原文地址 http://www.owasp.org.cn/OWASP_Events/20130525
自动化安全测试的目标和价值
降低线上漏洞
提高效率
降低人员投入成本
自动化安全测试方法的期望
黑盒扫描
白盒扫描
规则更新
缺陷管理
流程优化
平台建设
【大型互联网自动化安全测试】是现代信息技术领域中的一个重要议题，特别是在信息安全方面。随着互联网规模的不断扩大，手动安全测试已经无法满足高效、全面的需求。因此，自动化安全测试成为了降低线上漏洞、提升效率、减少人力成本的有效手段。
自动化安全测试的目标主要分为以下几个方面：
1. **降低线上漏洞**：通过自动化工具，可以持续监测并发现应用程序中的潜在安全问题，防止这些漏洞被恶意利用，保障用户数据和系统的安全性。
2. **提高效率**：相比于人工测试，自动化测试可以实现24小时不间断运行，大大缩短了测试周期，提升了测试覆盖率。
3. **降低人员投入成本**：自动化测试减少了对专业安全测试人员的依赖，使得安全测试资源得以优化分配，降低了企业运营成本。
自动化安全测试的方法主要包括两种类型：**白盒测试**和**黑盒测试**。
- **白盒测试**，也称为结构测试，这种方法基于代码和程序内部结构，通过静态分析和动态执行来发现代码层面的安全问题。白盒测试的实现步骤包括安全框架的建立、代码扫描、修复和验证。为了减少误报，可以建立误报库，并结合安全规范和开发流程进行优化。
- **黑盒测试**，则侧重于从用户角度出发，模拟真实用户行为进行测试，发现如API接口的不安全配置、业务逻辑漏洞等问题。它依赖于日志收集、数据分析和定制化的检测工具。黑盒测试可以发现手工测试和蜘蛛爬虫难以发现的问题，但可能无法检测到业务逻辑错误或瞬时失效的接口。
为了优化整个测试过程，还需要关注以下关键点：
1. **规则更新**：定期更新安全检查规则，以适应新型威胁和漏洞。
2. **缺陷管理流程**：建立有效的缺陷跟踪和管理机制，确保发现的漏洞能够及时修复。
3. **平台建设**：构建统一的自动化安全测试平台，整合项目流程、缺陷管理，提供多维度的自动化测试工具。
在实施自动化安全测试时，还应注意解决身份验证、POST数据处理、Hosts绑定等问题，并且需要及时发现和处理可能遗漏到线上的漏洞。
通过不断的技术交流和学习，我们可以进一步提升自动化安全测试的自动化程度和安全性，减轻工作负担，确保产品在发布前就达到高标准的安全要求。OWASP（开放式网络应用安全项目）等组织提供的资源和最佳实践也是我们学习和进步的重要参考。
