在一个数字驱动的世界里，我们面临着越来越大的数据被盗风险。由于大型组织作为我们宝贵信息的守门人，许多人都认识到需要实施严格的安全标准。

围绕着 "左移 "的许多倡议，也就是在开发过程中更早地引入安全问题，只是没有足够的进展。这意味着我们仍在以错误的方式开始这一过程，最终为实现更安全的软件而退缩。我们必须从左边开始，进行文化上的转变，让开发团队积极地参与进来，用他们目前缺乏的知识来武装他们。然而，所有的培训和工具都是不平等的。

在这篇文章中，我们探讨了像安全意识和开发经理这样的关键领导者如何才能真正赋予他们的开发者群体权力，将他们转变为抵御昂贵的网络攻击的前线。

左移与从左开始。一个重要的区别。

长久以来，AppSec专家（包括我自己）一直建议我们必须 "左移"。为了保持DevOps的最佳实践，以及更好的软件安全结果，我们中的许多人建议，软件构建的安全部分必须在软件开发生命周期（SDLC）中更早出现。它不应该是最后的、昂贵的步骤--相反，它应该更接近于流程的开始，在软件项目开始运作时，AppSec团队应尽早参与。

这并不是坏建议，而且肯定比旧的做事方式要好（如果外面被盗数据的数量和用于盗窃数据的漏洞的年龄是任何迹象的话，那么这种方式无论如何是行不通的）。然而，如果我们真的开始 离开，安全的结果将是更积极的。

左移、从左开始......有什么区别？区别在于你如何让你的开发团队参与进来。实际上，他们是提供更安全的软件的关键，比后期的工具链和人工代码审查所能管理的成本要低得多。在一个理想的世界里，每一个编写软件的开发人员从一开始就拥有安全的编码知识和工具。他们会发现潜在的缺陷，在它们被提交之前（因此，清除和修复的成本要高得多）减轻它们。我们几十年来所看到的安全漏洞将大幅减少--这些漏洞仍然负责允许攻击者从后门进入。那些以SQL注入、跨站脚本和破坏性认证为形式的机会之窗将关闭。

然而，现在，在职业层面上对安全的重视程度根本不够，在职的安全编码培训也千差万别。因此，开发人员很少拥有他们所需要的东西，以使一个组织开始离开。现在是时候让那些处于领导地位的人一起工作并倡导更广泛的安全意识了，他们的直接知识和与开发人员的接触对推动项目的运作至关重要。毕竟，开发经理曾经坐在他们的位置上，在工具上，在最好的时候，安全空间难以驾驭。

开发人员不爱安全（尚未）......但你可以改变对话。

你知道这是怎么回事：向你的典型的开发人员提到 "安全"，你可能会遇到最好的情况是瞠目结舌，最坏的情况是不解其意。一般来说，整个安全问题被看作是别人的问题。

开发人员的主要责任是建立功能完善、充满创新功能的软件，并在紧迫的项目时间内交付。安全问题很少是编码层面的优先事项，甚至可以被看作是快速交付和发挥创造力的一个繁琐障碍。AppSec的任务是仔细检查代码，进行笔测试，然后报告坏消息：在通常已经提交的代码中存在安全漏洞，而且在其他方面运行得很好。在一个资源和时间都很紧张的环境中，这是一个昂贵的过程，其设置必然会导致两个目标相同但语言完全不同的团队之间出现裂痕。

现在，在这种环境下，人们对强制性安全培训的接受程度可能会相当冷淡。但是，在每个开发人员中点燃安全心态的力量并不是一个空想。在正确的培训和支持下，他们可以开始在他们的软件中加入安全内容，并对他们能够控制的安全结果负责。如果开发人员自己能够处理常见的错误，那么就可以让昂贵的专家来解决真正复杂的问题。如果你在管理一个开发团队的位置上，你可以帮助弥合这一差距并帮助你的团队看到好处。

所有的培训都是不平等的。

你最后一次为学习新东西而感到兴奋是什么时候？在你这样做的时候，像 "强制性"、"合规性 "或 "17个小时的视频 "这样的词可能不会出现在你的脑海中。

开发人员也不例外。他们很聪明，有创造力，喜欢解决问题。看无休止的安全漏洞视频不太可能吸引他们，让他们记住这些内容，或者最终使他们的日常角色和职责具体化。在我担任SANS讲师期间，很早就发现最好的培训是实践性的，迫使参与者进行分析并接受智力上的挑战，使用真实世界的例子来测试他们的大脑并建立在先前的学习之上。游戏化和友好竞争也是让大家接受新概念的有力工具，同时在应用中保持有用和实用。

另一个可怕的因素是，很多安全培训都没有受到监控。没有人喜欢感觉到 "老大哥 "在看，但如果没有人检查它是否相关，那么花时间、金钱和精力进行教育的意义何在？

正确的解决方案可以使安全编码变得有趣、相关、有吸引力和可衡量。挑战你的开发人员，善待他们，使之成为一个特殊的事件。游戏化的培训点亮了大脑中的奖励中心，并提供激励，让他们继续学习，突破知识的界限，很简单，建立一个更高标准的软件，这是一个双赢。

安全文化健康检查。你的安全文化是否在维持生命？

在一个缺乏安全文化的环境中创建安全的软件，就像在脚踝上拴着一块巨石的情况下试图赢得马拉松比赛：几乎不可能，而且是不必要的困难。

游戏化的培训，头对头的tournaments ，以及对协助开发人员安全成长的承诺，对推动积极的安全文化有很大的帮助，AppSec和开发团队对彼此的日常工作有了更多的了解。更好的关系发展和茁壮成长，（通常是有限的）安全预算也不会因为一次又一次地修复相同的小的、恼人的bug的 "土拨鼠日 "场景而消耗殆尽。

还有一个强大的副产品：发掘出你从未意识到的安全冠军。适当的培训，让每个人都参与进来，同时也允许彻底的assessment ，可以发现那些不仅有安全方面的能力，而且积极表现出对安全的热情。这些拥护者在保持势头、作为团队之间的联系点、监督同行和维护最佳实践政策方面至关重要。实施一个坚实的冠军计划，包括认可和执行支持，是组织的一顶帽子，也是个人简历上令人印象深刻和支持他们未来的职业生涯。

当你致力于建立一种积极的安全文化时，责任就会被分担，并且可以实现更高层次的安全软件的卓越性。最终，软件开发生命周期中的每一个人都必须坚持一个简单的口号：如果它不是安全的软件，它就不是好软件。

传播信息。

十多年来，网络安全的最佳实践一直是一个热点问题，在全世界大多数地区的政府层面上经常讨论。网络攻击基本上是一个日常现实，任何在网上存储有价值的私人数据的实体都是一个潜在的目标。仅在德国，联邦教育和研究部估计，96%的中小型企业已经经历过一次IT安全事件。同一份报告强调了对网络安全研究、立法和意识的迫切需求，并明确呼吁在计算机科学和IT相关领域纳入更有力的安全培训。

