Applications should be designed, bu

Applications should be designed, built, and deployed with security in mind. In the development
phase, focus should be placed on the following tenets:
■ Least privilege
■ Modularization
The principle of least privilege means an application should be limited to the least amount
of access possible. In other words, to prevent an attacker from accessing it, the application
should not run as root or administrator unless it is absolutely necessary. You should develop
a modular, multiple - tier application that runs on more than one server. This ensures better
security for the application. A three - tier application is a great example of this. Setting up the
application as a set of layers makes it much harder for a hacker to gain access — there are
three layers to get through. The three tier application works like this:
■ The web layer is offered to the public, for example. This might live on an
Internet DMZ.
■ The middleware layer could be on the Internet DMZ also, but it could live inside the
core network too.
■ The database layer usually has a firewall protecting it separately.
As you have seen, one layer of security isn ’ t enough. You need to use multiple levels so
that if any one layer of security is compromised, there is another way to thwart the attack.
This multilayered approach is sometimes referred to as defense in depth.
To round out our discussion of application security, here are some of the key methods
for securing your application:
■ Use application access controls.
■ It is important to encrypt sensitive data such as personal data and credit card numbers,
both while in transit and also while at rest, such as in a database.
■ When you are programming, it is important to perform input filtering, both on the
server side and on the client side. You cannot assume that users of the application are
going to enter only those parameters that you are expecting. If there are characters that
exceed the input length, you will want to filter those as well as any type of character
(such as a control code) you would not be expecting. This prevents unexpected results
and also prevents commands from being sent to a database to do injection attacks.

ผลลัพธ์ (ไทย) 1:

โปรแกรมประยุกต์ควรออกแบบ สร้าง และ มีความปลอดภัยในการใช้งาน ในการพัฒนา
ระยะ ควรวางโฟกัสใน tenets ต่อไปนี้:
■อย่างน้อยสิทธิ์การใช้งาน
■ Modularization
หลักสิทธิหมายความว่า โปรแกรมประยุกต์ควรจำกัดให้น้อยที่สุด
ของเข้าไป ในคำอื่น ๆ เพื่อป้องกันไม่ให้ผู้โจมตีเข้าถึงมัน แอพลิเคชัน
ควรไม่ทำงานเป็นหลักหรือผู้ดูแลเว้นแต่จำเป็นจริง ๆ คุณควรพัฒนา
หลายโมดูลาร์ - ระดับโปรแกรมประยุกต์ที่ทำงานบนเซิร์ฟเวอร์มากกว่าหนึ่ง ให้แน่ใจดีกว่า
ความปลอดภัยโปรแกรมประยุกต์ สาม - ระดับโปรแกรมประยุกต์ตัวอย่างที่ดีของนี้ได้ การตั้งค่าการ
โปรแกรมประยุกต์เป็นชุดของชั้นทำให้แฮกเกอร์เข้าถึงยากมาก — มี
ชั้นสามได้ผ่าน สามชั้นงานนี้:
■ชั้นเว็บแก่ประชาชน ตัวอย่าง นี้อาจอยู่บนการ
อินเทอร์เน็ต DMZ
■ชั้นมิดเดิลแวร์อาจใน DMZ อินเทอร์เน็ตยัง แต่จะอยู่ภายใน
หลักเครือข่ายเกินไปได้
■ชั้นฐานข้อมูลมักจะมีไฟร์วอลล์ป้องกันแยกต่างหากได้
คุณได้เห็น หนึ่งชั้นของความปลอดภัยไม่ ' t พอได้ คุณจำเป็นต้องใช้หลายระดับดังนั้น
ถ้าละเมิดใด ๆ หนึ่งชั้นของความปลอดภัย ว่ามีวิธีอื่นในการป้องกันการโจมตี
multilayered วิธีการนี้บางครั้งเรียกว่าการป้องกันในลึก
ปัดเศษออกเราสนทนาความปลอดภัยโปรแกรมประยุกต์ นี่คือบางส่วนของวิธีการคีย์
สำหรับการรักษาความปลอดภัยโปรแกรมประยุกต์ของคุณ:
■ใช้แอพลิเคชันการเข้าควบคุมการ
■เป็นสิ่งสำคัญในการเข้ารหัสข้อมูลสำคัญเช่นข้อมูลส่วนบุคคลและหมายเลขบัตรเครดิต,
ทั้งในการขนส่ง และในขณะที่ยัง ผ่อน เช่นฐานข้อมูลเป็นการ
■เมื่อคุณจะเขียนโปรแกรม จะต้องทำการป้อนข้อมูลที่กรอง ทั้ง
เซิร์ฟเวอร์ด้านข้าง และ บนฝั่งไคลเอ็นต์ คุณไม่คิดว่าผู้ใช้ของโปรแกรมประยุกต์ใช้
ไปป้อนเฉพาะพารามิเตอร์ที่คุณต้องการ ถ้ามี อักขระที่
เกินความยาวเข้า คุณจะต้องการกรองที่เป็นชนิดของอักขระใด ๆ
(เช่นรหัสควบคุม) คุณจะไม่สามารถคาดหวัง ซึ่งป้องกันผลลัพธ์ที่ไม่คาดคิด
และนอกคำสั่งส่งไปยังฐานข้อมูลการโจมตีฉีด

