重新思考组织结构中的软件问题

这篇文章的一个版本出现在 黑暗阅读.它已被更新并在此转发。

‍

每个人在其职业生涯的某个阶段可能都见过那些界定组织中谁向谁汇报工作的业务报告或层次结构图之一。有时也被称为组织结构图，它是一个有用的工具，让人们知道谁为他们工作，谁是他们的老板。例如，在一个典型的组织结构图中，一个编码组的负责人可能向产品开发总监报告，而后者又向创新副总裁报告。然后，权力线在公司结构中继续向上和向下延伸。谁没有看过这些图表，试图找到他们个人的小块地方？

人类对等级制度和结构如此着迷，这一点并不奇怪。这是历史上使我们作为一个物种生存了这么久的原因，甚至早在我们面临一个非常危险的世界的远古时代。我们从来都不是最强壮或最快的生物，但我们在团队中合作得很好，每个人都知道自己的位置和责任，使我们的家庭、部落或团体团结在一起，生存和繁荣。现代组织结构图实际上是那些时代和古代成功的延伸。

但有一件事，几乎每张组织结构图都有共同点，无论企业的规模或其他因素如何。在大多数情况下，这些图表上的所有构件都代表人类或人类群体。我们还没有达到机器能够监督人类的地步，所以就目前而言，组织结构图完全是人类的事情。但是，我们的软件是否也需要一个组织层次结构呢？

当然，我并不是建议我们在公司的组织结构图上添加软件。没有人希望有一个老板的应用程序。你甚至怎么会向他们要求加薪？但是，我们的应用程序和程序如今所面临的威胁景观与我们的古代人类亲属很久以前所面临的危险环境并不一样。通过帮助定义我们的应用程序和软件在一个严格的等级制度中的责任，并以最小的特权执行这些政策，我们可以确保我们的应用程序和软件也能生存和发展，尽管它们面临着毁灭性的粗糙的威胁环境。

对应用程序和软件的攻击达到历史新高

要了解为软件创建更好的组织层次的必要性，首先要了解威胁的情况。如今的攻击者，以及为他们工作的机器人和自动化驱动的软件，都在不断地扫描防御系统中的任何疏漏，以便加以利用。虽然网络钓鱼和其他针对人类的攻击仍在进行，但最熟练的黑客已经将他们的大部分精力转移到了攻击软件上。

虽然所有的软件都成为攻击目标，但最成功的攻击是针对应用编程接口，或API。这些不起眼的API是开发者用来为他们的应用程序和程序执行各种小而重要的任务的微小软件。它们通常是灵活和独特的，有时甚至在开发过程中根据需要临时创建。

API当然很灵活，但它们的功能也经常被过度授权。开发者倾向于给它们很多权限，这样它们就可以，例如，在它们帮助管理的程序继续发展和变化时，继续发挥作用。但这意味着，如果攻击者破坏了它们，那么他们得到的就不仅仅是访问的权利，例如，访问特定数据库的一个块。他们甚至可能获得整个网络的近乎管理员的权利。

难怪一些安全研究公司说，今天绝大多数的凭证窃取攻击都是针对API等软件进行的。Akamai认为这一数字占总数的75%，而Gartner也表示，涉及API的漏洞已成为最频繁的攻击载体。Salt实验室的最新报告显示，与去年相比，针对API的攻击增加了近700%。

创建软件的组织结构图

组织对凭证窃取威胁进行反击的方法之一是在其网络中执行最低权限甚至是零信任。这限制了用户只能获得勉强足够的权限，以完成他们的工作或任务。这种访问通常受到时间和地点等因素的进一步限制。这样一来，即使凭证窃取攻击成功，也不会给攻击者带来什么好处，因为他们只在短暂的时间内获得执行有限功能的许可。

最低权限是一个很好的防御，但通常只适用于人类用户。我们往往忘记了API也拥有较高的权限，而且往往没有那么多的监管。这就是为什么根据追踪网络攻击模式的开放网络应用安全项目（OWASP），破损的访问控制现在是头号公敌的原因之一。 

说解决这个关键问题的方法很容易，就是简单地将最小权限应用于软件。但它的实施要难得多。首先，需要让开发者意识到这些危险。然后，向前推进，API和其他软件应该被正式安置，或者至少被设想为它将所在的计算机网络中组织结构图的一部分。例如，如果一个API应该抓取实时航班数据作为预订应用程序的一部分，那么没有理由它也应该能够与工资或财务系统连接。在软件组织结构图上，不会有直接或甚至虚线连接这些系统。

对于开发者来说，实际创建一个显示在其组织中运行的数千甚至数百万API的组织结构图可能是不现实的。但是，意识到它们所带来的危险，并将它们的权限限制在完成工作所需的范围内，将大大有助于阻止如今每个人都在面对的猖獗的凭证窃取攻击。它从意识开始，到最后以对待人类用户一样的谨慎态度对待API和软件。
‍

你想提升你的开发团队吗？用我们的 "敏捷 "来解决API安全问题和其他问题。 敏捷的learning platform和开发者优先的安全工具来导航API安全问题和其他问题。