随着GDPR的到来，以及在一次暴露了许多公众人物的敏感数据的多阶段攻击后修订的战略--以及德国联邦政府的服务器--显然，网络安全意识和行动是DACH地区领导人的首要任务。2018年年底的黑客攻击是由一个技术水平相对较低的20岁学生实施的，他的主要访问点是通过简单地猜测密码来获得高度敏感的信息。虽然这是一个极其令人担忧的认证漏洞，但它确实突出了在政府、企业和社会层面大大提高安全意识的必要性。2019年的一份报告强调，德国在网络安全防御措施方面已经落后，依靠立法作为主要策略。然而，随着DevSecOps作为一种理想的开发方法的到来，许多企业已经认识到需要进行实际的培训，通过设计安全的软件创建，以及全公司的安全意识计划。

DACH地区的软件安全心声

像OWASP和MITRE这样的组织发布了经数据验证的最频繁发生的漏洞排名。在所有语言中，SQL注入排名第一，尽管它有几十年的历史，但它是一个常见的缺陷，并且经常被利用，造成灾难性的后果。

瑞士BPC银行软件SmartVista被SwissCERT提醒存在一个SQLi漏洞，然而，尽管它有可能暴露敏感的客户数据，包括信用卡号码，但几个月来它仍然没有打补丁。SQL注入可以而且确实导致了危险的漏洞，就像2017年美国和英国的多个政府部门和大学的漏洞。许多这类事件是由宽松的输入验证过程引起的，允许攻击者从应用程序的前端插入恶意代码。另一个常见的漏洞来源是使用不安全的供应商代码，这些代码没有被检查出安全漏洞，缺陷因此被引入到之前被扫描和清除的生产环境中。这两个接入点都不是DACH地区所特有的，相反，它们是不良安全实践的全球性例子，随着世界上产生更多的代码，这种情况不能继续。

一旦发现问题，就必须立即打补丁，SmartVista的决定拖后腿可能是一场灾难。虽然DACH已经有了自己的违规行为，但在安全意识和培训方面更有针对性的指导方针和支持可以防止组织层面的潜在问题失控，这将需要立法，在推动对开发人员的评估培训方面更加具体。

不是所有的安全代码培训都是一样的。

世界各地的许多网络安全指令正变得越来越全面，然而，当涉及到概述有效的安全培训时，它们仍然相当不具体。欧盟的NIS指令确实包括了在国家层面上的 "提高认识、培训和教育 "的要求，但是，如果培训方案缺少了推动技能开发和组织变革的关键因素，那么匆匆忙忙的培训方案可能不会达到降低实际风险的预期效果。

教育解决方案各不相同，培训必须针对开发者的日常工作（包括用他们喜欢的语言和框架进行学习的能力），并随着时间的推移保持吸引力和可衡量性。

静态培训解决方案，如基于计算机的视频培训，往往过于笼统，而且很少重新审视或评估其在提高意识和技能以阻止漏洞进入正在编写的代码方面的成功。然而，动态培训对于通过上下文实例提高开发人员的技能至关重要，此外还提供影响业务缓解过程的指标。它经常更新，促进高水平的知识保留，是建立安全意识的开发人员的一部分，有助于在工作场所形成积极的安全文化。

Secure Code Warrior 来自DACH试点的数据点。

Secure Code Warrior 销售总监Ema Rimeike（网络安全硕士）一直在与DACH地区的组织密切合作，为开发人员开展试点项目，以衡量开发人员的内部安全编码能力、他们对安全最佳实践的参与以及企业的整体安全文化。利用游戏化的动态安全代码培训，她的主要发现揭示了当开发人员从SDLC开始就获得促进成功减少漏洞的知识和工具时的光明前景。

在她的试点项目中，她整理了基于每个用户在Secure Code Warrior （SCW）平台上平均花费90分钟的统计数据，其中他们玩了15个安全编码挑战（比特大小、游戏化和自定进度的课程）。

用户平均花了5.5分钟来完成一项挑战，而其他全球SCW试点的平均时间为3分钟。

• 准确度与信心。DACH试点项目对挑战的回答的平均信心百分比在88-92%之间，但这些回答的准确性在53-66%之间。
• 超过75%的受访者喜欢游戏化--或动态--的培训方法，与基于计算机的培训（CBT）等静态方法形成鲜明对比。
• 在最常见的漏洞中，我们看到了注入漏洞、安全配置错误、跨站脚本（XSS）、平台使用不当、访问控制、认证、内存破坏、跨站请求伪造、传输层保护不足以及无效的重定向和转发。

一般来说，强烈的职业道德和对精确性的关注被德黑兰地区的许多人所重视，尝试试点项目的开发者也不例外，这已不是什么秘密。这些数据点说明了他们对这种训练方式的不熟悉，但也说明了他们希望继续玩下去，提高分数并避免使用现有的 "提示 "功能。他们对学习和提高的渴望是显而易见的，但这也表明必须做更多的工作，在组织本身实施有效的培训和意识。

能够降低风险和挫败漏洞的优秀培训不是一次性的，它不仅仅是合规性。管理人员和AppSec人员必须努力推出具有战略和支持的安全意识计划，以反映核心安全目标并寻求长期保持。这实际上是具有安全意识的开发人员的成功DevSecOps流程的支柱。

试点项目对一个组织的启示是什么？

Secure Code Warrior的试点项目是一个非常有价值的工具，它为企业提供了一个关于其当前安全健康状况的快照（通常在65-75%之间），以及需要立即改进的领域。它们揭示了。

• 明确哪些漏洞必须优先解决，以及这一方向是否应适用于特定的团队、业务部门或编程语言
• 对其SDLC中的网络安全风险因素进行准确的、范围更广的情报，包括软件开发的人为因素。
• 通过利用SCW平台，企业可以预测笔测试的潜在结果，并有机会预先减轻这些风险，在团队被分配到一个特定项目之前就做好准备。

在那些已经开始推出全面有效的安全计划的组织中，通常每周有1-1.5小时的专业发展在管理层得到批准，以帮助他们的开发人员提高安全编码的知识水平。然而，我们注意到，组织正在从 "花在平台上的时间 "的重点转向 "哪些软件开发团队对业务构成最高和最低的风险"。这与正式的认证/约束、安全倡导者的发现和指导计划紧密相连，以获得最佳效果。时间的分配，加上建设性的和积极的assessment ，绝对是创造安全意识的开发者的关键，他们不仅喜欢安全，而且可衡量地减少对企业的风险。

各组织已经如何使用Secure Code Warrior ？

一些企业已经在使用Secure Code Warrior ，以建立意识、培养开发人员的技能和扩大积极的安全文化。

例如，在一个使用案例中，一个在平台上培训的团队使用SCW来揭示他们的安全优势和弱点。  

开发人员的行动。 开发人员能够看到他们自己的结果，显示出他们应该关注的领域，并被授权进行自我指导，把握培训的节奏，以减轻特定的漏洞或知识差距，这将有助于他们在未来的软件构建中。

