中小企业和大型企业一样，管理IT最具挑战性的方面之一就是决定如何有效地扩展Web应用程序安全性。许多企业在试图满足客户需求中，无意中发现自身在软件和应用方面的业务。因此，它们不得不面对越来越多的面向公众的网站，网络应用程序，乃至内部门户网站。
由于总数从数百乃至数千的Web应用和服务，扩展Web应用程序安全性将很快成为一个挑战。有效的扩展不仅仅是关于做更多的事情，而是要更快更好地提高效率，同时保持高度的准确性。
速度、敏捷，对Web应用程序安全性的损害
由于竞争环境日益激烈，企业被迫变得更加敏捷。尽管企业通常将重点放在易于实施、速度和方便上，但这通常是以牺牲安全性为代价的。
新的编程语言或框架的实现没有建立一套明确的最佳实践，特别当涉及到Web应用程序的安全性，往往会导致漏洞的产生和不断增加的攻击向量。
显然，理想的解决方案是开发人员更加重视安全性。然而，直到这种情况发生，另一种重新解决问题的方法是确保：你能够在不对资源造成压力的情况下扩展Web应用程序的安全性。说起来容易做起来难。
扩展Web应用程序安全性的挑战
扩展Web应用程序安全性对任何组织来说都是一个挑战。应用开发团队不仅将重点放在尽可能快地将Web应用程序投入到生产环境中，而且由于团队和预算的限制，安全资源往往受到限制。
假设一个组织实施了一个结果一致最佳实践的开发框架，下一步是确定最有效的方法扫描，识别和修补Web应用程序的所有漏洞。
传统上，只需扫描几个Web应用程序，桌面扫描器就提供了一个简单的解决方案。然而，在过去的三到四年中，显而易见的是，随着Web应用程序的数量急剧增加，需要一种更有效的Web漏洞扫描方法。
基于云的扫描服务解决了许多可扩展性问题，并且使管理和消除漏洞的过程更有效。
安全扫描程序如何帮助你扩展基于云的Web应用程序
扩展Web应用程序安全性最具挑战性的部分涉及适当分配人力资源和自动化。自动扫描器单独无法识别所有漏洞。但是，在识别许多常见漏洞（如SQL注入和跨站点脚本（XSS））时它们很有效。通常，手动执行搜索和查找这些类型的漏洞可能是非常耗时的。
同时，手工渗透测试人员也无法有效地识别和测试所有漏洞。他们的优势在于识别需要智能和逻辑的漏洞。
理想的解决方案是可扩展的结合手动和自动化的共同努力。
在自动化漏洞扫描程序中你应该查找几个功能，所有这些功能都将直接用于提高可扩展性。这些可能包括：
- 能够在短短几分钟内启动一个或500多个网站或Web应用程序的安全扫描。扫描器配置完成后，启动多次扫描仅需要很少的努力。
- Web应用安全扫描器应该产生假阳性的免费结果。这个功能本身可以显着地减少人为干预的需要。像Netsparker Cloud这样的服务可以测试每个漏洞，并提供确认，因此宝贵的劳动时间不会被浪费。
- 提供企业级协作的能力。允许多个用户可以简化整个过程。这包括将特定的修复任务分配给特定的团队成员的能力。一旦漏洞被标记为已解决，像Netsparker Cloud这样的服务将自动重新测试该漏洞，并关闭或重新分配以进一步侦查。
- 开发人员往往匆忙把Web应用程序导入生产环境。使用可以集成到开发环境中的自动漏洞扫描程序，通常会在开始就生成更安全的应用程序。它还允许你跟踪正在进行的工作质量和漏洞的发生率。跟踪重复的漏洞及其来源可以帮助你改进系统和流程。
关于寻找平衡以扩展Web应用程序安全性
不言而喻，大多数中小型企业和大型企业面临着寻求成本效益和有效的扩展其Web应用程序漏洞测试方法的挑战。
最终，最有效的扩展Web应用程序安全性的方法包括两个步骤：
首先，如果扫描100个网站或应用程序并暴露出同样多的不同漏洞，具有成本效益的做法是重新评估开发过程。框架和最佳实践的实施可以帮助使流程更有效率，以及更高的扩展性。通过确保开发过程一致同时具有适当的检查和权衡，以尽可能多的消除重复漏洞。
其次，找到一种有效平衡手工渗透测试与自动化Web漏洞扫描的方法。仅有几个Web应用程序，手工渗透测试是不可逾越的。然而，当与一个自动化的在线网络漏洞扫描器相结合，你将有能力测试成百或数千的网站和Web应用程序。