网络安全的未来：明年不会发生的事情

本文版本最初发表于 Dark Reading。现已更新并在此进行联合发布。

在我们的行业中，许多安全专家已经习惯于预测来年的热门议题（我也不例外），但鉴于 2019 年有超过 50 亿条敏感数据记录被窃取，我发现预测 2020 年乃至未来可预见的时间内不会发生 的事情，反而会更准确。

我和联合创始人 Matias Madou 坐下来，在列出这份清单时开怀大笑。这本意是一个轻松的展望，但它确实让人反思，要让每个组织都能抵御恶意网络攻击，前方的路还很漫长。

现在，让我们看看水晶球，揭晓我们的预测。我们不会看到：

所有软件中的 SQL 注入漏洞被彻底根除

我想全球每一位安全专业人士都在等待那一天，届时他们不必再没完没了地去排查 SQL 注入漏洞。

遗憾的是，我们已经等待了二十多年，而且至少还要再等一年。这种漏洞 就像蟑螂一样，在过去的所有根除策略下都顽强地存活了下来。

至少可以说这令人沮丧，因为补救措施几乎在同样长的时间内就已为人所知。然而，在软件开发的每个阶段（尤其是从一开始）对安全最佳实践的重视程度仍然太低，鉴于 SQL 注入被发现以来代码产量的巨大增长，这种重视程度显然是不够的。

（想了解更多可能导致 SQL 注入的编码模式吗？点击 此处 参与挑战）。

开发人员与应用安全团队成为好朋友

啊，开发人员和应用安全（AppSec）团队。他们能和睦相处吗？还是注定要像洛奇与阿波罗那样一生竞争？简短的回答是：他们可以和睦相处，但目前他们的优先级往往大相径庭。

当他们在项目环境中相遇时，他们往往各执一词，并在最后关头发生冲突：即 AppSec 专家仔细审查开发人员代码的时候。开发人员构建了美观且功能完备的特性（这是他们的首要任务），但如果发现安全漏洞，这些成果就会被推翻。软件安全专家实际上是在说他们的“孩子”长得丑，并强迫开发人员回去修复漏洞，这往往会延误部署。

在当前状况下，除非开发人员和 AppSec 团队朝着共同的目标——即创建安全的软件——努力，否则这个问题无法解决。这在 2020 年（以及许多公司在此后的几年里）不会成为默认流程，但随着 DevSecOps 运动及后续的发展，开发人员正在认识到提升安全技能并达到更高标准的必要性；这一标准应从一开始就包含安全目标。

安全专业人员供过于求

在 2020 年、2025 年、2030 年……几乎可以肯定的是，我们在全球范围内仍将面临安全专业人才短缺的问题。

根据 ISC(2) 的一份报告，目前约有 293 万个网络安全职位 处于空缺状态。这种情况在好转之前几乎肯定会进一步恶化，而且在未来几年内，并没有一支隐藏的安全大军等待着来拯救我们。

在不久的将来，我们解决这种技能短缺的最佳机会是将安全作为组织的首要任务，并提升现有员工的技能。这意味着要为开发人员提供安全编码的培训和工具，并建立全公司的安全文化。目前大多数 AppSec 团队可能都在与众所周知的旧安全漏洞作斗争（见上文第 1 点）。如果我们确保他们不必花费宝贵的时间和精力去修复这些常见问题，他们将有更多的精力专注于棘手的安全难题（目前，这些难题可能涵盖 API 问题，以及构建能够适配开发流水线的工具）。

代码产量减少

世界正以惊人的速度数字化，社会需求不会动摇。每年编写的代码行数约为 1110 亿行，而且这个数字只会变得越来越大，越来越令人恐惧（至少对已经不堪重负的 AppSec 团队而言是这样）。

代码量的增加不可避免地会增加潜在的安全漏洞，因此任何认为 2020 年软件生产和漏洞会减少的想法，其现实程度无异于在英国国家障碍赛马大赛上举办独角兽赛跑。

减少数据记录被盗

正如我所说，代码越多，漏洞就越多，这为攻击者窃取数据提供了更多可乘之机。

2019 年全球至少有 53 亿条记录被盗，而针对攻击者的防御措施目前仍处于一种被动且绝望的补救状态。这个数字在未来十二个月内未必会翻倍，但我认为已经相去不远了。

