开发安全生命周期

为什么需要应用开发安全管理

      今天的互联网经济中，尤其对于金融、运营商、电子商务等企业，软件应用不光承载着其核心业务，同时还生成、处理、存储着各类企业的核心敏感信息：账户信息、隐私、业务数据、金融交易记录等，一旦软件应用的安全性不足，不但短期内业务中断、声誉受损，各种信息资产还将透过地下交易流入地下经济产业链，从而造成其业务受到持续影响，给企业造成巨大的财务和信誉风险。

    针对这一趋势变化，大多数企业已经着手实施了关于应用安全性改善的措施，但只有极少数用户实现了从需求-部署的端到端应用安全管理，事实上，数据表明，大多数企业通常选择将应用安全的风险从开发阶段转移至部署甚至是运营阶段，从而导致了漏洞修复的成本居高不下。

业界实践

   渗透测试：从攻击者能力出发，以攻击者视角进行的黑盒测试，从而获得应用系统安全的主观评价，而渗透测试的结果仅能模拟和验证攻击场景，很难应用于切实改善。

  应用安全扫描和测试：针对已上线的应用系统，利用工具进行大范围高效率的扫描和探测，而由于扫描和测试基本在发布和上线后进行，即便发现安全缺陷和不足，已属亡羊补牢。

 开发管理平台：项目需求文档的提交，不关注安全问题的发现。

软件安全架构咨询：借助安全专业咨询顾问进行安全架构的设计和规划，同时尝试将业务与安全相结合，但其效果在一定程度上仍取决于安全功能的实现和验证。

代码级分析工具和技术：借助人工和自动化