在做互聯(lián)網(wǎng)產(chǎn)品時(shí)，不僅要對(duì)整個(gè)產(chǎn)品涉及到的配套設(shè)施和程序都要做安全評(píng)估，當(dāng)然，僅是一般的小產(chǎn)品，臨時(shí)用下就不用這么復(fù)雜，南昌網(wǎng)站制作公司百恒網(wǎng)絡(luò)安全工程師在此是針對(duì)一些大項(xiàng)目或真正投入運(yùn)營(yíng)的項(xiàng)目進(jìn)行相關(guān)介紹。安全評(píng)估的產(chǎn)出物，就是安全解決方案。解決方案一定要有針對(duì)性，這種針對(duì)性是由資產(chǎn) 等級(jí)劃分、威脅分析、風(fēng)險(xiǎn)分析等階段的結(jié)果給出的。

設(shè)計(jì)解決方案不難，難的是如何設(shè)計(jì)一個(gè)好的解決方案。設(shè)計(jì)一個(gè)好的解決方案，是真正 考驗(yàn)安全工程師水平的時(shí)候。

很多人認(rèn)為，安全和業(yè)務(wù)是沖突的，因?yàn)橥鶠榱税踩獱奚鼧I(yè)務(wù)的一些易用性或者性 能，筆者不太贊同這種觀點(diǎn)。從產(chǎn)品的角度來(lái)說(shuō)，安全也應(yīng)該是產(chǎn)品的一種屬性。一個(gè)從未考 慮過(guò)安全的產(chǎn)品，至少是不完整的。

比如，我們要評(píng)價(jià)一個(gè)杯子是否好用，除了它能裝水，能裝多少水外，還要思考這個(gè)杯子內(nèi)壁的材料是否會(huì)溶解在水里，是否會(huì)有毒，在高溫時(shí)會(huì)不會(huì)熔化，在低溫時(shí)是否易碎，這些 問(wèn)題都直接影響用戶使用杯子的安全性。

對(duì)于互聯(lián)網(wǎng)來(lái)說(shuō)，安全是要為產(chǎn)品的發(fā)展與成長(zhǎng)保駕護(hù)航的。我們不能使用“粗暴”的安 全方案去阻礙產(chǎn)品的正常發(fā)展，所以應(yīng)該形成這樣一種觀點(diǎn)：沒(méi)有不安全的業(yè)務(wù)，只有不安全 的實(shí)現(xiàn)方式。產(chǎn)品需求，尤其是商業(yè)需求，是用戶真正想要的東西，是業(yè)務(wù)的意義所在，在設(shè) 計(jì)安全方案時(shí)應(yīng)該盡可能地不要改變商業(yè)需求的初衷。

作為安全工程師，要想的就是如何通過(guò)簡(jiǎn)單而有效的方案，解決遇到的安全問(wèn)題。安全方 案必須能夠有效抵抗威脅，但同時(shí)不能過(guò)多干涉正常的業(yè)務(wù)流程，在性能上也不能拖后腿。

好的安全方案對(duì)用戶應(yīng)該是透明的，盡可能地不要改變用戶的使用習(xí)慣。

微軟在推出 Windows Vista 時(shí)，有一個(gè)新增的功能叫 UAC，每當(dāng)系統(tǒng)里的軟件有什么敏感 動(dòng)作時(shí)，UAC 就會(huì)彈出來(lái)詢問(wèn)用戶是否允許該行為。這個(gè)功能在 Vista 眾多失敗的原因中是被 人詬病最多的一個(gè)。如果用戶能夠分辨什么樣的行為是安全的，那么還要安全軟件做什么?同 樣的問(wèn)題出現(xiàn)在很多主動(dòng)防御的桌面安全保護(hù)軟件中，它們動(dòng)輒彈出個(gè)對(duì)話框詢問(wèn)用戶是否允 許目標(biāo)的行為，這是非常荒謬的用戶體驗(yàn)。

好的安全產(chǎn)品或模塊除了要兼顧用戶體驗(yàn)外，還要易于持續(xù)改進(jìn)。一個(gè)好的安全模塊，同 時(shí)也應(yīng)該是一個(gè)優(yōu)秀的程序，從設(shè)計(jì)上也需要做到高聚合、低耦合、易于擴(kuò)展。比如 Nmap 的 用戶就可以自己根據(jù)需要寫插件，實(shí)現(xiàn)一些更為復(fù)雜的功能，滿足個(gè)性化需求。

最終，一個(gè)優(yōu)秀的安全方案應(yīng)該具備以下特點(diǎn)：

● 能夠有效解決問(wèn)題;

● 用戶體驗(yàn)好;

● 高性能;

● 低耦合;

● 易于擴(kuò)展與升級(jí)。

關(guān)于產(chǎn)品安全性的問(wèn)題，在未來(lái)的文章中我們也會(huì)繼續(xù)介紹。

本文僅限內(nèi)部技術(shù)人員學(xué)習(xí)交流,不得作于其他商業(yè)用途.希望此文對(duì)廣技人員有所幫助。原創(chuàng)文章出自:南昌網(wǎng)站設(shè)計(jì)公司-百恒網(wǎng)絡(luò) http: //m.51yjwy.com 如轉(zhuǎn)載請(qǐng)注明出處!