- web安全已死
- Security Mesh
- 可靠与安全性 SRS
- 蓝盒 TMAST
- 权限和访问控制 IAM+
- 数据类应用的安全性 Data Appsec
- 基础架构安全 BeyondProd
- 并不仅仅是默认安全,强制安全 Enforce Security
- 安全访问代理 Access Security Broker
- 可证明的安全性 FVS,Formal Verification
- 应用编排和安全响应 DOAR
Web安全已死
从基础的信息化阶段,到移动互联网,到产业互联网、物联网,以至于未来的人工智能化大发展,产业技术的发展促使应用安全领域近年来逐步受到越来越多的重视。我们必须意识到传统的web安全技术已经逐步落实,应用安全行业在下一个时间将会有巨大的变革。
SDL还是DevSecOps?应用安全人员前景怎样?未来应用安全市场需求究竟在哪?现在的建设是否满足未来的需求?
近日,安全乐观主义在研判分析近几年网络安全政策、学术、技术和产业发展的现状,预测出应用安全领域十大发展趋势,并为安全圈抢先发明对应的新名词:)
趋势1:Security Mesh
微服务和混合云打破了基于边界的安全模型,Security Mesh理念是指重新定义网格之间异构的信任关系,这同时也将影响现有的集中安全软件类研发和部署,各项安全控制措施将拆分为紧靠业务的微服务体系。
趋势2:可靠与安全性 SRS
Secure and Reliable Systems成为创新企业对安全运维提出的最低要求,无意的可靠性故障和有意导致的安全漏洞被视为同一类风险,这意味的应用安全人员的职责需要改变。原有的系统安全工程师、应用安全工程师、开发工程师技能模型进一步得到合并并催收出此类新安全岗位,Security Chaos Engineer,安全混沌工程师岗位应运而生。(笔者似乎是国内第一位踩坑的安全人员……)
趋势3:蓝盒 TMAST
蓝盒指代Threat Modeling Application Security Testing威胁模型驱动的应用安全测试。TMAST将成为既黑盒DAST、白盒SAST、灰盒IAST后,应用安全的又一主流安全测试方法。
趋势4:权限和访问控制 IAM+
自从越权漏洞成为了各大SRC的主流高危漏洞后,人和技术的技能栈没有跟上攻防趋势的发展,IAM+提供了可理解的身份,身份验证和访问控制,任何系统都应该能够识别谁有权访问哪些资源,尤其是在资源高度敏感的情况下,企业的强烈需求加速为市场领域创新者提供红利。
趋势5:数据类应用的安全性 Data Appsec
安全是数据的共享是数据开发、利用和增值的重要一环,除了传统的数据安全继续发展以外,应用安全领域也将关注数据处理类服务的创新应用如大数据任务、BI、函数服务、边缘计算、算法的安全性评估和建设。
趋势6:基础架构安全 BeyondProd
基础服务具备种类多、结构复杂、体系结构复杂等特性,随着传统应用安全领域将从“轻管控、重检测、快响应”发展到“轻检测,重基础,自动响应“,具体参考BeyondProd、Istio项目白皮书(可恶,这个英文单词被谷歌先抢了)。
趋势7:并不仅仅是默认安全,强制安全 Enforce Security
内生、默认安全还不够。仅在设计和开发阶段都考虑安全性是不够的,对于软件生命周期来说,安全本身就是一个正在进行的项目,而这项工作永远不会完成,软件的韧性,抗摧毁性得到重视。强制安全的预期目标是确定性地降低未来漏洞的风险和影响。
趋势8:安全访问代理 Access Security Broker
ASB理念是检测和预防的关键技术,类似于将使用者关在盒子里,更多的代理功能将应用在各个用户、云服务、存储之间,提供了大量检测、分析、记录。增加个代理对于安全好处多多。
趋势9:可证明的安全性 FVS,Formal Verification
可形式化证明的安全性理论与方法研究预计得到业界重视,可被数学方式证明的安全产品、安全架构在关键基础设施将得到重视,并同安全智库形成“产、学、研”结合的新风向。安全建设的指标会是什么?不再是漏洞数量、修复比例、产品是否建设、蓝军case覆盖度的感性概念,而是转换为网络安全学科公理的证明。
趋势10:应用编排和安全响应 DOAR
数据分析驱动的应用安全将进一步提升自动化能力,并集成到研发流程,统称为Develop Orchestration、Automation, and Response ,自动化的工具辅助安全人员从审核、运营中脱离出来,开始精细化管理安全场景,形成短期应急响应,中期安全持续改进,长期安全变革提供动力。
本文来源:安全乐观主义
版权归原作者所有,如若转载,请注明出处:https://www.ciocso.com/article/6386.html