Are You Testing Your Web Application for Vulnerabilities?

自动化代码扫描工具（Fortify、Checkmarx、Veracode 等）虽满足 PCI DSS 6.3.2 要求，但会漏掉人工审计才能发现的认证与授权类漏洞；误报过多的报告还容易让开发人员放弃修复，合规不等于安全。

短文观点：静态代码审计与动态渗透测试各有盲区，只做其一必然漏掉漏洞；企业应两者兼顾并及时修复发现的问题，不要以“仅内网可用”“以后再修”为借口拖延。

PA-DSS 支付应用供应商如今有了满足要求 5.2.a（开发人员安全编码培训）的途径：PCI Council 与 SANS 合作推出系列课程，涵盖 OWASP Top 10 基础、特定开发语言以及面向资深开发者与经理人的进阶内容。

医疗机构应对 PA-DSS 的实操建议：在 PCI SSC 官网核验应用（注意版本号）是否在验证清单中；向厂商追问不合规原因、整改计划与 PA-QSA 合作进度；团队主动学习 PA-DSS 相关资料；新采购则在合同中明确要求厂商取得并持续保持 PA-DSS 合规，否则出局。

NetSPI 回应客户「如何按 PCI 要求做代码审计」：目前并无覆盖全部 PCI 条款的统一清单，可将 OWASP Top 10（2010）作为主线，映射防火墙、存储保护、传输加密等要求；但磁道数据仅可授权前加密存储等细节不在 OWASP 范围内，需单独核查。

GE 的实践表明，没有任何自动化工具能发现人工流程所能发现漏洞的 35% 以上。作者主张将扫描器与熟练的人工测试结合，大幅提升检出率。