Informations relatives au code de sécurité

云计算和人工智能的创新速度达到了历史最高水平。全球 SASE 领导者 Netskope 帮助组织充分利用这一切，同时应对不断变化的威胁、新的风险和技术转变。但是，这些具有挑战性的动态给软件开发生命周期带来了更大的压力。

Netskope的副首席信息安全官詹姆斯·罗宾逊一直在寻找确保其组织的开发团队及时了解新产品的方法的最前沿 语言 和技术，但也能留住团队 熟练 在不断变化的安全格局中。当他意识到目前的培训能力仅涉及少数几种语言时，显然需要更好的替代方案。

在与 Secure Code Warrior 合作时，他们构建了一个程序，使开发人员可以看到和访问安全内容，因此他们不会漫步于未经审查的解决方案。 可定制的内容 还有无数的 动手学习 Secure Code Warrior的活动改变了Netskope的游戏规则，提高了对SCW敏捷学习平台的参与度，而且这些努力不再像是开箱即用——而是对开发者社区有意义的内容和激活措施。

他们的完整旅程是什么样的，到目前为止的结果如何？

• 你可以在这份全新的案例研究中查看 Netskope 的故事 在这里阅读
• 观看与 Secure Code Warrior 和 Netskope 联合举办的 “超越合规性” 网络研讨会 这里 

嵌入式敏捷学习是未来

在一个 以前的博客 我们介绍了敏捷学习的概念，以及 Secure Code Warrior 的安全代码平台如何体现了几项敏捷原则。在由三部分组成的博客系列的第二部分中，我们将继续探讨安全代码的敏捷学习平台如何取代大多数组织习惯的以合规为导向的传统安全培训。

传统的以合规为导向的安全代码学习方法是一种静态的时间点培训，每季度或每年强制执行一次。这种格式的问题在于，它不会激励开发人员学习安全编码，也不能帮助他们获得新技能并在工作中使用这些技能。没有人喜欢在合规培训中花费数小时的时间，因为合规性培训会让你无法完成宝贵的工作，让你不得不弥补数小时的生产力损失。

根据Gartner的说法，敏捷学习方法认识到，人们在需要时学习得最多，当训练以称为微爆的小单位进行时，嵌入到日常工作活动中。¹

Secure Code Warrior 是唯一一款结合了多种微爆学习格式的敏捷学习平台，因此开发人员可以在他们已经以自己选择的形式进行的实际工作的背景下快速学习、测试和应用他们的知识。安全代码的敏捷学习不仅可以节省数小时的工作效率，而且还为开发人员提供了一条从学习到实践的轻松途径。

‍

¹ 来源：敏捷学习宣言 Gartner

价值传递和学习到盈利的流程

敏捷学习系统之所以有效，是因为它们提供了学习机会 在价值交付流程中， 在那里他们可以看到对工作和关系的直接影响 学会赚钱 （正如 Gartner 所说）。 随着时间的推移，时间点合规培训不会影响开发人员，也不能培养技能，也不会激励他们将学习作为工作的一部分。敏捷学习使学习成为工作的一部分，而不是离开工作的时光。

安全代码勇士的平台交付 恰到好处的微爆发 内容融入开发者的日常工作流程，从而消除了上下文切换，使他们能够方便地进入他们每天使用的开发工具，例如GitLab、GitHub、AzureBoards和Jira。这使他们在学习的同时与工作保持联系。

‍社交放大和社区复利

开发人员具有强烈的社区意识——我们在GitHub等领域看到了这一点，全球数百万开发人员共享和消费了知识。敏捷学习原则认识到，人们在小组中学习的更多，而不是独自学习。社交社区是增强新技能和通过以下方式增强安全代码教学的好处的有用手段 社交放大。

因为 Secure Code Warrior 的安全内容易于访问和使用 社交放大 烘烤过的过孔 比赛 还有一个内部积分系统，SCW 的平台充当 动机乘数 这建立了人们的信心 个人开发人员，让他们想学习。锦标赛 在企业中公开提高安全编码技能的知名度，为开发人员构建提供强有力的激励 安全编码技能。

‍从训练切换到敏捷学习

将方法从安全培训转向敏捷学习安全代码是增强开发人员队伍、挽回浪费的开发人员时间并将这段时间用于更高生产率的项目的有力方法。从基于敏捷原则的学习解决方案开始您的旅程。这个 SCW 敏捷学习平台 是最有效的安全代码学习解决方案，因为它让开发人员可以选择如何培养新技能。整合敏捷学习方法可以极大地提高开发人员掌握新技能、将其内在化并应用到工作中的能力。超过 600 家企业信任 Secure Code Warrior 来实施敏捷学习安全计划，快速交付安全软件，并创建由开发人员驱动的安全文化。准备好亲眼目睹敏捷学习平台的运行了吗？申请演示。