以美国历年报告的数据被盗趋势为例：

观察 2005 年至 2010 年期间，数据呈现稳步上升趋势，各年间略有波动。这很有趣，但值得强调的一个重要因素是，与 2008 年相比，2009 年报告的违规事件数量急剧下降。然而，尽管违规次数减少，被盗记录的数量却显著增加。

数据记录是新的黄金；它们对攻击者具有价值。该图表反映了违规事件和被盗记录数量的总体上升趋势，并在 2017 年达到顶峰。2018 年攻击数量呈下降趋势，这或许归功于更严格的安全措施，但被盗记录的数量却创下了历史新高。网络攻击将变得日益复杂且规模庞大，短期内不会消失。在全球范围内，我们不太可能在 2020 年看到下降趋势，因为企业生产软件的速度比以往任何时候都快。它们是我们数据的守门人，需要更明智地采取行动来保护我们的隐私。

开发者要求提供更长、更频繁的视频安全培训

如果说开发者有什么共同爱好，那就是观看数小时的计算机基础培训 (CBT) 视频。事实上，由于对这种“引人入胜”的内容需求巨大，Netflix 甚至可能会宣布推出一个专门针对通用安全培训视频的全新子类别。

呃，不。现在不会，2020 年不会，永远都不会。

对于开发者而言，他们接触安全知识通常始于工作场所的合规培训。安全编码很少出现在高等教育课程中，而入职培训往往是他们第一次接触软件安全。不出所料，他们通常并不喜欢这种方式。

要让开发者重视安全，并使培训真正发挥作用，内容必须与他们的工作相关、引人入胜且具有情境感。一次性的合规培训或无穷无尽的枯燥视频，不仅无法赢得开发者的心，也无法减少漏洞。

如果你希望开发者群体有机会成为抵御常见漏洞的安全防线，就让他们使用真实的、日常工作中会遇到的代码示例进行练习。让学习内容碎片化、易于积累，并以趣味性作为激励。要让安全文化蓬勃发展，它必须是积极的、参与度高的，并能在整个组织内培养真正的技能和解决方案。

谁知道呢？通过适当的培训，开发者可能会发掘出内心的安全潜能，并将安全编码的益处广泛传播。

网络安全事件零死亡

好吧，这显然不是开玩笑的事。我曾多次说过，在人们因网络攻击相关事件而丧生之前，世界根本不会真正关心网络安全。

问题在于，这种情况已经发生，却在很大程度上被忽视了。

针对美国医院的网络攻击已被证实与 2019 年心脏病发作死亡率的上升有关。当然，攻击者并没有直接导致患者心脏病发作，但他们对医院系统和设备的勒索软件攻击延误了危重病人的治疗时间。

这项研究来自中佛罗里达大学，分析了 3000 家医院，其中 311 家曾经历过数据泄露。在受安全事件影响的医院中，为疑似心脏病发作患者进行心电图检查的时间平均延长了 2.7 分钟；这很可能是由于流程变更、新实施的安全措施以及 IT 支持问题占用了比以往更多的时间。识别和治疗心脏病是一场与时间的赛跑，这些医院平均每 1 万例心脏病发作中额外增加了 36 例死亡。

这令人震惊，不幸的是，我认为情况在好转之前还会进一步恶化。这应该给我们敲响警钟：我们都需要付出更多努力来提升软件安全，并将其置于每项业务的核心位置。

减少“戴兜帽黑客”的库存图片

如果你在图片搜索中输入“黑客”，必然会看到成千上万张图片：一个戴着兜帽、看不清面孔的人正在敲击笔记本电脑，或者是一个戴着盖伊·福克斯面具的类似形象。

这种刻板的黑客形象已经让人审美疲劳了，而且说实话，它让所有人都看起来像坏人。其实有很多从事安全工作的优秀男女，围绕“黑客”形象的负面联想对大家都是一种误导。
我预见这种情况近期会有改变吗？大概不会，但做做梦也挺好。目前，重要的是要记住安全并不一定令人恐惧。