安全代码见解

在我自己的软件开发和安全职业生涯中，AppSec经理、首席信息安全官、首席信息官、网络安全专家——我曾与他们中的许多人交谈，他们在世界各地的各种公司工作。

在这个不断变化的数字世界中，无论他们的处境多么不同，团队的经验有多么丰富，或者经历了多少时间，都有一个问题始终保持不变：他们很少能够在安全问题上积极参与开发团队。安全仍然是脏话，是团队之间冲突的根源，也是行业背面的彻头彻尾的痛苦。

但是，软件安全对于我们的总体思维方式来说太重要了，无法继续走这条路。我们必须努力改变对话方式，使安全成为每个开发人员工作生活中不可或缺的一部分。我认为做到这一点的最佳方法之一是通过游戏化等在安全方面赋予开发人员权力，并与他们互动。

当前的格局

开发人员离开大学时几乎没有交付安全代码的实践知识，他们从事的工作岗位很少将安全培训列为优先事项（如果是的话，它通常是有关健康和安全的强制性合规视频的一部分，这些视频太乏味了，没有人会关心安全编码）。通常，他们在安全方面的第一次体验是审计或测试错误报告，该报告突然中断了未来的发布，立即成为他们创造性思维的重中之重。他们发现自己与负责安全报告的人员发生争执，因此，在他们心中，“安全” 成了 “批评” 的代名词。哈哈哈。

老实说，这种对软件安全的负面看法如此普遍，真是太可惜了。毕竟，我职业生涯中最美好的回忆与学习软件安全有关。我早期的黑客时代都在参加会议，在这些会议上，我不仅可以与同行测试自己的技能（说实话，可以稍微炫耀一下），而且还能与和我一样喜欢破坏软件的志同道合的人会面玩得很开心。

BruCon、DefCon、BlackHat... 这些活动为像我一样的人提供了在友谊赛中发挥我们的技能的能力。虽然我从来不承认参与过这样的反社会活动，但有些人甚至会通过侵入其他与会者的手机，在演示屏幕上显示他们的信息让所有人看到来展示自己的黑客实力。它变成了一款游戏，它发现了这些缺陷——利用并修复它们——以改善软件。几年前，我有幸与数百名中东孩子面对面，向他们传授网络安全知识。我还记得我的学生中有一个八岁的女孩，她在玩游戏时正在学习密码暴力和base64编码。

游戏化也用于教授编程技能。世界各地的教育机构都在利用这种方法向年幼的孩子教授编程，甚至直到高中年龄。现在，年仅四岁的孩子经常参加节日活动，例如 CodeCamp，还有很多很棒的在线程序可以教孩子们如何用 Python 和其他语言编程。我甚至买了神奇的无屏编码工具， 库贝托，送给我四岁的女儿。

但是，尽管有所有这些乐趣和进步，但还是存在差距。没有人想过利用游戏化来培训开发人员如何编写安全代码的可能性。

好吧... 几乎没有人。几年前，我意识到我们需要再次激发安全灵感，真正激励开发者参与进来并开始游戏。

游戏化：简单的前进方向。

我内心深处有提升和增强开发人员安全知识的动力，正是这种激情促使我创立了 Secure Code Warrior。软件安全非常重要，而且确实令人兴奋。

我并不孤单。

游戏化可以让即使是最平凡的任务变得更有趣，也能让人们保持足够的参与度，让他们想要继续游戏、获胜和取得进步——看看神奇宝贝走的路就知道了！甚至让最懒散的人离开沙发、户外寻找虚构的生物，或者 FitBit 如何将达到步数作为许多人的每日目标... 如果这些目标没有实现，如果连胜纪录结束，徽章没有获得，就会产生一种非常真实的失望感。

所以，回到安全培训上。我们已经向许多客户证明，游戏化是真正改变其组织中的安全文化、在AppSec和开发团队之间架设桥梁以及总体上帮助他们构建更高标准的软件的关键。

目前，安全性不是开发人员的首要任务。通过在训练方法中添加友好、有竞争力和引人入胜的元素，你激励他们不仅 “玩”，还要继续回来赚取更多积分，打破高分，变得更准确，挑战队友。

我们已经知道成功的培训是这样的：

• 开发人员能够使用真实代码和自己的语言/框架工作
• 挑战很短，涵盖了所有常见的安全漏洞
• 挑战不断扩展和更新，因此开发人员可以随着时间的推移继续培养技能
• 挑战的复杂程度各不相同，因此无论是资深开发人员还是经验不足的开发人员都会参与其中
• 开发人员及其经理能够查看进度，包括他们完成了哪些挑战、他们的长处和短处、花在培训上的时间及其总体准确性。

