如何在外包开发时抵御SQL注入攻击

Ponemon研究所最新报告称，65%的受访者在过去一年遭遇了SQL注入攻击，然而，很少有企业采取了一致的措施来阻止这种攻击。我们外包了大量开发工作，仍然难以让开发人员在质量保障（QA）过程中执行一致的审计代码验证。考虑到这一点，我们如何利用有限的资源来防止这些攻击呢？

Nick Lewis（CISSP，GCWN)）是一名信息安全分析师。他主要负责风险管理项目，并支持该项目的技术PCI法规遵从计划。

Nick Lewis：现在有很多可用的工具让脚本小子用来广泛扫描SQL注入（SQLi），如此看来，如果只有65%的受访者遭遇了SQLi攻击，那么，这说明35%的受访者在其环境中没有有效的监控来发现这些攻击。换句换说，几乎每个企业都是SQLi攻击的目标。

当你外包开发工作时，你需要提出一些问题。首先，在与外包开发商的合同中是否有安全要求？这些外包开发商需要标准来遵循安全开发生命周期？他们是否对系统 开发生命周期和如何安全地编码接受过培训？外包开发商对代码中的漏洞是否承担责任？如果这些问题的答案是否定的，那么，在未来合同中应该增加这些条款，并 且，现有合同应该进行修订来涵盖这些条款。

除了外包和这些条款，企业还可以添加SQLi扫描仪或者攻击工具来发现软件开发过程质量保障周期中的SQLi漏洞，并提高安全性。

开放Web应用安全项目有一个SQLi抵御手册来帮助企业和开发人员阻止攻击。企业甚至可以使用脚本小子在其攻击中使用的相同工具来发现潜在易受攻击的代 码或应用。企业还可以执行静态代码分析来审计任何SQLi攻击代码。在这些代码进入生产阶段后，企业可以使用Web应用防火墙来阻止潜在SQLi攻击，或 者，利用入侵防御系统或防火墙中的功能来阻止攻击。