管理行动。他 们分析了团队层面的整体优势和劣势，并能够规定一个游戏化的方法来解决具体的关注领域。这创造了一个双向的教育途径，迅速建立起相关的知识。

结果。 一旦在团队层面上进行了五次测试，任何漏洞都是可见的，比较以前的结果，可以很容易地验证培训是否有效地减少了常见的安全漏洞。

这就回到了软件开发的初始阶段，在这个阶段，对团队进行持续改进的预培训目标，并在一开始就引入安全最佳实践，可以有效、容易地推广，并在整个开发范围内节省时间。

DevSecOps项目团队

在一个理想的DevSecOps环境中，多个业务部门在一个项目团队中都有代表，以决定和交付核心成果，其中之一就是安全最佳实践。

在项目前的研究和规划方面，SCW平台可以在开发团队开始工作之前评估其安全技能，预测最终的entesting结果，以及SDLC中与安全相关的延迟，并有足够的时间来充分准备。可以为团队创建针对项目代码和结构的培训，包括验证整体安全意识技能的assessment/认证过程，要求在项目交付物上预设合格分数。

这提供了一种具有巨大商业价值的方法，可以降低修复漏洞的成本，减轻安全风险，节省测试的时间，减少昂贵的悬赏计划的成本，并以集中、可持续、可扩展和统一的方式提高开发队伍的技能。

结论。

企业面临越来越大的压力，需要优先考虑安全问题，保持我们的数据安全，并遵守全球范围内越来越严格的法规，但对于在欧盟交易的组织来说，尤其是在严格的GDPR准则下。

对于DACH地区的公司来说，很明显，他们正在通过将培训工作和成果与现实世界中与预防风险有关的活动联系起来，包括减少他们生产的代码中的常见漏洞，来制定可行的安全路径。

为了建立一个真正可量化的商业案例，以增加安全预算、意识和整体合规性，培训必须对开发人员具有吸引力、一致、可调整和可衡量。追踪当前阶段的能力以定制正确的培训，发现安全推行者，并随着时间的推移衡量团队的表现，这些都是至关重要的举措，整个DACH地区许多有远见的公司在进行了全面的SCW试点后，都实现了这些好处。

许多企业在安全性能指标上纠结，因为这些指标太通用了。随着对SCW平台的长期、持续使用，企业可以利用精确的评估、courses ，以及管理指标来发现。

• 随着时间的推移，脆弱性的减少
• 随着时间的推移，修复漏洞的成本减少
• 随着时间的推移，个人和团队的技能发展
• 在五次测试阶段减少成本和时间

你的组织目前跟踪哪些指标，多长时间重新测量一次，这些指标随着时间的推移是否有明显的改善？在现有的开发人员工作流程方面，你的培训计划是如何整合的？

SCW的动态、游戏化和综合方法被视为安全软件开发生命周期工作流程的重要组成部分。企业正在为他们的开发人员配备正确的工具和培训，并将SCW嵌入其SSDLC工作流程中。

这篇文章最初出现在 信息安全评论并被其他几家媒体采用。它已被更新，以便在此进行联合传播。

在去年年底，MITRE的神奇社区发布了他们的CWE 25大最危险软件错误名单，这些错误在2019年影响了世界。这份名单不是由意见驱动的，它是利用NIST等组织的工作以及公开的通用漏洞和暴露（CVE）数据进行多方面分析的结果。为了确定 "顶级 "缺陷，根据其严重性、可利用性和在当前软件中的普遍性进行评分。可以肯定的是，这不是那种会赢得任何积极赞誉的名单。

然而，与大多数年度总结不同的是，这份名单上的许多入选者以前就出现过......一次又一次。如果这是Billboard Hot 100排行榜，那就像Britney Spears的Baby One More Time和Backstreet Boys的I Want It That Way一样，从最初发行以来每年都出现。而我为什么要选择这些歌曲呢？好吧，它们大约有20年的历史了（感觉古老了吗？），就像一些危险的软件错误一样，尽管它们在几十年前就被发现了，但到2020年仍然困扰着我们。

为什么老的错误仍然如此危险？难道我们不知道如何修复它们吗？

目前MITRE名单上的第六位是CWE-89，也就是众所周知的SQL注入（SQLi）。SQLi漏洞首次被发现于1998年，当时我们中的许多人还在向Jeeves询问我们的迫切问题，而不是谷歌。不久之后就有了修复方案，然而，这仍然是2019年最常用的黑客技术之一。Akamai的 互联网的现状报告显示，SQLi是所有网络应用程序攻击中三分之二的罪魁祸首。

就复杂性而言，SQL注入远不是一个天才级的漏洞。对于网络开发者来说，这是一个简单的修复方法，而且我们确实毫不犹豫地知道，如何防止这个漏洞将宝贵的数据暴露给攻击者......问题是，即使在今天，对于许多开发者来说，安全并不是一个优先事项。这在二十年前可能比较容易，但随着今天和未来软件数量的增加，这不能再成为常态了。

开发人员在一个破碎的系统中运作（大部分时间）。

我们很容易坐视不管，指责开发人员提供了 "坏 "代码。事实是，他们的工作重点与安全团队的工作重点大不相同。你的普通开发团队被告知要尽可能快地做出漂亮的、功能性的软件。社会对软件永不满足的需求确保了开发团队已经捉襟见肘，而安全并不是首要考虑的因素；毕竟，这不就是AppSec专家存在的原因吗？软件工程师们已经习惯了与安全的冷淡关系--他们只有在问题出现时才会听到他们的声音，而这些问题会阻碍他们辛勤工作的成果。

在栅栏的另一边，应用安全专家已经厌倦了修复那些在每次扫描和手动代码审查中不断出现的几十年前的错误。这些专家既昂贵又稀缺，他们的时间最好用在复杂的安全缺陷上，而不是一遍又一遍地压制众所周知的错误。

这些团队之间存在着一种心照不宣的指责文化，但他们有（或应该有）共同的目标：安全的软件。开发人员所处的环境很少能让他们在安全编码方面获得最佳的成功机会；安全的最佳实践很少作为他们高等教育的一部分被教授，而在职培训往往太不频繁，或者完全无效。对安全意识和深入的相关教育明显缺乏重视，其结果是修复已提交的代码中的旧错误的天文数字成本，加上即将发生的破坏声誉的数据泄露的威胁。

人为因素，也就是 "为什么所有这些工具都不能使我们的数据更安全？"

另一个经常出现的问题是，代替培训的是大量的安全工具，在软件被发布到野外之前就被投入到发现问题的任务中。阵列式应用扫描和保护工具（SAST/DAST/RASP/IAST）当然可以协助安全的软件生产，但它们也有自己的问题。完全依赖它们并不能保证安全，因为。

• 没有一个工具可以在每个框架和每个用例中扫描每个漏洞。
• 它们可能很慢，尤其是在串联运行以提供静态和动态代码分析时。
• 误报仍然是一个问题；这些误报往往会停止生产，并需要进行不必要的手工代码审查以了解警报。
• 他们创造了一种虚假的安全感，安全编码被置于优先地位，期望这些工具能发现任何问题。

