本文为Gartner2014年信息安全趋势解读（2）–构建安全的应用（软件产品安全）。（接上一篇Gartner2014年信息安全趋势解读（1）–云计算安全责任）
————————————————-
0 前言
最近接触过一些软件开发厂商，都提出了如果保证交付给用户的软件产品的安全。因为软件产品出了漏洞后，修补的成本有时候非常高，有点类似汽车召回，对每个厂商来说，都不愿意出现这种情况，因为修补漏洞都是需要白花花的银子的，人工费、差旅费等等都是成本。人都是经济型的动物，做任何事情都会考虑投入和产出。如果能有效的降低产品或应用的漏洞出现概率，对厂商而言至关重要。
Gartner2014年信息安全趋势解读第一部分就谈到了应用安全，从两个维度来保障应用安全。其中第一个维度是从软件开发生命周期SDL谈，第二个纵向维度指的应用安全需要基础的安全手段支撑包括统一身份、网络安全、终端安全、应用安全等，这个做传统安全的都比较熟悉。
下面对这部分内容从个人的理解角度做一个解读。主要从第一个维度SDL角度谈。需求分析、总体设计和代码编制过程中引入缺陷，是导致软件性能问题和安全问题的根源之一，同时整改的成本非常高。
（一）需求分析和设计阶段：
需求分析和设计阶段主要包括的安全工作有威胁建模、滥用案例、架构复核等。
威胁建模主要指从安全的视角来系统地分析产品架构和特性，识别威胁并进行消减。
（二）编码、系统建设和和测试阶段：
该阶段包括包括的主要安全工作包括：静态测试、动态测试、安全开发管理、应用加固和防护、源代码审核等。
2.1 SAST\DAST
“Gartner:2014年十大信息安全技术”提到了互动式应用程序安全测试：静态应用程序安全测试(SAST)与动态应用程序安全测试(DAST)技术进行结合。要通过SAST与DAST技术之间的互动以提升应用程序安全测试的准确度。IAST集合了SAST与DAST最好的优点于一单一解决方案。有了这套方法，就能确认或排除已侦测到的漏洞是否可能遭到攻击，并判断漏洞来源在应用程序代码中的位置。
在实际的应用测试过程中，针对web应用，目前国内主要的黑盒渗透测试、白盒代码审核。在黑盒、白盒基础上一般还要考虑针对业务流程\模拟用户的使用环境的安全测试。
对二进制文件的分析也逐渐普遍。
2.2安全开发管理
一般包括人员安全管理、开发环境安全管理、测试环境安全管理、变更安全管理、版本控制管理、代码管理等等
2.3应用的加固和防护
gartner是专门用一张ppt做了说明
在编码和编译应用，在运行阶段执行，包括软件程序防火墙、代码加固和自修复、代码混淆等。
有些做软件开发的大公司，研发人员自己使用编译工具和程序静态分析工具以检查通常的代码安全错误，确保代码的质量和安全性后才允许提交。
2.4 SCA（源代码审核）
代码审核一般企业有专门的安全部门进行审核，主要的一些工具如下。白盒的代码审核目前开展的效果一般，随着安全漏洞的不断披露，源代码审核肯定会发挥更大的作用，使用80%的精力找出20%的深层次安全隐患。
（三）、运行阶段
这里提到到三块技术或产品DAP（Database Audit and Protection数据库审计与防护）、WAF（web防火墙）、DDM（动态数据脱敏）
WAF不多说了，国内用的很多。
3.1关于DAP（数据库审计与防护）
gartner发布了一个报告《运用数据库审计与保护的9个关键能力》，里面提及了DAP的9个关键能力。
这里包含了数据（库）安全策略；数据发现和分类；用户和权限的评估；应用账号、特权账号的监控和审计；事件的收集分析报告；漏洞和配置管理；入侵防护；数据的加密、标记和模糊化处理等。
互联网时代，隐私越来越得到重视的情况下，一个分化的data masking逐渐作为独立产品的出现，Gartner针对Data Masking有专门的细分市场分析，引出下面的DDM（动态数据脱敏）产品。
3.2 DDM（动态数据脱敏）
数据脱敏常见有两种场景。
1、随着大数据分析的逐渐流行，第三方商业智能和精准营销服务等被广为接受，业务部门的数据交由第三方分析时候需要进行数据脱敏，同时某些数据脱敏后还需要还原成原始业务数据。2、生产数据在非生产环境下使用：由于业务上的需要，很多企业需要在非生产环境中使用生产系统的真实业务数据，比如在测试系统中用真实数据运行各项测试用例、在培训系统中用业务数据进行演示等等，考虑到数据隐私需要进行脱敏处理。
Gartner认为数据脱敏市场最终将分成静态和动态两部分。SDM或者其它当前可用的数据安全技术解决不了商密数据滥用的某些问题。为满足客户的潜在
需求，一个分化的DDM市场正在兴起，服务于那些SDM所不能满足的案例要求。动态数据脱敏是一项新兴的技术，其目标是实现生产数据实时数据隐藏。
预计DDM和数据库审计保护（DAP）将产生协同效应，形成更全面、智能的安全检测和保护能力，而且潜在的DAP和DDM能力将合并在一个单一的工具中。
最后用一幅图结束.再找时间写：Gartner2014年信息安全趋势解读（3）–主题待定。