自从我们在2015年开始执行任务以来，我们的重点一直是为开发人员提供有趣、相关和有吸引力的安全编码培训。我们早就认识到让开发人员了解安全最佳实践的知识和工具的重要性，为什么它很重要，以及他们如何在编写代码时帮助加固软件免受恶意攻击。

然而，安全培训并不是一个新概念。我们当然没有先入为主，足够的安全措施在软件开发中已经考虑了很长时间。当然，有些类型的培训比其他类型的培训更有效，但获得一些安全教育是相对容易找到的，尤其是在今天。

...那么，我们到底为什么会有这么多的数据泄露？截至9月，仅在2019年就有超过40亿条记录在多个网络攻击中被曝光。

许多组织目前正在进行一场失败的战斗，以保持我们日益宝贵的数据安全。全世界的CISO和CIO们已经非常清楚，"向左转移 "仍然太晚了；我们必须从SDLC中的安全开始向左转移，这意味着开发人员必须有足够的安全知识，在代码被提交之前就能修复缺陷，更不用说公开发表。

应用安全专家不能成为安全知识的唯一看门人。

在过去，软件安全是一群非常特别的聪明的极客的领域，与编写代码的工程师几乎没有互动。他们的工作是测试、破解和阻止不安全的代码出现在阳光下。如果他们有交集，很可能是由于安全专家指出了代码中的缺陷......这保证会受到为其创建而辛勤工作的开发者的冷遇。

快进到今天，情况几乎是一样的，只是现在，有这么多的风险。我们生活的几乎每个方面都被数字化了......从社交媒体上的相册、医疗记录、银行业务和我们最宝贵的身份证明文件等一切。保护大部分离线、独立的软件和操作系统是一回事。必须抵御对数十亿行代码的威胁，并使数亿用户面临潜在的风险，则是另一回事。对于一组专家来说，要承担全部的责任实在是太重要了，这就是为什么我们必须在应用安全和开发团队之间架起桥梁。他们需要一起工作，分享知识，并作为一个有凝聚力、有安全意识的单位来运作。

只是有一个问题：开发人员很少有机会以有意义的方式学习安全编码技能。大多数高等教育几乎没有涉及到安全的最佳实践，而在职培训的质量也大不相同。

我们每隔一天就会看到巨大的漏洞，这有什么奇怪的？下载我们的应用安全检查表。

‍

一个 "编码的许可证"。

尽管目前的形势很暗淡，但我对安全的未来还是很乐观的。空气中弥漫着一种变化，我为现在大量的组织认真对待安全编码而感到振奋。

越来越明显的是，开发人员需要获得正确的工具和知识来减少安全风险，而蓬勃发展的安全意识文化对于打击数据泄露至关重要。当开发人员在编写代码时承担起安全责任时，攻击者利用简单的缺陷并获得城堡的钥匙就变得不那么容易了。

一直以来，一些开发人员比其他人更有安全意识，这对企业来说是一个真正的挑战。虽然内部开发团队通常有一定程度的培训和技能监控，但当你把承包商、自由职业者和刚毕业的学生引入到这个组合中时，水就变得非常模糊了。他们是否以安全的心态行事？他们能成功地避免几十年来一直存在的跨站脚本等老旧缺陷吗？这很难讲，但他们经常被放任在软件构建的重要部分。呀。

值得庆幸的是，我们看到为开发人员制定的不可谈判的标准正在增加。例如，一些组织正在使用 Secure Code Warrior作为评估开发技能和颁发 "编码许可证 "的工具。如果没有通过基本的安全编码评估，他们就不能在任何项目上工作。这在帮助毕业生和实习生掌握安全技能方面是非常有价值的，同时，也灌输了安全编码的重要性意识。毕竟，在软件方面，安全必须是质量的同义词。

课外培训正将大学置于聚光灯下。

改变围绕安全编码的对话需要的不仅仅是这里的一篇文章，那里的一个主题演讲。它需要一个全社会的运动，很高兴看到这么多顶级组织注意到并建立高水平的安全计划，达到令人羡慕的标准。汇丰银行就是这样一家公司，其强大的计划正在确保最近的毕业生和新员工尽快踏上 "左手开始 "的旅程。作为汇丰银行印度技术学院的负责人，塞卡-巴布-塔塔瓦提发现深入的安全培训是必须的。

