被忽视的人为因素：导致网络应用程序安全缺陷的根源

2018年Verizon数据泄露调查报告再次成为一部佳作，让我们能够及时了解网络安全动态，包括当前的犯罪趋势、事件驱动因素，以及有助于企业完善安全计划的分析与见解。今年，Verizon调查人员分析了超过53,000起事件和2,200多起泄露事件，从中可以得出许多切实可行的经验，了解需要防范的内容、应避免的操作，以及在安全投入重点方面的宝贵建议。2018年的报告与时俱进，随着安全影响的扩大，其内容对更广泛的商业受众具有参考价值，并日益被视为一个主流的商业问题。

在众多有趣的发现中，2018年的报告证实，大多数黑客攻击仍然是通过网络应用程序漏洞实现的（甚至有一个 展示此趋势的酷炫交互式图表）。

网络应用程序攻击是指任何以网络应用程序为攻击媒介的事件。这包括利用应用程序中的代码级漏洞以及绕过身份验证机制。值得注意的是，由于过滤了使用从客户设备窃取的凭据对网络应用程序进行的僵尸网络攻击，此类泄露事件的数量有所减少。使用被盗凭据仍然是涉及网络应用程序泄露事件中最主要的黑客攻击方式，其次是SQL注入（稍后会详细讨论SQL……）。

今年报告中突出的一个主题是“人为因素”在安全领域的重要性，它既是问题的一部分，也是解决方案的一部分。报告探讨了外部和内部参与者，指出近五分之一（17%）的泄露事件源于人为错误。这些泄露发生在员工未能销毁机密信息、将电子邮件发送给错误的人以及网络服务器配置错误时。报告指出，虽然这些行为并非出于恶意，但后果依然可能代价高昂。

但还有一个常被忽视的人为因素导致了许多安全泄露，那就是开发人员频繁编写包含安全缺陷的代码，这会导致网络应用程序漏洞，进而引发这些安全事件和泄露。

过去5年的应用程序测试显示，所发现的漏洞数量并没有太大改善，同样的老问题反复出现。一份基于40万次应用程序扫描的2017年Veracode报告显示，只有30%的应用程序通过了OWASP Top 10策略。令人震惊的是，在过去5年（包括去年）新扫描的应用程序中，几乎每三个就有一个存在SQL注入漏洞。之所以说令人震惊，是因为SQL注入自1999年以来就一直存在。事实证明，包括SQL注入在内的相同缺陷被持续发现，说明开发人员中的这一“人为因素”问题尚未得到妥善解决。

此时，我必须站出来大声疾呼，我站在开发人员这一边。如果从未有人教导开发人员为何安全编码至关重要、不安全代码会带来哪些后果，以及最重要的是，如何在各自的编程框架中从源头上避免这些漏洞，他们又该如何编写安全的代码呢？

这正是我们在Secure Code Warrior所做的工作，我们有力的证据表明，将实操安全编码培训融入开发人员日常工作的公司，正在减少网络应用程序漏洞的产生。为了编写安全代码，开发人员需要定期进行实操学习，积极参与以提升安全编码技能。他们需要学习真实代码中最近发现的漏洞，特别是针对他们所使用的语言和框架。这种学习体验应帮助他们理解如何定位、识别和修复已知漏洞。开发人员还需要在流程中配备高质量的工具集，使安全工作变得简单，既不拖慢进度，又能实时指导他们区分良好的编码模式与糟糕的编码模式。

这就是我们如何能为减少网络应用程序泄露事件做出切实且积极的贡献。

我非常赞同Verizon的观点，即有必要在全公司范围内加强安全意识培训。我对首席信息官（CIO）和首席信息安全官（CISO）的建议是：“别忘了你们的开发人员！”这些现代企业的架构师既可能是经常为黑客提供入口的“人为因素”，也可能是你们的第一道防线，即你们的安全英雄。

对开发人员进行有效的安全技能提升，可能会对Verizon未来报告中的结果产生真正的影响。如果2019年的报告能将开发人员安全培训作为企业采取的关键风险降低策略，那就太好了。我是一个乐观主义者，但我敢打赌，如果企业能让开发人员学会如何避免产生注入缺陷，本报告中的网络应用程序漏洞数量将会显著下降。

查看我们的平台演示，了解开发人员如何在理想的游戏化培训环境中快速提升技能：

参与安全编码挑战

访问我们的免费学习资源

如果从未有人教导开发人员为何安全编码至关重要、不安全代码会带来哪些后果，以及最重要的是，如何在各自的编程框架中从源头上避免这些漏洞，他们又该如何编写安全的代码呢？