当开发人员未能正确实现业务逻辑规则时，可能会出现此类漏洞。如果恶意用户利用这些漏洞，应用程序将面临各种攻击风险。

如果说网络安全行业有什么能毁掉圣诞节，那一定是一场破坏力极强的数据泄露事件，而这起事件正演变成美国政府有史以来遭遇的最大规模网络间谍活动。

Equifax 数据泄露事件的根本原因再次指向了 Web 应用程序漏洞。这类漏洞存在已超过十年，但至今仍是亟待解决的关键问题。

注入攻击曾是漏洞界的“头号公敌”，但如今已被失效的访问控制取而代之，开发者们必须对此提高警惕。

第 139 期：Matias Madou 探讨安全开发培训与软件安全测试研究

通常情况下，对于每一个使用用户输入来访问数据源的函数，都应包含对象级别授权检查，否则将面临巨大的安全风险。

一套精心策划的课程，涵盖开发人员必须掌握的核心模块，将产生显著的影响，使他们能够在日常工作中迅速上手并实践安全最佳方案。

全球约 95,000 个应用程序中的近 30 万名开发人员正在使用 BSIMM8 来规划、执行和衡量其软件安全计划 (SSI)。

将安全修复工作前置到开发流程中并非易事，但在当今世界，即便是演示工具这类看似简单的设备，其复杂程度也令人惊讶，且已与各种网络深度互联，因此这一举措显得尤为必要。

我们必须达成共识，将安全视为整个组织以及整个软件开发生命周期（SDLC）中的共同责任。只要致力于构建一个功能完善且支持性强的 DevSecOps 环境，这完全可以实现。

功能级访问控制缺失漏洞允许用户执行本应受限的功能，或访问本应受保护的资源。

身份验证通常是通往应用程序乃至整个网络的门户，因此它们往往成为攻击者的诱人目标。如果身份验证过程存在缺陷或漏洞，攻击者很有可能会发现并利用这些弱点。

调查人员表示，唯一阻止爆炸发生的原因是攻击者的计算机代码中存在一个错误。

软件开发早已不再是孤立的领域。当我们审视软件驱动的各类风险时——从云端、家电和车辆中的嵌入式系统，到关键基础设施，更不用说连接这一切的 API——攻击面已变得无边无际且难以掌控。

对于开发人员而言，转型应用安全（AppSec）领域是一个实现高薪发展的绝佳契机。

过去几年对于网络安全标准而言是变革性的。虽然并非强制要求，但所有组织都应以效仿为目标，像审查内部安全计划一样，严格审查供应商的安全实践。

大规模赋值漏洞的产生，源于许多现代框架鼓励开发者使用自动将客户端输入绑定到代码变量和内部对象的函数。

我们开始思考如何降低获取培训的门槛，让您在需要时能随时获得支持，以及如何将微学习更无缝地融入您的工作流程中。

如果开发者不从根本上理解漏洞的运作机制、危害性、成因模式，以及在实际开发场景中如何通过设计或编码模式来修复漏洞，他们就无法有效减少漏洞。采用阶梯式教学方法，通过层层递进的知识构建，能让开发者全面掌握如何编写安全代码、保护代码库，并成长为具备安全意识的开发者。

零日攻击从定义上讲，让开发人员没有时间去发现和修补可能被利用的现有漏洞，因为威胁行为者总是抢先一步。当损害已经造成，企业只能手忙脚乱地去修复软件并挽回声誉损失。攻击者始终占据优势，因此尽可能缩小这一差距至关重要。

这是关于企业如何成功实现 PCI-DSS 合规性系列文章的第一篇。在本章中，我们将详细探讨应用安全（AppSec）专家如何与开发经理紧密合作，为开发人员赋能，加强安全软件开发生命周期（SSDLC），并将通用法规转化为具体的执行成果。

我们都知道工作日里事务繁杂，那么开发者又有什么动力去教室上课，或者为了完成五步流程的静态理论培训而频繁切换工作环境呢？

应用安全工具未能达到预期效果的原因有几个，这与其说是因为工具本身的功能问题，不如说是因为它们未能与整个安全计划实现有效整合。

我们想向大家介绍我们的专家之一：Oscar Quintas。他是产品内容团队的一员，担任高级安全研究员。他也是我们团队在基础设施即代码（IaC）领域当之无愧的“魔法师”。