"在汇丰科技，我们希望确保我们的开发人员社区了解安全编码的意义，以保护银行免受漏洞的影响。在我们今年的毕业生培训计划中，我们认为这是一个巨大的机会，可以让他们抓住年轻的机会，使他们在上岗并开始在各自的项目中进行编码之前，能够自我学习并掌握最佳的安全编码实践。  

我们选择了Secure Code Warrior 平台，因为它为毕业生提供了精彩的游戏化学习方法，而他们并没有辜负我们的期望。他说："我们很高兴，他们每个人除了完成不同技术的白带认证外，还热情地参与了tournament 。

更多的组织，就像汇丰银行一样，将安全编码能力视为开发人员层面的必要条件。而这实际上是对整个高等教育的一种照耀。CISO和CIO们开始质疑为什么新毕业的工程师在完成他们的教育时没有接受任何强大的安全培训。

高等教育创新。

虽然安全编码需要成为高等教育阶段软件工程的一个强制性组成部分，但一些大学正在带头提供一流的培训，并从一开始就将安全作为开发过程的一部分来优先考虑，而不是由稀缺的AppSec专家在实地进行。

在澳大利亚昆士兰大学，Ryan Ko教授在培养下一波开发人员以保护我们免受不可避免的网络攻击的影响方面取得了重大进展。

"大多数软件漏洞都是在编码阶段引入的，所以如果我们能从源头（即程序员）解决这个问题，我们就能根除今天在CVE列表中发现的大多数反复出现的问题。他说："由于软件影响到我们现代社会大多数人的生活和生计，大学和培训机构有道德和社会责任教导所有刚起步的程序员如何安全地编码。

这是从标准的courses ，那些提供很少的重大安全意识和技能的方式的一个令人兴奋的演变。而且，这是一个我不介意进一步传播的 "病毒"。令我高兴的是，麦考瑞大学也在用安全第一的思想感染他们的学生，这要归功于像Christophe Doche这样的人的努力：

"2016年推出的Optus麦考瑞大学网络安全中心是澳大利亚第一个这样的倡议，将信息安全、商业、犯罪学、情报、法律和心理学的学者与来自工业和政府的网络安全专家联系起来。

我们的使命是通过教育、研究和合作，使澳大利亚成为全球网络安全的领导者。其中一个重要方面是解决有据可查的网络安全方面的技能差距问题，预测显示2022年全球将有180万个工作岗位无法填补。

他说："解决这一技能差距需要一个多管齐下的方法，这包括提高现有劳动力的技能和再技能，以及培训新一代的网络安全专家。

他们的方法令人难以置信，提供高参与度的精准学习，帮助弥合各部门之间的差距，创造一个蓬勃发展的安全意识心态。他们在战略中利用了微学习的优势，提供游戏化的、一口大小的学习模块，具有很高的保留率、参与度和重复播放率。我特别自豪的是，我们能够帮助他们创造性地吸引他们的学生：

"这种参与的一个很好的例子是与Secure Code warrior 的合作。在2019年8月由Secure Code Warrior 和网络安全中心组织的tournament 之后，我们现在正在考虑将Secure Code Warrior 平台嵌入我们的课程，特别是在我们新的安全应用开发单元中，"Christophe说。

像麦考瑞大学和昆士兰大学的倡议，是在教育领域真正开创了安全编码。作为应用安全专业人士、开发人员和更广泛的安全社区，我们的目标必须是将安全纳入我们所做的一切，并继续致力于从左边开始。

9月3日，我和团队的一些成员参加了由澳大利亚CSO主办的一个很棒的安全奖项会议。作为澳大利亚首次举办的此类活动之一，2019年"安全领域女性奖"是行业内一些最受瞩目的安全人才的一个令人难以置信的高潮。这是对女性在网络安全领域所做贡献的庆祝，也是一个急需的平台，以展示那些经常在聚光灯下工作的女性所带来的令人难以置信的才能和创新，她们正在努力做一项了不起的工作。

我非常自豪地说，Secure Code Warrior 的客户成功副总裁（又称 "Chief Awesome"）Fatemah Beydoun是这一天的一个组成部分。她发表了她的演讲：为未来提供指导。我们如何能够在培养女性网络安全人才方面做得更好，听众们都很乐意接受。虽然12分钟的时间远远不足以揭示她对我们和整个网络安全行业的长期影响，但她已经看到（更不用说，推动）关键的积极变化。

一个更具包容性的方法。

"法特玛说："当我刚开始在这个行业工作时，我是我所在的团队中极少数的女性之一。很多交流机会也是以男性为中心的，这使得我很难加入其中，认识合适的人，并展示对业务的关键价值。我试图改变这种动态，在可能的情况下创造一个更具包容性的空间。

