Web安全開(kāi)發(fā)指南

前言 xv
第一部分　制訂安全計(jì)劃
第1　章 定義應(yīng)用環(huán)境　2
1．1　明確Web 應(yīng)用威脅　3
1．2　理解軟件安全保障　6
1．2．1　考慮OSSAP　7
1．2．2　定義SSA 的要求　8
1．2．3　對(duì)數(shù)據(jù)和資源分類(lèi)　9
1．2．4　進(jìn)行必要的分析　9
1．3　探究與語(yǔ)言相關(guān)的問(wèn)題　12
1．3．1　定義HTML 的關(guān)鍵問(wèn)題　12
1．3．2　定義CSS 的關(guān)鍵問(wèn)題　13
1．3．3　定義JavaScript 的關(guān)鍵問(wèn)題　13
1．4　考慮端點(diǎn)的防御要素　14
1．4．1　預(yù)防安全漏洞　14
1．4．2　檢測(cè)安全漏洞　15
1．4．3　修復(fù)受損的軟件　16
1．5　處理云存儲(chǔ)　16
1．6　使用外部代碼和資源　17
1．6．1　定義庫(kù)的使用　18
1．6．2　定義API 的使用　19
1．6．3　定義微服務(wù)的使用　20
1．6．4　訪(fǎng)問(wèn)外部數(shù)據(jù)　21
1．7　允許他人訪(fǎng)問(wèn)　22
第2　章 迎合用戶(hù)需求與期望　24
2．1　從用戶(hù)的視角看待應(yīng)用程序　24
2．2　考慮自帶設(shè)備的問(wèn)題　25
2．2．1　理解基于Web 的應(yīng)用程序的安全性　26
2．2．2　考慮原生應(yīng)用的問(wèn)題　27
2．2．3　使用定制化瀏覽器　27
2．2．4　驗(yàn)證代碼兼容性問(wèn)題　29
2．2．5　處理幾乎連續(xù)的設(shè)備更新　31
2．3　設(shè)計(jì)密碼的可選方案　32
2．3．1　使用口令　33
2．3．2　使用生物識(shí)別的方案　33
2．3．3　依靠鑰匙卡　35
2．3．4　依靠USB key　36
2．3．5　實(shí)現(xiàn)令牌策略　36
2．4　聚焦用戶(hù)期望　37
2．4．1　讓?xiě)?yīng)用程序易于使用　37
2．4．2　讓?xiě)?yīng)用程序快速運(yùn)行　37
2．4．3　創(chuàng)建可靠的環(huán)境　38
2．4．4　客觀看待安全性　38
第3　章 獲取第三方幫助　39
3．1　發(fā)現(xiàn)第三方安全解決方案　39
3．2　考慮云安全方案　41
3．2．1　理解數(shù)據(jù)倉(cāng)庫(kù)　42
3．2．2　處理文件共享問(wèn)題　43
3．2．3　考慮云存儲(chǔ)　46
3．3　選擇產(chǎn)品類(lèi)型　47
3．3．1　使用庫(kù)　47
3．3．2　訪(fǎng)問(wèn)API　48
3．3．3　考慮微服務(wù)　49
第二部分　運(yùn)用成功的編碼實(shí)踐
第4　章 開(kāi)發(fā)成功的界面　52
4．1　評(píng)估UI　53
4．1．1　創(chuàng)建簡(jiǎn)潔的界面　53
4．1．2　使界面靈活　56
4．1．3　提供輔助功能　58
4．1．4　定義可訪(fǎng)問(wèn)性問(wèn)題　59
4．2　提供受控制的選擇　61
4．3　選擇UI 的解決方案級(jí)別　65
4．3．1　實(shí)現(xiàn)標(biāo)準(zhǔn)的HTML 控件　65
4．3．2　使用CSS 控件　65
4．3．3　用JavaScript 創(chuàng)建控件　67
4．4　校驗(yàn)輸入　68
4．4．1　只允許特定的輸入　68
4．4．2　查找鬼祟的輸入　69
4．4．3　請(qǐng)求新的輸入　69
4．4．4　使用客戶(hù)端和服務(wù)器端校驗(yàn)　70
4．5　期待意外　71
第5　章 構(gòu)建可靠的代碼　72
5．1　區(qū)分可靠性和安全性　73
5．1．1　定義可靠性和安全性的角色　73
5．1．2　避免可靠代碼中的安全漏洞　76
5．1．3　聚焦應(yīng)用程序的功能　77
5．2　開(kāi)發(fā)團(tuán)隊(duì)協(xié)議　77
5．3　創(chuàng)建經(jīng)驗(yàn)教訓(xùn)的反饋回路　80
5．4　考慮成套解決方案的問(wèn)題　81
5．4．1　處理外部庫(kù)　82
5．4．2　處理外部API　83
5．4．3　使用框架　85
5．4．4　調(diào)用微服務(wù)　87
第6　章 包含庫(kù)　88
6．1　考慮庫(kù)的使用　89
6．1．1　用庫(kù)增強(qiáng)CSS　89