SQL 注入漏洞已经 22 岁了。尽管它早已“成年”，但我们却任由其肆虐，而非将其彻底根除。

网络安全领域中，英雄与恶棍之间的较量向来极不公平。敏感数据已成为新的“黄金”，攻击者能够迅速调整策略以绕过防御，利用大大小小的安全漏洞牟取暴利。

当大量请求同时涌入，且 API 没有足够的计算资源来处理这些请求时，就会出现此漏洞。此时，API 可能会变得不可用或对新请求无响应。

在与网络犯罪分子的博弈中，我们必须尽可能与他们保持同步，以预防性的思维抢先占领他们的“游乐场”。以下是我认为他们在未来一年可能会兴风作浪的领域：

如果基础设施级的访问控制不够完善，整个企业都会向攻击者敞开大门，他们可以利用这一漏洞进行未经授权的窥探，甚至发动全面攻击。

网络攻击正变得愈发频繁，针对 Linux 基础设施的威胁也日益增多，攻击者的最终目标往往是窃取云端存储的敏感数据。

这种漏洞背后的实际机制与其他漏洞类似，但在此类情况下，过度数据暴露被定义为涉及受法律保护或高度敏感的数据。

与基于 Web 的软件、API 和移动设备一样，嵌入式系统中的漏洞代码一旦被攻击者在野外发现，就可能遭到利用。

这是关于企业 PCI-DSS 合规性系列文章的第二篇。在这一终章中，我们将详细探讨 CTO 和 CISO 如何发挥领导作用，降低网络风险，使合规流程变得顺畅、成功……甚至让开发人员感到一丝乐趣。

请结合您在组织中的角色思考以下问题。如果接受 DevSec 测试，您的组织表现如何？

有一种广为流传的说法，蟑螂几乎能从任何灾难中幸存下来，甚至包括核爆炸。

日志记录和监控不足的缺陷，主要是由于网络安全计划未能记录所有失败的身份验证尝试、拒绝访问记录及输入验证错误所导致的。

如今，对密码、个人信息和财务记录等关键数据进行静态哈希处理，已成为任何网络安全防御体系的基石。

拜登政府近期发布的网络安全行政令在安全行业引发了热议，尤其是对于那些致力于引导开发人员在日常工作中应用安全编码最佳实践的从业者而言，更是如此。

我们需要强化以人为本的网络安全最佳实践方法，这比过度依赖自动化、工具以及对已发生和已发现的问题进行被动应对，能带来更好的效果。

开发人员不仅要处理代码，还要负责安全配置和访问控制，因此他们对代码的接触最为密切。必须培养他们的安全技能，而要达到 NIST 概述的高标准，针对大型开发团队采用实操性的课程结构或许是最高效的途径。

我们非常高兴地宣布 Secure Code Warrior 平台推出了一项全新功能：Missions（任务）。这一全新的挑战类别是开发者安全培训的下一阶段，旨在引导用户从单纯的安全知识记忆，转向在真实的模拟环境中应用这些知识。

无论这种不适感源于对新工作方式的未知、些许的不信任，还是对远程办公的怀疑，我发现那些抵触远程办公的公司往往在吸引顶尖人才、保持全球影响力以及与时俱进方面落后于人。

如今，大多数计算机安全的核心都离不开密码。即使采用了双重身份验证或生物识别等其他安全手段，大多数组织仍将基于密码的安全机制作为其防护体系的一部分。

修改航空电子设备中的一行代码需要耗资 100 万美元，且需耗时一年才能完成。对于机队全部由波音 737 组成的西南航空而言，这足以使其“破产”。

海量复杂的安全工具正让首席信息安全官（CISO）的网络安全工作变得愈发困难。

Secure Code Warrior 开发了一款 GitHub Action，将情境化学习引入了 GitHub 代码扫描。这意味着开发人员可以使用 Snyk Container Action 等第三方操作来发现漏洞，并利用针对 CWE 的高度相关学习内容来增强扫描结果。

渗透测试和静态分析扫描工具（即 SAST）只是降低安全风险整体流程的一部分，它们与我们的日常工作相对独立——当然，除非代码被打回要求进行热修复时除外！

高质量的代码从定义上来说必然是安全的，但所有安全的代码却未必是高质量的。从“左侧的左侧”开始，是否就是确保纯粹安全编码标准的秘诀？

我们在此重点关注一种会导致漏洞的行为：使用来自不可信来源的代码。这看似无害，实则引发了严重的问题。

时间来到2016年，据一位名为x0rz的安全研究人员在推特上发布的消息，他在Equifax官网发现了一个常见的跨站脚本（XSS）漏洞。

这种漏洞更多属于人为或管理问题，导致旧版 API 在本应被更安全的新版本取代后，仍长期处于运行状态。

许多在网络安全领域表现出色的公司都实施了正式的安全倡导者计划，将关键的安全职责——从团队间的联络、日常的激励鼓舞，到监督最佳实践的落实——赋予那些对此类角色展现出天赋与热情的员工。