这些工具当然会发现可以修补的安全缺陷，但它们能找到所有的东西吗？100%的命中率是不可能保证的，攻击者只需要打开一扇门就可以进入并真正毁掉你的日子。

值得庆幸的是，许多组织都意识到了在软件漏洞中起作用的人为因素。大多数开发人员没有接受过充分的安全编码培训，他们的整体安全意识也很低。然而，他们处于软件开发生命周期的最开始，处于阻止漏洞进入已提交代码的首要位置。如果他们从一开始就进行安全编码，他们就会成为防御破坏性网络攻击的前线，这些攻击每年给我们带来数十亿美元的损失。

开发人员需要有机会茁壮成长，接受与他们的语言相通、与他们的工作相关的培训，并让他们对安全感到兴奋。无缺陷的代码应该是一个值得骄傲的点，就像在功能上建立起的东西会让你赢得同行的尊重。

一个现代的安全计划应该是一个企业的优先事项。

开发团队不可能自力更生，在整个公司内颁布积极的安全意识。他们需要正确的工具、知识和支持，以便从一开始就将安全纳入软件开发过程。

如果MITRE的名单上还在展示这么多旧的安全漏洞，那么旧的培训方法显然是不行的，所以要尝试新的东西。寻找以下的培训方案。

• 实践；开发人员喜欢 "在实践中学习"，而不是看视频中的说话人。
• 相关的；如果他们每天都在使用Java，就不要让他们用C#来训练。
• 吸引人；一点一滴的学习很容易消化，并允许开发人员继续巩固以前的知识
• 可衡量的；不要只是打勾，然后继续前进。确保培训是有效的，并为改进创造途径
• 乐趣；看看除了支持积极的安全文化之外，你还可以建立安全意识，以及这如何创造一个有凝聚力的团队环境。

安全应该是企业中每个人的首要任务，CISO对每个层面的努力都是可见和透明的，以保持我们的数据更加安全。我的意思是，谁愿意重复听同样的老歌？现在是时候认真对待彻底粉碎旧的错误了。

当你在商业环境中看到 "增长 "时，它几乎总是与指标、收入、资金、员工人数有关......所有这些东西我在十年前都不必考虑。

我可以用所有这些事实和数字来开始这篇文章；不可否认，它们令人印象深刻，我们正在进行的公司发展轨迹也很强劲。然而，对我来说，这些数字并不反映我在2019年最引以为豪的事情。现实是，我们已经建立了一个真正壮观的团队，他们的关心远远超出了赤裸裸的财务指标。我们经历了一个 "成长的高峰"，这个高峰塑造了这个公司现在和未来的巨大核心。

亲爱的读者，请允许我证明这一点。

‍

我们建立了勇士回馈计划，这是一个全球性的全员慈善活动，在12个月内推动了悉尼、波士顿、伦敦和布鲁日的10多个活动。

• 50名勇士与Bikes for Tykes组织一起制作自行车，将它们送给悉尼的贫困儿童。
• 波士顿的9名勇士在 "蜡笔小新 "捐赠工厂做志愿者，为当地有需要的儿童分类和捆绑捐赠物。
• 团队成员在支持无家可归者的同时，也体验了为一周的饭菜买东西的一小部分感受，手里只有十美元，没有暖气或冰箱。
• 在布鲁日，勇士们帮助100个孩子开展网络学校活动，包括建造机器人、黑客攻击和开锁。
• 勇士们为圣诞礼篮购买了物品，并为韦斯利城市联系会的有需要的孩子购买了玩具。
• 我们位于伦敦的勇士队赞助了当地一所小学的设备，并加入学校的环保团队，清理他们的运动场。
• 我们与TechLadies+WING合作，提供免费的简历帮助和一对一的职业指导。
• 作为年终庆祝活动的一部分，我们与ABCD收养家庭计划合作，为当地有需要的家庭选购了节日礼物。他们的服务将有需要的家庭与希望在假日季节或全年帮助一个家庭的个人、非营利组织和公司配对。

而且，在澳大利亚有史以来最糟糕的丛林火灾季节之一，我们团结一致，在这一年即将结束时向农村消防服务和WIRES捐款。这是一个持续的危机，没有什么是足够的，但我被我们全球团队的同情心所感动。

这些勇士回馈活动经常提醒我们，生活中还有比指标更重要的东西，我们都会因为努力走在其他不太幸运的人的脚下而更加踏实。人性和谦逊是维持积极文化的关键，我们的团队利用一切机会倡导这一点。

还在这里看数字吗？

就我们的产品而言，我们在2019年创建了1727个新的安全编码挑战，涉及十个新的语言框架。这对我们的工程团队来说是一个巨大的成就，平均每月产生144个新的挑战--比迄今为止的任何一年都要多。在我们的用户方面，一些有趣的数字也浮出水面。

• 最受欢迎的语言/框架是Java。Spring，完成了455,973项安全编码挑战
• 伪代码是一个出乎意料的超级明星，有295,763次的挑战。
• 最受欢迎的漏洞类别是注入漏洞，这并不奇怪。它在OWASP前10名中排名第一，对我们来说也是排名第一。

我们的人民在数字上。

当我第一次创办这家公司时，我非常清楚地表明，多样性将对我们未来的成功起到重要作用。我不想被困在一个和我一样的人的回音室里；意见、文化、性别、饮食和种族的差异是一个全球创业公司的神奇之处。截至目前，我们的团队代表。

• 17个不同国籍的人
• 53%的男性员工，47%的女性员工
• 至少有9种不同的饮食要求（有一段时间，我们唯一能安全食用的东西是爆米花）。
• 在全球每个地方都有多种信仰。

我为我们这个充满活力的团队感到无比自豪，这在我们所做的每一件事中都能体现出来。

哦，对了，我们的收入增长超过100%，完成了B轮融资（代表了澳大利亚网络安全企业有史以来最大的美国投资），迅速扩大到120人的团队，并在波特兰和新加坡设立了新的办事处。

这是我们的五岁生日，虽然公司与我女儿同龄，但他们之间的相似历程已经结束。值得庆幸的是，我还有几年时间可以看着她成为一个快乐、健康的成年人。对于孩子们来说，这些年的拉链一眨眼就过去了，但Secure Code Warrior ，不再是那个厚脸皮的小孩了。比我五年前想象的还要快，我们不得不成年并搬出自己的家。我们已经准备好在未来的超速发展道路上旅行，但我仍在适应这样的想法：负责的大人是我。

这篇文章最初发表在 DevOps.com.它已被更新和修改。

与 "区块链"、"大数据 "和 "数字颠覆 "一样，"DevOps "一词是目前在大型组织的IT部门中被抛出的另一个热门词汇。

许多人已经（正确地）确定了对更快的软件开发生命周期的需求；一个与业务目标紧密结合的更精确的过程，允许更清晰的工作流程和开发与运营团队之间的协作。DevOps本质上是 "敏捷 "开发，已经长大并准备好应对现代企业不断创新、快速部署的需求。对于安全专业人员来说，这是一个非常好的倡议：我们可以更早地将安全注入到流程中，减少修复错误的成本，避免潜在的灾难发生。

