###

再次系统的整理一下深入一下安全测试

###

 sdl是微软的，

 国内普遍试了了这个规范，

因为国内的互联网崛起，急需一个安全规范，阿里是10年引入的，

这是安全测试工程师，必然会提到的一个，sdl

###

####

具体的sdl的介绍，去官网看

###

首先要进行安全培训

静态扫描

动态扫描

这是一个资深的安全测试工程师必须要学习的，

####

比如要整个公司，进行一个安全的建设，就要参考这个

部门要培训

###

公司提供什么服务，可能会遇到什么样的漏洞，

要确定一个范围，建立一个安全的模型，

然后就基于这个进行攻击了

owasp - zap是非常强大的，使用是非常简单的，

###

安全测试的自动化实现

 可以把zap工具，继承到Jenkins，进行自动化的安全测试，

这是文档，如果要搭建自动化的扫描就是看这个文档，

 如果是自己做测试平台，肯定是就是用zap的api，来定制

###

sqlmap

 安装直接pip install sqlmap

可以使用命令行，指定url，指定cookie，然后进行扫描

 这样就可以直接扫描出来漏洞

 最后可以给你一个报告

这个工具的亮点是规则还是很全面的，

白盒代码扫描工具，sonar qube 

###

总结

安全领域是非常深的，要学习的东西是非常非常多的，

一个漏洞深挖，都可以挖出来很多的东西，每一个漏洞都可以分很多类，

在安全领域，需要很多年的经验，进行挖掘，

安全这个路是非常窄的，一般就是去大公司

扫描只是安全的一部分，还有一部分是安全的防范，预防问题

一般做业务测试的同学，是很难进入这个领域的，因为这个领域的水更深，如果没有专业的导师教你，没有专业的公司教你，其实很难在这个行业有一个很深入的学习的，

建议：如果有这个环境，就努力学，如果没有这个环境，就先不要学这个，先把已经有的工作做好，有机会了再考虑，

###

等保

全称是信息安全等级保护测评，是经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。

是一个国家级别的项目，

做一次很贵的，要几十万，但是好处就是你出了安全问题，是有人给你背锅的，这是一个行业的潜规则，

####