什么是「应用安全」 — Application Security “AppSec” ？
by Canonical on 26 June 2025
网络安全领域已然迎来重大变革。如今，网络攻击、恶意软件和勒索软件等风险日益蔓延，加之新出台的网络安全法规以及针对数据泄露和数据外泄的高额罚款所带来的压力与日俱增，强化应用安全（AppSec）已毫无妥协可言。
在本文中，我们将探讨如何直面这些挑战，通过聚焦安全态势中最基本的要素，确保业务和系统安全。笔者将介绍应用安全（AppSec）的概念及其益处，探讨企业应如何设计和实现应用安全，并分享我们团队的一些实用建议和最佳实践，帮助您筑牢安全防线。
什么是 AppSec ？
应用安全（简称 AppSec）是一个广义概念，涵盖了企业组织为保护其应用程序在整个生命周期内免遭各种安全漏洞而采用的所有工具、举措与流程。应用安全的目标只有一个，就是找出应用程序和系统中可能会被恶意攻击者利用，从而进行未经授权访问、滥用应用程序或进行恶意篡改的漏洞，并在这些漏洞真正成为问题之前将其修复。
应用安全并非为了保障系统和应用安全而采取的单一措施，而是涉及从早期设计阶段到团队工作流程，到所用工具和网络，再到最终产品部署以及长期维护支持等各个方面。应用安全（AppSec）就是尽一切所能全面排查应用程序、企业组织以及业务流程中存在的安全漏洞，并在其演变为真正重大问题之前进行优化改进。
应用安全（AppSec）不是单一的工具、技术或举措。相反，这一概念涉及到从开发到部署的一系列旨在提升应用程序整体安全态势的软件工程活动。
应用安全有哪些益处？
良好的应用安全（AppSec）能够为企业组织带来诸多益处，包括实现更安全可靠的系统与应用程序，提升用户信任度，减少罚款与网络安全事件，以及持续满足监管与合规要求。
总体而言，应用安全在以下方面发挥着至关重要的作用：
- 确保代码真实可靠，避免遭到恶意篡改
- 降低应用程序的 CVE 漏洞暴露风险
- 保护敏感数据
- 阻止对应用程序、系统或数据库的未经授权访问
- 防御恶意攻击者、恶意软件、数据泄露和其他网络安全事件
- 确保满足监管与合规要求
- 减少业务中断
- 防止出现安全漏洞和网络安全事件
- 避免网络安全事件导致的财务、声誉和品牌损失
9 大应用安全最佳实践
应用安全涉及广泛，覆盖整个企业组织，涵盖开发生命周期的各个环节，因此，确保应用安全工作触及企业组织开发流水线中的每一个阶段、层级、程序以及工具至关重要。
为此，企业组织应当在组织与技术栈层面做出积极的改变。这意味着不仅要提升软硬件、内外网络及所有基础架构的安全性，还要对设计流程、内部程序、通信管道以及组织结构进行评估与优化。
根据笔者自身的经验，若想制定出一套稳健可靠的应用安全策略，建议关注以下九个方面。
1) 一切始于设计和概念化阶段
安全工作早在代码之前就已开始。通过对选定的技术和架构进行适当的审查，开展全面的漏洞评估与风险分析，可以避免绝大多数的应用安全隐患。
企业组织需要确保做出的决策可靠、可持续且能够为长期的网络安全工作提供有力支撑。例如，Ubuntu 之所以成为极度受到开发者青睐的平台之选，不仅是因为其开源特性，还在于它能够提供一个稳定、可靠且有技术支持的基础，以应对软件不断演变和日益复杂过程中不可避免的各种挑战。制定安全设计理念时也应秉持同样的原则：选择值得信赖的方案，作为通往未来成功的阶梯。
2) 发现最可能存在的风险与暴露
良好的应用安全与漏洞管理（可查看我们近期发布的博客文章了解漏洞管理相关内容）、漏洞评估（我们网站上近期发布的一篇博客文章中也对此进行过探讨）密切相关。企业组织应当对选定的架构和规划中的应用设计进行全面深入的审查，其目标尤其在于解答“恶意攻击者最有可能利用哪些路径和方面发起攻击？”这个问题。
漏洞管理需要谨慎权衡威胁严重程度、资源管理以及风险概率。首先从最可能和最严重的威胁入手，根据整体风险偏好进行改进。
这一过程有助于对最可能出现和最重要的漏洞进行分类处理，同时为增强整体应用安全态势制定出更清晰的路线图。