这篇文章首次出现在 SC 杂志。它已在此处更新和合并。


首席信息安全官发现自己处于越来越紧张的境地：保护更多资产，发布更多代码，减少更大的攻击面，并利用迅速减少的财务资源来做到这一点。网络安全被视为成本中心是不可避免的事实，尽管组织的安全计划阻碍了威胁行为者成为明天的灾难性头条，但安全领导者必须采取更多措施，用对执行机构来说合理的语言进行推销和证明该部门的整体商业价值。

世界一流的首席信息安全官正在挺身而出，领导全面的安全计划，以增强客户信任和品牌声誉，并利用所有可用的工具来创造不可否认的价值。它首先要采取战略性的预防性方法来应对常见的安全漏洞，并抛开永远没有足够的时间、资源或人员来保持卓越安全水平的心态。

更改董事会会议室中的讨论。

在当前的经济环境下，很少有公司和部门因其花费、招聘人员及其对业务目标的战略影响而逃脱审查。尽管现代企业需要广泛的网络安全计划似乎不费吹灰之力，但这给组织带来了巨大的成本，从投资回报率来看，这并不容易证明其合理性。

C-Suite领导者和董事会利益相关者需要清楚地了解投资网络安全计划的预期结果，这些术语除了电子表格中的数字之外还有意义。他们的技术知识和理解水平各不相同，首席信息安全官必须努力通过易于理解的信息来陈述自己的案情。解释该计划的规模、需要保护的内容以及需要启用谁才能提供一流的示例。攻击呈上升趋势， 但是预算跟不上，而打好这场好战首先要通过口头宣传，为其优点辩护。

长期以来，人们一直说，无论垂直领域如何，每家公司都在迅速成为一家科技公司。由于数字优先的方法已成为大多数组织的常态，这意味着巨大的攻击面，需要当时所能提供的最佳保护。安全领导者身兼多职，但一个被忽视的（直到为时已晚）是，他们本质上是客户信任的监护人。作为一种价值主张，这一点怎么强调都不为过，与销售和营销目标同样重要。

证明预防性安全方法的价值。

当前的网络安全统计数据 令人毛骨悚然，但是在赢得更多预算方面，参与FUD和恐吓通常是一种徒劳的策略。公司领导团队中很少有成员会争辩说网络安全不是优先事项，但如果提出利用现有资源取得更好结果的进取战略，他们更有可能接受预算的增加。

根据新星国际安理会最近的研究， 只有 50% 的公司 觉得他们有足够的预算来解决已知的网络安全问题。再加上全球网络攻击 增长了 38% 在2021年至2022年之间，对于普通首席信息安全官来说，这可能是一条更加艰难的前进道路。但是，真正世界一流的安全领导者有能力克服这些痛点，在逆境中进行创新。

在许多情况下，预防比治疗更容易、更简单，网络安全也不例外。全面的安全计划必须远远超出被动措施，还必须包括漏洞管理 是许多首席信息安全官最关心的问题之一，开发人员是该运动不可分割的一部分是有道理的。他们需要动手教育来直面常见的安全漏洞，帮助他们从源头上消除这些问题，并确保他们从一开始就不会投入生产。我们现在已经到了不能继续为低质量、不安全的代码辩解的地步，而提高开发团队的技能是迄今为止针对代码级漏洞的最具成本效益、最有效的补救措施。

首席信息安全官努力保留现有预算至关重要，详细说明基于角色的安全技能提升的好处，尤其是对开发人员而言，比在笨拙的安全技术堆栈中添加下一个 “灵丹妙药” 要快得多。

安全应该是品牌基础的一部分。

大多数首席信息安全官上任并不是为了激发对营销的热情，但这是一个你可以努力的领域，至少在向那些控制开支的人陈述你的观点时是如此。

网络安全计划对客户信任和品牌忠诚度的影响怎么强调都不为过，大规模的违规行为可能导致圣经规模的外流。相比之下，通过将严格的安全措施与核心品牌价值观相结合，您可以传达一个明确的信息，即数据隐私和保护不仅是头等大事，而且是客户可以信赖的。

现代首席信息安全官必须花时间强调安全战略和政策的竞争优势，因为这与持续的积极客户情绪和信任有关；光靠被动安全不会产生同样的影响，侧重于利用所有可用资源保护特权资产的平衡方法可能是最终的差异化因素。

没有借口的余地了，但是首席信息安全官在为真正具有变革性的安全战略寻求充足资金的过程中可以强调很多令人信服的理由。

就像技术本身一样，用于开发代码的工具、技术和最佳流程也在迅速发展。我们人类对更多软件、更多功能、更多功能有着无限的需求... 我们希望它比以往任何时候都更快、更有定性，最重要的是：安全。就在几年前，敏捷开发是下一件大事，它被用来将大量工作分解成小块，并能够快速适应来自客户的快速反馈周期。在此之前，瀑布法是山中之王。

