析用于實現應用程序的基本設計原則、架構、安全控制和流程，幫助您在 SDLC 中及早發現缺陷。

體系結構分析需要深入了解應用程序體系結構。評估包括與技術團隊成員（如架構師、首席開發人員和設計工程師）的訪談，以了解應用程序設計和體系結構。隨后通常進行頭腦風暴練習，以發現潛在的弱點。除了識別缺陷之外，這些評估還可以根據業務影響對風險進行分類，并幫助組織相應地確定風險的優先級。

通過部署架構分析，您可以在應用程序和系統中發現并防止設計級缺陷被犯罪黑客或內部人員利用。我們希望您不會成為明年版Verizon數據泄露調查報告中統計數據的一部分。