ผลลัพธ์ (ไทย) 2:

การใช้งานที่ควรได้รับการออกแบบที่สร้างขึ้นและนำไปใช้กับการรักษาความปลอดภัยในใจ ในการพัฒนา
ขั้นตอนการโฟกัสควรอยู่บนหลักการดังต่อไปนี้
■สิทธิ์น้อย
■ modularization
หลักการสิทธิน้อยที่สุดหมายถึงการประยุกต์ใช้ควร จำกัด จำนวนน้อยที่สุด
ของการเข้าถึงที่เป็นไปได้ ในคำอื่น ๆ เพื่อป้องกันการโจมตีจากการเข้าถึงแอพลิเคชัน
ไม่ควรทำงานเป็นรากหรือผู้ดูแลระบบนอกจากจะเป็นสิ่งที่จำเป็นอย่างยิ่ง คุณควรจะพัฒนา
แบบแยกส่วนที่หลาย - โปรแกรมชั้นที่รันบนเซิร์ฟเวอร์มากกว่าหนึ่ง นี้ช่วยให้มั่นใจดีกว่า
การรักษาความปลอดภัยสำหรับการใช้งาน สาม - โปรแกรมชั้นเป็นตัวอย่างที่ดีของเรื่องนี้ การตั้งค่า
การใช้งานเป็นชุดของชั้นทำให้มันยากมากสำหรับแฮกเกอร์ที่จะได้รับการเข้าถึง - มี
สามชั้นจะได้รับผ่าน โปรแกรมชั้นสามทำงานเช่นนี้
■ชั้นเว็บที่นำเสนอให้ประชาชนยกตัวอย่างเช่น นี้อาจมีชีวิตอยู่บน
อินเทอร์เน็ต DMZ
■ชั้นตัวกลางอาจจะอยู่ในอินเทอร์เน็ต DMZ ยัง แต่มันอาจจะมีชีวิตอยู่ภายใน
เครือข่ายหลักเกินไป
■ชั้นฐานข้อมูลมักจะมีไฟร์วอลล์ปกป้องมันแยกกัน
ในขณะที่คุณได้เห็นหนึ่งในชั้นของ การรักษาความปลอดภัยที ISN 'พอ คุณจำเป็นต้องใช้หลายระดับเพื่อ
ว่าถ้าคนใดคนหนึ่งชั้นของการรักษาความปลอดภัยที่ถูกบุกรุกมีวิธีการป้องกันการโจมตีอีก
วิธีนี้พหุบางครั้งจะเรียกว่าการป้องกันในเชิงลึก
ในการออกรอบการสนทนาของเราของโปรแกรมรักษาความปลอดภัยที่นี่มีบาง ในวิธีการที่สำคัญ
ในการรักษาความปลอดภัยของแอพลิเคชันของคุณ:
■การควบคุมการเข้าถึงการใช้งานแอพลิเคชัน
■มันเป็นสิ่งสำคัญในการเข้ารหัสข้อมูลที่สำคัญเช่นข้อมูลส่วนบุคคลและหมายเลขบัตรเครดิต
ทั้งในขณะที่ในระหว่างการขนส่งและในขณะที่ในส่วนที่เหลือเช่นในฐานข้อมูล
■เมื่อ คุณกำลังเขียนโปรแกรมเป็นสิ่งสำคัญในการดำเนินการกรองข้อมูลทั้งใน
ด้านเซิร์ฟเวอร์และบนฝั่งไคลเอ็นต์ คุณไม่สามารถสรุปได้ว่าผู้ใช้ของโปรแกรมจะ
ไปป้อนเฉพาะพารามิเตอร์เหล่านั้นที่คุณคาดหวัง หากมีตัวอักษรที่
เกินระยะเวลาการป้อนข้อมูลที่คุณต้องการจะกรองผู้ที่เป็นรูปแบบของตัวอักษร
(เช่นรหัสควบคุม) คุณจะไม่ได้คาดหวังว่า นี้จะช่วยป้องกันผลที่ไม่คาดคิด
และยังป้องกันไม่ให้คำสั่งจากการถูกส่งไปยังฐานข้อมูลในการทำโจมตีฉีด