尽管许多人和组织正在从 Waterfall 转向敏捷——但说实话，并不是每个人都这样做了——他们已经遇到了一个新问题：开发团队及其运营同行仍在各自为战。在这种环境中，以敏捷方式工作的小团队如何兑现更快部署和更快交付的承诺？

开发运营，这个绰号是开发和运营的结合，旨在在创建新软件时合并开发人员和运营团队的职能。从本质上讲，这是为了帮助开发人员掌握将产品投入生产的所有权，而不是将其交给运营团队并让他们承担责任。

当然，它们可以更快地发货，甚至每天发货几次，这似乎是敏捷的玩家。但是，DevOps仍在组建一支由工程师和运营人员组成的庞大混合团队，这在现实中可能不那么敏捷。归根结底，最好将 DevOps 视为敏捷的演变，因为这些方法在许多方面相似，而且差异互补。DevOps 促进自动化、持续的集成和部署管道，这对于实现频繁发布至关重要，但在团队层面还不够——这就是敏捷介入的地方。敏捷使团队，尤其是小型团队，能够跟上这些快速发布和不断变化的需求，同时保持任务和协作。当然，这似乎很理想——而且这个过程可以使团队按计划实现最终目标——但它本身并非没有问题。

使用 DevOps 最佳实践开发的软件仍然有可能在第一场 boss 争夺战中跌跌撞撞：安全团队。当Traditional/Waterfall AppSec专家使用工具或复杂的人工审查来检查代码时，他们通常会发现不可接受的风险和漏洞，然后必须在事后进行修复。在已完成的应用程序中改造安全补丁的过程既不快速也不容易... 而且对组织来说要昂贵得多。

那么，如果世界正在过去 Waterfall、Agile 和现在的 DevOps，那么解决方案是什么？作为一名开发人员，你在跟上这些方法变化方面扮演什么角色？

开发技术处于不断演变的状态，但值得庆幸的是，这种变化并不大。组织只需要在 “开发运营” 中加入 “安全”... 因此，DevSecOps诞生了。DevSecOps的主要目标是打破壁垒，开放开发、运营以及最后但并非最不重要的安全团队之间的合作。DevSecOps 已成为一种软件工程策略，也是一种倡导在整个软件开发生命周期中实现安全自动化和监控的文化。

这似乎是又一个组织层面的过程，对于需要构建大量功能的开发人员来说，可能是 “厨师太多了”。但是，DevSecOps 方法为具有安全意识的开发人员提供了真正大放异彩的机会。

DevSecOps 的光明未来

那么，为什么程序员想要成为一名 DevSecOps 工程师呢？也许你有一定的 DevOps（甚至敏捷）经验，但想迈出下一步精通 DevSecOps。首先，很高兴知道这是一个非常明智的举动，而不仅仅是为了保护世界免受代价高昂的网络攻击。专家这样说 的需求 才华横溢的网络安全人员正在飞速发展，而且看不到尽头。那些精通DevSecOps的人可以期待一个漫长而有利可图的职业生涯。

DevSecOps 工程师的工作安全更加有保障，因为与传统的网络安全策略（例如使用一系列基于软件的工具进行漏洞扫描）不同，DevSecOps 需要知道如何在编码时实现安全的人员。正如Booz、艾伦和汉密尔顿的分析师在他们的博客中指出的那样 采用 DevSecOps 的 5 个神话， 组织想要甚至需要 DevSecOps，但根本买不到。DevSecOps 是一种允许跨职能团队在整个软件开发生命周期中整合技术和协作的方法，这需要熟练的人才、变更管理和多个利益相关者的持续承诺。

根据Booz、Allen和Hamilton的说法，公司可以购买应用程序和工具来帮助解决DevSecOps的某些方面，例如发布管理软件，“但实际上是你的交付团队使之成为现实。”他们推动了 DevSecOps 提供的持续改进及其文化和模式转变。

组织不能 “购买” 可行的DevSecOps计划；必须使用一系列工具、内部知识和指导来构建和维护该计划，以提升安全文化，同时也要具有商业意义。这并不容易，但远非不可能。

如何在 DevSecOps 运动中大放异彩

成为 DevSecOps 工程师之路的第一步是意识到它既是一种文化，也是一组技术。它需要有意愿将安全性作为你创建的每一个代码的一部分，并希望通过在编写代码时积极寻找安全漏洞和漏洞，在它们投入生产之前很久就对其进行修复，从而主动保护你的组织。大多数 DevSecOps 工程师都非常重视自己的职业和技能。DevSecOps 专业组织甚至 有一份宣言 陈述他们的信念。

