由于攻擊也在進化，所以要定期檢查滲透測試。要保持OpenVAS和Metasploit等工具的更新，而且它們可以使用的攻擊庫也在穩(wěn)步增長。
軟件測試階段：交互式安全測試 (IAST)，IAST 通過代理、*** 或者服務端 Agent 方式無感知獲取功能測試人員測試交互流量，基于模糊測試 (fuzz) 思想對流量進行攻擊代碼隨機插入和攻擊流量構(gòu)建，并自動化對被測程序進行安全測試，同時可準確確定漏洞所在的代碼文件、行數(shù)、函數(shù)及參數(shù)。
上線迭代階段：常態(tài)化安全運營，對項目上線后所在的服務器資產(chǎn)、中間件以及項目本身進行 7*24 小時周期性安全檢查，相當于有一個安全團隊或滲透測試工程師全天候管理線上資產(chǎn)、站點以及中間依賴的安全問題，有效確保安全健壯性。

在研發(fā)人員眼中，編碼開發(fā)的目的是實現(xiàn)相關(guān)功能邏輯可用，無明顯功能 bug。而實際上，在安全人員眼中，很多這樣看似沒有功能問題的代碼，卻可以利用來進行安全漏洞攻擊。雖然這在很多研發(fā)人員眼中是看似天方夜譚，但很不幸，通過以往的無數(shù)重大安全事件的驗證，這個事實客觀存在。
采取正確的措施保護設(shè)備，將保護基礎(chǔ)架構(gòu)的其他部分，其中包括下面這些經(jīng)常被忽視的常見防范措施：
修改默認密碼和帳號名。
禁用不必要的服務和帳號。
保證按照制造商的要求更新底層操作系統(tǒng)和系統(tǒng)軟件。
三類*有代表性、安全威脅等級*高的安全漏洞
SQL注入二、跨站腳本 (XSS)三、任意命令執(zhí)行

上述三類安全漏洞，無一例外是在代碼功能正常的前提下進行的，可見功能可用不代表安全可靠。而為解決這些問題，更多的是需要在研發(fā)過程中各環(huán)節(jié)介入安全能力，實現(xiàn)對上述各類漏洞的上線前檢出以及修復，降低項目上線安全隱患。

限制管理網(wǎng)絡的管理接口訪問；如果無法做到這一點，則要在上游設(shè)備（交換機和路由器）使用ACL,限制發(fā)起管理會話的來源。
軟件編碼階段：靜態(tài)應用安全測試 (SAST)，通過與 git、svn 等代碼倉庫聯(lián)動，自動化拉取全量或增量代碼進行代碼安全檢查，以波谷時間檢測方式在上班時間前根據(jù)提交歷史以郵件形式同時相關(guān)責任人，降低對相關(guān)人員工作方式更改。


http://mmsped.com