DACH 地区的 DevSecOps：安全编码试点项目的关键发现

十多年来，网络安全最佳实践一直是一个热门话题，在世界大多数地区的政府层面经常被讨论。网络攻击本质上已成为日常现实，任何在线存储有价值私人数据的实体都是潜在目标。仅在德国，联邦教育与研究部估计，96% 的中小企业已经经历过 IT 安全事件。同一份报告强调了对网络安全研究、立法和意识的迫切需求，并明确呼吁在计算机科学和 IT 相关领域中纳入更稳健的安全培训。

随着GDPR的出台，以及在多阶段攻击导致多位公众人物及德国联邦政府服务器敏感数据泄露后所采取的修订策略，显而易见，网络安全意识和行动已成为 DACH 地区领导者关注的首要议题。2018 年末的那次黑客攻击是由一名技术水平相对较低的 20 岁学生实施的，他获取高度敏感信息的主要途径仅仅是通过猜测密码。虽然这是一个极其令人担忧的身份验证漏洞，但它确实凸显了在政府、企业和社会层面提高安全意识的必要性。2019 年的一份报告指出，德国在网络安全防御举措方面正在落后，主要依赖立法作为手段。然而，随着 DevSecOps 作为一种理想开发方法的出现，许多企业已经认识到进行实践培训、创建“安全设计”软件以及开展全公司范围安全意识计划的必要性。

DACH 地区的软件安全脉搏

像OWASP和MITRE这样的组织会发布经数据验证的最常见漏洞排名。在所有编程语言中，SQL 注入排名第一，尽管它已经存在了几十年，但它仍然是一个常见的缺陷，且经常被利用并造成灾难性的后果。

瑞士 BPC 银行软件 SmartVista曾收到 SwissCERT 关于 SQL 注入漏洞的警报，然而，尽管该漏洞有可能泄露包括信用卡号在内的敏感客户数据，但它在数月内仍未得到修复。SQL 注入确实会导致危险的泄露，就像2017 年美国和英国多个政府部门及大学遭受的泄露事件一样。这些事件大多是由松懈的输入验证流程引起的，攻击者得以从应用程序的前端插入恶意代码。另一个常见的漏洞来源是使用未经安全漏洞检查的供应商代码，从而将缺陷引入了先前已扫描并清理过的生产环境。这两个切入点并非 DACH 地区所特有，而是全球范围内不良安全实践的缩影，随着全球代码产量的增加，这种情况不能再持续下去了。

必须在问题被发现后立即进行修补，SmartVista 拖延处理的决定本可能酿成灾难。虽然 DACH 地区也经历过不少泄露事件，但如果能在安全意识和培训方面提供更具针对性的指导和支持，就能防止组织层面的潜在问题失控，而这需要更具体的立法来推动对开发人员进行评估性培训。

并非所有的安全代码培训都是一样的。

世界各地的许多网络安全指令正变得越来越全面，然而，在概述有效的安全培训方面，它们仍然相当笼统。欧盟的NIS 指令确实包含了在国家层面进行“意识提升、培训和教育”的要求，但如果缺乏推动开发人员技能提升和组织变革的关键要素，仓促实施培训方案可能无法达到预期的风险降低效果。

教育解决方案各不相同，培训必须针对开发人员的日常工作（包括能够使用他们首选的语言和框架进行学习），并保持长期的参与度和可衡量性。

静态培训解决方案（如基于计算机的视频培训）通常过于通用，很少被重新审视或评估其在提升意识和技能以阻止漏洞在代码编写过程中进入方面的成效。动态培训对于通过情境化示例提升开发人员技能至关重要，此外还能提供影响业务缓解流程的指标。它更新频繁，能促进高水平的知识留存，是培养具有安全意识的开发人员并构建积极工作场所安全文化的一部分。

来自 DACH 地区试点项目的 Secure Code Warrior 数据点：

Secure Code Warrior 的销售总监 Ema Rimeike（网络安全硕士）一直与 DACH 地区的组织密切合作，为开发人员开展试点项目，以评估开发人员内部的安全编码能力、他们对安全最佳实践的参与度，以及企业的整体安全文化。利用游戏化的动态安全代码培训，她的关键发现揭示了：当开发人员获得能够从软件开发生命周期（SDLC）初期就促进漏洞减少的知识和工具时，未来将一片光明。

在试点项目期间，她根据每位用户在 Secure Code Warrior (SCW) 平台上平均花费的 90 分钟整理了统计数据，期间他们完成了15 个安全编码挑战（碎片化、游戏化且节奏自控的课程）：

用户完成一个挑战的平均时间为 5.5 分钟，而其他全球 SCW 试点项目的平均时间为 3 分钟。

• 准确性与自信心：DACH 试点项目显示，参与者对挑战答案的自信心平均百分比在 88-92% 之间，但这些答案的准确率却在 53-66% 之间。
• 超过 75% 的受访参与者更喜欢游戏化或动态的培训方法，而不是基于计算机培训 (CBT) 等静态方法。
• 在最常见的漏洞中，我们看到了注入缺陷、安全配置错误、跨站脚本攻击 (XSS)、平台使用不当、访问控制、身份验证、内存损坏、跨站请求伪造、传输层保护不足以及未经验证的重定向和转发