我们的一位最大客户在推出游戏化平台时展现了游戏化平台的真正魔力，为开发者提供主题团队装备，为游戏获胜者提供惊人的奖品，并真正让他们的锦标赛成为值得纪念的一天。此后，他们举办了国际比赛，直到今天，他们的整个团队仍在进行严格的训练。

你自己的软件革命从这里开始。澳大利亚银行业在采用游戏化培训来对抗不良代码方面处于领先地位，采用一种真正创新的方法，可以颠覆传统（或无聊）的培训——看看我们的客户对他们做了什么 下一级锦标赛。你准备好了吗 提升你的队伍等级 和我们在一起？

我们必须努力改变对话方式，使安全成为每个开发人员工作生活中不可或缺的一部分。我认为做到这一点的最佳方法之一是通过游戏化等在安全方面赋予开发人员权力，并与他们互动。

9月3日，我和团队的一些成员参加了一场精彩的安全颁奖大会，该会议由主办 澳大利亚CSO。澳大利亚首批此类产品之一， 2019 年安全领域女性奖 是业内一些最受尊敬的安全专家的不可思议的结晶。这是对女性在网络安全领域做出的贡献的庆祝活动，也是展示女性所带来的不可思议的才华和创新的急需的平台，这些女性往往不在聚光灯下，努力做得很出色。

我非常自豪地说，Secure Code Warrior的客户成功副总裁（又名Chief Awesome）Fatemah Beydoun是当天不可或缺的一部分。她发表了演讲， 未来指导：我们如何才能在培养女性网络安全人才方面做得更好 致非常乐于接受的观众。尽管十二分钟还不足以揭示她对我们和整个网络安全行业的长期影响，但她已经看到（更不用说推动了）关键的积极变化。

更具包容性的方法。

“当我第一次在这个行业开始我的职业生涯时，” 法特玛说，“我是我加入的团队中为数不多的女性之一。许多社交机会也以男性为中心，这使我很难加入，难以结识合适的人并向企业展示关键价值。我试图改变这种动态，尽可能创造一个更具包容性的空间。

例如，我经常参加行业活动，发现许多公司的展位会采用促销模式来吸引人们对展位的关注。理论上没关系，但我经常会被忽视，因为我显然不是目标市场。在我职业生涯的早期，我曾负责举办赛事，并发誓我们可以想出更具包容性和更有趣的方式来吸引人们对我们自己的活动的关注，” 她说。

我和Fatemah已经合作了很长时间，她一直倡导我们经营的企业内部的包容性和多元化。这始终为女性加入团队提供了更多途径，使关键贡献得到认可，不同的方法、观点和各行各业使队伍得到加强。

法特玛说：“看，当然，没有人愿意成为象征性的女性。”“但是，问题可能在于，一些不那么多元化的高管团队倾向于将领导力棒传递给与他们相似的人，他们可能会在个人层面上与之建立联系。同样的高管可以从女性以业绩和技能为基础的贡献中受益，但她们往往很难得到关注。她说，如果让执行管理团队意识到多元化可以带来的力量（这不仅限于性别），他们通常非常愿意开辟这些途径，开始提升那些准备、愿意和有能力为组织做出色工作的女性。”

工作场所的灵活性：成功的关键要素。

在创办自己的公司时，我很快就了解到，当团队成员有呼吸的空间时，最好的工作才能完成。灵活性对每个人都很重要，但是帮助工作家庭的政策可以帮助留住重要的人才。

这里引入的首批政策之一是《工作中的婴儿政策》，该政策允许新妈妈尽快重返工作岗位，同时具有预约所需的灵活性，并能够带婴儿上班而不必担心被判断。

法特玛说：“我不想在做妈妈和我的职业生涯之间做出选择，能够带我的小儿子去工作是一个非常积极的举动，让我感到受到支持和重视。”“我的技能不会在分娩后消失，作为一家初创公司的创始成员，好吧，你只想重返工作岗位！”

她甚至有 与美国广播公司新闻交谈 关于灵活工作的好处：

你有蓬勃发展的导师文化吗？

要让任何人开启良好的职业生涯轨迹并保持势头，找一位导师对他们来说是个好主意。在许多信息技术、网络安全和男性占主导地位的领域，女性高管级别的女性与男性相比存在相当大的不平衡，因此可能有点具有挑战性。

虽然女性在领导岗位上看到 “自己” 很重要，但男性也可以通过提拔团队中的聪明女性并尽可能介入指导她们来提供帮助。

“领导团队可以对组织的多元化产生巨大影响，并确保杰出的女性像其他人一样获得应有的认可和职业道路。我已经在捷星航空网络安全负责人伊薇特·莱金斯那里看到了这一点。她是女子冠军，通过自己的成功和辛勤工作，她付出了回报，并帮助其他女性树立了冲向榜首的信心，” 法特玛说。

