移动应用进入新时代：安全主要矛盾发生转变

最近10年，移动互联网伴随着移动网络通信基础设施的升级换代，3G网络、4G网络有利促进移动互联网快速发展。我国移动互联网整体经历了3个不同阶段，即①萌芽期（2000年-2007年）： WAP应用是该时期移动互联网应用的主要模式；②培育期（2008年-2011年）：3G移动网络建设掀开了移动互联网新篇章，但智能手机还处在发展初期，移动智能终端还未大面积普及；③高速成长期（2012年-至今）：移动应用出现爆发式增长，并逐渐成为诸多企业业务的构成主体之一。

移动应用进入新时代，“安全防护”处于滞后状态

随着移动互联网应用爆发性增长，移动应用面临的安全问题也在发生变化。相比5年前，今天企业在移动应用安全保护方面已经拥有一定安全意识，在安全防护手段上也不再是一穷二白。在很多重要领域及关键环节，都添加了不少安全产品进行安全防护。但是从整体来看，安全防护目前仍然处于“滞后”状态。虽然移动应用已然进入第三阶段“爆发式增长时期”，但现阶段的移动应用防护手段更多还是在采用单点防护或者安全工具的简单叠加，主要表现为以下几个特点：

①    移动应用安全防护手段独立分散，与用户业务的最终安全目标无明确关联，覆盖范围交叉重复且完整性低；

②    安全工具没有和具体生产流程相结合，实施节点与流程混乱；

③    没有形成基于业务的安全基线或基于安全基线的安全管控能力，无法保证业务安全；

处于第三阶段爆发式增长移动应用和处于滞后状态“安全防护”不平衡发展，导致移动应用安全主要矛盾也在发生转变。移动应用安全主要矛盾从发展初期的用户贫乏的安全意识同日益猖獗的移动安全攻击之间的矛盾，转换为用户日益增长的对整体安全服务的诉求和缺乏系统、完善的安全防护方案之间的矛盾。移动应用安全主要矛盾变化，促使安全防护方法论和解决方案必须做出对应调整。

正确应对移动应用安全矛盾转变，需坚持两个原则

面对新问题，需将安全整合和协同防御作为企业解决移动应用安全主要矛盾的指导思想，安全防护必须从普通单点防御走向纵深立体防御。新一代移动应用安全解决方案，需以数据分析作为安全策略和安全响应的源头，发挥数据价值，同时安全产品需要更为贴近业务。正确应对移动应用安全主要矛盾的转变，需坚持两个原则：

①    可控制安全：贯穿应用全生命周期管控

对移动应用立项、需求分析、设计开发、安全编码、测试及后期运营等各个阶段进行全生命周期管理，通过各阶段数据的关联分析，将整体数据分析价值以不同角度，直接服务于不同阶段的安全防护，让数据价值贯穿应用全生命周期。同时，可对应用开发全生命周期流程节点进行自动提示和准确控制，为用户提供真正贴切需求的安全实施方案。

②    可量化安全：安全基线全面覆盖

随着移动互联网快速发展，国家监管单位也在陆续完善各行业移动应用安全标准，每个行业的移动应用都需要符合各自行业政策法规地约束。如何保障移动应用满足各自行业安全标准，并实施有效控制，是行业用户安全部门急需解决的问题。重中之重就是通过对移动应用安全问题的全面覆盖包括源码安全规范、应用漏洞、业务渗透等，保障安全基线的完整实现。

 “两个原则”最佳实践：基于全生命周期的移动安全服务平台

梆梆安全在深度研究用户行业规范及业务特性基础上，通过场景化威胁分析和移动安全建模，为用户每项移动业务打造专属的安全基线标准，推出了国内首款以行业特性为导向，以安全体系建设为目标的移动应用全生命周期安全服务平台，彻底解决当前移动应用安全领域局限于单一保护工具的局面，将移动应用安全建设的工具、服务通过平台化方式实现。从移动互联系统设计之初就通过安全基线制定、安全设计咨询、安全编码跟踪、安全问题整改落地、安全验收等动作，保障业务功能的安全实施。

移动应用安全服务平台连通研发、测试、安全管理等多个角色，围绕移动应用安全建设模型制定切实有效的安全管理计划和建设流程，结合梆梆安全在移动应用安全领域多年耕耘的经验成果，真正地深入到移动应用安全建设的本源去解决安全问题。

移动应用安全服务平台凭借广泛的用户认可和优异的市场表现得到了各行业客户和权威机构高度认可。近日中国人民银行主管的国家级学术期刊《金融电子化》，在2017年度创新奖评选中授予了梆梆安全移动应用全生命周期安全服务平台“优秀产品创新奖”。该奖项也有力印证了该产品极高的品质和技术领先性。我们有理由相信，在未来，梆梆安全移动安全服务平台，将为保护移动应用安全问题持续贡献更大的力量。

优秀产品创新奖

Via: freebuf