6．1．2　用庫(kù)與HTML 交互　91
6．1．3　用庫(kù)擴(kuò)展JavaScript　93
6．2　區(qū)分內(nèi)部存儲(chǔ)庫(kù)和外部存儲(chǔ)庫(kù)　95
6．3　定義庫(kù)帶來(lái)的安全威脅　95
6．3．1　啟用嚴(yán)格模式　97
6．3．2　開(kāi)發(fā)CSP　99
6．4　安全地包含庫(kù)　100
6．4．1　充分研究庫(kù)　101
6．4．2　精確定義庫(kù)的使用　101
6．4．3　保持庫(kù)的小規(guī)模和內(nèi)容聚焦　101
6．4．4　執(zhí)行必需的測(cè)試　102
6．5　區(qū)分庫(kù)和框架　103
第7　章 慎用API　105
7．1　區(qū)分API 和庫(kù)　106
7．1．1　考慮流行速度上的差異　106
7．1．2　區(qū)分用法上的差異　107
7．2　用API 擴(kuò)展JavaScript　108
7．2．1　定位合適的API　108
7．2．2　創(chuàng)建簡(jiǎn)單示例　109
7．3　定義API 帶來(lái)的安全威脅　113
7．3．1　MailPoet 毀了你的好聲譽(yù)　113
7．3．2　開(kāi)發(fā)閱后即焚的圖片　114
7．3．3　使用“找回我的iPhone”卻丟了手機(jī)　114
7．3．4　Heartbleed 泄露你最重要的信息　115
7．3．5　遭受Shellshock 攻擊　115
7．4　通過(guò)JavaScript 安全訪(fǎng)問(wèn)API　116
7．4．1　驗(yàn)證API 的安全性　116
7．4．2　測(cè)試輸入和輸出　117
7．4．3　保持?jǐn)?shù)據(jù)的局部性和安全性　117
7．4．4　防御性編碼　117
第8　章 考慮使用微服務(wù)　118
8．1　定義微服務(wù)　119
8．1．1　詳述微服務(wù)的特點(diǎn)　119
8．1．2　區(qū)分微服務(wù)與庫(kù)　120
8．1．3　區(qū)分微服務(wù)與API　120
8．1．4　考慮微服務(wù)的策略　120
8．2　用JavaScript 調(diào)用微服務(wù)　121
8．2．1　理解通信中REST 的角色　122
8．2．2　用JSON 傳輸數(shù)據(jù)　123
8．2．3　用Node．js 和Seneca 創(chuàng)建微服務(wù)　124
8．3　定義微服務(wù)帶來(lái)的安全威脅　126
8．3．1　缺少一致性　126
8．3．2　考慮虛擬機(jī)的角色　126
8．3．3　使用JSON 進(jìn)行數(shù)據(jù)傳輸　127
8．3．4　定義傳輸層的安全　128
8．4　創(chuàng)建可替換的微服務(wù)路徑　129
第三部分　創(chuàng)建有用及高效的測(cè)試策略
第9　章 像黑客一樣思考　132
9．1　定義Web 安全掃描的需求　132
9．2　構(gòu)建測(cè)試系統(tǒng)　136
9．2．1　考慮測(cè)試系統(tǒng)的使用　136
9．2．2　接受必需的訓(xùn)練　136
9．2．3　創(chuàng)建正確的環(huán)境　137
9．2．4　使用虛擬機(jī)　137
9．2．5　獲取工具　138
9．2．6　配置系統(tǒng)　138
9．2．7　恢復(fù)系統(tǒng)　139
9．3　定義最常見(jiàn)的漏洞源　139
9．3．1　避免SQL 注入攻擊　140
9．3．2　理解跨站腳本攻擊　141
9．3．3　解決拒絕服務(wù)攻擊問(wèn)題　142
9．3．4　去除可預(yù)測(cè)的資源定位　142
9．3．5　克服無(wú)意的信息泄露　143
9．4　在BYOD 環(huán)境中進(jìn)行測(cè)試　143
9．4．1　配置遠(yuǎn)程訪(fǎng)問(wèn)區(qū)域　144
9．4．2　檢查跨應(yīng)用程序的攻擊　144
9．4．3　處理真正古老的設(shè)備和軟件　145
9．5　依靠用戶(hù)測(cè)試　145
9．5．1　讓用戶(hù)橫沖直撞　146
9．5．2　開(kāi)發(fā)可重現(xiàn)的步驟　147
9．5．3　讓用戶(hù)發(fā)聲　147
9．6　使用外部的安全測(cè)試人員　148
9．6．1　考慮滲透測(cè)試公司　148
9．6．2　管理項(xiàng)目　149
9．6．3　覆蓋要點(diǎn)　149
9．6．4　獲取報(bào)告　149