这份宣言有点严厉，因为宣言很少是轻描淡写的。但核心是所有优秀的 DevSecOps 工程师都应该学会接受的几个事实，例如：

• 意识到应用程序安全团队是你的盟友。在大多数组织中，AppSec专家与开发人员存在分歧，因为他们总是将完成的代码发回以进行更多工作。AppSec 团队通常也不太喜欢开发人员，因为他们可能会通过引入常见的安全漏洞来延迟已完成的代码投入生产。但是，聪明的DevSecOps工程师将意识到，安全团队的目标最终与开发人员和编码人员相同。你不必是最好的朋友，但是建立冷静和协作的工作关系对成功至关重要。
• 练习和完善您的安全编码技术。 如果你能找到在应用程序仍在构建过程中易受攻击的方法，那么填补这些漏洞可以阻止未来的黑客前进。当然，这既需要了解漏洞，也需要帮助修复漏洞的工具。这个 安全代码勇士博客 页面可以让您深入了解您将遇到的最常见和最危险的漏洞，以及测试知识的实用建议和挑战。最重要的方面是将安全放在首位，腾出时间进行小规模的培训，帮助你在现有知识的基础上再接再厉。开发人员与安全的互动通常并不引人注目，甚至是负面的，但是提高安全技能是一个很好的职业转变，而且不一定是一件繁琐的事情。
• 记住：DevSecOps 超级巨星为组织中积极的安全文化做出了贡献。 与其专注于过去的目标，例如不管其固有问题如何快速交付应用程序，不如将发现和修复代码开发中的漏洞作为重中之重。必须将安全视为每个人的工作，每个人都应该分享每次部署有效且高度安全的应用程序所带来的赞美和回报。

您可以从头开始倡导安全编码和安全最佳实践，推荐培训解决方案，并确保在全力以赴的快节奏的 DevSecOps 世界中没有程序员掉队，从而帮助您的组织培养令人难以置信的安全文化。唯一的好代码是安全代码，而熟练、具有安全意识的开发人员是拼图的重要组成部分。个人和职业奖励当然值得付出努力，而且随着每年有数十亿个人数据记录被泄露（而且还在增长），我们需要你。在前线占据一席之地，帮助抵御数字世界中的坏人。

马蒂亚斯·马杜博士是该公司的首席技术官兼联合创始人 安全代码勇士。他是一名安全专家、长期开发人员和Fortnite瘾君子。

为什么一个开发者应用程序安全培训计划比另一个项目产生更好的结果？

在我作为 SANS 培训师的 10 年多时间里，以及创立和构建 Secure Code Warrior (SCW) 的最后三年中，我看到了投入时间和资源使培训计划产生最佳效果的价值。

在我们销售的第一年，我们公司雇用了超过10,000名开发人员 安全代码培训，我注意到那些推广效果最高的公司有许多趋势。他们的结果令人心动：通过在安全漏洞变得昂贵之前及早发现安全漏洞，提高了参与度，提高了安全意识，提高了该计划的投资回报率。

我不想承认，但也有一些人采取了 “不费吹灰之力” 的方法，试图通过发送一封包含培训链接的电子邮件来推出一项计划。毫不奇怪，它的表现不佳，我们必须纠正这些推出情况。

下面，我将分享我认为是五个重要的课程，它们将显著提高任何开发人员安全培训计划（包括我们的计划）的参与度、影响力和成功率。

1。如果你想让你的项目产生影响，那么在开场时玩得开心

举办特别的开幕日活动，或为您的节目设定电影/极客/游戏主题，可以从一开始就对兴奋程度和参与度产生很大的影响。我们的一位大客户围绕一部热门电视连续剧创作了一个完整的幻想节目，包括 T 恤、徽章和贴纸，使整个培训计划成为开发者不容错过的体验。另一场以《星球大战》为主题的活动，于5月4日方便地举行。一点乐趣可以大大帮助员工入职，让短暂的重要开发人员安全代码技能培训感觉就像下班休息一样，而不是另一项需要完成的任务。里程碑 #1 实现了，我们吸引了他们的注意力，他们也知道这个计划。

2。寻找合适的开发人员安全培训冠军（提示：他们需要的不仅仅是安全技能！）

能够在每个 Scrum 团队中找到合适的安全支持者对于项目的持续成功至关重要，尤其是在大型组织中。根据我的经验，并非所有高技能的安全或开发人员专家都具有高度发达的人才和/或沟通能力。那些对安全充满热情、拥有强大人才、影响力和沟通能力的人才是最好的安全倡导者，他们将为你的项目带来持续的积极影响。明智地选择，并考虑个性和沟通技巧。

