网络安全行业分析：我们必须纠正的另一个反复出现的漏洞

本文的一个版本曾发表于 Help Net Security。 本文经更新后在此转载。

‍

我的职业生涯一直围绕着发现、修复、探讨和剖析 软件漏洞。我深知，尽管某些常见的安全漏洞自 90 年代起就一直存在，但它们至今仍在困扰着我们的软件并引发重大问题，即便（通常简单的）修复方法早已为人所知。这真像电影《土拨鼠之日》里的情节，整个行业似乎在不断重复同样的行为，却期待着不同的结果。

然而，还有一个小问题。面对现代网络安全永无止境的猛烈攻击，我们既没有获得切合实际的建议，也没有找到最快捷的解决方案。当然，每一次安全漏洞都有其特殊性，且易受攻击的软件中存在无数可被利用的攻击向量。通用的可行性建议固然有限，但目前所谓的“最佳实践”方法论正显得愈发漏洞百出。

因此，我不禁要问，为什么关于网络安全的评论和分析中，有如此多内容忽略了解决众多漏洞根源的方案：人。Gartner 最新的 应用安全技术成熟度曲线，以及 Forrester 的 2021 年应用安全状况，这两份被安全专家奉为圭臬、无疑影响着其项目规划和产品采用决策的报告，几乎完全聚焦于工具。Aberdeen 在 2017 年的一份报告 展示了普通安全技术栈变得多么混乱，首席信息安全官（CISO）需要管理数百种产品作为其安全策略的一部分；四年过去了，我们仍在应对更多的风险、更多的漏洞，以及不断膨胀的技术栈怪兽。

安全工具固然必不可少，但我们需要放宽视野，重新平衡安全防御中的“人”这一要素。

自动化是未来。为什么我们还要关心网络安全中的人为因素？

我们生活中的几乎一切都由软件驱动，自动化确实正在取代许多行业中曾经存在的人工环节。这是一个世界以极速数字化进程中的进步标志，人工智能和机器学习等热门话题让许多组织保持着对未来的关注。

那么，为什么以人为本的网络安全方法会被视为一种应对技术进步问题的过时方案呢？过去一年中，数十亿条数据记录在泄露事件中被窃取，包括最近 影响超过五亿账户 的 Facebook 泄露事件，这足以说明我们在反击威胁行为者方面做得还不够（或方法不对）。

网络安全工具是网络防御中不可或缺的组成部分，工具永远有一席之地。分析师在为企业推荐风险缓解方案时，对最新工具的推崇完全正确，这一点不会改变。然而，由于代码生产量巨大，代码质量（即安全性）难以把控，仅靠工具无法完成任务。迄今为止，还没有任何单一工具能够：

• 扫描每一种语言和框架中的每一个漏洞
• 高速扫描
• 最大限度减少误报和漏报带来的重复处理工作

工具可能缓慢、繁琐且笨重。最重要的是，它们只能发现问题，却无法修复问题或提供解决方案。后者需要安全专家，而这类人才本就稀缺且过度劳累，他们不得不从无尽的渗透测试和扫描结果中去伪存真。

事实是，根据 IBM 网络安全情报指数报告，人为错误在 95% 的成功数据泄露事件 中起到了推波助澜的作用。其中近 一半 直接与 软件漏洞 有关，如果能在软件开发生命周期（SDLC）的早期阶段更严格地遵守安全编码规范并提高意识，许多漏洞本可减轻。然而，要实现这一点，关键在于更敏锐、更具针对性地加强对开发人员的教育，并将其融入他们的工作流程中。

无论我们是否愿意承认，人类已深深植根于软件开发过程中，而网络安全在很大程度上是一个人的问题。工具无法成为纠正我们方法论根本缺陷的万能药，但它们可以在重塑以人为本的解决方案中发挥关键的辅助作用。

如果我们只是构建更好的工具（而且是大量的工具）会怎样？

安全工具一直在进步。SAST/DAST/IAST 工具已取得了长足进步，在速度和智能化方面都有所提升，而 RASP 也应成为许多应用环境中 重要的防御考量。防火墙、密钥管理器、云和网络安全应用：这些都是不言而喻的必备品。

人类可以不断努力打造更好的工具，但创新速度仍赶不上我们所处数字世界的安全和数据保护需求。工具在很大程度上是为机器人设计的。它们或许能协助开发人员和安全团队进行扫描、监控或保护代码，但交互性非常有限，且很少有解决方案旨在提升安全意识或改善能带来更好安全成果的核心技能。

事实上，超过半数的企业甚至不知道这些工具是否真正有效，也没有信心能够避免毁灭性的数据泄露。这是一种非常糟糕的现状，在一个痴迷于工具却缺乏对不同方法论支持的行业中，这种心态往往会固化现状及其内部问题。

企业应如何利用以人为本的方法来加强安全保障？

毫无疑问，紧跟应用安全技术趋势固然有益，甚至有助于优化臃肿的技术栈并确定升级或整合的优先级，但如果忽视了软件漏洞的根源——即我们人类自身——我们将始终处于网络安全防御战的劣势。

如果我们想切实减少代码层面的安全漏洞，就必须为开发人员打好基础，让他们能够共同承担安全责任。他们需要相关的实践培训和在职技能提升，以及不会干扰工作流程或增加开发负担的实用工具。理想情况下，这些工具应以开发人员为中心，并将用户体验放在首位。

时至今日，虽然尚无针对开发人员的正式安全认证计划，但每家公司都可以通过评估和提升安全编码技能来获益，在庞大的技术栈被迫启动并拖慢进度之前，尽早且频繁地消除常见漏洞。

一支具备安全意识的开发团队是任何企业的宝贵财富，但正如所有值得追求的事物一样，打造一支高效的梦之队需要时间和精力。要让开发人员真正关注安全，并将安全编码视为代码质量的基石，需要整个组织坚定地将安全放在首位。当整个团队都意识到他们在编写代码时就能消除常见漏洞并发挥积极作用时，任何工具都无法与之媲美。