提升安全智能：通过引导式课程，助力开发人员做好 NIST 合规准备

近期，网络安全行业出现了一些非常值得欢迎的动向。许多组织似乎开始意识到，在软件构建的早期阶段就优先考虑安全性至关重要。这一点，再加上拜登关于网络安全的行政命令等官方举措，清楚地表明每个人都必须尽自己的一份力量来确保软件安全和数据安全。尤其令人振奋的是，关于开发人员在维护安全编码标准中所扮演角色的讨论正在不断深入，甚至已经提升到了政府层面。

然而，讨论中还缺少了一些东西。该行政命令指出开发人员需要经过验证的安全技能，但目前尚无此类官方认证。许多公司在追求合规性和更高软件安全标准时，仍然以NIST（其针对该行政命令提供了更新指南）为指导。但如果我们想要制定能够显著减少漏洞、同时整合正确工具并保持发布速度的策略，大多数指南都过于笼统，难以达到预期的效果。这正是许多公司陷入困境的地方：他们要么坚持进行有限的开发人员培训，要么无法在基础知识之上构建实用的实操技能。

具备安全意识的开发人员并非随处可见，但通过正确的工具，他们的成长和提升速度可以大大加快。为此，我们很高兴推出我们自主研发的课程，该课程旨在实现 NIST 合规性，并根据美国政府行政命令的指南进行构建。

为开发人员提供有意义的代码级支持

我们利用此处针对行政命令关键（EO-critical）软件的 NIST 指南，构建了这门课程，旨在实现五个关键目标。这些目标最终将提高政府最高级别所使用的关键软件的安全性，并应作为从源头提升开发质量的基准。

要在开发团队中真正产生影响，任何技能提升都必须超越理论，并以一种不会导致工作与培训之间频繁切换、从而寻找答案并保持敏捷的方式来实施。严谨的安全实践（更不用说安全团队本身）往往被视为按时完成开发冲刺的阻碍，并严重束缚了以功能为中心的普通工程师的发挥。

短小精悍、专为开发人员需求量身定制的微学习内容，受到的抵触要小得多，且能带来令人印象深刻的实用技能提升。

来看看我们是如何为 NIST 课程进行结构设计的：

目标 1：保护行政命令关键软件和行政命令关键软件平台免受未经授权的访问和使用。‍

攻击者往往利用安全配置错误和不当的身份验证实践来成功渗透系统、接管账户并窃取数据。这是一种常见的漏洞，如果被成功利用，可能会导致严重的问题。

在Secure Code Warrior 学习平台上，开发人员可以参与基于真实代码片段的挑战，这些片段准确反映了这些漏洞在日常工作中的表现形式，并引导他们找到准确的解决方案来修复这些漏洞。对于 DevOps 工程师而言，保护基础设施需要严谨的访问控制配置，我们提供了专门的挑战来满足这一要求，涵盖 Terraform、CloudFormation 和 Ansible 等基础设施即代码（IaC）语言，以及 Docker 和 Kubernetes 中使用的代码。

目标 2：保护行政命令关键软件和行政命令关键软件平台所使用数据的机密性、完整性和可用性。

对于这一目标，所有路径都指向访问控制。失效的访问控制最近取代了注入漏洞，成为OWASP Top 10 2021榜单的首位。这是一个严重的漏洞，需要具备安全意识的开发人员尽早发现并修复。

本课程探讨了代码层面的最小权限原则等概念，并帮助灌输将用户账户访问权限限制在必要范围内的最佳实践方法。

目标 3：识别并维护行政命令关键软件平台以及部署到这些平台上的软件，以保护行政命令关键软件免受攻击。

大型组织面临的最大挑战之一是保持对当前运行的所有不同软件、系统和组件的安全监管。在风险管理和补丁修复方面，这些要素必须是任何安全计划中的重中之重，开发人员必须保持高度警惕，以执行安全维护工作。

在 Secure Code Warrior 学习平台上，开发人员可以参与挑战，帮助他们识别和修复易受攻击的组件，以及基于权限的安全配置错误。

目标 4：针对涉及 EO 关键软件及 EO 关键软件平台的威胁和事件，实现快速检测、响应与恢复。

令人遗憾的是（且浪费时间和金钱），许多组织在处理网络安全问题时，仍将重心放在事件响应而非预防上。我们正致力于改变这种文化，而开发人员在接受安全最佳实践的专业培训后，正是提供预防性保障的核心力量。

目标 4 要求开发人员在其职责范围内，持续监控其环境以及软件和网络层面的终端安全。日志记录与监控不足是另一个常见且隐蔽的漏洞，工程师必须能够在日常工作中有效应对这一挑战。

在 Secure Code Warrior 学习平台上，开发人员可以通过挑战赛来磨练这些技能，无论是使用 Web、API 还是云端语言。

具备可持续性的安全意识。

目标 5：加强对促进 EO 关键软件及 EO 关键软件平台安全的人类行为的理解与执行。

这一目标较为宏观，但却是最关键的一环……若不先掌握前四个目标，便无法实现这一目标。该准则要求开展频繁的安全意识活动，并确保所有针对 EO 关键软件的“人类行为”均由在其角色和职责范围内受过充分培训的人员执行。

开发人员不仅最直接地接触代码，还负责安全配置和访问控制。必须培养他们的安全技能。为达到 NIST 概述的高标准，采用实践导向的课程结构或许是最高效的解决方案，尤其是在面对庞大的开发团队时。

立即开始增加您开发团队的经验值与安全智商。