安全开发应成为应用安全团队的免疫系统

作为一名应用安全专业人员，您的职责是确保组织内应用程序的网络安全。然而，您并不负责编写应用程序运行所需的代码，那是开发团队中工程师的工作。那么，您该如何确保他们在开发这些系统时始终将安全性放在首位呢？

您很可能正在采取以下部分甚至全部措施：

• 审查所有代码以发现安全漏洞，并反馈给开发团队进行修复。
• 在整个安全开发生命周期中强制执行严格的同行评审流程。
• 由内部或外部安全团队定期进行应用评估/渗透测试。
• 部署扫描工具以识别漏洞。
  

这些都是很好的最佳实践，但它们成本高昂，就像每次生病都吃一轮抗生素一样。这不仅代价高昂，而且随着时间的推移，药效会降低，甚至可能削弱您的免疫系统。

那么，如何才能从源头上确保开发人员交付的代码是安全编写的呢？

抛开安全编码不谈，首先考虑人们是如何学习的。我们大多数人是视觉学习者，并且通过实践来学习。然而，安全代码培训往往被当作一种“打卡式”的任务，与开发人员的日常工作脱节。这种培训的设计初衷通常是为了证明开发人员已完成安全合规性要求，而非为了让他们真正掌握知识，更不用说享受学习过程了。

人类学习的另一种方式是通过错误，这与我们的免疫系统运作方式如出一辙。T细胞会记住过去遇到并成功消灭的病原体，以便在未来抵御它们。这正是开发人员在您的 安全 SDLC 中应扮演的角色。

期望他们不犯错是不现实的，但您可以引导他们学会识别那些未来可能演变为安全漏洞的编码模式。

这也是强大的同行评审流程之所以如此有效的原因。一个开发人员没发现安全漏洞，并不代表其他人也发现不了。整个开发团队的培训水平越高，漏洞在进入生产环境前被拦截的可能性就越大。

软件漏洞就像病原体

软件漏洞就像病原体，因为您必须记住它们才能对抗它们。对于病原体，我们的免疫系统通常需要多次接触才能记住如何对抗，从而避免严重疾病或更糟糕的情况。

来自易受攻击软件的成功网络攻击可能会严重瘫痪甚至摧毁一个组织。但如果开发人员首先在受控环境中接触这些软件漏洞，他们就可以通过增加并定期练习安全编码知识和技能，来建立对威胁的免疫力。

让开发人员在受控环境中接触安全漏洞

我们永远无法完全避免生病，但我们可以通过一些方式增强免疫系统，保持健康。规律运动、健康饮食和充足睡眠等生活方式通常与强大的免疫系统相关。但所有这些都需要付出努力，并且必须持之以恒。每周慢跑一次或戒酒一个月，对您的整体健康几乎没有改善。同样，刚开始跑步时也不建议直接跑10公里。我们需要先让心脏和肌肉适应运动。我们也知道，需要经过一番尝试，才能找到适合自己身体的平衡点，以及我们喜爱的健康饮食和运动方式。

安全软件开发也是如此。学习是一个循序渐进的过程，需要不断实践，开发人员需要同样的持续培训来定期提升他们的安全编码技能。更不用说，软件开发一直在演进和调整，这意味着漏洞也在不断变化。这就是为什么简单的培训课程是不够的。开发人员需要定期提升技能，以便充分了解潜在威胁，从而有能力进行防御。

在开发团队中实现群体免疫

单凭一人之力无法预防所有安全问题。团队中有安全倡导者固然很好，但为了获得最佳保护，了解安全漏洞及其预防方法的成员越多，组织预防漏洞的机会就越大。这与免疫系统拥有不同功能的T细胞来执行不同任务的原理并无二致。每一位开发人员都是确保安全团队的一员。如果他们被赋予责任感，能够出色地完成工作，甚至乐在其中，那么您就能在开发团队中建立起针对网络威胁的群体免疫力。

通过反复强化，时刻保持安全意识

我们大脑的学习方式与免疫系统的工作原理如出一辙。德国心理学家 赫尔曼·艾宾浩斯 是记忆与学习领域的先驱。他推断，学习必须是一个循序渐进且多次重复的过程。在学校里，没人会指望我们在初次接触新知识后就能完全掌握。首先是信息呈现，接着是在指导下练习，最后是独立练习。即便我们已经掌握到足以通过考试的程度，如果不经常使用这些耗费心血学来的知识，很快就会遗忘。试问，有多少人还记得高中学过的法语呢？

那么，我们怎么可能相信，仅仅通过一天时间观看幻灯片并听人讲解安全知识，就能让参会的开发人员写出更安全的代码呢？

反复出现的漏洞模式表明，这种方法根本行不通。

如何才能建立起安全开发的“免疫力”？

答案就在我们的天性之中。我们的身体和大脑以同样的方式运作，只要顺应而非违背其规律，就能找到完美的解决方案。

要确保应用程序安全，必须从提升开发人员编写安全代码的能力入手。否则，应用安全团队（AppSec）将不得不把所有时间都花在审查代码漏洞上，并不断向开发团队反馈那些反复出现的相同漏洞，而开发人员往往只是草草修复，并未从中吸取教训。等到下一次发布时，这一切又会重演。

让我们重申一遍。

如果您能与开发经理通力合作，不仅能实现安全的软件开发生命周期（SDLC）并满足合规性的安全培训要求，还能对开发流程产生实质性的积极影响。更棒的是，应用安全团队将不再需要反复发现并报告同样的漏洞，开发人员也能减少修复漏洞的时间。这意味着他们可以投入更多精力去创造和优化那些让世界变得更美好的卓越软件。

准备好提升开发团队的技能了吗？欢迎预约演示。