Rust 融合了常用语言中已知且实用的元素，并采用了一种摒弃复杂性、同时引入高性能与安全性的独特理念。

这种情况在 API 中可能更为普遍，但攻击者通常会试图在网络中的任何位置寻找未修补的漏洞以及未受保护的文件或目录。如果遇到启用了调试功能或禁用了安全功能的 API，他们的恶意行为就会变得更加容易。

世界正在超越瀑布式开发、敏捷开发，现在又轮到了 DevOps，那么下一个解决方案是什么？作为一名开发人员，你在跟上这些方法论变革的过程中扮演什么角色？

作为行业一员，我们不应期望开发人员成为安全专家，但企业可以采用新的开发人员赋能标准，从而产出更高质量的软件。

有时，应用程序也会在整体工作负载中与其他程序共享数据。如果传输层未受到保护，就会面临外部窃听和未经授权的内部查看风险。

每个组织都可以利用“网络安全意识月”来重温安全意识，今年我们还为编程社区推出了一款全新的免费应用程序！

建立在不信任这一脆弱基础上的关系，最好还是降低期望。遗憾的是，这往往就是企业内部开发人员与应用安全（AppSec）团队之间工作关系的真实写照。

安全配置错误，尤其是权限不当类错误，通常发生在开发人员创建新用户或为应用程序工具授予执行任务的权限时。

攻击者总是会优先寻找容易利用的漏洞，甚至可能使用脚本来扫描常见的弱点。这就像小偷在街上挨个检查车门是否上锁，这比砸碎车窗要容易得多。

面对全球软件需求激增与人才持续短缺的矛盾，许多企业在网络安全战略和基础设施建设上已然落后。现在是时候审视我们的整体网络安全成熟度，并评估眼前切实可行的快速提升方案了。

首席信息安全官（CISO）正处于一个日益艰难的境地：既要保护更多的资产、交付更多的代码、缩小不断扩大的攻击面，又要面对日益紧缩的财务预算。网络安全被视为成本中心是一个无法回避的事实。尽管企业的安全计划是防止威胁行为者将其推向明日头条灾难的关键防线，但安全领导者必须付出更多努力，用高管层能够理解的语言来推销并证明该部门的整体商业价值。

我们的最新研究报告《基准化安全技能：精简企业级“设计即安全”》深入分析了企业中真实的“设计即安全”实践，并基于数据驱动的发现总结出了最佳实践方法。

随着对安全代码和“安全设计”原则的日益重视，开发人员必须从软件开发生命周期（SDLC）之初就接受网络安全培训。Secure Code Warrior 的信任评分等工具可帮助衡量并提升他们的学习进度。

我们的研究表明，安全代码培训行之有效。Trust Score 利用一种算法，汇集了来自 600 多家机构、超过 25 万名学习者的 2000 多万个学习数据点，揭示了该培训在减少漏洞方面的成效，并指明了如何进一步提升这一举措的效果。

获取有关“安全设计”（Secure-by-Design）计划成效的有效数据向来困难重重。首席信息安全官（CISO）在证明安全项目在个人和企业层面的投资回报率（ROI）及商业价值时，往往面临巨大挑战。更不用说，企业想要了解自身在行业标准中的基准水平，更是难上加难。美国总统发布的《国家网络安全战略》呼吁各方“拥抱设计安全与韧性”。要让“安全设计”计划发挥作用，关键不仅在于赋予开发人员编写安全代码的技能，还要向监管机构证明这些技能已落实到位。在本次演讲中，我们将分享从多个主要来源获取的各类定性与定量数据，包括从超过 25 万名开发人员处收集的内部数据点、数据驱动的客户洞察以及公开研究报告。通过整合这些数据，我们旨在呈现“安全设计”计划在多个垂直行业中的现状。本报告详细阐述了为何该领域目前尚未得到充分利用，成功的技能提升计划对降低网络安全风险的重大影响，以及从代码库中消除各类漏洞的潜力。

AI 的争论焦点不在于“是否使用”，而在于“如何应用”。了解如何通过依靠深入理解代码的开发人员，在实现 AI 生产力提升与保障稳健安全之间取得平衡。

Anthropic 的 Claude Mythos 代表了每位安全负责人必须对其安全计划采取的永久性、根本性的转变，尤其是在遗留系统的补丁管理方面。

在本白皮书中，安全专家、Secure Code Warrior 首席技术官兼联合创始人 Matias Madou 博士将探讨：为开发团队推行有效安全教育与赋能所需的六大支柱。同时分享十位高管在企业层面实施安全计划的经验教训，以及通往成功之路需规避的常见陷阱。