19、移动应用与DevOps安全及最佳实践

移动应用与DevOps安全及最佳实践

移动应用与DevOps安全保障

在移动应用和DevOps领域，保障安全至关重要。我们可以借助数百万开发者和研究人员的众包情报，促进团队成员无论身处何地都能轻松协作，并以自动化的方式交付安全软件，从而加速而非阻碍开发进程。

同时，我们必须认识到利用移动应用弱点可能引发的潜在安全问题，这凸显了安全团队负责任和合乎道德行为的重要性。道德黑客的目标是增强安全性并预防潜在攻击，而非造成损害。始终要在法律范围内，坚定地遵循道德准则行事。

假设一个移动应用将用户登录凭证（用户名和密码）以纯文本文件形式存储在设备的内部存储中，那么物理接触该设备的攻击者就有可能获取这些凭证。以下是调查和修复此漏洞的步骤：
1. 定位代码中在设备上存储敏感数据（如用户登录凭证）的部分。
2. 验证数据是否确实以不安全的方式存储，例如纯文本文件或未加密的数据库。
3. 为修复此漏洞，应将敏感数据以加密格式存储。
4. 将安全扫描工具（如SAST和DAST）集成到安全流程中，这能极大增强识别和缓解漏洞的能力。将这些自动化测试集成到CI管道中，每当有新代码推送到存储库时运行测试，以确保应用在演进过程中安全无虞。
5. 作为应用测试方案的一部分，定期运行自动化安全测试。随着应用安全机制或代码库的任何更改，及时更新测试方案。
6. 考虑由安全专业人员进行定期手动渗透测试，他们能洞察自动化测试可能遗漏的潜在漏洞。

移动DevOps安全自动化提示

在实施DevSecOps并注入安全检查和扫描后，为避免减慢构建速度并影响开发者生产力，可参考以下提示：
- 重要的是不要减慢CI构建速