就目前而言，Secure Code Warrior刚刚庆祝员工人数达到100人。我很自豪地说，我们在整个企业中有超过50％的女性代表，而Fatemah是所有人的杰出榜样和导师。

所有公司都可以在团队的多元化中找到巨大的力量。来自各行各业的各种意见可能是将好主意转化为好主意所需的秘密要素。一如既往，我们在一起会变得更强大。

有一种众所周知的理论认为，蟑螂基本上可以在任何情况下存活下来，即使是核爆炸也是如此。尽管这种理论在一定程度上是正确的，但它们简单的身体构成使它们对自己的体型极其耐寒，在大多数条件下也很难消除。

我一直在想... 如果蟑螂在数字世界中有类似的漏洞，那一定是代码中的 SQL 注入 (SQLi) 漏洞。二十多年来，这一漏洞一直是众所周知的，但组织一次又一次地成为其受害者。广泛的， 对目标的攻击代价高昂 是 SQL 注入的结果，就像一个例子一样 选举黑客攻击 在伊利诺伊州，有20万份选民记录被泄露，这促使联邦调查局建议所有IT管理员迅速采取行动加强安全措施。

Imperva的 黑客情报倡议报告 透露，在2005年至2011年之间，在所有报告的数据泄露中，有83％使用了SQLi攻击。今天，注入漏洞仍然是美国的头号威胁 OWASP 前 10 名。它们相对简单，但它们根本不会死。

在大量应用程序安全扫描中仍然出现同样的漏洞，这似乎很荒谬。我们知道它是如何运作的，我们知道如何阻止它。这怎么可能？事实是，我们的软件安全性还有很大的改进余地。

Veracode 的 软件安全状况报告 -基于2017年的40万次应用程序扫描” 显示了一个令人震惊的统计数据：只有30％的应用程序通过了OWASP前十名政策。在过去五年中，这一直是一个始终如一的主题，近三分之一的新扫描应用程序中出现了 SQL 注入。这是一个普遍存在的问题的证据；我们没有从错误中吸取教训，首席信息安全官在招聘足够的安全人才方面似乎面临着艰苦的战斗。通常，AppSec 专家与开发人员的比例不足 1:100。

为什么软件安全是生命支持？

专业安全人才稀缺已经不是什么秘密了，但我们还必须注意这样一个事实，即开发人员没有在出现问题时修复问题，而且一开始显然没有能力不引入漏洞。在同一份Veracode报告中，据透露，在所有开发漏洞中，仅有14.4％的缓解措施已记录在案。换句话说，大多数漏洞是在没有开发缓解措施的情况下提交的。不到三分之一的漏洞在最初的90天内被关闭，42％的漏洞在开发期间从未关闭过。

我一直在与安全专业人员、首席信息安全官和首席执行官交谈，有趣的是，我意识到许多公司对发现的无法缓解的漏洞（还有被称为误报的祸害）感到非常沮丧，以至于他们完全停止扫描这些漏洞，交叉手画脚，希望得到最好的结果。

为什么 AppSec 专业人员让这种情况发生？

毫无疑问：AppSec 的人们痛苦地意识到代码中的问题。毕竟，这是他们的核心技能之一，使他们成为如此宝贵的团队资源。但是，它们往往受到多种因素的阻碍。

例如，AppSec 经理会发现问题并询问开发人员：“你能修复代码吗？”。这个重要问题的答案因组织而异，但总的来说，开发人员在满足严格的功能交付冲刺时非常紧张，以至于他们根本没有时间解决这些问题，也没有像样的工具来帮助他们。AppSec 专业人员自己也许能够识别漏洞，但他们通常不具备现场修复漏洞的技能和/或权限。

我们还必须认识到，对于每个问题，都有一个过程，需要找到解决方案，实施它，然后进行测试。即使在代码中发现最轻微的问题，修复所需的时间也是巨大的，更不用说所需的资源了。软件中可以引入700多个漏洞，任何人根本不可能抵御所有这些漏洞。正是出于这个原因，大多数公司坚持只关注OWASP前十名。与此同时，开发人员一直在构建功能，反过来，他们不断在编写的代码中引入漏洞。

解决方案是什么？

简单的事实是，我们不为开发人员提供促进安全编码成功的工具和培训。没有任何法规强制组织确保开发人员拥有足够的安全技能，可悲的现实是，大多数大学和实习机构也没有为初级开发人员做好安全编码的准备。

当有人想驾驶飞机时，有一个非常严格的流程，可以确保他们在飞行之前接受培训、实践经验、体检、安全知识和检查。没有人敢想象，如果没有如此全面的准备和技能验证，他们会被放任自流，但这就是代码编写中每天发生的事情。