3.拥有可识别技能的炫酷奖励

总的来说，每个计算机极客 “包括开发人员” 都喜欢因其智力和技能而获得认可。当你用特定状态贴纸、极客小工具、特殊徽章或可识别他们技能的定制印花 T 恤来奖励他们时，他们会自豪地佩戴或展示它们。如果某人在培训计划中取得了重大成就，那么重要的是要想办法给予他们认可和曝光度。我看到了一个很棒的举措，一位客户定期为他们的 Secure Code Warrior 拥护者拍照，并将这些照片与公司首席信息安全官的照片和信息一起发布在员工通讯中。

4。不要试图让你的开发人员成为安全专家

虽然你希望通过帮助开发人员安全地编写代码，让他们成为安全程序中的 “第一道防线”，但这并不意味着他们需要成为企业中最深入的安全专家；也不意味着你应该不断向他们推送新的安全漏洞和数据泄露示例。虽然安全很重要，但他们的主要目标通常是开发出色的产品或服务并跟上业务的步伐。如果你为某人提供过多的安全保障，你就会冒着与他们脱离接触的风险。吸取的关键经验是，他们需要了解基本的安全卫生并使用安全编码工具为他们提供支持，但他们不必成为公司的安全专家。

5。不要衡量训练，要衡量影响

不要衡量开发人员接受了多少小时的培训，也不要衡量他们观看了多少视频，而是在每个团队启动项目之前，通过代码分析、错误赏金或经典漏洞测试来衡量开发生命周期中发现的弱点数量。如果您的培训计划有效，则发现的漏洞数量将减少。要衡量的第二件事是修复漏洞所需的时间。如果开发人员需要一个月的时间来修复它，这清楚地表明他们不明白该怎么做，但是如果他们能在一小时内修复它，你就知道他们掌握了这些技能。这是聪明的公司用来衡量其开发人员安全编码培训影响的两个指标。

关于如何推出有效的开发人员安全培训的 5 个重要课程：

1. 如果你想让你的项目产生影响，那么在开场时玩得开心
2. 寻找合适的开发人员安全培训冠军（提示：他们需要的不仅仅是安全技能！）
3. 拥有可识别技能的炫酷奖励
4. 不要试图让你的开发人员成为安全专家
5. 不要衡量训练，要衡量影响

在为开发人员提供安全代码培训方面，教育成果还有很多不足之处。许多公司花费巨资，但实际回报却微乎其微。这也就不足为奇了。 目前的研究*表明，开发人员认为学习安全代码很无聊，学习如何实现安全代码具有挑战性。 需要新的安全编码培训方法，因此，在2020年，Secure Code Warrior与Evans Data Corp. 合作，对开发人员对安全编码、安全代码实践和安全运营的态度进行了初步研究（下载白皮书） 这里）。

当有机会批评所提供的培训时，开发人员毫不留情，声称当前的安全代码培训是：

• 在真空中教学-40%
• 过于理论化，与他们的工作无关，而且 “动手” 不够—— 40%
• 通常不频繁，与他们的工作或参与度无关—— 30%。
  

这些统计数据是严肃的；它们告诉我们，当前的安全代码培训与上下文无关，与开发人员的日常工作没有任何有意义的关系。

通常，他们无法将所学知识应用到工作环境中。这使得如此多的安全培训浪费了时间和金钱。

创建开发人员想要的培训的五种方法

当谈到开发人员想要的培训时，有五点非常明确。

1. ‍75% 的开发人员更喜欢结构化的在职培训，发现这是最有效和最令人满意的学习方式。
   
   当涉及到培训应包括的内容时，开发人员有一些非常明确和具体的要求：
2. 65% 说需要对特定语言的漏洞进行更多培训
3. 65% 想在那里接受更多训练 OWASP 前 10 名。
4. 许多人还想重点关注 合规安全框架，包括NIST（58％）CIS（52％）和PCI DSS（50％）。
5. 78% 希望将非正式的同伴指导和指导作为培训的一部分。

但最重要的是，开发人员需要切实可行且植根于日常工作环境的安全代码培训。开发人员不想坐在那里听讲师的讲话，他们想亲自尝试一些东西。他们希望将重点放在实际应用上，这是当前的培训计划所严重缺乏的。根据我们调查的开发人员，良好培训的五大特征是：

• 更实用的培训，展示实际工作场景（30%）。
• 针对特定代码或漏洞的指导性活动（24%）。
• 包含更多示例或用例（24%）为参加培训提供一些具体的优势（< 20%）纳入更多的团队建设练习（< 20%）。
• 为参加培训提供了一些切实的好处。
• 包含更多团队建设练习。
  

