2014 OWASP 中国 Web 与应用安全论坛回顾：系统化解决业务安全问题（北京）

2014 OWASP 中国 Web 与应用安全论坛回顾：系统化解决业务安全问题（北京）

摘要：2014年9月，OWASP 中国论坛在北京聚焦“系统化解决业务安全问题”，围绕金融 App 安全、XML 实体攻击、地下黑产数据与境外黑客威胁展开。

一、命题升级：从单点防护到系统化

2014年9月25日，OWASP 中国 Web 与应用安全论坛在北京举行，主题直指“系统化解决业务安全问题”。当业务安全事件频发，业界开始意识到：零散的防护已不够，需要体系化的方法。

“系统化”三个字，标志着 OWASP 中国对业务安全的讨论，从“有哪些漏洞”升级到“如何整体防御”。

二、金融视角：App 与 Web 的双重挑战

汪德嘉剖析金融 App 安全；林榆坚讲解金融 Web 应用系统的漏洞分析方法。金融业作为业务安全的高地，其面临的攻击面与合规压力，成为本届论坛最具现实感的议题。

金融场景的复杂性与高价值，使其成为业务安全方法论最好的“试验场”。

三、攻击透视：实体、黑产与境外威胁

张天琪以“XML 实体攻击”演示从内网探测到命令执行的完整链路；董方梳理地下产业的“数据分析、关键词”运作；秦波则从大数据视角揭示境外黑客对我国互联网的威胁态势。攻击侧的全景，被清晰铺开。

把具体漏洞手法与黑产/境外威胁并列呈现，让防御者第一次在“战术—战略”两个尺度上同时看清对手。

四、系统化之道

把金融场景、具体漏洞手法与黑产/境外威胁放在同一张图里，2014 论坛给出了“业务安全必须系统化”的明确信号——这也是 OWASP 方法论在中国业务场景中的一次集中落地。

— OWASP 中国（开放 Web 应用安全项目） —