什么是应用安全？应用程序安全描述了应用程序级别的安全措施，旨在防止应用程序内的数据或代码被盗或劫持。它包含在应用程序开发和设计过程中发生的安全注意事项，但也涉及在应用程序部署后保护应用程序的系统和方法。
应用程序安全可能包括识别或最小化安全漏洞的硬件、软件和程序。阻止任何人从 Internet 查看计算机 IP 地址的路由器是一种硬件应用程序安全形式。但应用程序级别的安全措施通常也内置于软件中，例如严格定义允许和禁止哪些活动的应用程序防火墙。程序可以包含诸如应用程序安全例程之类的东西，其中包括诸如定期测试之类的协议。
应用安全定义
应用程序安全是在应用程序中开发、添加和测试安全功能的过程，以防止安全漏洞抵御未经授权的访问和修改等威胁。
为什么应用程序安全很重要
应用程序安全性很重要，因为当今的应用程序通常可通过各种网络使用并连接到云，从而增加了安全威胁和漏洞的脆弱性。不仅要确保网络级别的安全性，还要确保应用程序本身的安全性，压力和动力越来越大。造成这种情况的一个原因是，与过去相比，黑客如今更多地通过攻击来追踪应用程序。应用程序安全测试可以揭示应用程序级别的弱点，有助于防止这些攻击。
应用程序安全类型
不同类型的应用程序安全功能包括身份验证、授权、加密、日志记录和应用程序安全测试。开发人员还可以编写应用程序以减少安全漏洞。
- 身份验证：当软件开发人员将程序构建到应用程序中以确保只有授权用户才能访问它时。身份验证程序确保用户就是他们所说的那样。这可以通过要求用户在登录应用程序时提供用户名和密码来实现。多因素身份验证需要不止一种形式的身份验证——这些因素可能包括您知道的东西（密码）、您拥有的东西（移动设备）和您的身份（指纹或面部识别）。
- 授权：在用户通过身份验证后，用户可以被授权访问和使用应用程序。系统可以通过将用户的身份与授权用户列表进行比较来验证用户是否有权访问应用程序。身份验证必须在授权之前进行，以便应用程序仅将经过验证的用户凭据与授权用户列表进行匹配。
- 加密：在用户通过身份验证并使用应用程序后，其他安全措施可以保护敏感数据不被网络犯罪分子看到甚至使用。在基于云的应用程序中，包含敏感数据的流量在最终用户和云之间传输，可以对该流量进行加密以确保数据安全。
- 日志记录：如果应用程序中存在安全漏洞，日志记录可以帮助确定谁访问了数据以及如何访问。应用程序日志文件提供了有关应用程序哪些方面被访问以及由谁访问的时间戳记录。
- 应用程序安全测试：确保所有这些安全控制正常工作的必要过程。
云中的应用程序安全
云中的应用程序安全性带来了一些额外的挑战。由于云环境提供共享资源，因此必须特别注意确保用户只能访问他们有权在其基于云的应用程序中查看的数据。敏感数据在基于云的应用程序中也更容易受到攻击，因为这些数据通过 Internet 从用户传输到应用程序并返回。
移动应用安全
与专用网络不同，移动设备还通过 Internet 传输和接收信息，这使它们容易受到攻击。企业可以使用虚拟专用网络为远程登录应用程序的员工增加一层移动应用程序安全性。IT 部门还可能决定审查移动应用程序并确保它们符合公司安全策略，然后才允许员工在连接到公司网络的移动设备上使用它们。
网络应用安全
Web 应用程序安全适用于 Web 应用程序——用户通过 Internet 上的浏览器界面访问的应用程序或服务。由于 Web 应用程序位于远程服务器上，而不是本地用户计算机上，因此必须通过 Internet 向用户传输信息或从用户传输信息。Web 应用程序安全是托管 Web 应用程序或提供 Web 服务的企业特别关注的问题。这些企业通常选择使用 Web 应用程序防火墙保护其网络免受入侵。Web 应用程序防火墙的工作原理是检查并在必要时阻止被认为有害的数据包。
什么是应用程序安全控制？
应用程序安全控制是在编码级别增强应用程序安全性的技术，使其不易受到威胁。其中许多控制措施涉及应用程序如何响应网络犯罪分子可能用来利用弱点的意外输入。程序员可以以这样一种方式为应用程序编写代码，即程序员可以更好地控制这些意外输入的结果。Fuzzing 是一种应用程序安全测试，其中开发人员测试意外值或输入的结果，以发现哪些导致应用程序以可能打开安全漏洞的意外方式运行。
什么是应用程序安全测试？
应用程序开发人员在软件开发过程中执行应用程序安全测试，以确保软件应用程序的新版本或更新版本中不存在安全漏洞。安全审计可以确保应用程序符合一组特定的安全标准。应用通过审核后，开发者必须确保只有授权用户才能访问。在渗透测试中，开发人员像网络罪犯一样思考并寻找入侵应用程序的方法。渗透测试可能包括社会工程或试图欺骗用户允许未经授权的访问。测试人员通常同时管理未经身份验证的安全扫描和经过身份验证的安全扫描（作为登录用户），以检测可能不会在两种状态下都出现的安全漏洞。