开发者想要 安全代码培训 这可以传授基本技能和真正的认可。由于安全编码技能受到雇主的高度追求和认可，开发人员表现出了与同行区分开来的热情，尤其是在申请新工作时。寻求展示其精通技术或专业技能的开发人员长期以来一直在使用正式的认证计划。当被问及是否寻求结构化培训计划进行认证时，70％的人表示他们正在寻找这些计划。重要的动机是寻求官方认可所获得的技能，提高工作效率，并成为公司不可估量的宝贵财富。

说到更好的教育成果，以开发者为中心的培训是关键。结构化安全代码培训是开发人员理想的——但前提是它能为他们提供他们想要的东西。迎接挑战并根据开发人员需求重新配置安全代码培训的公司将受益于减少反复出现的漏洞、更快的代码交付速度以及由此提高的声誉。

明确的证据是，开发人员希望使用相关的编程语言和框架进行情境式的动手教育，这些挑战要模仿他们在现实世界中面临的挑战。作为安全编码变革的拥护者，Secure Code Warrior采用以人为本的方法来满足开发人员的要求。如果你想了解对团队更快地发布安全代码能力的潜在影响， 立即申请演示。

*从反应转向预防：应用程序安全性面貌的变化。 安全代码勇士和埃文斯数据公司 2020

这篇文章的一个版本出现在 科技共和国。它已在此处更新和发布。

‍

要创造一个让安全团队与开发人员目标保持一致的环境，这是一场艰苦但必不可少的战斗。我们还有很长的路要走，但是阻碍为软件安全共同责任打开大门所需的协同作用所面临的障碍越来越明显。聪明的公司希望制定战略以避免这些陷阱，找到富有成效的前进方向，并充分利用DevSecOps发挥其以人为本的潜力。

我没想到的是，对什么构成安全编码行为的看法还有待商榷。根据与Evans Data合作的全新研究，这种情绪以黑白形式展现出来。这个 《2022年开发者驱动的安全现状》调查 深入研究 1200 名活跃开发者的关键见解和经验，阐明他们在安全领域的态度和挑战。

主要发现之一是 只有14％的开发人员在编码时将安全性视为优先事项。尽管这表明还有很大的改进余地，但它证实了我们已经知道的：功能构建是开发者世界中的王道，他们仍然没有能力将安全性作为其DNA的一部分。但是，如果再加上有关开发人员定义安全编码对他们意味着什么的数据，就会令人担忧。

这些看法是由开发人员在工作日中的经验驱动的，它反映了许多组织的环境，即开发人员根本不是应对常见漏洞的焦点。它们的支持至关重要，但与此同时，我们必须迅速就 “安全编码” 的范围以及我们对安全技能熟练的开发人员应有的期望达成共识。

我们需要揭开开发者世界中安全的神秘面纱。

网络安全是一个多方面的、笨手笨脚的野兽，虽然安全编码只是整体格局的一部分，但它是系统中的一个复杂齿轮，需要专家的关注。

调查显示，对于普通开发人员来说，使用安全代码的概念非常孤立，他们的范围通常仅限于一个类别，而不是对基本原理及其他方面的整体看法。开发人员表示依赖于使用现有（或预先批准的）代码，而不是编写没有漏洞的新代码的做法。而有关第三方组件（尤其是补丁）的安全意识以及 Log4Shell 的崩溃就是一个很好的例子： 自 12 月以来，30% 的实例仍未打补丁) 非常重要，测试现有代码也非常重要，光靠这些代码还不能满足安全编码能力的功能级别。

代码级漏洞是由学习了不良编码模式的开发人员引入的，不重视在 KPI 中编写安全代码（再加上乏善可陈的安全文化）只会强化其作为可接受的标准。

安全领导者首先要确保向开发团队展示安全编码的全部内容，从而在提高初始意识和确定最紧迫的知识差距方面大有帮助。测试和扫描预先批准的代码是一项功能，但是要减少漏洞，就需要使用正在使用的语言和框架进行有关良好、安全的编码模式的动手培训。

情境对于开发人员技能提升至关重要，在实现业务安全目标时，需要让他们踏上旅程。

许多组织需要升级其安全程序。

在过去十年中，软件驱动技术的爆炸式增长为网络安全事件的快速增长铺平了道路，我们都在争先恐后地跟上威胁行为者的步伐，以发现宝贵系统中的漏洞。

DevSecOps 方法建立在每个人共同承担安全责任的理念之上，包括开发人员，这是 SDLC 成立之初的主要考虑因素。问题在于，尤其是在大公司中，它们可能是 正是 远未将 DevSecOps 作为标准来实施。在2017年， 项目管理协会的一项研究 显示 51% 的组织仍在使用 Waterfall 进行软件开发。这项研究现已进行了五年，但知道大型企业的变化是多么缓慢，因此不太可能急剧过渡到最新的安全导向方法。这些传统流程可能会给安全专业人员带来一场艰苦的战斗，他们试图通过全面的战略覆盖所有基础以防范网络威胁，而在这种环境中改造开发人员及其需求是一项挑战。