众所周知，DACH 地区（德国、奥地利、瑞士）的许多人普遍推崇强烈的职业道德和严谨的工作态度，参与试点项目的开发人员也不例外。这些数据点不仅反映了他们对这种培训形式尚不熟悉，也体现了他们渴望通过不断练习来提高分数，并尽量避免使用“提示”功能的积极心态。他们学习和进步的愿望显而易见，但这同时也表明，若要在组织内部有效落实培训并提升安全意识，仍需付出更多努力。

能够降低风险并消除漏洞的优质培训绝非一蹴而就，其意义远超合规本身。管理者和应用安全（AppSec）人员必须投入精力，制定具有战略意义且提供充分支持的安全意识计划，以体现核心安全目标并确保其长期有效。这实际上是构建具备安全意识的开发人员团队以及成功实施 DevSecOps 流程的基石。

试点项目能为组织揭示什么？

Secure Code Warrior 的试点项目是一个极具价值的工具，它能让企业快速了解当前的安全状况（通常在 65-75% 之间），并明确需要立即改进的领域。它们揭示了：

• 明确哪些漏洞需要优先处理，以及这种改进方向是否应应用于特定的团队、业务部门或编程语言
• 更准确、更广泛地掌握软件开发生命周期（SDLC）中的网络安全风险因素，涵盖软件开发中的人为因素。
• 通过利用 SCW 平台，组织可以预测渗透测试的潜在结果，并有机会在项目分配前预先降低风险，从而让团队做好充分准备。

在那些已开始推行全面且有效安全计划的组织中，管理层通常会批准每周 1 到 1.5 小时的专业发展时间，以帮助开发人员提升安全编码知识。然而，我们注意到企业正逐渐从关注“平台使用时长”转向关注“哪些软件开发团队对业务构成的风险最高或最低”。这与正式的认证/分级制度、发掘安全倡导者以及指导计划紧密相关，旨在实现最佳效果。分配时间并进行建设性、积极的评估，是培养既热爱安全工作又能切实降低业务风险的开发人员的关键。

组织目前是如何使用 Secure Code Warrior 的？

许多企业已经在使用 Secure Code Warrior 来提升安全意识、培养开发人员技能并建立积极的安全文化。

例如，在一个应用案例中，一个团队通过该平台进行培训，利用 SCW 揭示了他们的安全优势和劣势：

开发人员行动：开发人员能够查看自己的结果，明确需要重点关注的领域，并获得自主学习的权力，根据自身节奏进行培训，以缓解特定的漏洞或弥补知识缺口，从而为未来的软件构建提供助力。

管理层行动：他们分析了团队层面的整体优势和劣势，并能够制定游戏化的方案来解决特定的关注领域。这创造了一种双向的教育路径，能够快速建立相关的知识体系。

成果：在团队层面执行渗透测试后，任何漏洞都会显现出来。通过对比之前的结果，可以轻松验证培训在减少常见安全漏洞方面是否有效。

这又回到了软件开发的初始阶段，即在项目开始前设定持续改进的团队目标，并引入安全最佳实践，这不仅高效且易于推广，还能节省整个开发过程的时间。

DevSecOps 项目团队

在理想的 DevSecOps 环境中，项目团队由多个业务部门组成，共同决策并交付核心成果，其中之一就是安全最佳实践。

在项目前期的研究与规划阶段，SCW 平台可以在开发团队开始工作前评估其安全技能，预测最终的渗透测试结果，并提前预留足够的时间来应对 SDLC 中与安全相关的延误。可以为团队创建针对项目代码和结构的专项培训，包括验证整体安全意识技能的评估/认证流程，要求团队在开始项目交付工作前达到预设的及格分数。

这种方法具有巨大的商业价值：它能降低修复漏洞的成本，减轻安全风险，节省渗透测试时间，减少昂贵的漏洞赏金计划支出，并以集中、可持续、可扩展且统一的方式提升开发人员的技能水平。

结论：

企业面临着越来越大的压力，需要优先考虑安全性、保护数据安全并遵守全球范围内日益严格的法规，对于在欧盟境内受严格 GDPR 指导方针约束的企业而言尤其如此。

对于 DACH 地区的各家公司来说，显而易见的是，他们正通过将培训工作和成果与预防风险的实际活动（包括减少代码中常见的漏洞）相结合，来开辟切实可行的安全路径。

要为增加安全预算、提升安全意识和整体合规性建立真正可量化的商业案例，培训必须对开发人员具有吸引力，且保持一致性、适应性和可衡量性。跟踪当前的能力水平以定制合适的培训、发掘安全倡导者并长期衡量团队绩效，这些都是至关重要的举措。DACH 地区许多具有前瞻性的公司在完成全面的 SCW 试点后，已经开始从中获益。

许多公司在安全绩效指标方面往往面临指标过于笼统的困扰。通过长期、持续地使用 SCW 平台，企业能够利用精准的评估、课程和管理指标来发现：

• 漏洞随时间推移而减少
• 修复漏洞的成本随时间推移而降低
• 个人与团队技能随时间推移而提升
• 渗透测试阶段的成本与时间投入减少

贵组织目前追踪哪些指标？这些指标的衡量频率如何？它们是否显示出随时间推移的显著改善？您的培训计划与现有开发人员工作流程的整合程度如何？

SCW's dynamic, gamified and comprehensive approach is seen as a crucial part of the Secure Software Development Life Cycle workflow. Businesses are equipping their developers with the right tools and training, as well as embedding SCW as part of their SSDLC workflow.