Citrix应用程序交付和安全性
/ 解决方案 / 应用程序交付和安全 / 什么是应用程序安全性?

什么是应用程序安全性?

应用程序安全(appsec)是指旨在保护应用程序(包括web应用程序、云应用程序和SaaS应用程序)免受内部和外部威胁的技术、工具和流程。由于web应用程序通常包含敏感数据，并且可通过多个网络使用，web应用程序安全已成为网络安全策略的关键部分。Web应用程序安全解决方案可以包括硬件，如加密路由器，软件，如安全分析，和应用程序交付工具，如应用程序交付控制器，集成Web应用程序防火墙和运行时功能，以保护api。

什么是云应用程序安全性?

云应用安全是在协作云环境(如Slack、MS Office 365和Sharefile)中保护数据交换的解决方案和实践。常用的云应用安全措施包括应用安全测试和安全web网关，以保护分支用户。由于云计算和SaaS应用程序、物联网设备和云托管应用程序的日益流行，云应用程序安全是任何应用程序安全解决方案的重要组成部分。

另一个重要元素是云应用程序安全架构。随着企业技术基础设施不断向混合云部署和多云环境发展，对企业来说，重要的是要对其云应用程序安全性的配置有一个全面的认识。这就是所谓的云应用程序安全架构。通过在企业数据中心部署、应用程序网关、云服务和身份验证系统等云连接上下文中评估其云应用程序安全性，企业可以设计一个云应用程序安全体系结构，保护云应用程序中的敏感数据。

  • 为什么企业应用程序安全很重要?
  • 哪些是常用的应用程序安全工具?
  • 应用程序安全性最佳实践

为什么企业应用程序安全很重要?

虽然企业几十年来一直依赖应用程序，但终端用户需求的大多数商业应用程序都是web应用程序或云应用程序。企业对其应用程序依赖云存储和云部署也是很常见的。这增加了它们受到攻击的风险，因为web服务器技术、数据用例和支持网站的技术(如CGI、Java、JavaScript、PERL和PHP)都有潜在的安全漏洞。与支持web的应用程序通信的浏览器和其他客户机应用程序也有一些弱点，恶意行为者可以利用这些弱点。因为所有这些web应用程序都连接到多个网络和/或云，一个web应用程序的漏洞很容易危及整个企业。

43%的入侵包括对web应用程序的攻击1．此外，随着企业越来越依赖云服务，坏人很可能会增加对云应用程序、托管在云基础设施中的应用程序和其他云资源的攻击。大多数云应用程序安全漏洞的动机是金钱欲望，通常是通过获取和勒索敏感数据和私人信息，或通过未经授权访问和控制网站或web服务器。为了降低安全风险，企业需要覆盖其整个应用程序基础设施的软件安全解决方案，包括云应用程序、移动应用程序和SaaS应用程序。

哪些是常用的应用程序安全工具?

83%的应用程序存在安全缺陷，五分之一的应用程序至少有一个高度严重的缺陷2．记住，最好的web应用程序安全是多层的，以保护web和云应用程序免受多种攻击载体的攻击。有许多应用程序安全工具，它们可以分为开发级别的安全性和IT级别的安全性。

开发级别的应用程序安全性

通过使用安全开发实践(这与DevSecOps相关)创建源代码，保护应用程序从软件开发生命周期开始。安全编码需要了解web应用程序的常见威胁，如sql注入、DDoS、恶意软件、拒绝服务和身份验证错误。OWASP前10名3.是开发人员应该在源代码中解决的web应用程序安全威胁的流行列表。因为软件更新可能会产生新的应用程序漏洞，所以开发人员必须在应用程序的生命周期内使用应用程序安全测试来查找缺陷。开源应用程序尤其如此，因为恶意行为者更容易发现漏洞。

Gartner表示，IT经理需要防范常见的攻击方法，而不仅仅是识别应用程序开发的安全错误4．当组织依赖于不是他们自己构建的web应用程序时，情况尤其如此。软件安全需要一种防御，既可以阻止具有可识别历史和特征的已知攻击，也可以阻止未知攻击。未知攻击通常被检测到，因为它们看起来不同于组织网站和web服务的正常流量。