第10　章 創(chuàng)建API 安全區(qū)域　151
10．1　理解API 安全區(qū)域的概念　152
10．2　定義API 安全區(qū)域的需求　153
10．2．1　確保API 可以工作　153
10．2．2　實(shí)現(xiàn)快速開(kāi)發(fā)　153
10．2．3　證明最佳的集成　154
10．2．4　在負(fù)載情況下驗(yàn)證API 的表現(xiàn)　158
10．2．5　使API 遠(yuǎn)離黑客　159
10．3　用API 沙盒進(jìn)行開(kāi)發(fā)　159
10．3．1　使用現(xiàn)成的解決方案　161
10．3．2　使用其他供應(yīng)商的沙盒　162
10．4　考慮虛擬環(huán)境　164
10．4．1　定義虛擬環(huán)境　164
10．4．2　區(qū)分虛擬環(huán)境和沙盒　164
10．4．3　實(shí)現(xiàn)虛擬化　165
10．4．4　依靠應(yīng)用程序虛擬化　165
第11　章 檢查庫(kù)和API 的漏洞　167
11．1　創(chuàng)建測(cè)試計(jì)劃　168
11．1．1　考慮目的和目標(biāo)　168
11．1．2　測(cè)試內(nèi)部庫(kù)　175
11．1．3　測(cè)試內(nèi)部API　175
11．1．4　測(cè)試外部庫(kù)　175
11．1．5　測(cè)試外部API　176
11．1．6　擴(kuò)展測(cè)試到微服務(wù)　176
11．2　單獨(dú)測(cè)試庫(kù)和API　177
11．2．1　為庫(kù)創(chuàng)建測(cè)試框架　177
11．2．2　為API 創(chuàng)建測(cè)試腳本　178
11．2．3　將測(cè)試策略擴(kuò)展到微服務(wù)　178
11．2．4　開(kāi)發(fā)響應(yīng)策略　178
11．3　執(zhí)行集成測(cè)試　179
11．4　測(cè)試與語(yǔ)言相關(guān)的問(wèn)題　180
11．4．1　設(shè)計(jì)針對(duì)HTML 問(wèn)題的測(cè)試　180
11．4．2　設(shè)計(jì)針對(duì)CSS 問(wèn)題的測(cè)試　181
11．4．3　設(shè)計(jì)針對(duì)JavaScript 問(wèn)題的測(cè)試　181
第12　章 使用第三方測(cè)試　184
12．1　找到第三方測(cè)試服務(wù)　185
12．1．1　定義聘請(qǐng)第三方的理由　185
12．1．2　考慮測(cè)試服務(wù)的范圍　186
12．1．3　確保第三方是合法的　188
12．1．4　面試第三方　188
12．1．5　對(duì)測(cè)試的搭建進(jìn)行測(cè)試　188
12．2　創(chuàng)建測(cè)試計(jì)劃　189
12．2．1　指明第三方在測(cè)試中的目的　189
12．2．2　創(chuàng)建書(shū)面的測(cè)試計(jì)劃　189
12．2．3　枚舉測(cè)試輸出和報(bào)告的要求　190
12．2．4　考慮測(cè)試需求　190
12．3　實(shí)施測(cè)試計(jì)劃　190
12．3．1　確定公司參與測(cè)試的程度　191
12．3．2　開(kāi)始測(cè)試過(guò)程　191
12．3．3　執(zhí)行必需的測(cè)試監(jiān)控　191
12．3．4　處理意外的測(cè)試問(wèn)題　192
12．4　使用結(jié)果報(bào)告　192
12．4．1　與第三方討論報(bào)告輸出　192
12．4．2　向公司展示報(bào)告　193
12．4．3　根據(jù)測(cè)試建議采取行動(dòng)　193
第四部分　實(shí)現(xiàn)維護(hù)周期
第13　章 明確定義升級(jí)周期　196
13．1　制訂詳細(xì)的升級(jí)周期計(jì)劃　196
13．1．1　尋找升級(jí)　198
13．1．2　確定升級(jí)的要求　198
13．1．3　定義升級(jí)的臨界點(diǎn)　200
13．1．4　檢查升級(jí)的問(wèn)題　201
13．1．5　創(chuàng)建測(cè)試場(chǎng)景　202
13．1．6　實(shí)施變更　203
13．2　制訂升級(jí)測(cè)試計(jì)劃　203
13．2．1　執(zhí)行所需的預(yù)測(cè)試　204
13．2．2　執(zhí)行所需的集成測(cè)試　204
13．3　將升級(jí)移到生產(chǎn)環(huán)境　205