问题是，很少有公司在实施DevOps方面真正取得成功。如果没有正确的支持、培养和整个企业的理解，它可能很快成为一头大白象......你知道，那些 "不要提战争 "的项目之一。

那么，问题出在哪里？这是一个有趣的讨论，我相信有几种方法可以使DevOps更顺利地进行。一个有效的项目不仅仅是一些花哨的新工具、标题和团队会议。这并不总是容易的，但花时间来修复一个破碎的战略（或在开始时以正确的方式实施它），从长远来看，会少很多痛苦。最终，它将会带来更高的质量和更安全的软件。

让我们把它分解一下。

放弃 "敏捷 "的围裙绳。

有一种误解，认为一个组织必须在敏捷或DevOps之间做出选择，走上一条路或另一条路，再也不回头。

，问题是，当两者都被考虑并作为一个整体实施时，开发过程的效果最好。DevOps不是对敏捷开发的重塑；相反，它是它的延伸。当人们期望这个过程与敏捷完全一样，或者与敏捷完全不同时，车轮就会掉下来。

敏捷支持跨职能团队的原则，从一开始就把设计师、测试人员和开发人员聚集在一起，并承诺在整个项目中开放沟通渠道。它的目的是停止孤岛式的交付，减少重复处理，这两者也是DevOps过程的好处。然而，DevOps更进一步，将系统、安全和运营引入其中，以提供一个强大的、端到端的技能组合，其最终目标是向客户交付完整、实用的软件。

在向以DevOps为中心的流程转移的过程中，不可避免地会出现孤立开发的风险。你可以让原来的敏捷团队一起工作，而安全和运营人员仍在机器中寻找他们的方式；没有人很清楚如何包括他们，他们应该做什么和他们的总体目标。

如果没有明确的目标、跨职能部门的入职培训和与各方的直接沟通，DevOps就不会发挥作用。当然，会有一个调整期，需要谨慎的变革管理，但让每个人都对DevOps功能带来的提升保持一致，是成功的一半。

越来越多的（谢天谢地），DevOps也在强调安全的最佳实践，作为过程的一部分，消除了这一步骤的神秘感，并弥合了安全团队和其他所有人之间的差距。正如我以前说过的，在赋予开发人员从一开始就安全编码方面，我们还有很长的路要走，但DevOps方法的成功实施是一个很好的基础，可以在开发团队中建立安全技能。

自动化不是一切（也不是最安全的）。

DevOps方法的另一个特点是，在某种程度上，软件开发过程的自动化。持续集成和持续交付（CI/CD）原则是这一概念的基石，正如你可能猜到的那样，非常依赖工具。

工具很厉害，它们真的很厉害。它们可以为软件交付过程带来前所未有的速度，以相对无缝的方式管理代码库、测试、维护和存储元素。

然而，虽然机器人有一天可能会抢走我们所有的工作，囚禁我们，但他们绝对还没有到那一步。对工具和自动化的严重依赖为错误留下了一个巨大的窗口。扫描和测试可能不会发现所有的问题，代码可能会被忽略，而这将带来巨大的质量（更不用说安全）问题。攻击者只需要利用一个后门就可以窃取数据，而在质量和安全控制方面放弃人的因素会带来灾难性的后果。

幸福的媒介 "是确保你有一个人和工具的平衡。工具应该作为你信任的团队的助手，以实现项目目标。你应该。

• 分配足够的时间让人们熟悉所选择的DevOps工具链。
• 专注于有效的合作（以及工具如何支持合作）。
• 解决过程中的任何差距，无论它们是技能/知识还是基于工具。

简而言之，不要只是 "用工具"，希望得到最好的结果。

DevOps不是一个流行语，它是一种文化。你在发展你的文化吗？

在最好的情况下，变革管理是艰难的。对未知的恐惧甚至可以阻止最优秀的团队成员增长他们的技能和扩大他们的视野。

你看，仅仅说 "让我们做DevOps "并让运营团队移动办公桌并不能神奇地实施一个成功的过程。许多人将会感到困惑，而团队中长期服务的成员将感到不满。沟通期望是至关重要的，就像 "走在路上 "一样。DevOps代表了一种文化运动，就像一种开发方法一样，一个团队应该生活和呼吸在一个跨职能的、协作的心态中。

一个伟大的DevOps文化是什么样子的？

• 个人被授权向一个过程提供他们的专业知识，而不仅仅是领导。
• 团队之间公开、诚实和尊重的沟通
• 每个人都对在开发过程中建立质量和安全的总体目标负责。
• 每个人在业务中对DevOps的定义、路线图以及每个人的角色如何/是什么/为什么都在同一页上。

多年来，我一直强调在开发团队中建立积极安全文化的重要性，而DevOps也不例外。

正确的工具、知识和支持是实现安全最佳实践的必要条件，看到被发现的漏洞的下降，并让团队看到保护我们数据的重要性。有了DevOps，你必须为积极的变化奠定文化基础：确保每个人都了解自己的角色、价值和期望，了解整个项目的目标和过程中的步骤。

你掌握了吗？很好。现在，让我们转变一下思路，拨高安全方面，让DevSecOps成为卓越软件的终极计划。

2019年6月11日，美国国家标准与技术研究所（NIST）发布了一份更新的白皮书，详细介绍了减少软件漏洞和网络风险的几个行动计划。题为 "通过采用安全软件开发框架（SSDF）减轻软件漏洞的风险"，NIST为企业提供了坚实的指导方针，以避免数据泄露带来的讨厌的--更不用说昂贵的--后果。

需要注意的是，SSDF是有意为之的，它并不假定每个组织都有完全相同的软件安全目标，也不规定实现这些目标的确切机制。主要目标是实施安全最佳实践。正如作者Donna Dodson所说："虽然我们希望每个安全生产者都能遵循所有适用的实践，但我们期望每个实践的实施程度都能根据生产者的安全假设而有所不同。这些实践为实施者提供了灵活性，但它们也很明确，以避免留下太多的解释余地。

当然，我特别感兴趣的是围绕开发人员的软件安全培训的具体内容。现在，我们已经知道，如果开发人员要从软件开发过程的一开始就保护一个组织，他们需要足够的培训......但到底什么是足够的？外面有很多不同的意见。然而，我认为，这个信封终于被推向了一个方向，将点燃重大的积极成果。

有一种安全培训......还有一种有效的安全培训。

我已经详细地谈到了软件安全培训需要更有效地实施、参与和定制，以满足开发者的需求。即使是现在，在许多组织中，这充其量只是一种 "打勾 "的做法。也许有几个小时的视频培训，甚至有宝贵的时间花在一些基于课堂的学习工具上。事实上，每隔一天就会有大规模的数据泄露事件发生，攻击者利用众所周知的（通常是很容易修复的）漏洞，这证明软件安全培训并没有达到应有的效果。而且，也许最重要的是，很少有地方可以验证培训是否有效：漏洞是否更快地被修复？人们是否真正完成了培训，还是仅仅点击了 "下一步 "就完成了培训？