我们需要花时间教育开发人员如何编写安全代码。但是，在当今世界，软件开发节奏很快，优秀的开发人员和安全专业人员供不应求，这似乎从来都不是优先事项。现在是我们改变对话的时候了。

最近的头条新闻来自 世界经济论坛 尖叫：“没有安全就不可能有数字经济”，随附的内容认为安全必须成为任何数字化转型战略的核心部分。“安全是保护企业的关键，使他们能够创新，开发新产品和服务。除了防御作用外，安全还为企业提供了战略增长优势。”

提高安全编码技能和结果将为组织增加强大的网络保护层，帮助他们创建更好、更快的代码。开发人员不需要成为安全专家，但他们必须获得积极和实际的能力，才能成为抵御网络攻击的第一道防线。开发人员可以成为下一个安全和创新英雄。他们是非常聪明的人，他们是创造性的问题解决者，并且普遍热衷于培养自己的技能。通过应有的专业培训发挥自己的优势，并致力于更高的软件安全标准。 阅读我们的白皮书 以了解更多信息。

当有人想驾驶飞机时，有一个非常严格的流程，可以确保他们在飞行之前接受培训、实践经验、体检、安全知识和检查。没有人敢想象，如果没有如此全面的准备和技能验证，他们会被放任自流，但这就是代码编写中每天发生的事情。

有许多流行文化提到了流氓 AI 和机器人，以及开启人类主机的电器。它充满了科幻乐趣和幻想，但是随着物联网和联网设备在我们家庭中变得越来越普遍，围绕网络安全和安全的讨论也应该如此。软件无处不在，很容易忘记我们在多大程度上依赖于几行代码来完成所有这些为我们带来巨大创新和便利的巧妙事情。就像基于 Web 的软件、API 和移动设备一样，如果攻击者在野外发现嵌入式系统中的易受攻击的代码，就会被利用。

尽管微波大军不太可能来奴役人类（但是 特斯拉机器人 有点令人担忧）由于网络攻击，恶意网络事件仍然是可能的。我们的一些汽车、飞机和医疗设备还依赖错综复杂的嵌入式系统代码来执行关键任务，这些物体遭到入侵的可能性不仅令人震惊，而且可能危及生命。

就像所有其他类型的软件一样，开发人员是最早接触代码的人，就在创建阶段的开始。就像所有其他类型的软件一样，这可能是潜在的常见漏洞的滋生地，这些漏洞可能在产品上线之前未被发现。

开发人员不是安全专家，任何公司都不应指望他们扮演这个角色，但他们可以拥有更强大的武器库来应对与他们相关的威胁。随着我们技术需求的不断发展，嵌入式系统（通常用 C 和 C++ 编写）将得到更频繁的使用，对于开发人员进行有关该环境中工具的专业安全培训至关重要。

爆炸的空气炸锅、盗贼车辆... 我们在坐视吗？

虽然有 一些 围绕所有安全开发的标准和法规为了确保我们的安全，我们需要在所有类型的软件安全方面取得更精确、更有意义的进展。想到一个可能由有人入侵空气炸锅引起的问题似乎牵强附会，但是 它发生了 以远程代码执行攻击（允许威胁行为者将温度提高到危险水平）的形式出现，导致车辆接管的漏洞也是如此。

特别是车辆，特别复杂，车载多个嵌入式系统，每个系统都负责微功能；从自动雨刮器到发动机和制动功能，应有尽有。联网车辆与不断增加的通信技术（如Wi-Fi、蓝牙和GPS）交织在一起，代表了面临多种攻击向量的复杂数字基础设施。并且 到2023年，全球预计将有7,630万辆联网汽车上路，这是为真正的安全奠定坚实的防御基础。

米斯拉 是积极应对嵌入式系统威胁的关键组织，已经制定了指导方针，以促进嵌入式系统环境中的代码安全、保障、可移植性和可靠性。这些指导方针是每个公司在嵌入式系统项目中都必须努力实现的标准中的北极星。

但是，要创建和执行符合这一黄金标准的代码，需要对工具充满信心（更不用说安全意识了）的嵌入式系统工程师。

为什么嵌入式系统安全技能提升如此具体？

按照当今的标准，C 和 C++ 编程语言已经过时了，但仍被广泛使用。它们构成了嵌入式系统代码库的功能核心，嵌入式 C/C++ 作为联网设备世界的一部分享受着闪亮的现代生活。

尽管这些语言有着相当古老的根源，并且在注入缺陷和缓冲区溢出等常见问题方面表现出相似的漏洞行为，但要使开发人员真正成功地缓解嵌入式系统中的安全漏洞，他们必须亲身体验模仿他们工作环境的代码。一般安全实践中的通用 C 培训根本不会像花在嵌入式 C 环境中工作那样强大而令人难忘。

