[03-11 14:24:20] 来源：http://www.67xuexi.com 电脑安全教程 阅读：85108次
部署阶段
在预生产阶段完全地测试完成后的应用程序。这阶段的测试可能包含外部团队或者自动化安全扫描工具执行的应用程序压力测试。IT 治理实践通常会指定最终批准的标准。
管理阶段
部署之后，您可以使用扫描工具，压力测试，以及审计日志，来阶段性地监视应用程序及其环境，预防可能的攻击和问题。建立一个清晰的进程，以安全性地修改应用环境，并给应用程序打补丁。
在开发阶段实行安全测试的自动化
当您在建立一个最佳实践时，开发周期内创建一个可重复和稳定的安全性进程的关键在于自动化。IBM Rational AppScan 产品提供的工具，可以扫描代码，以帮助开发人员找到问题所在。在开发的后期可以重复使用自动化扫描工具，以监视部署的应用程序。在应用程序或者基础设施更改时，这将使得部署的网络应用程序得到较好的监视，并帮助您检查不经意间引入的安全性问题。
Rational AppScan 家族的产品在开发与部署阶段提供了这些活动的自动化功能。
开发阶段
Rational AppScan Source Edition： 对于应用程序开发人员来说，该工具提供了代码的白盒分析功能，这样开发人员就可以在开发的早期阶段就识别到存在的问题。它还向开发人员提供了关于可能找到问题及其补救措施的信息。
Rational AppScan Tester Edition： 对于质量保证(QA)团队来说，该工具有助于实现安全测试的集成化和自动化。测试员可以将其添加到已存在的测试环境，以将安全性测试集成到功能性测试以及性能测试。
Rational AppScan Build Edition： 该版本支持在构建期间安全性问题扫描的集成。它与构建管理系统集成在一起，例如 Rational® Build Forge®，并且可以通过缺陷管理软件来追踪开发人员的报告，例如 Rational® Clear Quest®。
部署阶段
Rational AppScan Standard Edition： 对于安全审计员来说，该版本执行部署应用程序的黑框检查。审计员可以指定已存在应用程序的 URL(一般是在一个预生产系统上)，而工具会扫描应用程序以检查问题。接着会创建一个优先级问题的列表，以及关于每一个处理措施的详细信息。开发与管理团队定制报告的创建也是支持的。
Rational AppScan Enterprise Edition： 对于团队来说这是一种基于网络的多用户工具，它们需要以一种集中的方式处理应用程序扫描问题。就像 Rational AppScan Standard Edition 一样，它会扫描已存在的应用程序，并生成优先性列表和修复任务的报告。它有助于分配任务，以解决问题。
查看 参考资料 以得到关于 Rational AppScan 家族产品的更多信息，以及 IBM® Red guide® 关于 Rational AppScan 家族产品的指南的链接，帮助您实现开发过程的自动化和集成性安全。
从移动设备访问网络应用程序的独特性挑战
应用程序和设备的许多风险，增加了当前桌面应用程序的问题。识别和访问控制的当前操作超出了本文的讨论范围，但是网络应用程序治理涉及到的标准领域包括：
扫描应用程序上已存在的问题
访问控制
用户识别与认证
末端识别与管理
Malware
阅读 参考资料 所列出的 IBM® Redbooks® 文章，以学习更多关于 IBM 家族产品的信息，以集成安全性 。同样，您还可以从 IBM Web Application Security Solutions 网站上找到关于 IBM® Tivoli® 家族产品的更多信息。
移动设备由于其高度的定制性和移动性本质，呈现出较大的挑战性。移动设备更容易丢失。智能手机滑出口袋或丢失在出租车和飞机上，现在成为越来越常见的情形。智能手机也容易成为盗贼的盗取目标。出于这些原因考虑，移动设备能够访问的网络应用程序必须采用额外的安全性措施。
部署移动设备时公司治理处理的其他领域包括：
多因素认证：合并两种认证方法，例如，如果有条件的话，可以使用密码和指纹读取设备。
设计精细的访问控制机制：用户应该被授予权限获得需要的资源，去完成自己的工作，或者更多。所有的访问控制机制都应该尽可能地完美。
限制访问：支持从 Virtual Private Networks(VPN)的因特网上访问内部网资源。
数据加密：对于敏感性数据，匹配设备功能与需求。
管理：如果能够访问敏感性信息的话，那么对于丢失或者被盗设备来说，建议使用设备的 安全抹除功能。
总结
桌面和移动设备的 Web 2.0 应用程序有一些共享的安全性问题，因此，也有相应的反制措施。开发人员必须对一些常见的问题有较好的认识，并学会在整个开发的生命周期内处理它们。开发和部署期间他们需要持续性的自动化搜索功能，来保证应用程序的安全性。移动设备由于其高度的定制性和移动性本质，呈现出独特性的挑战。在您部署移动性方案之前，您需要计划一下如果设备被盗或者丢失的话，数据的安全性问题