在做互聯(lián)網(wǎng)產(chǎn)品時，不僅要對整個產(chǎn)品涉及到的配套設(shè)施和程序都要做安全評估，當(dāng)然，僅是一般的小產(chǎn)品，臨時用下就不用這么復(fù)雜，南昌網(wǎng)站制作公司百恒網(wǎng)絡(luò)安全工程師在此是針對一些大項目或真正投入運(yùn)營的項目進(jìn)行相關(guān)介紹。安全評估的產(chǎn)出物，就是安全解決方案。解決方案一定要有針對性，這種針對性是由資產(chǎn) 等級劃分、威脅分析、風(fēng)險分析等階段的結(jié)果給出的。

設(shè)計解決方案不難，難的是如何設(shè)計一個好的解決方案。設(shè)計一個好的解決方案，是真正 考驗安全工程師水平的時候。

很多人認(rèn)為，安全和業(yè)務(wù)是沖突的，因為往往為了安全，要犧牲業(yè)務(wù)的一些易用性或者性 能，筆者不太贊同這種觀點。從產(chǎn)品的角度來說，安全也應(yīng)該是產(chǎn)品的一種屬性。一個從未考 慮過安全的產(chǎn)品，至少是不完整的。

比如，我們要評價一個杯子是否好用，除了它能裝水，能裝多少水外，還要思考這個杯子內(nèi)壁的材料是否會溶解在水里，是否會有毒，在高溫時會不會熔化，在低溫時是否易碎，這些 問題都直接影響用戶使用杯子的安全性。

對于互聯(lián)網(wǎng)來說，安全是要為產(chǎn)品的發(fā)展與成長保駕護(hù)航的。我們不能使用“粗暴”的安 全方案去阻礙產(chǎn)品的正常發(fā)展，所以應(yīng)該形成這樣一種觀點：沒有不安全的業(yè)務(wù)，只有不安全 的實現(xiàn)方式。產(chǎn)品需求，尤其是商業(yè)需求，是用戶真正想要的東西，是業(yè)務(wù)的意義所在，在設(shè) 計安全方案時應(yīng)該盡可能地不要改變商業(yè)需求的初衷。

作為安全工程師，要想的就是如何通過簡單而有效的方案，解決遇到的安全問題。安全方 案必須能夠有效抵抗威脅，但同時不能過多干涉正常的業(yè)務(wù)流程，在性能上也不能拖后腿。

好的安全方案對用戶應(yīng)該是透明的，盡可能地不要改變用戶的使用習(xí)慣。

微軟在推出 Windows Vista 時，有一個新增的功能叫 UAC，每當(dāng)系統(tǒng)里的軟件有什么敏感 動作時，UAC 就會彈出來詢問用戶是否允許該行為。這個功能在 Vista 眾多失敗的原因中是被 人詬病最多的一個。如果用戶能夠分辨什么樣的行為是安全的，那么還要安全軟件做什么?同 樣的問題出現(xiàn)在很多主動防御的桌面安全保護(hù)軟件中，它們動輒彈出個對話框詢問用戶是否允 許目標(biāo)的行為，這是非?；闹嚨挠脩趔w驗。

好的安全產(chǎn)品或模塊除了要兼顧用戶體驗外，還要易于持續(xù)改進(jìn)。一個好的安全模塊，同 時也應(yīng)該是一個優(yōu)秀的程序，從設(shè)計上也需要做到高聚合、低耦合、易于擴(kuò)展。比如 Nmap 的 用戶就可以自己根據(jù)需要寫插件，實現(xiàn)一些更為復(fù)雜的功能，滿足個性化需求。

最終，一個優(yōu)秀的安全方案應(yīng)該具備以下特點：

● 能夠有效解決問題;

● 用戶體驗好;

● 高性能;

● 低耦合;

● 易于擴(kuò)展與升級。

關(guān)于產(chǎn)品安全性的問題，在未來的文章中我們也會繼續(xù)介紹。

本文僅限內(nèi)部技術(shù)人員學(xué)習(xí)交流,不得作于其他商業(yè)用途.希望此文對廣技人員有所幫助。原創(chuàng)文章出自:南昌網(wǎng)站設(shè)計公司-百恒網(wǎng)絡(luò) http: //syshcw.cn 如轉(zhuǎn)載請注明出處!