由于现代汽车中有十几个到一百多个嵌入式系统，因此必须对开发人员进行精确的培训，让他们知道要在 IDE 中寻找什么以及如何修复它。
‍

从底层保护嵌入式系统是每个人的责任

许多组织的现状是，开发速度胜过安全，至少在开发人员责任方面是如此。他们很少根据其生成安全代码的能力进行评估，但是快速开发出色的功能是黄金标准。对软件的需求只会增加，但这种文化使我们为防御漏洞及其随后允许的网络攻击做好了失败的准备。

如果开发人员没有接受过培训，那不是他们的错，AppSec团队中的某个人需要通过向整个开发社区推荐正确的、可访问的（更不用说可评估的）技能提升计划来帮助填补这个漏洞。在软件开发项目一开始，安全性就必须是头等大事，每个人——尤其是开发人员——都要考虑到他们需要发挥自己的作用。

亲身体验嵌入式系统的安全问题

缓冲区溢出、注入缺陷和业务逻辑错误都是嵌入式系统开发中的常见陷阱。当深埋在单一车辆或设备中的微控制器迷宫中时，从安全的角度来看，它可能意味着灾难。

缓冲区溢出尤其普遍，如果你想深入了解它如何危害我们之前谈过的空气炸锅（允许远程执行代码），请查看 这份报告 在 CVE-2020-28592 上。

现在，是时候亲身体验真正的嵌入式 C/C++ 代码中的缓冲区溢出漏洞了。玩这个挑战赛，看看你能否找到、识别和修复导致这个阴险错误的不良编码模式：
‍

‍

你做得怎么样？参观 www.securecodewarrior.com 用于精确、有效的嵌入式系统安全培训。

本文最初发表于 Devops.com。它已更新和修改。

就像 “区块链”、“大数据” 和 “数字颠覆” 一样，“DevOps” 一词是大型组织IT部门目前流行的另一个流行语。

许多人已经（正确地）认识到需要更快的软件开发生命周期；一个与业务目标密切相关的更精确的流程，从而使开发团队和运营团队之间能够更清晰的工作流程和协作。DevOps 本质上是 “敏捷” 开发，所有开发人员都成长起来，随时准备应对现代业务不断创新、快速部署的需求。对于安全专业人员来说，这是一项了不起的举措：我们可以更早地为流程注入安全性，从而降低修复错误的成本并避免潜在的灾难。

问题是，很少有公司能真正成功实施DevOps。如果没有整个企业的适当支持、培育和理解，它很快就会变成一头白象... 你知道，那些 “别提战争” 的项目之一。

那么，问题是什么？这是一个有趣的讨论，我相信有几种方法可以实现 DevOps，这将使航行变得更加顺利。有效的计划不仅仅是一些花哨的新工具、头衔和团队会议。这并不总是那么容易，但是从长远来看，花时间修复一个失效的策略（或从一开始就以正确的方式实施它）的痛苦要小得多。最终，它将带来更高质量和更安全的软件。

让我们分解一下：

放开 “敏捷” 的围裙绳。

有一种误解，认为组织必须在敏捷或 DevOps 之间做出选择，设定一条或另一条道路，永远不要回头。

问题是，当将两者作为一个整体考虑和实施时，开发过程效果最好。DevOps 是 不 敏捷开发的重塑；相反，它是敏捷开发的延伸。当人们期望这个过程会发生变化时，轮子往往会脱落 完全像 敏捷，或 完全不同 来自敏捷。

敏捷支持跨职能团队的原则，从一开始就将设计师、测试人员和开发人员聚集在一起，并承诺在整个项目中开放沟通渠道。其目标是停止孤立交付并减少双重处理，这两者也是DevOps流程的好处。但是，DevOps更进一步，将系统、安全和操作融入其中，以提供强大的端到端技能组合，其最终目标是向客户交付功能齐全的软件。

在转向更加以DevOps为中心的流程不可避免的痛点中，孤立开发的风险可能会再次出现。你通常可以让最初的敏捷团队一起工作，而新增的安全和运营人员仍在计算机中找到出路；没有人能确定如何将他们包括在内，他们应该做什么，以及他们的总体目标。

如果没有明确的目标、跨职能的入职以及与各方的直接沟通，DevOps 就无法运作。当然，会有一个调整期，需要仔细的变更管理，但是让所有人对DevOps功能带来的增强达成共识是成功的一半。

（谢天谢地），DevOps也越来越重视安全最佳实践，将其作为流程的一部分，揭开这一步骤的神秘面纱，弥合安全团队与其他所有人之间的差距。正如我之前所说，从一开始就赋予开发人员安全编码的能力，我们还有很长的路要走，但是 DevOps 方法的成功实施是开发团队内部培养安全技能的绝佳基础。

