为何 SQL 注入是应用安全界的“蟑螂”（以及 CISO 如何将其彻底根除）

有一种广为流传的说法，蟑螂几乎能从任何灾难中幸存下来，甚至包括核爆炸。虽然这种说法并不完全准确，但蟑螂简单的身体构造使其在同等体型下具有极强的生命力，在大多数环境下都难以根除。

我不禁在想……如果数字世界里也有“蟑螂”，那一定非代码中的 SQL 注入（SQLi）漏洞莫属。这类漏洞已存在二十多年，但企业却屡屡中招。Target 公司遭受的广泛且代价高昂的攻击就是 SQL 注入的结果；伊利诺伊州发生的选举黑客事件导致 20 万选民记录泄露，这也促使 FBI 建议所有 IT 管理员尽快加强安全实践。

Imperva 的《黑客情报倡议报告》显示，在 2005 年至 2011 年间，83% 的已报告数据泄露事件都涉及 SQL 注入攻击。如今，注入漏洞依然是OWASP Top 10榜单中的头号威胁。它们虽然相对简单，却始终无法被彻底根除。

令人匪夷所思的是，同样的漏洞至今仍频繁出现在各类应用安全扫描中。我们明明了解其原理，也知道如何防范，可为什么还会这样？事实是，我们的软件安全水平还有巨大的提升空间。

Veracode 基于 2017 年 40 万次应用扫描得出的《软件安全状况报告》揭示了一个惊人的统计数据：仅有 30% 的应用程序符合 OWASP Top 10 的安全策略。过去五年中，这一趋势始终未变，几乎每 3 个新扫描的应用中就有 1 个存在 SQL 注入漏洞。这证明了一个顽疾：我们没有从错误中吸取教训，而首席信息安全官（CISO）在获取足够的安全人才方面似乎面临着严峻挑战。通常，应用安全专家与开发人员的比例仅为 1:100，远远不足。

为什么软件安全正处于“生命维持”状态？

安全专业人才稀缺已是公开的秘密，但我们必须注意到，开发人员在问题出现时未能及时修复，且显然缺乏从源头避免引入漏洞的能力。同一份 Veracode 报告披露，在所有开发漏洞中，仅有 14.4% 记录了缓解措施。换句话说，大多数漏洞在提交时并未采取开发层面的缓解措施。不到三分之一的漏洞在 90 天内得到修复，而 42% 的漏洞在整个开发周期内从未被修复。

我经常与安全专家、CISO 和 CEO 交流，据我了解，许多公司因为发现的漏洞无法缓解（再加上令人头疼的误报问题）而感到极其沮丧，以至于干脆停止了扫描，只能祈祷好运。

为什么应用安全专家会任由这种情况发生？

请不要误解：应用安全人员对代码中的问题心知肚明。毕竟，这是他们作为团队核心价值的技能之一。然而，他们往往受到多种因素的掣肘。

例如，当应用安全经理发现问题并询问开发人员“能否修复代码”时，不同组织的回答各不相同。但总的来说，开发人员为了赶上严格的功能交付进度而分身乏术，根本没有时间去修复这些问题，也没有合适的工具来辅助。应用安全专家虽然能识别漏洞，但往往缺乏当场修复这些漏洞的技能或权限。

我们还必须意识到，对于每一个问题，都需要经历寻找解决方案、实施并测试的过程。即使是代码中最微小的问题，其修复所需的时间和资源也是巨大的。软件中可能引入的漏洞超过 700 种，任何个人都不可能防住所有漏洞。正因如此，大多数公司只关注 OWASP Top 10。与此同时，开发人员在不断开发新功能，随之也在不断地将漏洞引入代码中。

解决方案是什么？

简单的事实是，我们没有为开发人员提供培养安全编码能力的工具和培训。目前没有任何法规强制要求企业确保开发人员具备足够的安全技能，而令人遗憾的是，大多数大学和实习项目也没有让初级开发人员做好安全编码的准备。

当一个人想要驾驶飞机时，必须经过极其严格的流程，包括培训、实践经验、体检、安全知识考核和考试，才能获准飞行。没有人会想象在没有经过这种广泛的准备和技能验证的情况下就能驾驶飞机，然而，这正是代码编写领域每天都在发生的事情。

我们需要花时间教育开发人员编写安全代码。然而，在当今软件开发节奏极快、优秀开发人员和安全专家供不应求的世界里，这似乎从未被列为优先事项。是时候改变这种对话了。

世界经济论坛（World Economic Forum）最近的一则标题赫然写道：“没有安全，就没有数字经济”，随后的内容论证了安全必须成为任何数字化转型战略核心组成部分的必要性。“安全是保护企业的基石，使企业能够创新、构建新产品和服务。除了防御作用外，安全还为企业提供了战略性的增长优势。”

提升安全编码技能与成果，将为企业增添一道强有力的网络防护屏障，助力其更高效地编写出优质代码。开发人员无需成为安全专家，但必须获得积极且实用的赋能，从而成为抵御网络攻击的第一道防线。开发人员完全有潜力成为未来的安全与创新英雄。他们才华横溢、善于创造性地解决问题，且普遍渴望提升自身技能。通过提供他们应得的专业培训来发挥其优势，并致力于实现更高的软件安全标准。阅读我们的白皮书以了解更多信息。

想要驾驶飞机，必须经过极其严格的流程，包括培训、实践经验、体检、安全知识学习及考试，合格后方可飞行。没人敢想象在没有经过如此广泛的准备和技能验证的情况下就直接驾驶飞机，然而在代码编写领域，这种情况却每天都在发生。