除此以外，笔者还强烈建议跳出系统强化的固有思维。请牢记，应用安全是一个整体性概念，企业组织还需要密切审视传统软件、硬件和网络范畴之外的网络安全风险。这些风险可能源于从员工招聘与背景审查流程，到建筑物出入权限管理模式，再到工作场所内外的内部沟通机制等的各个方面。
3) 反复审视并完善网络安全基础措施
卓越的应用安全依赖于应用设计和网络安全控制的基础措施。若要强化网络安全以实现稳健可靠的应用安全，可采取以下最佳举措：
- 尽可能实施零信任策略
- 确保身份认证、授权和访问控制机制完全安全（以及对凭证拥有掌控权）
- 采用“默认安全”配置
- 减少攻击面——若设备或企业组织暂不使用某个端口、组件、软件包等，则默认将其禁用，直至需要使用
- 确保适当运用加密技术，保障数据在静态存储和传输过程中的安全性
- 加密所有敏感数据，避免存在明文数据
- 验证所有输入数据，并妥善处理各类异常
- 最小化应用程序和系统的访问权限，从一开始就设定安全基线，防范服务器端请求伪造攻击
- 定期开展开发者安全基础知识培训和技能提升培训，使参与应用和系统开发构建的每一位成员都能识别常见漏洞并加以规避
落实这些安全基础措施的方法多种多样，但无论选择何种方式，重点都应在于构建多层防御体系，防御来自多种攻击向量的攻击。若想了解具体的落实指南，强烈建议阅读我们最新发布的关于如何构建深度多层安全体系的白皮书。
4) 考量软件供应链
当然，企业组织需要确保所使用的组件可以安全部署和使用，且在整个使用周期内得到持续维护。
要审慎考量软件包和组件的来源、它们的依赖项以及它们在补丁和安全更新方面的安全要求。只要有一个依赖项存在严重的可被利用漏洞，企业组织自身及其声誉都将面临风险。
除了从能够提供可靠安全补丁的可信来源获取组件和软件包之外，还应构建一定的扫描机制，确保不会使用存在已知漏洞的资源库。
5) 严谨执行持续测试
应用程序和系统上线之前进行严格测试是必不可少的环节，这一点毋庸赘言。新出台的网络安全法规填补了过去那种为快速推出最小化可行产品 (MVP) 而＂快速行动、不惧出错＂做法的漏洞。
企业组织需要确保自身软件、系统和产品在各种预期甚至非预期情况和环境下，都能稳定运行。
测试，测试，再测试，甚至还要对测试流程本身进行检验。
6) 频繁进行审计和外部测试
这一点是接续上一点，仅仅内部测试应用程序并自以为安全是远远不够的。所有企业组织在测试过程中都难免存在盲点、主观倾向或优先考虑因素，影响到测试的严谨性，确定这些盲点、主动倾向或优先考虑因素是否安全无风险（不仅仅是“自以为安全”）的唯一办法就是对此进行独立验证。
独立验证由能够对应用程序和系统进行安全测试的独立机构来完成。验证方式可以是渗透测试、验证测试或合规性评估，具体视产品和市场需求而定。能够提供渗透测试、安全测试等服务的机构数不胜数，因此务必要选择具备专业资质的机构（例如，获得 CREST 认证的机构）。
7) 长期监测
另一项重要举措是在应用程序或系统运行过程中长期监测发现网络安全事件。此举不仅有助于知晓问题发生的时间和原因，还有助于评估安全漏洞或网络安全事件的影响范围，并在事后对受影响的系统进行修复和安全加固。
长期监测是评估应用安全工作成效的关键。若缺乏持续监测与测试，将无法应对每日出现的不断变化的威胁和新漏洞。
在长期持续监测的基础上，还要针对内外部报告建立健全的安全报告工作流程及事件响应程序。任何运营应用程序的企业组织，都应制定一套文档齐全且经过充分检验的报告机制，以便用户和第三方能够报告潜在漏洞，企业组织也能及时回应并解决这些漏洞。最后，企业组织需要具备检验有效的事件响应脚本，以便在问题发生时能够迅速响应。
8) 避免无用功
每个企业组织都需要一支安全团队，但这并非意味着其自身从零开始构建一切。市面上有大量的自动化工具、专用平台、专业应用程序以及服务提供商，他们能够提供构建安全基线所需的一切——无论是无需人为操作的补丁更新、全天候监测与事件预警，还是可对产品进行全面测试的自动化 DAST/SAST 具，应有尽有。
以 Ubuntu Pro 为例，其通过支持无需重启的自动化补丁更新，以及提供包含超过 36,000 个可信软件包（适用于最常见的工具链和应用程序）的资源库，省去了持续漏洞管理过程中的大量人为操作和管理工作。企业组织使用该工具，可以轻松完成操作系统和应用程序的补丁更新，无需繁重的人为管理工作。