但是，我们不能以此为借口。业务中的安全专业人员可以利用开发人员制定更高的策略；他们只需要熟悉自己的需求，并将其视为防御策略的一部分即可。他们需要全面的培训，任何安全责任都需要根据他们的技术堆栈和工作流程来履行。

安全编码 = “太难了” 的篮子？

Evans Data的研究表明，有惊人的86％的开发人员认为实践安全编码具有挑战性，92％的开发人员经理也承认他们的团队需要更多的安全框架培训。令人担忧的是，48％的受访者承认他们故意在代码中留下漏洞。

这描绘了一幅非常令人担忧的画面。总体而言，开发人员似乎没有得到频繁和充分的培训，也没有足够的机会接触到良好的安全实践和卫生习惯。从字里行间看，它强化了问题的症结所在：开发人员在工作中考虑安全性根本不是优先事项。这以及他们接受的培训并不能建立他们的信心或实践技能，也无助于他们了解发布易受攻击代码的决定所产生的影响。

Colonial Pipeline勒索软件攻击是过去一年中最具破坏性的供应链安全事件之一，引发了人们对美国东海岸一半天然气供应将被无限期切断的担忧。值得庆幸的是，它们很快就恢复了运行状态，但社区中并非没有严重的担忧。那是关键时刻之一，公众面临着网络事件的可能性，该事件严重影响了物理世界中不一定被视为软件驱动的元素，也不一定是网络攻击的风险。而所有这些混乱都是由两个未修补的旧漏洞造成的，其中一个是阴险但广为人知的 SQL 注入。如果开发人员知道在选择发布易受攻击的代码时真正危在旦夕，他们很快就会发现这种情况是不可接受的业务风险。

功能 “P-P-T” 不由开发人员决定。

如果没有经过深思熟虑的策略，就无法实现著名的 “人员、流程和工具” “金三角”，如果不考虑他们的需求和挑战，开发人员就无法融入有效的安全流程。

要提升开发人员驱动的安全性，需要进行大规模的文化转变，首先是教育途径，使工程师和安全团队都变得更加清晰。

上周我正在研究 Java Spring 中的漏洞，以更新我们的安全编码指南。我正在研究我们平台上现有的挑战，并通过在JSP页面中显示网址参数在XSS上发现了一些挑战。不正确的代码示例看起来与以下内容类似：

<input type="text" name="username" value="${param.username}">

正确的解决方案是完全删除 URL 参数，描述中提到，以正确的方式转义 URL 参数也是安全的。

现在，我的工作是以开发人员清楚的方式制定安全编码指南，并在编写安全代码的同时尽可能减少对他们的限制。在这种情况下，我更愿意让开发人员保留其预期功能，并建议他们通过转义 URL 参数来安全地执行此操作。这样，代码就不再包含 XSS 漏洞了。上面的例子可以这样保护：

<input type="text" name="username" value="${fn:escapeXml(param.username)}">

这是我们几天来的安全编码指南，直到我偶然发现了一个 关于表达式语言注入的 OWASP 页面。本页介绍如何滥用 Spring 表达式语言 (SpEL) 进行注入，从而产生一些严重影响，包括远程代码执行。我有责任弄清楚是否存在符合我们安全编码指南的代码仍然会受到此漏洞影响的情况。因此，我编写了一个快速测试应用程序来评估 SpEL 表达式，并测试了使用和不使用 Xml 转义的输入，看看能否找到一些无法捕捉到的场景。我做到了，有些恶意表达式不包含 XmleScape 捕获的任何字符。我在我们的 github 上发布了工作演示，你可以找到 这里。

当然，我更新了我们的安全编码指南，现在内容是：“不要使用 Spring 表达语言 (SpEL) 显示或评估 URL 参数。”

此问题的总体影响很大，原因如下：-攻击者可以修改和调用应用程序服务器上的功能。-未经授权访问数据和功能，以及账户劫持和远程执行代码。-成功攻击带来的机密性和完整性问题。

https://www.owasp.org/index.php/Expression_Language_Injection

最初发表于 信息时代。这是一个更新版本，它纠正了Wind River Systems对其实时操作系统产品VxWorks的持续安全支持周围的定位。

英国华为网络安全评估中心最近的一份报告确定了华为软件工程流程中的主要安全问题。尽管有关这份重要报告的大部分新闻都集中在去年未解决的问题上，但更危险和被忽视的问题是华为显然缺乏采用的安全编码准则和实践。但这是一个可以解决的问题。