例如，我经常参加行业活动，发现许多公司的展位会采用宣传模型，以帮助吸引人们对其展位的注意。这在理论上是可以的，但我经常被忽视，因为我显然不是目标市场。她说："在我职业生涯的早期，我曾负责举办活动，并发誓我们可以想出更多包容和有趣的方法来吸引人们对我们自己产品的关注。

法蒂玛和我一起工作了很长时间，她一直在我们所经营的企业中倡导包容性和多样性。这一直导致团队中的女性有更多的途径，关键的贡献得到认可，不同的方法、意见和生活方式使团队得到加强。

"听着，当然没有人想成为象征性的女性，"法蒂玛说。"然而，问题可能是，一些不那么多元化的执行团队倾向于将领导棒交给那些与他们相似的人，他们可能在个人层面上与之有关系。这些高管可以从女性在业绩和技能方面的贡献中受益，但他们往往很难得到关注。如果行政管理团队意识到多样性可以带来的力量（这超越了性别），他们往往很愿意创造这些途径，并开始提升那些准备好、愿意并有能力为他们的组织做出色工作的妇女。

工作场所的灵活性：成功的关键因素。

我在创办自己的公司时很快就了解到，当团队成员有喘息的空间时，就能完成最好的工作。灵活性对每个人都很重要，但帮助工作家庭的政策可以在留住重要人才方面起到作用。

这里最早推出的政策之一是婴儿上班政策，允许新妈妈们更快地返回工作岗位，并具有预约所需的灵活性，能够将婴儿带到工作岗位而不必担心受到指责。

"我不想在做母亲和我的事业之间做出选择，能够带着我的小儿子来工作是一个非常积极的举措，让我感到被支持和被重视，"法蒂玛说。"我的技能并没有在分娩后消失，而作为一个初创企业的创始成员，嗯，你只是想重新投入其中！"

她甚至向美国广播公司（ABC）新闻报道了弹性工作的好处。

你有一个蓬勃发展的导师文化吗？

为了让任何人开始一个伟大的职业轨迹，并保持他们的势头，对他们来说，有一个导师是个好主意。在许多IT、网络安全和男性主导的领域，与男性相比，行政级别的女性相当不平衡，所以这可能有点挑战性。

虽然女性在领导岗位上看到 "自己 "很重要，但男性也可以通过提升其团队中聪明的女性并在可能的情况下介入指导她们来提供帮助。

"领导团队可以对组织中的多元化产生巨大影响，并确保杰出女性和其他人一样得到应有的认可和职业发展途径。我在捷星航空的网络安全主管伊薇特-勒金斯身上看到了这一点。她是女性的拥护者，通过她自己的成功和努力工作，她一直在向前迈进，帮助其他女性树立信心，向顶峰迈进，" Fatemah说。

就目前而言，Secure Code Warrior ，刚刚庆祝了员工人数达到100人。我可以自豪地说，我们整个企业有超过50%的女性代表，法蒂玛是所有人的杰出榜样和指导者。

所有的公司都能在其团队的多样化中找到巨大的力量。来自各行各业的各种意见，可以成为将好的想法变成伟大想法所需的秘密成分。一如既往，我们在一起会更强大。

软件安全行业并不完全以其温暖和模糊的感觉、异想天开的观察和生活评论而闻名，但是，也许随着我年龄的增长，我发现自己在反思我们都可以对世界产生的影响。而且，它可以引起积极的涟漪效应，远远超出网络安全的界限。

由于一位团队成员的建议，我们已经在全公司范围内实施了勇士回馈计划。这一举措旨在让我们融入 "回馈 "我们周围社区的精神，作为一个团队积极工作，使世界变得更光明一点。

虽然这对我们许多人来说是一个不可思议的机会，让我们作为一个团结的团队团结起来，但这也是一个独特的时刻，让我们退一步，调查土地，重新清晰地看到什么是真正重要的。正如任何在创业公司工作的人都会告诉你的那样，这可能是超级忙碌的，没有多少休息时间......它是有价值的，令人疲惫和激动的，同时。然而，当你活在自己的事业中时，很容易将周围的生活拒之门外。

一股善的力量。

我们希望实现的最重要的事情是为社区做一些立即有用的事情，而不仅仅是摆出几张照片来拍拍自己。这是关于承认我们的特权并怀着感激之情行事。每个人，每个行业，都可以多做一点这样的事。毕竟，你永远不可能传播太多的善意，或者保持太过谦逊。