9) 与在安全领域经验丰富的专家携手
应用安全最棒的地方在于，它是一个成熟完善的领域，具有丰富的可用资源。以 OWASP 为例，这个自愿性项目可为所有有需求者提供海量极具价值的网络安全资源。
缺乏专业知识、时间或资源来自行构建安全基线也无妨，应用安全领域具有经过时间检验的网络安全框架与控制措施、协同化的漏洞管理平台、可信的第三方安全服务提供商、行业标准规范以及可靠的长期技术支持。20 年来，Canonical 始终致力于开发和维护 Ubuntu 及开发者社区中众多最热门和最值得信赖的开源应用程序和服务。使用 Canonical 的产品，不仅可以借助这 20 年的软件开发经验，还能受益于这 20 年来在整个产品套件上得到应用的安全经验教训。
综上所述，应用安全整体策略要契合日益流行的网络安全理念，即安全乃事事所系，人人有责。随着网络威胁日益增加、新漏洞层出不穷、攻击向量始料未及，加之全球网络安全法规日益严格，且不论违反法规将要面临的巨额罚款——实现良好的应用安全已刻不容缓。如今，企业组织要比以往任何时候都更注重审视自身的流程，围绕一套完善的网络安全基本原则进行设计，并从可信软件供应链获取软件包。
如需了解如何在应用安全策略中减少人为工作和节省时间，请访问 Ubuntu Pro
阅读更多
订阅博客文章
查看更多内容
NIS2 合规指南：第 2 部 — 了解 NIS2 合规要求
在上一篇博客文章中，笔者详细介绍了 NIS2 及其适用对象。本系列的第二篇文章中将详细介绍 NIS2 中的主要要求，并将这些要求具体转化为切实可行的行动措施，助力企业组织满足 NIS2 合规要求。欢迎阅读本文，一同深入了解 NIS2 的内容。 NIS2 适用于您。那么，您需要做些什么来满足 NIS2 合规要求？ 如果您正在阅读本文，想必已经意识到 EU NIS2 适用于您所在的公司。接下来，让我们深入探究其中的具体要求，以及为实现合规性需要采取的行动。 该指令规定，相关实体必须落实网络安全风险管理措施，且这些措施必须“适当适度”。尽管这一要求看似宽泛，存在一定的解释空间，但指令中明确规定了一系列必须落实的最低限度的网络安全风险管理措施。 下面将细入探讨这些措施，并将其转化 […]
Canonical 获得 ISO/SAE 21434 认证，强化了汽车网络安全标准
经过认证的网络安全流程有助于保护下一代互联汽车 Canonical 自豪地宣布，其安全管理系统经过全球知名认证提供商 TÜV SÜD 的广泛评估，已获得 ISO/SAE 21434 认证。这一里程碑突出了 Canonical 在为汽车行业提供可信可靠的开源解决方案方面的领导地位。它强调了 Canonical 对三大关键业务支柱的承诺：强大的网络安全、符合全球行业标准以及为自动驾驶和智能汽车构建更安全的未来。 强大的汽车网络安全 随着车辆的互联程度越来越高，未经授权的访问、远程攻击和数据泄露的风险也显著增加。ISO/SAE 21434 为在整个车辆生命周期内管理这些风险提供了详细的框架。对于原始设备制造商和一级供应商来说，合规是在竞争激烈的市场中交付产品的关键。 Canon […]
NIS2 合规综合指南：第 1 部 — 了解 NIS2 及其范围
欧盟 NIS2 指令呼吁加强整个欧盟的网络安全，目前已在所有成员国生效。在这个由三部分组成的博客系列中，我将解释 NIS2 是什么，并帮助您了解它是否适用于贵公司，以及如何才能符合 NIS2。 在第一部分中，我将介绍 NIS2 是什么以及其与其前身 NIS 的区别和适用性，帮助您理解并判断它是否与您的公司相关。 NIS2简介 欧盟指令 2022/2555 或《网络和信息系统指令》（以下通常称为 NIS2 或欧盟 NIS2）是一项新的欧盟法规，适用于所有欧盟成员国，其目标是实现高水平的网络安全。该法规更新了 2016 年颁布的《网络和信息系统指令》（NIS 或 NIS1），并授权成员国对在欧盟地区提供关键服务的实体采用并严格执行更严格的网络安全要求。除非您的公司被视为小型／ […]