行业资讯团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 新闻资讯 > 行业资讯 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

快节奏的软件开发环境为金融服务机构软件系统埋下隐患

文章来源：重庆网站建设围观次数：

分享到:

摘要：面对日益激烈的商业竞争，市场迫不及待，开发商也必须缩短开发和创新的时间！在快节奏的软件开发环境中，由代码缺陷引起的软件系统漏洞为引入市场的金融应用程序带来了安全风险。

在全球金融业数字化转型升级的大趋势下，无论是传统银行业的互联业务和移动银行，还是移动支付，P2P金融，甚至是数字货币，金融中的新技术和新应用工业正在兴起。工业，证券业和保险业都开始依靠应用软件进行业务扩展和维护。面对日益激烈的商业竞争，市场迫不及待，开发商也必须缩短开发和创新的时间！在快节奏的软件开发环境中，由代码缺陷引起的软件系统漏洞为引入市场的金融应用程序带来了安全风险。金融服务机构如何应对这些威胁？

金融机构应用程序安全漏洞

2018年，金融行业漏洞数量的增长趋势仍未减弱。无论是漏洞的规模，漏洞的出现速度，还是漏洞的总数，都对企业漏洞管理提出了巨大的挑战。以互联网金融为例，国家互联网应急响应中心（CNCERT）在2018年检测到430个互联网金融应用程序，共发现1,005个安全漏洞，包括240个高风险漏洞和最多50个明文数据传输漏洞（高风险漏洞），其次是Webview纯文本存储密码漏洞共48个（20.0％）和源代码反编译漏洞共31个（12.9％）。这些安全漏洞可能威胁到交易授权和数据保护，并且存在数据泄漏的风险。其中一些安全漏洞会影响应用程序的文件保护，并且不能有效地防止应用程序被反向或反编译，从而使应用程序面临多重安全风险。

从业务发展的角度来看，安全漏洞给金融机构（包括银行，证券，保险和互联网金融）带来的风险是不言而喻的。以银行业为例，Security Bull发布的《 2018年第二季度中国银行业网络风险报告》发现53％的银行机构存在安全漏洞，其中最常见的是CVE安全漏洞，在整个软件开发生命周期中从设计，编码到在线操作的所有链接都可能导致安全漏洞。这些漏洞一旦被利用，可能会导致严重的信息泄漏或系统故障，并给用户和银行机构带来无法弥补的经济损失。

此外，漏洞威胁给金融服务机构的信息安全带来了巨大挑战。 Freebuf的《 2018年金融行业应用安全状况报告》显示，“与去年相比，漏洞的类型，数量和威胁级别都发生了很大变化。就漏洞数量而言，互联网金融明显少于传统金融。但是，从漏洞利用的角度来看，互联网金融似乎更加脆弱，金融机构遇到的普遍漏洞是按照威胁的程度进行排序的，命令执行，SQL注入和弱密码的排名较高。”

从理论上讲，任何计算机系统都具有漏洞。它们存在于操作系统或组件中。一旦这些漏洞受到病毒或黑客的攻击，它们可能会导致安全风险，例如数据泄漏。随着基于信息系统的各种金融服务软件应用程序的不断丰富，以及软件和信息系统的日益复杂，系统代码或后门中隐藏着越来越多的安全隐患，通常很难及时查找和修复。

金融服务机构应如何应对这些威胁？

我们看到，即使所有企业都部署了许多安全产品，例如EDR，ADS，IPS等，攻击者仍然可以轻松突破防御层，并且每天都在进行复杂的攻击。 IPS规则可以检测和阻止已知的攻击，但是攻击者可以使用漏洞来更改或绕过安全规则，攻击业务服务器或数据库服务器，并比以往更加困难地阻止新型攻击。单一的安全工具无法解决当今金融机构所面临的复杂威胁。

几乎所有金融机构从业者都认为，面对如此严峻的安全形势，有必要加强安全意识，以保护企业和用户的信息和财产。同时，他们承认，由于缺乏应用程序安全专业知识和对成本的担忧，以及对软件开发生命周期早期的安全流程可能会阻碍开发和市场响应速度，大多数金融机构进行漏洞评估之前就发布了软件版本。现实情况是，在此阶段，不超过10％的金融机构严格遵守安全的开发流程。

但是导致软件漏洞的最常见因素是在开发过程中延迟执行漏洞测试！安全专家指出，面对漏洞威胁，最关键和最基本的措施之一就是改变金融机构现有的安全概念和措施，并执行安全专家十多年来一直建议的建议：左移测试。” 换句话说，从开始到整个开发过程，将安全性纳入软件开发中，将安全性要求列为早期开发过程中的项目，并从全球角度协调业务，以使业务能够进行安全性开发和实施。

实际上，正如我们之前一直强调的那样：没有单一的方法，工具或服务可以确保任何金融服务行业（例如银行）的绝对安全，免受漏洞的威胁。从软件开发生命周期的角度来看，这需要使用多种自动化工具，这些工具可以帮助开发人员在软件开发过程的早期发现并修复错误，而不是花费大量时间和金钱在产品上线或投入使用后对其进行修复。重要的是要意识到，没有“一刀切”的工具可以克服漏洞威胁。漏洞的检测和保护需要多个相互补充的自动化工具，每个工具都在寻找特定的软件缺陷（例如开源组件）或处于不同状态（静态，动态和交互式）的测试软件代码。正如安全专家经常说的那样，我们可能无法使组织完全防弹，但是通过在软件开发生命周期的整个过程中尽早集成安全要求，并辅以适当的自动化开发工具，我们可以更轻松地检测到攻击者，使他们更难以破坏组织并从根本上增强软件的安全性。

本文由重庆网站建设整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

相关热词搜索：软件开发金融服务机构软件系统系统漏洞

上一篇：企业网站选择定制开发的好处
下一篇：做一个合格的网站建设创业者