ผลลัพธ์ (ไทย) 3:

การใช้งานควรออกแบบ สร้าง และติดตั้ง มีความมั่นคงในจิตใจ ในขั้นตอนการพัฒนา
, โฟกัสควรจะวางอยู่บนหลักการดังต่อไปนี้ :
■อย่างน้อยสิทธิ์
■ modularization
หลักการของสิทธิก็แสดงว่าโปรแกรมควรจะจํากัดจํานวนน้อย
ของการเข้าถึงที่เป็นไปได้ ในคำอื่น ๆเพื่อป้องกันผู้บุกรุกจากการเข้าถึง , ใบสมัคร
ไม่ควรใช้เป็นรากหรือผู้บริหาร ถ้ามันไม่จำเป็น คุณควรพัฒนา
เป็น modular , หลายระดับโปรแกรมประยุกต์ที่ทำงานบนมากกว่าหนึ่งเซิร์ฟเวอร์ นี้เพื่อให้มั่นใจการรักษาความปลอดภัยที่ดีกว่า
สำหรับโปรแกรม สาม - ระดับการประยุกต์ใช้ คือตัวอย่างที่ดีของนี้ การตั้งค่า
โปรแกรมเป็นชุดของชั้นทำให้มันยากมากสำหรับแฮกเกอร์เพื่อเข้าถึง - มี
3 ชั้นผ่านเข้าไป สามระดับการประยุกต์ใช้งานแบบนี้ :
■เว็บชั้นเสนอต่อสาธารณะ เช่น นี้อาจจะอยู่ใน DMZ

■ตัวกลางอินเทอร์เน็ต ชั้นอาจจะอยู่บน DMZ อินเทอร์เน็ตนอกจากนี้ยังมี แต่มันอาจจะอยู่ในเครือข่ายหลักด้วย
.
■ฐานข้อมูลชั้นมักจะมีไฟร์วอลล์ปกป้องต่างหาก
ตามที่คุณเห็น หนึ่งชั้นของการรักษาความปลอดภัย ISN ' T เพียงพอคุณต้องใช้หลายระดับดังนั้น
ถ้าผู้ใดชั้นของความปลอดภัยที่ถูกบุกรุกมีอีกวิธีที่จะขัดขวางการโจมตี
วิธีการมัลติเลเยอร์นี้บางครั้งเรียกว่าป้องกันในความลึก .
เพื่อออกรอบของเราสนทนาของโปรแกรมรักษาความปลอดภัย นี่คือบางส่วนของวิธีการที่สำคัญสำหรับการรักษาความปลอดภัยโปรแกรมประยุกต์ของคุณ

: ■ใช้โปรแกรมการควบคุมการเข้าถึง .
■มันเป็นสิ่งสำคัญเพื่อเข้ารหัสข้อมูลที่สำคัญเช่นข้อมูลส่วนบุคคลและหมายเลขบัตรเครดิต ,
ทั้งในขณะที่ในระหว่างการขนส่งและที่พัก เช่น ในฐานข้อมูล .
■เมื่อคุณเขียนโปรแกรม มันเป็นสิ่งสำคัญที่จะดำเนินการอินพุตกรอง ทั้งบน
ฝั่งเซิร์ฟเวอร์และฝั่งไคลเอ็นต์ คุณไม่สามารถสมมติว่าผู้ใช้ของโปรแกรมประยุกต์
จะระบุพารามิเตอร์เหล่านั้นเท่านั้นที่คุณจะต้องหากมีตัวละครที่ใส่
เกินความยาวที่คุณจะต้องการที่จะกรองเหล่านั้น ตลอดจนประเภทของตัวละคร
ใด ๆ ( เช่นการควบคุมรหัส ) คุณจะไม่ผิดหวัง นี้ป้องกันไม่ให้ผลลัพธ์ที่ไม่คาดคิดและยังป้องกัน
คำสั่งจากการถูกส่งไปยังฐานข้อมูลเพื่อทำการโจมตีการฉีด