基于Web的应用程序中的安全测试类型

Question

正在寻找安全测试类型 是安全测试的动态和静态分析部分？作为QA测试人员，我们是否需要了解编程或编码语言知识以执行安全测试？ 我们可以在STLC或SDLC的哪个阶段执行安全测试？

Answer 1

为了获得最佳结果，应在编写代码时执行自动化测试。程序员应该在其IDE中使用静态和动态代码分析器插件进行持续测试。如果开发人员在部署之前获得一系列调查结果，那么补救措施就会出现问题。错误的数量将是艰巨的;假阳性数量和微不足道的结果将掩盖真正的积极因素。而且，代码在开发团队的脑海中不会是新鲜的。许多开发人员将继续前进;那些仍然在项目中的人可能不熟悉他们离去的同事编写的代码。

我推荐Chess和West的静态分析安全编程。另请参阅Building a web application security focused team和Effectiveness of Interactive Application Security Testing的讨论后者提出了交互分析如何向开发人员展示弱点是真正的威胁的论点;显示代码是如何被利用的，这使得很难摆脱这一发现只是另一个误报。

软件源代码的静态分析测试是必要的，但还不够。在MITRE Common Weakness Enumeration中近1,000个条目中，40％可以在开发生命周期的架构和设计阶段引入。参见CWE-701：设计中引入的弱点https://cwe.mitre.org/data/lists/701.html

从其本质来看，建筑和设计缺陷很难通过静态分析找到。此外，修复建筑和设计错误可能很复杂，可能会注入更多的缺陷，并可以提醒对手这些弱点的存在。此外，设计缺陷可能会掩盖静态分析可能会检测到的编码错误，如Heartbleed漏洞所示。

您对程序设计以及使用的语言和框架的了解越多，您在帮助开发人员预防错误方面就越有效。您对程序设计和使用的语言和框架的了解越多，您将帮助开发人员预防错误的效率越高。