自动化不是一切（也不是最安全的）。

在某种程度上，DevOps方法的另一个特征是软件开发过程的自动化。持续集成和持续交付 (CI/CD) 原则是这个概念的基石，正如你可能猜到的那样，它非常依赖工具。

工具很棒，确实如此。它们可以为软件交付过程带来前所未有的速度，相对无缝地管理代码存储库、测试、维护和存储元素。

但是，尽管有朝一日机器人可能会夺走我们所有的工作并监禁我们，但它们肯定还没有。对工具和自动化的严重依赖为错误敞开了大门。扫描和测试可能无法检测出所有内容，代码可能不受检查，这会带来巨大的质量（更不用说安全性了）问题。攻击者只需要一个后门就可以利用来窃取数据，而在质量和安全控制中放弃人为因素可能会带来灾难性的后果。

“平衡点” 是确保人与人之间的平衡 和 工具。工具应充当您信任的团队的助手，以实现项目目标。你应该：

• 分配足够的时间让人们熟悉所选的 DevOps 工具链
• 专注于有效的协作（以及工具如何支持这种协作）
• 填补流程中的任何差距，无论这些差距是技能/知识还是基于工具的。

简而言之，不要只是 “振作起来”，希望取得最好的结果。

DevOps 不是流行语，而是一种文化。你在成长吗？

即使在最好的时候，变更管理也很艰难。对未知事物的恐惧甚至会阻止最优秀的团队成员提高技能和扩大视野。

你看，仅仅说 “让我们做 DevOps” 并让运营团队搬迁办公桌并不能神奇地实现一个成功的流程。许多人会感到困惑，长期任职的团队成员将感到不满。期望的沟通至关重要，“走在路上” 也是如此。DevOps 既是一种开发方法，也是一种文化运动，团队应该以跨职能的协作思维来生活和呼吸。

优秀的 DevOps 文化是什么样子？

• 个人有权为流程提供专业知识，而不仅仅是领导者
• 团队之间开放、诚实和相互尊重的沟通
• 每个人都对将质量和安全纳入开发过程的总体目标负责
• 对于企业中 DevOps 的定义、路线图以及每个人的角色如何/内容/原因，每个人都意见一致。

多年来，我一直强调在开发团队中建立积极的安全文化的重要性，DevOps 也不例外。

正确的工具、知识和支持对于实现安全最佳实践、看到已发现漏洞的减少以及让团队意识到保护数据的重要性至关重要。借助 DevOps，你必须为积极的变革奠定文化基础：确保每个人都了解自己的角色、价值和期望、总体项目目标和流程步骤。

你掌握了吗？太棒了。现在，让我们转移注意力，提高安全性，让 DevSecOps 成为实现卓越软件的终极计划。

无聊，无聊，无聊！这是每当提到安全代码培训时，你都会从开发人员那里听到的主要回应之一。在 Secure Code Warrior，我们认为必须有更好的方法，因此我们与 Evans Data Corp. 合作，对开发人员对安全编码、安全代码实践和安全运营的态度进行了初步研究（下载您的白皮书副本） 这里）。

在即将发布的版本中 从反应转向预防：应用程序安全性不断变化的面貌，开发人员被问及他们在当前安全代码培训中遇到的主要问题——答案很有启发性。

让开发人员失望的培训

40% 的受访开发者 我觉得安全编码是在真空中教的。另有40％的人认为培训过于理论化，与他们的工作无关，不够 “动手”。30％的人认为他们每天使用的语言框架缺乏培训。这很严重，因为它告诉我们，当前的安全代码培训与上下文无关，与开发人员的日常工作没有任何有意义的关系。

对于许多开发人员来说，他们的主要挑战是在乏味、无动于衷的活动中保持清醒，这些活动既无效，也不能激励他们将安全放在首位。‍

在真空中进行培训会使开发人员无法在实验室和现实世界之间建立认知联系。

开发人员希望从安全代码培训中获得三件事：

1. 绝大多数开发人员表示，他们想要的培训更加亲身实践，更符合他们的日常工作。
2. 65% 的开发人员表示需要更多培训 特定语言的漏洞 还有 OWASP 前 10 名。
3. 75% 的受访开发人员更喜欢结构化的在职培训。

提高开发人员能力的培训

在职培训方面，开发人员会带来一定水平的经验和现有知识。这表明需要 “脚手架” 学习。这是一种结构化（或脚手架）的培训，旨在建立在开发人员已经知道的基础上。脚手架式教育既能激活和增强任何先前的经验，又能继续逐步培养新技能。这使其成为在职学习的完美手段。