在我们的启动活动中，我们决定通过 "Bikes for Tykes"项目，共同为贫困儿童制作自行车。我相信我们在回顾这一天时，会对我们的综合机械技能（或缺乏机械技能）有美好的回忆，也会有很多笑声，但在九个非常特殊的孩子最需要的时候，给他们带来的幸福火花，是远远超过一辆全新自行车的物质方面的回报。这次活动对我们来说只是一个小小的姿态，但我希望在这一小段时间里，他们可以忘记自己的烦恼，单纯地享受作为孩子的乐趣。

回馈，获得更多。

有句老话是这样说的："善良是每个人都能负担得起的礼物"。这是非常正确的，但有一件事网络安全社区似乎做得很好，那就是大量的免费知识共享和在线资源来帮助人们理解、学习和探索。自然地，像OWASP这样的组织投入了大量的时间来使我们所有人都更加安全，而且我不断地看到其他人愿意在活动演讲和活动后帮助回答问题。我想如果我们都能付出更多，我们会发现它最终会得到十倍的回报。  

我们将继续追求回馈，就像世界上许多其他了不起的公司一样。让我们成为一股积极变化的力量，无论我们身在何处。

（提示：我们的图书馆的 开发者学习资源 总是为你们开放）。)

最近关于青少年安全研究员Bill Demirkapi揭露其学校使用的软件存在重大漏洞的报道，肯定会勾起一些回忆。我记得我是个好奇的孩子，掀开软件的盖子，看看它是如何工作的--更重要的是--我是否能破解它。几十年来，软件工程师一直在寻求不断改进和强化他们的产品，而安全社区（虽然他们的方法有时有点厚颜无耻）在发现缺陷和潜在灾难方面发挥了重要作用，希望能在坏人做同样的事情之前。

然而，这里的问题是，作为对他的发现的回应，他戴上了轻微的停学处分。而这只是在他用尽了所有与公司（Follett公司）私下联系的途径之后，最终选择了一个相当公开的爆炸，以确定他自己和他破坏他们系统的能力。他多次试图从道德角度警告福莱特公司，但都没有得到答复，而软件仍然很脆弱，大量的学生数据很容易暴露出来，因为其中很多都是未加密的。

他还在另一家公司的软件中寻找漏洞：Blackboard。虽然Blackboard的数据至少有加密功能，但潜在的攻击者可以伸手进去抓取数百万条记录。这个软件和福莱特的产品都被他的学校使用。

邪恶黑客 "的说法是有问题的。

Demirkapi在今年的DEF CON上展示了他的发现，他的恶作剧的细节得到了观众的掌声。真的很正确--虽然他最初被打入冷宫，并面临许多障碍以使他的发现得到认可，但据说福莱特公司对他的努力表示感谢，并根据他的建议采取行动，最终使他们的软件更加安全，避免了成为另一个数据泄露统计数据的危机。他在完成高中学业后还将进入罗切斯特理工学院学习，因此很明显，他正走在成为需求量大的安全专家的正确道路上。

作为一名保安人员，我很难不对这种情况的处理方式提出异议。尽管在这种情况下，一切都很好，但最初，他被当作一个讨厌的脚本儿童，把他的鼻子放在不属于他的地方。在谷歌上搜索这一事件，有一些文章将他称为 "黑客"（在安全专家的心目中，这在很多方面将他定位为恶棍），而事实上，他的做法（以及其他许多人的做法）有助于保护我们的数据安全。

我们需要有好奇心、聪明和注重安全的人在引擎盖下查看，而且我们需要更经常发生这种情况。截至7月，仅今年就有超过40亿条记录在恶意数据泄露中被曝光。由于时尚和生活方式品牌Poshmark在8月发生的漏洞，你可以在这个数字上再加上5000万。

我们在犯同样的错误，更令人担忧的是，这些错误往往是令人面红耳赤的，简单的弱点不断绊倒我们。

跨站脚本和SQL注入并没有消失。

据WIRED报道，黑板社区参与软件和Folletts学生信息系统被Demirkapi发现含有常见的安全漏洞，如跨站脚本（XSS）和SQL注入，这两种漏洞自20世纪90年代以来一直是安全专家的心头病。我们已经忍受了它们的存在很久了，就像Hypercolor T恤和软盘一样，它们现在应该是一个遥远的记忆。