开发人员都是忙碌的人，他们努力工作，在严格的截止日期前交付。安全问题在很多时候都是一种不便，而且他们很少在受教育期间获得成功降低网络风险的知识。当应用安全团队的成员指出他们工作中的缺陷时，"安全 "这个词通常会出现，这使得他们的关系变得相当冷淡和不正常。一个 "你的孩子是丑陋的，去修复它 "的场景。

这告诉我们什么？这是一个已经存在了几十年的红旗，我们没有做足够的工作来赢得开发人员的安全；他们没有动力来承担责任，也没有寻求他们所需要的工具来创建功能性的软件，但在制作过程中考虑到安全的最佳实践。

开发人员是聪明的，有创造力的，喜欢解决问题的。观看无休止的安全漏洞视频不太可能让他们兴奋，也不可能帮助他们保持参与感。在我担任SANS讲师期间，我很快就了解到，最好的培训是亲身实践，迫使他们分析并接受智力挑战，使用真实世界的例子来测试他们的大脑并建立在先前的学习之上。游戏化和友好竞争也是让大家接受新概念的有力工具，同时在应用中保持有用和实用。

NIST的指导方针规定。"为所有负责安全开发的人员提供特定角色的培训。定期审查特定角色的培训，并根据需要进行更新"。而后。"为网络安全人员、安全推行者、高级管理人员、软件开发人员、产品所有者和其他参与SDLC的人员确定角色和责任。"

这一声明虽然没有具体说明培训的类型，但仍有助于将组织向左转移，并帮助保持安全最佳实践的前沿。它把寻找有效的、更具体的培训解决方案的责任又推给了公司，这将有望使开发人员掌握正确的工具和知识，从而获得成功。

文化：缺失的环节。

即使企业将时间和资源用于培训开发人员和其他关键员工，强调他们在预防漏洞和减少安全风险方面的作用，但如果企业的安全文化仍然存在根本性的缺陷，那么这种努力往往会付诸东流。

当个人得到有效的培训，目标设定和期望值明确时，他们就会更容易理解自己在安全领域的位置，并在适当的时候承担责任。特别是对于开发人员来说，他们从一开始就被赋予了编写安全代码的工具和知识。然而，在一个积极的安全环境中，这是最好的安排，在这个环境中，没有双重处理、指责和孤立的项目工作。

安全问题必须成为整个组织的头等大事，并以支持和协作的方式致力于提供优秀、安全的软件。这将意味着有足够的预算来推出有趣的、有吸引力的培训，利用真实世界的代码漏洞，并在整个组织中得到认可，以保持这种势头。在这个不断发展的数字环境中，培训必须像交付一样持续进行。如果过去有人告诉你，"一次性 "或 "设定并忘记 "的合规性培训是足够的或有效的，这是一个谬论。

虽然这个新的NIST框架没有具体阐明培养积极的安全文化的要求，但成功地遵守他们的指导方针肯定需要一个安全文化。然而，他们确实注意到，组织应该，"定义政策，明确组织的软件需要满足的安全要求，包括开发人员需要遵循的安全编码实践"。

上述内容对于在团队中扩展和磨练安全技能至关重要，在评估你自己的政策和当前的AppSec环境时，考虑以下内容可能会有所帮助。

• 软件安全准则和期望是否被明确定义？
• 每个人都清楚他们在实现这些目标中所扮演的角色吗？
• 培训是否经常进行并进行评估？
• 你的开发人员是否意识到他们在消除常见的安全漏洞之前可以发挥的巨大作用？

现在，正如我所说，最后一部分在很大程度上取决于组织和他们选择的培训。它必须是相关的，必须是频繁的，必须是有吸引力的。找到一个可以应用于他们日常工作的解决方案，并结合实际情况建立他们的知识。

现在怎么办？

深入研究这些新准则很可能会让人不知所措；要以最安全的方式创建、验证和部署大多数企业所需的铁打的安全软件，确实需要一个村庄。这也不仅仅是培训的问题。在使用第三方软件时，需要考虑一些准则（毕竟，使用有已知漏洞的组件仍然位于OWASP的前10名），围绕验证、渗透测试和代码审查的建议，以及安全记录保存、适当的工具链和其他一切的准则。在Gary McGraw博士的BSIMM模型中可以找到对整个情况的可操作的见解，该模型在NIST的文件中被引用。

然而，如果你的开发人员被赋予正确的工具和知识，从一开始就能真正成功地构建安全的软件，就能取得最快的胜利。对企业来说，阻止常见的漏洞在SDLC的后期阶段一次又一次地出现，成本会更低（总体上也更快）。发挥他们的优势，提供激励措施，让他们参与到组织的安全方面。这真的可以很有趣，他们可以成为你所需要的及时的英雄，以保持坏人的存在和我们的数据安全。

参考文献。

1. 通过采用SSDF来降低软件漏洞的风险（2019年6月11日），第2页。
2. 通过采用SSDF来减轻软件漏洞的风险（2019年6月11日），第5页。
3. 通过采用SSDF来降低软件漏洞的风险（2019年6月11日），第4页。

本月早些时候，我有机会在美丽的墨尔本参加了2019年OWASP AppSec Day。这些以开发人员为重点的活动是我在日历上最喜欢的活动之一；它们提供了一个谦卑的提醒，提醒我们这个社区不知疲倦地教育和授权软件工程师和专家在其工作中倡导安全。

嘉宾阵容很轰动--更不用说令人耳目一新的多样性了--即使在这个行业这么多年之后，我也能离开时受到鼓舞，这种感觉很好。Tanya Janca、Toni James和Teri Radichel等人发表了令人难以置信的演讲，而Wireghoul'Eldar Marcussen的现场安全编码挑战考验了整个礼堂，但很高兴看到与会者有如此深刻的安全意识。

今年，Secure Code Warrior 是该活动的白金赞助商。当我回忆起四年前，正是OWASP AppSec Day背后的团队为我们这个刚起步的创业公司提供了免费的展位和宣传，我不得不微笑。这是一个自豪的时刻，看到我们作为一个公司已经取得了多大的成就，也是一个感激的时刻，因为有这样一个由不可思议的人组成的慷慨的社区。

托尼-詹姆斯从开发人员的角度看安全问题

如果说我们在这个世界上需要培养一种东西，那就是同理心。当涉及到使软件更安全的问题时，理解开发者的困境是至关重要的。

我非常喜欢Toni的演讲，我相信它对每个开发者来说都是一针见血的。除了 "写安全的代码 "之外，还有很多故事，我当然相信经过有效安全培训的开发人员是我们对抗漏洞的最好机会，但必须考虑他们的日常挑战。

