在数字经济时代，软件是大多数企业与客户互动和提供客户支持的主要方式。如果企业所销售的软件或包含嵌入式软件的产品出现了影响产品使用的软件安全、合规或质量问题，将给企业带来难以承受的影响。即使是不直接参与软件或软件驱动产品销售的企业，也会受到软件质量和安全问题的影响。例如，大多数的工资单、账单、应收账款、销售跟踪和客户记录的管理系统都是由软件驱动的。软件控制生产、管理库存、指挥仓储活动、并运行着确保正常业务运营的分销系统。因此，对软件安全的了解及应用安全测试须更加全面。
新思科技(Synopsys, Inc.，Nasdaq: SNPS)近日发布了《2021年软件漏洞快照：新思科技应用安全测试服务分析》报告（2021 Software Vulnerability Snapshot: An Analysis by Synopsys Application Security Testing Services, 以下简称为报告）。该报告分析了2020年对2,600个目标（即软件或系统）进行的3,900次测试的数据。这些数据由新思科技安全顾问在评估中心为客户进行的测试汇编而成，包括渗透测试、动态应用安全测试和移动应用安全分析，模拟真实世界中攻击者的行为以测试正在运行的应用。
其中83%的测试目标是Web应用，12%是移动应用，其余的则是源代码或网络系统/应用。测试的行业包括软件和互联网、金融服务、商业服务、制造业、媒体和娱乐业以及医疗健康行业。
新思科技软件质量与安全部门安全顾问副总裁Girish Janardhanudu表示：“现在，基于云的部署、现代技术框架和快速的交付速度正迫使安全部门做出更快的反应。由于市场上AppSec资源不足，各企业正在利用新思科技等提供的应用安全测试服务，以便灵活地扩展其安全测试。我们已经看到，在疫情期间，安全评估需求大幅增加。”
在3,900次测试中，97%的被测目标被发现存在某种形式的漏洞；其中30%的目标是高风险漏洞；6%是严重风险漏洞。结果表明，安全测试的最佳方法是利用广泛可用工具来帮助确保应用或系统没有漏洞。例如，28%的测试目标曾遭受过跨站脚本(XSS)攻击。这是影响web应用最普遍和最具破坏性的高/关键风险漏洞之一。许多XSS漏洞仅在应用运行时出现。
报告的其他重点：
· 在76%的被测目标中发现了2021年OWASP Top 10的漏洞。应用程序和服务器配置错误占测试中发现的全部漏洞的21%，代表性的有OWASP A05:2021 – 安全配置错误类别。另外，发现的总漏洞中有19%与OWASP A01:2021 – 访问控制失效类别有关。
· 不安全的数据存储和通信漏洞困扰着移动应用程序。在移动测试发现的漏洞中，有80%与不安全的数据存储有关。这些漏洞使得攻击者可以通过物理方式（即访问被盗设备）或者恶意软件访问移动设备。移动测试发现的漏洞中还有53%与不安全的通信方式相关。
· 即使是低风险漏洞也可能被利用来促成攻击。通过测试发现，其中64%的漏洞被认为是较低、低或中等风险。也就是说，攻击者无法直接利用所发现的漏洞去访问系统或敏感数据。尽管如此，找出这些漏洞并非无用之功，因为即使是低风险漏洞也可以被利用来促成攻击。例如，测试中发现有49%的服务器横幅能详细提供服务器名称、类型和版本号等信息，可能有助于攻击者对特定的技术堆栈发动有针对性的攻击。
· 对软件物料清单的迫切需求。值得注意的是，在新思科技应用程序安全测试服务进行的渗透测试中，发现了有18%的系统在使用易受攻击的第三方库。这与2021年OWASP TOP10漏洞里的A06:2021 – 易受攻击和过时的组件类别相一致。大多数组织一般会混合使用私有代码、商业现成代码和开源组件来开发对外销售或内部使用的软件。通常情况下，这些企业仅通过非正式清单或甚至没有清单，来记录其软件正在使用哪些组件，以及这些组件的许可证、版本和补丁状态。由于许多企业在使用数百个应用程序或软件系统，可能拥有数百至数千个不同的第三方和开源组件，因此迫切需要一份准确时新的软件物料清单（SBOM）来有效追踪这些组件。
- 蜜度索骥：以跨模态检索技术助力“企宣”向上生长
- openEuler开源五年树立新里程碑，累计装机量突破1000万
- 创想 华彩新程！2024柯尼卡美能达媒体沟通会焕新增长之道
- 操作系统大会2024即将在京召开，见证openEuler发展新里程
- Gartner：AI引领欧洲IT支出激增，2025年将支出1.28万亿美元
- IDC：中国数字化转型支出五年复合增长率约为15.6% 高于全球整体增速
- 2028年中国数字化转型总体市场规模将超7300亿美元
- 诺基亚源代码疑遭黑客IntelBroker盗窃，公司确认已展开调查
- 携手SUSE，共驭变革之风：踏上共创数字未来之旅
- Gartner：预计2025年全球IT支出达到5.74万亿美元 同比增长9.3%
- 被联想海外起诉专利侵权 中兴通讯回应
免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。