但是，它们不是，而且很明显，没有足够的开发者表现出足够的安全意识来阻止它们被引入他们的代码中。扫描工具和人工代码审查只能做这么多，还有比XSS和SQL注入更复杂的安全问题，这些昂贵和耗时的措施可以得到更好的利用。

像Bill Demirkapi这样的人应该激励开发人员创建更高的代码标准；他年仅17岁，就通过威胁载体攻破了两个高流量系统，而这些威胁载体在代码提交之前就应该被嗅出并加以纠正。

游戏化。参与的关键？

我写了很多关于为什么开发人员在很大程度上对安全问题没有兴趣的文章，简短的回答是，在组织和教育层面上，没有做很多事情来培养有安全意识的开发人员。当公司花时间建立一种奖励和认可参与的安全文化，包括实施培训，用开发人员的语言来激励他们继续努力，这些讨厌的漏洞遗迹就会开始从我们使用的软件中消失。

Demirkapi显然对安全有课外兴趣，并花时间学习如何逆向设计恶意软件，发现缺陷，以及，破解那些从外面看来没有被破解的东西。然而，在接受VICE采访时（以及通过他的DEF CON幻灯片），他对自己的自我教育做了一个有趣的声明......他将其游戏化。

"目标是在我学校的软件中找到一些东西，这是一个有趣的 "游戏化的方式，让我自己学会了大量的渗透测试。他说："尽管我开始研究的目的是想了解更多，但我最后发现事情比我预期的要糟糕得多。

虽然不是每个开发者都想专门研究安全问题，但每个开发者都应该有机会成为安全意识，基本知识几乎是组织内的 "编码许可"，特别是那些控制着我们大量敏感数据的人。如果最简单的安全漏洞在编写之前就能被每个开发人员修补好，那么我们就能更安全地对付那些企图破坏的人。

对游戏化培训感到好奇？请看我们的 "编码员征服安全 "系列，关于 XSS和 SQL注入.

虽然VxWorks对于普通消费者来说并不是一个家喻户晓的名字，但这个软件产品每天都不可避免地使许多像你和我一样的人受益。作为世界上最流行的实时操作系统（RTOS），它是我们（通过代理）依赖的工作母体，为企业网络和防火墙、航空航天接口、工业设备，甚至一些医疗设备提供动力，这只是它广泛使用的几个例子。

而现在，我们面临着这样一种可能性：数以亿计，甚至数十亿计的这些设备，现在至少有11个漏洞被破坏。风河公司的首席安全架构师Arlen Baker在SearchSecurity的一篇文章中对这个数字提出异议，他透露确切的范围未经证实，相信不会有这么高。尽管如此，我们已经知道数据泄露和攻击一直在发生，但这是下一个级别：已确认的缺陷相对容易利用，许多漏洞打开了大门，允许攻击者通过网络数据包的传输远程控制设备。

当然，风河已经向受影响的客户和同事发布了一系列的修复和补丁。问题在于需要更新补丁的设备数量之多--就像萨诺斯用手指一按就能结束世界一样，许多设备将不可避免 地在很长一段时间内没有打补丁，因此也就没有了漏洞。

安全公司Armis是这一巨大发现的幕后推手，将他们的发现称为URGENT/11。他们将其认定为严重事件，无疑是由于其易于从多个载体进行攻击，并有可能造成广泛感染。从核磁共振扫描器和VOIP产品，到火车网络和交通信号灯，在这些软件中创建和部署蠕虫病毒是完全可能的。

现在是恐慌的时候吗？

作为一个将安全意识作为人生重要使命的人，我看到了很多日常的潜在安全问题。如果我允许自己过于恐慌，我会在歇斯底里中度过一天的大部分时间（毕竟，我宁愿去做试图教育和帮助修复漏洞的工作！）。然而，URGENT/11发现的范围是相当可怕的。在发现的11个漏洞中，有6个被认为是关键的。正如The Hacker News所指出的，这些缺陷从6.5版开始就存在于运行VxWorks的设备中（不包括为认证而设计的版本，包括VxWorks 653和VxWorks Cert版），这意味着一些重要的技术已经受到设备接管攻击的威胁超过十年了。并非每台设备都容易受到所有11个缺陷的影响（有些缺陷只有在攻击者处于同一LAB子网时才能被利用），但即使是一个平庸的黑客也只需要一个小小的机会窗口。