传授坚持不懈的技能

在开发人员安全培训方面，我们知道开发人员更喜欢边做边学的方法，而不是基于理论的静态学习的繁琐工作。从这个意义上讲，学习在高度相关的上下文环境中安全地编程是关键。作为安全编码变革的拥护者，Secure Code Warrior以相关的编程语言和框架提供情境式的实践教育，其挑战模仿开发人员在现实世界中面临的挑战。学习内容包括超过5,500个挑战和任务，涵盖超过147种不同的漏洞类型，包括最重要的OWASP前10名、OWASP移动版前10名、OWASP API安全性前10名和CWE/SANS前25名。

如果您想了解对团队的潜在影响以及他们更快地交付安全代码的能力， 预订演示 现在。

在全球各地，公司正在转型。由于高度关注数字优先业务，可以公平地说，大多数组织实际上是软件公司。大型企业的员工中有庞大的开发团队，他们的任务是在敏捷的 DevOps 环境中持续开发和部署功能。这种功能的交付必须跟上创新的步伐和客户的期望，因此，安全性往往被视为障碍而不是必需品。但是，由于我们对软件的依赖达到了历史最高水平（随后我们面临潜在的网络安全漏洞和风险），这种情况不可能持续下去。

安全团队的规模没有扩大，即使可以，专业知识也供不应求。1:100 以上的比率根本不够；不能将专有安全专家视为应对网络威胁问题的唯一解决方案。

我们的网络研讨会由安全代码勇士总监（美洲）Stephen Allor和Capital One网络安全系主任拉斯·沃尔夫主持，深入探讨了DevOps当前面临的问题，以及像Capital One这样的金融机构正在采取哪些措施来吸引开发团队并提高其安全编码技能，有效培养积极的安全文化并成功 “向左移动”。

你会发现：

• 如果你是安全知识 “黑洞” 的受害者
• 为什么几十年前的安全性比现在更加强大
• 将 AppSec 视为合规性 “复选框” 的传统态度，以及为什么这充其量只能说是肤浅的
• 应用程序质量评估必须将安全性作为基准测试的一部分；不安全的应用程序无论其设计或功能如何，都不能被视为高质量的
• 为什么该行业尚未将软件安全纳入普通开发人员的思维方式和文化（以及为什么这种情况必须改变）
• 缺乏共享安全编码技能如何使相同的漏洞一次又一次地出现
• 为什么应用程序扫描工具无法发现所有漏洞，以及为什么通过使用经过充分培训的安全工程师/开发人员来避开这些漏洞是一种更可行的策略
• 软件漏洞不断增加的问题及其根本原因
• 为什么要真正降低风险，需要改变方法，而不是学生
• 为什么大多数安全教育无法发挥开发者的优势，以及他们需要接受的培训才能脱颖而出
• 软件工程合规性和建立期望落后于其他工程分支的原因，以及我们如何开创解决方案
• 拉斯·沃尔夫及其在 Capital One 的团队如何围绕有趣的游戏化培训设计一项认证计划，以保持开发人员的参与度、学习现实世界的源代码并达到安全最佳实践的基准
• 该认证计划如何促进参与、信息保留和持续学习
• 激励措施如何帮助开发人员完成培训等级、快速提升技能并符合关键安全政策
• 评估如何帮助识别安全卫士和提高培训参与度。

立即观看我们的网络研讨会，按需发掘向左移动的好处，从一开始就向开发人员提供安全编码的工具和知识，重点是积极的安全实践。

了解像 Capital One 这样的金融机构正在采取哪些措施来吸引开发团队并提高其安全编码技能，有效培养积极的安全文化并成功 “向左移动”

网络安全攻击数量的增加及其复杂性的提高推动了全球各个领域和行业的变革。每个人都在试图 “向左移动”，尽早将安全性纳入所有流程和程序。这种情况甚至引发了旨在改善网络防御的全新运动 像 DevSecOps 一样，其中安全性已融入创建新软件和应用程序的结构中。

其中许多转变都落在了开发者社区的脚下。因为他们是创建、编写和编写新软件和应用程序的人，所以要求他们采用更安全的编码做法似乎是个好主意。毕竟，与首次创建新应用程序时相比，你不能向左移动得更远。

但是开发者社区对这种责任有何看法？传统上，开发人员几乎完全根据他们编写代码的速度进行评估，现在他们如何看待他们作为安全捍卫者的新角色？他们是否觉得公司的管理层正在通过高质量的培训、更高的奖励以及他们承担这一关键新责任应得的认可来支持这些努力？

我们连续第二年与 Evans Data Corp. 合作，对全球开发者社区进行了全面调查，调查内容涉及安全编码实践的技能、认知和行为，以及它们在软件开发生命周期 (SDLC) 中的感知影响和相关性。结果在很多方面都令人惊讶。