一个软件开发者的工作可以展示给数以百万计的用户，支持关键的基础设施，并成为我们认为理所当然的服务背后的驱动力。功能建设、执行业务创新和坚持精益交付的最后期限会产生很大的压力，而这是在应用安全团队出现并挑剔他们的辛苦工作之前。Toni谈到了在这种环境下的生活，以及各方良好的同理心如何能带来更好的流程和安全结果。我非常高兴地看到，在弥合开发人员和应用安全团队之间的差距方面取得了如此健康的进展；归根结底，这是一个积极的、蓬勃发展的安全文化的关键因素，而Toni是这个过程中令人难以置信地工作的一个主要例子。

谭雅-扬卡和特瑞-拉迪切尔：安全超级英雄

不是说这是一场竞争，但Tanya Janca和Teri Radichel对会议的贡献是我最喜欢的之一。他们关于DIY云安全评估的10分钟教程暴露了他们惊人的经验、资历和专业知识的广度，同时也暴露了他们分享知识和支持开发者社区的真诚热情和愿望。他们一起提出了现实的和可执行的行动，以确保Azure实施的安全，包括关于设置安全策略和最小特权措施的实用建议。

在谷歌上快速搜索一下，你就会知道他们致力于支持基层的开发者，提供大量的免费资源、指导机会和采访，以促进软件安全的乐趣和参与。他们是我们社区的鼓舞人心的重要支持者；如果他们在你参加的下一次安全会议上发言，你一定会疯狂地错过他们的会议。

大舞台上的客户

看到我们这么多的客户不仅出席，而且还拥有舞台，与观众分享他们巨大的安全知识，这是非常了不起的。

我们设法赶上了Telstra的Andrew Bailey发表了一个重要的演讲，"为DevOps增加 "Sec""。他作为高级软件工程师的丰富经验，现在以应用安全和安全编码为重点，是一个很好的观点。他给出了在SDLC的每个阶段注入安全的端到端提示（当然，包括在一开始就培训更多的开发人员进行安全编码）。

Ken Johnson是GitHub安全团队的一员，我很高兴看到他在会议结束时加入专家小组。他和其他小组成员一起，非常乐意回答观众提出的紧迫问题，包括那些不一定在媒体上得到应有关注的问题。除了一些行业见解外，他还让小组成员讨论了福祉和工作/生活平衡的重要性，这在这个开发者倦怠的时代是非常重要的。

我想对Julian Berton和整个OWASP墨尔本团队的另一个令人难以置信的会议表示衷心的感谢。明年见（有更多贴纸）。

感觉上，"网络安全合规 "已经流行了很多年，有无尽的文章、倡议和委员会在讨论世界应该如何最好地解决网络犯罪这个巨大的、多威胁的野兽。

问题是，我们似乎并没有取得那么 大的进展。在全球范围内，数据泄露的成本一直在稳步上升，在五年内增长了12%，到2019年，每个泄露事件的成本约为392万美元。随着我们对互联网的使用在短短几十年内爆炸式增长，许多公司只能在没有盔甲的情况下战斗，因为他们迅速上网、开店并处理不安全的软件、有限的AppSec资源以及在某些情况下滥用客户信任的后果。

这些天，我们无可辩驳地更加成熟了。我们了解并详细讨论了威胁的范围，公司很清楚网络攻击会对客户的情绪、他们的声誉和他们的底线产生影响，许多地方正在积极寻求通过合规培训、熟练的招聘和越来越多的DevSecOps举措来提高软件安全。尽管有了这些巨大的飞跃，我们并没有赢得这场战斗--甚至没有。仅在2019年，就有至少40亿条记录在数据泄露事件中被盗。

在网络安全标准、预期和违规后果方面，缺少的一个因素是（在政府层面）缓慢的涓涓细流。至少在欧洲，GDPR 的出现让一些人开始行动起来，但许多政府机构现在才追赶上来，而突然需要迅速遵守新出现的合规举措可能会在未来产生一些不必要的影响。

愚人冲进（错误的训练）中

以NIST的形式出现的强有力的指导方针，纽约州的新法规和英国网络安全委员会的成立，对于那些为保护我们的数据安全而战斗的人来说，都是巨大的胜利。他们承认当前软件开发中存在的问题，并采取措施，指导组织在安全最佳实践方面必须达到的标准，以被视为道德和合规。

不幸的是，在这个阶段，一些最重要的内容有点太容易被解释。例如，英国网络安全委员会的立法中的一项任务是。

"在已经开展的职业道路工作的基础上，创建一个明确的认证清单和一个易于理解的框架，说明它们之间的联系以及它们所传达的能力"。

虽然他们的举措无疑会随着时间的推移而得到改善和发展，但如果企业现在已经按下了恐慌按钮并跃跃欲试地进行培训，他们可能会发现自己对未来准备不足。

一个组织的网络安全需求变化很快，静态的培训方案不太可能以所需的速度阻止不安全软件的流动。情况的变化比传统课程的更新速度更快，这可能会使一些地方陷入 "打勾 "的合规性练习陷阱；开发人员、承包商和其他安全专业人员没有接受足够的培训，我们又回到了坐以待毙的状态。

静态训练和静态工具存在同样的问题

静态分析工具是SDLC的一个组成部分，为大多数大型组织中稀缺且工作过度的AppSec专家提供扫描工作。它们做得很好，但有一个缺陷：没有一个工具可以扫描每一个漏洞，支持现有的大量编程框架。这也是一个缓慢的过程，只要有一个安全漏洞通过缝隙，就会给攻击者留下一个门。

对于静态培训，也有一个类似的问题。如果开发人员接受的安全培训是僵化的、"一劳永逸 "的课程，那么它就很难跟上那段时间内最普遍的安全问题的步伐。它只是写的时候的一个快照，而且很少有足够的重温，用学生喜欢的语言和框架来提供，也没有与他们在日常工作中可能面临的漏洞相联系。想象一下，当你试图从几个月前看的视频中回忆起一个相关的信息，同时又想在交付期限前完成代码......这是不可能的。

传统的教育方法在许多行业都被重新评估，但当涉及到开发人员的安全培训时，你只需要看看我们仍然经历的大量数据泄露（尤其是那些可以归咎于我们几十年来知道如何在编码中避免的漏洞，如SQL注入），就会意识到我们必须尝试一种不同的方式。

我们需要超越单一、线性课程的限制的培训，能够灵活地适应不断变化的网络安全最佳实践的需要。

动态训练：黄金标准

通过为开发人员提供一个动态的培训解决方案，一个可以根据业务、个人技能水平和一般行业动态迅速形成的解决方案，你将为他们提供安全编码的最佳基础，保持安全领先，并以安全意识的心态行事。

那些一刀切的、从未被重新审视过的、一开始就没有吸引力的培训将完全是浪费时间，不幸的是，这意味着你最终可能为了遵守规定而冲动地购买一个无效的项目。它可能在你推出之前就已经过时了，或者与他们日常工作的需要几乎没有关系。