了解Citrix应用程序安全性如何帮助维护一致的安全态势。

通过简化保护应用程序和api生态系统的过程，Citrix应用程序安全性为IT提供了整体可见性，可以在威胁发生之前阻止威胁。

探索Citrix应用程序安全性

IT级别的应用程序安全性

  1. 安全的应用程序交付
    随着越来越多的组织采用多云基础设施，他们需要强大的应用程序安全态势，以保护api以及基于单片和微服务的应用程序。最好的解决方案是拥有强大的应用程序交付安全性，其中包括跨所有ADC形式因子共享单一代码库的应用程序交付控制器(ADC)。这使得it更容易跨多云环境应用一致的安全策略，例如将某些IP地址列入白名单或黑名单，或使用TLS对在客户机和API服务器之间传输的API进行加密。
  2. 应用程序交付管理
    另一个常见的应用程序交付安全解决方案是将ADC与应用程序交付管理(ADM)平台配对。ADM的解决方案提供跨分布式环境的基于单片和微服务的应用程序交付的可见性。这使IT管理员能够洞察应用程序和api的性能和使用情况，从而标记可疑活动或性能下降。
  3. 应用程序数据安全
    因为应用程序从整个企业访问数据，所以应用程序数据安全性是关键。常用的应用数据安全方法包括:将敏感数据集中并托管在企业数据中心内;采用安全的文件共享以减少数据丢失;这些措施有助于确保应用程序只访问它们需要的数据，而且这种访问是安全的，不会受到网络攻击。
  4. Web应用程序防火墙
    由于对web应用程序的新威胁不断出现，因此保护web应用程序免受已知和未知攻击非常重要。Web应用程序防火墙是一个经过验证的解决方案，特别是当它们采用积极的安全模型，使用人工智能和机器学习来监视用户交互和应用程序行为时。这使组织能够减轻未知攻击，为更快的补救提供洞察，并帮助确保符合PCI-DSS等标准。Web应用程序防火墙通常集成在应用程序交付控制器内部，但它们也可以作为独立或托管服务使用。
  5. 访问安全和应用程序安全策略
    云应用程序基本上可以由远程工作者从任何地方访问。这使得组织必须采用应用安全策略工具，以确保对这些web和云应用的安全、上下文访问，从而将不良行为者拒之门外。访问控制是密切相关的零信任安全因为在授予对云应用程序的访问权之前，它强制远程用户使用多因素身份验证来验证自己的身份。为了简化应用程序安全策略工具的用户体验，单点登录(SSO)解决方案是将安全访问与易用性结合起来的一种流行方法。
  6. 安全的数字工作空间
    员工希望从各种移动设备(甚至个人设备)访问云应用程序和托管在云中的应用程序。为了在保护应用程序的同时启用自带设备(BYOD)策略，让远程工作人员登录到一个安全的数字工作空间访问他们所有的云应用。通过提供员工在一个工作空间中工作所需的一切，并使IT能够为该工作空间应用附加的安全协议(如内部数据中心防火墙)，这提高了数据安全和云应用程序的安全性。
  7. 网络安全
    当远程员工和分支机构员工需要访问云应用时，他们可以依赖本地网络连接，但网络安全不强。为了保护这种攻击面不受本地internet入侵的影响，企业应采用在广域网边缘具有强安全性的SD-WAN综合解决方案。这应该包括一个有状态的防火墙，它允许IT团队集中定义流量策略，限制或拒绝应用程序和区域的流量。
  8. 监控和分析
    即使有常规的应用程序安全测试和其他云应用程序安全，对组织来说，了解所有SaaS、云和移动应用程序以及它们的使用情况也是很重要的。这就是应用程序监视和分析的用武之地。这些工具在所有用户和应用程序中提供持续的风险评估，标记不寻常的行为，以便在导致入侵之前检测外部或内部威胁。应用程序监控和分析工具通常被集成到应用程序交付管理解决方案中，以在组织的应用程序交付基础设施中提供跨所有环境的可见性。

应用程序安全性最佳实践

因为大型组织平均依赖129个不同的应用程序5在美国，开始应用程序安全性似乎是一个巨大的挑战。尽管如此，每个组织都可以开始通过遵循以下应用程序安全最佳实践来提高其应用程序基础设施的安全性:

  1. 应用程序安全性评估
    第一个应用程序安全性最佳实践是进行应用程序安全性评估。这将显示您拥有哪些应用程序，谁使用它们，以及您需要遵循哪些遵从性或监管要求。第一点为您提供了需要测试和保护的应用程序的准确评估，而第二点将帮助您创建零信任并访问适合您的组织的安全协议。最后，遵从性问题将帮助您了解如何最好地确保应用程序可以访问的任何私有信息的数据安全性。像PCI DSS和HIPAA这样的授权对于web应用程序中的数据必须如何保护有自己的规则。
  2. 应用程序安全性测试
    一旦您清楚地了解了所有的应用程序和用户，就可以测试云和web应用程序的安全性了。此应用程序安全性最佳实践将帮助您识别这些应用程序中的潜在漏洞和安全性问题，以防止未来的破坏。为了避免潜在的偏差或内部盲点，使用第三方安全测试工具或渗透测试服务是有帮助的。
  3. 解决漏洞
    既然您的测试已经揭示了应用程序中的潜在漏洞，那么下一个应用程序安全性最佳实践就是采用安全性程序来解决这些弱点。这可能意味着实施严格的软件更新计划，以确保组织中的每个人都在使用最新的安全补丁。与外部技术供应商或安全团队合作也是一个好主意，他们可以帮助您确保访问安全、信息安全和移动安全。这将帮助您采用适合您的应用程序组合的应用程序安全工具，而不是为不需要的东西付费。

额外的资源

下一个步骤

探索Citrix Hypervisor