第14　章 考慮更新選項(xiàng)　207
14．1　區(qū)分升級(jí)和更新　208
14．2　確定何時(shí)更新　209
14．2．1　處理庫(kù)的更新　209
14．2．2　處理API 和微服務(wù)的更新　210
14．2．3　接受自動(dòng)更新　211
14．3　更新語(yǔ)言套件　212
14．3．1　創(chuàng)建語(yǔ)言支持清單　212
14．3．2　獲得可靠的語(yǔ)言專(zhuān)家　213
14．3．3　驗(yàn)證與語(yǔ)言相關(guān)的提示符能否在應(yīng)用程序中起效　214
14．3．4　確保數(shù)據(jù)以正確的格式呈現(xiàn)　214
14．3．5　定義語(yǔ)言支持測(cè)試的特殊要求　214
14．4　執(zhí)行緊急更新　215
14．4．1　盡可能避免緊急情況　215
14．4．2　組建快速響應(yīng)團(tuán)隊(duì)　215
14．4．3　執(zhí)行簡(jiǎn)化的測(cè)試　216
14．4．4　制訂持久的更新計(jì)劃　216
14．5　制訂更新測(cè)試計(jì)劃　216
第15　章 考慮報(bào)告的需要　218
15．1　使用報(bào)告以做出改變　219
15．1．1　避免無(wú)用的報(bào)告　219
15．1．2　安排時(shí)間為升級(jí)和更新做出報(bào)告　220
15．1．3　使用自動(dòng)生成的報(bào)告　221
15．1．4　使用定制的報(bào)告　221
15．1．5　創(chuàng)建一致的報(bào)告　222
15．1．6　使用報(bào)告執(zhí)行特定的應(yīng)用任務(wù)　223
15．2　創(chuàng)建內(nèi)部報(bào)告　223
15．2．1　確定使用哪些數(shù)據(jù)源　223
15．2．2　指定報(bào)告的使用　224
15．3　依靠外部生成的報(bào)告　225
15．3．1　從第三方獲取完整的報(bào)告　225
15．3．2　從原始數(shù)據(jù)創(chuàng)建報(bào)告　225
15．3．3　保持內(nèi)部數(shù)據(jù)安全　225
15．4　提供用戶(hù)反饋　226
15．4．1　獲取用戶(hù)反饋　226
15．4．2　確定用戶(hù)反饋的可用性　227
第五部分　查找安全資源
第16　章 跟蹤當(dāng)前的安全威脅　230
16．1　發(fā)現(xiàn)安全威脅信息的來(lái)源　231
16．1．1　閱讀與安全相關(guān)的專(zhuān)業(yè)文章　231
16．1．2　查看安全網(wǎng)站　232
16．1．3　獲取顧問(wèn)的意見(jiàn)　234
16．2　避免信息泛濫　235
16．3　為基于威脅的升級(jí)制訂計(jì)劃　236
16．3．1　預(yù)判不需要采取任何行動(dòng)的情況　236
16．3．2　決定升級(jí)還是更新　236
16．3．3　定義升級(jí)計(jì)劃　238
16．4　為基于威脅的更新制訂計(jì)劃　238
16．4．1　驗(yàn)證更新是否可解決威脅　239
16．4．2　確定威脅是否緊急　240
16．4．3　定義更新計(jì)劃　240
16．4．4　要求來(lái)自第三方的更新　240
第17　章 獲取必需的培訓(xùn)　241
17．1　制訂內(nèi)部的安全培訓(xùn)計(jì)劃　242
17．1．1　定義所需的培訓(xùn)　242
17．1．2　設(shè)置合理的目標(biāo)　243
17．1．3　使用內(nèi)部培訓(xùn)師　243
17．1．4　監(jiān)控結(jié)果　244
17．2　獲取第三方對(duì)開(kāi)發(fā)人員的培訓(xùn)　245
17．2．1　指定培訓(xùn)的要求　246
17．2．2　為公司聘請(qǐng)第三方培訓(xùn)師　247
17．2．3　使用在線(xiàn)學(xué)?！?47
17．2．4　依靠培訓(xùn)中心　248
17．2．5　利用本地的學(xué)院和大學(xué)　248
17．3　確保用戶(hù)有安全意識(shí)　249
17．3．1　制定專(zhuān)門(mén)的安全培訓(xùn)　249
17．3．2　結(jié)合書(shū)面指南進(jìn)行培訓(xùn)　249
17．3．3　創(chuàng)建并使用替代的安全提醒　250
17．3．4　進(jìn)行培訓(xùn)有效性檢查　250
關(guān)于作者　251
關(guān)于封面　251
版權(quán)聲明　252