从一开始，我就学习了与web安全相关的安全知识。那时，我根本不明白学习的意义。只知道学了网络安全，就可以去网上找漏洞了。申请，获取webshel??l，然后提权到系统最高权限。经过这个过程，基本上已经达到了巅峰。突破的时候是最有成就感的。相信很多同仁都是在这样的情况下进入这个行业的。.Web安全是应用程序安全的一部分。说到应用，什么是应用？百度百科说要适应使用的需要。在现在的互联网时代，所有的软件都可以称为应用程序。它们的生产是为了满足我们的日常需求并方便我们的基本必需品。很多年前，是PC互联网时代。近年来，进入移动互联网时代。未来将是物联网、人工智能等时代，随着科技的进步，安全需求也在不断变化。这几年做渗透的朋友发现越来越难做了，网络安全漏洞也越来越少。这可以说是时代的进步、安全意识的提高、代码安全性的提高、主要应用领域的变化等一系列因素共同作用的结果。这样一来，这对安全行业来说是一件好事，整体安全性在不断提升，可见我们安全从业者的价值所在。对于应用程序的整个生命周期，越早考虑安全性越好。早期的应用主要是为了功能的实现和快速上线。互联网行业迭代更新非常快，时间就是竞争力。只有当业务出现重大安全问题出现亏损时，才及时招人或购买安全服务，及时止损。在上线之前，他们没有考虑安全性，带着漏洞上线，导致大量用户隐私泄露。最终的受害者是使用该应用程序的用户。安全人员经过多年企业逐渐重视安全，那么如何做好应用安全呢？大家都听说过SDLC，翻译过来就是软件开发生命周期，就是规范开发流程，提高开发效率，提升代码质量。对于闭环，SDLC包括需求分析、设计、编码、测试、发布五个阶段，如图：但这里不考虑安全性。我们能否将安全性融入整个软件开发生命周期？怎么做？请看下图：在需求阶段做风险评估，提前识别风险，作为安全需求提交给研发，不仅是功能上的，还有一些不合理的结构，对安全人员的要求很高。高的;设计阶段威胁建模和安全参与设计评审，指出设计中存在的安全威胁，共同完成安全设计方案；在开发阶段，需要进行代码审查，通过人工或自动化的方式提前进行代码审计，对安全专业人员的需求也很高；安全评估在测试阶段进行，即安全测试或渗透测试，通过黑匣子发现安全漏洞并在上线前解决。您可以与功能测试合作伙伴合作或其他方法；在发布阶段，对主机进行安全检查，升级最新补丁，关闭无用端口等，尽量减少攻击面；上线后，启动SRC平台接收白帽漏洞提交，补充安全性不足的测试，实现闭环；经过以上一系列的操作，大部分的安全问题都可以在上线前被扼杀，从而大大降低应用的安全风险，但这样做需要耗费大量的人力和时间。对于大的一些企业来说，完全做起来是不可能的，因为流程的复杂性或者人员的能力，都可能造成项目的延误和错误的商机。做不做、怎么做，都需要上级领导的支持。不同的公司情况不同，需要制定的流程也不同，执行情况也不同。理想情况下，每个项目都应该完全按照上述流程进行。这是很多安全领导的理想，但往往投入产出比不是很好，没有领导的支持，参与过程的同事也很抗拒这样做。毕竟增加工作量是很多事情，不是每个人都愿意做的，所以作为安全员，不能强迫每个人都按照你的要求去做，你需要平衡好我们和开发者之间的关系，在不增加他人工作量的同时，提高软件安全性，同时规范流程，提高自动化能力，把研发当成我们的用户。我们服务于企业，而不是监管机构。今天就到此为止吧。实现起来并不容易，也不是每个公司都能做到。如果您没有足够的人力，请不要这样做。做好渗透测试，在恶意攻击前发现安全问题，促进发展，尽快修复安全问题。如果业务系统较多，无法自行覆盖全面的渗透测试，可以成立SRC，聚集白帽的力量，帮助企业发现安全问题，然后开发自己的扫描器，将历史安全问题整合到扫描中设备，确保历史安全问题不再发生，我们的价值能得到很好的体现，安全无止境，我们互相鼓励！