动态培训是一个活生生的工具，它不断更新，与日常需求相联系，让用户参与批判性思维，并实际赋予他们学习技能和解决问题的能力。

那么，在安全背景下，一个动态的培训计划是什么样子的？

这将是。

• 一点一滴。开发人员可以在可管理的小块中学习技能，这比冗长的培训手册和视频更容易记住（更重要的是，应用）。
• 相关的。 当开发人员主要用Java编程时，通用安全培训的例子是C#，那有什么用呢？任何培训都应该直接适用于他们的角色，让他们在编码时看到应该发现和解决的问题（最好是在第一时间避免）。
• 当前： 这似乎很明显，但往往不是。网络安全环境一直在变化，而更多的代码带来了更多的责任。为了让开发人员成为你的第一道防线，他们需要接受与现代安全最佳实践保持同步的培训。
• 吸引人。 开发人员认为 "安全 "是件苦差事，这已经不是什么秘密了，尤其是当它干扰了他们的创作流程。正确的培训将向他们展示他们在解决可能演变成巨大风险的日常安全问题方面所拥有的力量，建立一种责任和安全意识的文化。
• 乐趣。 动态培训很少是枯燥的；从设计上来说，它至少应该是有点刺激的。想一想开发人员喜欢什么：解决问题，与同行竞争，以及像我们许多人一样在工作中获得奖励和认可。发挥他们的长处，专注于获得最佳结果。

作为一名软件工程师，这是一个令人兴奋的时代；他们在数字创新中扮演着不可或缺的角色，帮助创建令人惊奇的公司，甚至用自己的创造掀起世界风暴。然而，随着政府机构和大型企业意识到他们在制定软件安全标准方面需要发挥的作用，重要的是要通过有效的、动态的培训解决方案来支持他们，培养他们对安全编码的热爱，而不是官僚主义的打勾做法。

短语 "需要一个村庄 "是一个古老的非洲谚语，跨越了许多不同的非洲文化、方言和地理位置。虽然用来传达这颗智慧之珠的语言可能不同，但情感是相同的：需要整个社区的投入，以创造一个安全、积极和启蒙的环境，将未来的一代培养成全面发展的成年人。

这似乎是一个很长的弓，但实际上，开发者社区已经在这个原则上繁荣了几十年。电脑后面的反社会、"独狼 "极客的概念就像大多数刻板印象一样：夸大其词，而且不是了解我们如何运作的最好方法。有各种类型的开发者，来自各行各业，在我们所做的一切中，一直有一种社区感。

早在互联网成为常态之前，我们就在公告板上分享技巧，解决彼此的问题，并为最佳做法争吵不休（当然，在我这边，则是努力工作来打破东西）。这种情绪并没有改变。现在的互联网是一个不同的野兽，桥下有更多的巨魔和更多的噪音，但快速跳入像Reddit和Stack Overflow这样的地方会让你立即感受到帮助的意愿、友情和丰富的信息。

然而，我们都可以帮助支持的一件事是那些与经历同样事情的人的现实世界联系。当你在现实世界中互动时，会有一层新的意义，促进一个 "IRL "社区可以加速知识共享，澄清问题，并以美妙的方式扩大视野。

开发者社区如何支持安全？

像OWASP这样的组织在安全社区中做着令人难以置信的工作，拥有丰富的关于漏洞、新闻和关键警报的免费资源。在线下，世界各地的城市都有OWASP的分会，定期举办活动，让人们聚集在一起，讨论安全问题，分享使我们的软件更安全的技巧。这真的很了不起，对我来说，这就是开发社区的全部内容。

这些社区，无论是在线的还是现场的，都有助于解决开发者之间的技能和知识差距。许多有经验的开发者非常乐意传递信息，帮助别人起步，或为他们指出正确的方向（任何好的绝地武士都知道他们需要不时地帮助徒弟）。

因此，当我们与他们合作举办安全编码tournaments ，总是一种真正的享受。到目前为止，我们已经支持了澳大利亚、英国、印度和美国的聚会，我希望以后会有更多的聚会。

OWASPtournament 聚会是什么样的？请看这个在伦敦标志性的BBC演播室举行的OWASPtournament 的视频。

这些活动当然有助于建立意识，当他们支持这些基层倡议，引入成熟的安全编码培训，以及承诺以积极的安全文化运作时，这种势头可以在组织内得到利用。

游戏化和tournaments ，如何帮助创造更安全的开发者？

OWASP聚会是围绕着社交，分享知识和与广泛的安全意识的人讨论想法而建立的。然而，对于那些刚接触安全的人（或对安全还没有兴趣），这些活动可能会被忽视。

当组织在建立安全意识和激发开发者群体的真正兴趣方面发挥积极作用时，它可以产生积极的流动效应，在内部灌输对安全知识的终生追求--我们需要让每个人更认真地进行安全编码。

典型的培训方法很少有巨大的动力（想想坐在教室里，而你的日常工作任务堆积如山，或试图保持清醒观看无休止的视频），但点燃竞争意识、乐趣和游戏化的过程可以使学习远不是一件麻烦事。游戏化的学习方法使技术（有时是枯燥的）知识更容易消化，将其分解成更小的块状，使其具有上下文，令人难忘，并鼓励重复学习。Secure Code Warrior 是建立在可访问性的基础上，允许开发人员继续一步一步地添加到他们以前的学习中，以表达他们的创造力和解决问题的一般直觉。

评估有助于保持每个人的进度并确定需要改进的地方，但安全编码tournament ，可以作为组织安全意识和积极变化的催化剂，也是参与者展示自己强大技能的一种方式。毕竟，当你看到tournament 排行榜实时更新时，你会有动力继续争取更多的分数，真正展示你的安全实力。

一个成功的tournament ，是什么样子的？

我们与OWASP的见面会的目的始终是为了投资于安全社区的持续健康发展，帮助他们推广学习安全知识实际上可以很有趣的概念。

安全编码tournaments ，当涉及到吸引开发人员，帮助他们在社会环境中与志同道合的人磨练和实现他们的技能时，这是一个没有问题的问题。它们有助于打破可能存在于 "安全 "概念周围的人为壁垒，这些壁垒可能来自工作或教育中不太愉快的经历。

一个真正伟大的tournament ，通常包括以下内容。

• 在组织内大张旗鼓地宣传；让开发团队以外的人知道正在发生什么以及为什么发生。
• 一个没有评判的环境，支持所有级别的开发人员
• 一些特殊的福利；点一些食物和饮料，给它一个主题，鼓励自我表达。
• 奖励和表彰；我们开发人员喜欢礼品，为获奖者提供整洁的奖品是一种奖励：记住，你未来的安全冠军可能在这个过程中被发掘出来。
• 社区和友情的感觉。

我们正在成为一个DevSecOps的世界，随着安全问题最终从软件开发项目的一开始就被关注，开发人员需要通过有效的培训尽早参与进来。从编写代码的那一刻起，他们就是保护组织不受漏洞影响的组成部分，而在一个蓬勃发展的安全文化中，每个人都可以轻松一些。