对于中国电信巨头华为来说，这个消息越来越糟。尽管美国断然禁止该公司参与未来的政府工作，但英国更加接受这样一个事实，即华为设备和代码中的许多潜在缺陷是可以修复的。英国于2010年成立了华为网络安全评估中心（HCSEC），以评估和解决华为产品的安全问题，并生产 年度报告 关于他们。但是，今年的报告尤其令人发指。

新闻中对2019年HCSEC报告的关注在很大程度上与去年几乎没有解决任何安全漏洞这一事实有关。这包括使用来自Wind River的旧版本的VxWorks实时操作系统，该操作系统的生命周期即将结束。华为已承诺解决这个问题（他们将获得Wind River Systems的持续支持），但它仍然是英国大部分电信基础设施的核心组成部分。

大多数主流媒体似乎忽视了一个关键因素，即公司开发和部署新软件和硬件过程中可能存在的根本性中断的过程。该报告指出，华为处理其内部工程方法的方式存在 “重大技术问题”。

让我们来看一下报告中概述的技术问题的一些例子。必须说，华为所做的最好的事情之一就是制定安全编码指南，以帮助他们的工程师和程序员部署新代码。这些指南涵盖了广泛的最佳实践，例如使用来自可信库的已知安全版本的系统功能和流程，当然也不是具有任何已知漏洞的变体。从理论上讲，这是一件好事，但对英国华为生产系统的真实评估发现，这些指导方针要么从未传达给程序员，要么被他们忽视，要么根本没有得到执行。

该报告研究了面向公众的应用程序中特定的内存处理功能，在本例中是一组留言板，邀请用户根据程序添加输入。鉴于用户输入区域不应被视为 “可信”，根据华为内部准则，预计这些区域将仅包含安全代码。具体而言，测试人员研究了在这些生产系统中直接调用内存处理函数 memcpy ()、strcpy () 和 sprintf () 的情况，已知这些函数可能会导致严重的安全问题，例如缓冲区溢出 1988 。

令人震惊的是，有5,000次直接调用了17个已知的安全memcpy（）函数，但也有600次使用了12种不安全的变体。它与其他功能的比例大致相同。有 1,400 次安全的 strcpy () 调用，但也有 400 次存在已知漏洞的错误调用。并发现了 sprintf () 有 2,000 种安全用途，相比之下，有 200 种不安全的用途。虽然这些功能的大部分用途是安全的，但仍有大约 20% 的代码容易受到已知攻击。这是一个巨大的威胁面攻击区域，它也只考虑了对三个内存处理函数的直接调用，没有考虑通过函数指针间接使用它们的任何实例。尽管审计师只研究了这些特定的函数，但所选的三个内存处理函数不太可能是唯一有问题的函数。

尽管华为为程序员制定最佳实践指南是件好事，但显然还有更多工作要做。这是概述安全期望的一个步骤，但只有积极遵循这些指导方针并让开发人员熟悉这些期望，这些期望才有效。华为可以通过承诺有效培训程序员，而不仅仅是略读如何遵循华为内部指导方针的基础知识，在提高安全性方面取得重大进展。他们必须付出额外的飞跃，演示如何更安全地进行编码。程序员需要接受关于好（安全）和不好（不安全）编码模式的充分培训，并有责任每次都实践公司所宣扬的内容。

HCSEC报告中概述的许多特定编码问题都已作为其中的一部分得到解决和执行 安全代码勇士 平台，它培训程序员和网络安全团队始终部署和维护安全代码。平台内不断演示诸如从不信任用户输入、始终从已建立的库中提取函数、在将所有输入传递给服务器之前对其进行消毒以及许多其他安全编码实践等概念。我们还会研究高度特定的漏洞，并逐步说明如何避免和缓解这些漏洞。

除了熟练的培训外，像华为这样的公司还可以使用DevSecOps解决方案。它直接在 IDE 中添加实时指导，利用根据公司安全准则定制的安全编码配方，在编码 “厨房” 中充当开发人员编写代码的副厨师。这种方法可以帮助各种技能水平的华为程序员编写更好的代码并识别潜在的漏洞，同时也允许华为的安全专家创建一本符合其政策并帮助执行命令的 “食谱”。

从华为的麻烦中吸取的核心教训应该是，如果程序员不了解安全编码指南，或者干脆不知道如何遵循良好的编码规范，那么制定安全编码指南就毫无意义。在这种情况下，内部最佳实践指南竟然是华为自己的zhilaohu；西方称之为”一只纸老虎'。这是一份风格多样，但没有实质内容的文件。要赋予它真正的实力，就需要正确的实用工具和实际的培训计划，该计划采用动手实践的方法，不断积累知识和技能。