为了让开发者能够助力击败网络犯罪，培训任务分为两个部分

本文部分内容曾发表于 DevOps.com，现经更新后在此转载。

网络安全领域中，英雄与恶棍之间的较量向来极不公平。敏感数据已成为新的“黄金”，攻击者能够迅速调整策略以绕过防御，利用大大小小的安全漏洞牟取暴利。

代码产出量巨大，而安全专家却日益稀缺，两者之间的矛盾已难以调和。数据泄露成本的不断攀升证明，现状必须改变。幸运的是，为了数字安全以及广大首席信息安全官（CISO）的心理健康，DevSecOps 运动正推动开发人员从软件开发流程之初就参与到安全工作中。他们被视为抵御网络攻击的第一道防线，并有能力在源头消除常见的安全漏洞。

然而，防御能力取决于所受的培训质量，这对安全团队而言又是一道难关。许多开发人员在工作中接受安全编码培训时，最大的挑战在于如何忍受那些枯燥乏味、缺乏互动的课程，这些课程既无成效，也无法激发他们对安全问题的重视。毫无灵魂的视频课程于事无补，流于形式的年度“打卡式”培训更是浪费时间，在面对时刻伺机而动的恶意攻击者时，这种方式毫无胜算。

在行业发展的现阶段，我们已经意识到，采用相关的编程语言和框架，并结合现实世界中开发人员可能遇到的挑战，进行情境化、实操性的教育，是一种更具吸引力的方法。

这是开发人员助力应用安全（AppSec）专家消除常见漏洞的第一阶段，而第二阶段则需要通过真实的场景模拟，打造一支具备高度安全意识的防御力量。

支架式教学在成人教育中至关重要

在课外课程或在职培训中，人们往往忽略了成年人本身就具备一定的经验和知识储备。优秀的培训应在此基础上构建，通过合理的结构设计，帮助学习者更深入地理解知识，并更快地实现自主学习。

支架式教学是一种高效且积极的学习方法，旨在激活并强化学习者既有的经验，同时以易于掌握的节奏构建新技能，使学习者能够更有信心地应对日益复杂的任务。通常，这种方法最适合结合大量的演示、视觉辅助工具以及以学生为主导的探索活动。

将这种方法应用于开发人员的安全培训，不难发现，这种动态的“做中学”模式早已取代了枯燥的理论灌输。开发人员应当成为自己领域的主人，并感受到时间的投入是物有所值的。

从这个意义上讲，在高度相关的情境化环境中学习安全编码是关键，但更进一步的提升在于亲眼目睹漏洞代码被利用的过程。通过对比前端和后端的视角，开发人员可以直观地建立起“编码行为”与“攻击者利用疏忽、配置错误或意外漏洞进行攻击”之间的联系。

从记忆转向应用，实现真正预防性的安全策略

亲身体验安全漏洞的影响是教育中至关重要的一环，即便在最现代化的开发人员安全培训中，这也相当罕见。磨练识别和修复漏洞的技能，并将其应用于编写代码以消除同类错误，这些基础工作固然重要，但这并非全貌。亲眼目睹 漏洞代码是如何被恶意攻击者利用的，能增加一层强有力的情境感，真正让开发人员深刻理解保护代码的重要性，并运用辛苦学来的安全知识堵住每一个潜在的漏洞。

人们普遍认为开发人员不喜欢安全工作，对安全培训更是反感。他们与应用安全专家的合作往往充满火药味，安全团队将存在漏洞的代码退回要求修复，这简直是他们的噩梦。对于本就人手不足的工程团队来说，安全是“别人的事”，而非他们的优先事项，甚至被视为阻碍其发挥创造力和完成功能开发目标的绊脚石。然而，面对海量的代码、频发的数据泄露以及全球数据面临的巨大风险，这种心态必须改变。

一个高效的 DevSecOps 流程能让开发人员在软件开发生命周期（SDLC）之初就与安全团队和谐协作。通过应用型学习，开发人员可以与模拟的攻击进行交互，直观感受安全防护不足带来的后果，这将极大地帮助开发人员与那些“烦人”的应用安全专家达成共识（其实他们也没那么糟糕）。

交互式学习助力开发人员应对“终极挑战”

在撰写本文时，7天内发生了两起重大泄露事件：Razer 宣布 超过 10 万条敏感数据记录被泄露，而办公用品连锁店 Staples 也报告了类似的数据泄露事件。2020 年迄今，已有超过十亿条敏感记录被泄露，且这一令人担忧的趋势丝毫没有放缓的迹象。简而言之，恶意攻击者目前占据上风，我们迫切需要具备安全意识的开发人员挺身而出，成为防御的第一道防线。

通过模拟此类入侵的互动挑战，开发者不再仅仅是被动记忆，而是能够学以致用，在真正的“终极对决”中发挥作用：将攻击者阻挡在门外。

‍