《2022年开发者驱动的安全状况调查》

Evans Data Corp 于 2021 年 12 月进行了 “安全代码勇士” 开发者驱动的安全状况调查。向在亚太地区、欧洲和北美工作的1,200名活跃软件开发人员提出了有关软件编码、安全意识、培训、支持、动机和其他问题的问题。该调查以英文提供，并在需要时进行翻译，以获得准确的全球视角。受访者包括正在创建新应用程序的开发人员以及开发社区内部的经理。

一些令人惊讶的发现

详细的白皮书（提高软件安全性的挑战（和机遇））和报告（2022年开发者驱动的安全状况）将深入研究调查的各个方面，将于4月11日星期一发布。该白皮书包括我们对社区提出的有关安全编码实践的调查结果和担忧的分析，为各组织提供了增强开发团队提高软件安全性的建议。

其中一些挑战可能会让任何在组织中与开发人员合作的人以及开发社区内部的人们提出疑问——他们确实是这样做的。

例如，当今只有14％的受访者将应用程序安全列为重中之重。相反，应用程序性能以及特性和功能优先级等更传统的指标仍然是他们的总体重点。

安全的优先级如此之低，以至于67％的受访开发人员承认他们经常在代码中留下已知的漏洞和漏洞。他们之所以这样做，要么是因为最后期限很紧，将功能置于安全之上，要么是因为他们根本没有关于如何修复安全问题的必要培训或知识。

在许多情况下，开发人员表示，他们的组织没有定义什么构成安全代码，也没有提供足够的培训或支持来改变这种情况。

但是，尽管有一些负面发现，但很明显，态度正在改变。绝大多数开发人员（66％）预计，在未来12到18个月中，安全性将成为更重要的优先事项，而参与调查的招聘经理中有82％表示有兴趣雇用知道安全的开发人员，而不是不了解安全的开发人员。

尽管从调查结果中可以明显看出，开发者社区和与他们合作的组织正面临着巨大的变化，但值得庆幸的是，近期和长期的计划也在迅速形成。

请继续关注详细介绍完整调查结果的白皮书和报告，以及专家对当前安全编码实践面临的挑战的评论，以及组织在提高开发人员安全技能乃至软件安全性方面可以抓住的机会。

来看看 安全代码勇士 博客页面提供有关网络安全、日益危险的威胁格局的更多见解，并了解如何利用创新技术和培训来更好地保护您的组织和客户。

‍

在过去的几年中，在快速上市的祭坛上牺牲了许多东西，例如网络安全、数兆兆字节的敏感客户数据和无价的品牌声誉。 加速发布新特性和功能的巨大压力导致复杂而分散的团队专注于快速开发，对他们可能造成的漏洞或巨大的风险知之甚少。比以往任何时候都更需要一种新的工作方式。因此，在2020年，Secure Code Warrior与埃文斯数据公司合作，对开发人员及其经理对安全编码、安全代码实践和安全运营的态度进行了初步研究*（下载您的白皮书副本） 这里）。

项目成功的绩效指标——安全性在哪里？

开发人员和经理认为拥有安全代码很重要，但不像其他因素那么重要。当我们向开发人员和经理询问软件开发过程中最关键的优先事项时：

• 76% 的提名应用程序性能
• 62% 选择了特性和功能
• 还有略高于50％的选定安全码
  

与衡量项目成功的其他绩效指标相比，安全编码目前仅排在三分之一。

目前（也许不足为奇）开发人员根据性能指标来判断项目的成功，这些指标只能在项目完成后评估代码。

但是，当被问及未来会如何变化时，情况发生了翻天覆地的变化。组织如何将安全作为衡量成功的标准正在发生变化。安全编码已成为当务之急。

当被问及衡量未来项目成功率的最关键优先事项时，79％的受访者认为安全编码的重要性将增加。令人惊讶的是，与任何其他绩效指标相比，有更大比例的人认为安全在未来的重要性会增加。人们对安全编码的认识正在提高，“向左移动” 的运动也在不断提高。就其本质而言，安全编码的实践意味着在SDLC的早期就考虑安全性。这意味着从一开始就积极构建软件中的安全性，而不是将其留到以后再做。

随着首席信息官努力提高组织灵活性，安全编码能力将成为重要的创新武器。首席信息官和首席信息安全官应仔细考虑他们的开发团队是第一道风险线还是第一道防线。

这种见解对组织如何培训开发人员具有至关重要的影响。团队需要了解最近发现的漏洞，并使用自己的语言/框架进行学习。简而言之，他们需要了解如何在日常工作环境中定位、识别和修复代码中的已知漏洞。

作为安全编码变革的拥护者，Secure Code Warrior采用以人为本的方法，积极让开发人员学习和培养他们的安全编码技能。如果你想了解对你的团队在不影响安全性的情况下向左启动和更快地交付安全代码的能力的潜在影响， 立即预订演示。

‍

‍*从反应转向预防：应用程序安全性面貌的变化。 安全代码勇士和埃文斯数据公司 2020