值得注意的是，风河公司已经迅速采取行动，并提供了关于缓解问题的详细建议，Armis也是如此。而且，VxWorks实时操作系统之所以被广泛采用，是因为它非常可靠，而且在软件安全法规方面得分很高--通常情况下，错误赏金猎人不会过多地去打扰它。然而，安全公司和风河公司在解决这个问题上只能做这么多......下载补丁、听从安全建议和加固他们自己的设备是掌握在最终用户手中的，而这正是问题的症结所在。

也许我们还不需要恐慌，但可能需要一个村子来扳倒这头野兽，使之屈服。

URGENT/11漏洞的解释

在这一点上，自6.5版以来，任何连接到被破坏的VxWorks TCP/IP IPnet协议栈的设备都可能受到至少一个URGENT/11的影响。关于风河公司的CVE的完整列表，请看这里）。

大多数情况下，这些缺陷允许远程代码执行（RCE）和拒绝服务攻击，有几个还导致了信息暴露和商业逻辑问题。在这种情况下，远程代码执行是一个特别敏感的问题，因为攻击者可以在没有最终用户互动的情况下对设备进行控制。没有人需要意外地点击任何可疑的东西，下载任何东西或输入他们的详细信息......它使VxWorks设备高度 "蠕虫化"，并使攻击有了自己的自动生命。还记得EternalBlue的WannaCry蠕虫吗？URGENT/11有一个类似的，但更具破坏性的潜力，给我们带来了全球性的头痛。

我们能做些什么呢？

嗯，在写这篇文章的时候，URGENT/11的后果仍然是未知的。媒体已经让业界意识到了这一点，而风河公司显然正在为受影响的人提供支持。未来几个月将揭示是否有攻击者选择以任何有意义的方式利用这些已知的缺陷，但与此同时，明显的解决方案是听取大量的建议，在你的轨道上修补任何相关设备。

长期而言，它仍然是同一个任务：在软件安全方面，每个人都需要做得更好。一般来说，URGENT/11 CVEs是令人担忧的简单后门，它们多年来一直没有被发现，这证明了整个行业的关注度和意识都相当低。

每个开发人员都有机会尽自己的一份力量，他们需要得到支持，以学习如何从生产的一开始就保证代码的安全。他们周围有影响力的团队，从AppSec到C-suite的每个人，都可以确保积极的安全文化在企业内的每个软件接触点上茁壮成长。

想测试你自己的安全意识吗？我们的游戏化平台可以给你提供类似于URGENT/11中发现的一些真实的代码挑战。查看它们，看看你的表现如何。

• ipdhcpc中DHCP Offer/ACK解析中的堆溢出（CVE-2019-12257）。
  内存破坏 - 堆溢出
• 通过畸形的TCP选项进行TCP连接DoS（CVE-2019-12258）。
  传输层保护不足 - 敏感信息的传输不受保护
• ipdhcpc DHCP客户端的IPv4分配存在逻辑漏洞（CVE-2019-12264
  业务逻辑缺陷
• 通过IGMP解析中的NULL解除引用进行DoS（CVE-2019-12259）。
  内存破坏 - 空值解除引用
• 通过IGMPv3特定成员报告的IGMP信息泄露（CVE-2019-12265
  信息暴露 - 敏感数据的暴露

这篇文章的一个版本出现在DevOps.com上；它已被重新命名并更新以包括新的信息。

虽然CISO和CIO在软件安全方面承担着令人羡慕的责任，特别是在公司数据泄露的尴尬情况下，他们也获得了一个独特的机会，其相关性越来越强：他们是新的创新者，他们可以通过正确的方法产生巨大的影响力。地球上的每一个组织，无论是公共的还是商业的，都在为在一个迅速数字化的世界中保留（和获得）他们的市场空间而奋斗。客户期望从过去和未来的产品中获得无缝的在线体验，而 "数字优先 "的业务方法正成为强制性的。毕竟，如果这些期望得不到满足，几乎可以肯定会有一个竞争对手准备好扑向这个机会。

那么，这对现代CISO或CIO来说意味着什么？自然，这意味着他们正在雇用开发人员团队，每个人都在创造一行又一行的代码，形成他们的数字产品或服务。网络安全，虽然多年来一直是一个主要的考虑因素，但随着越来越多的商业运作在网上进行，并在攻击者的视线中，网络安全的风险因素越来越大。漏洞的影响是巨大的，但选择放弃数字化并不是一个选项。

富有创造力的CISO和CIO们正处于与他们的AppSec和开发团队一起继续打造我们的数字未来之路的首要位置。他们无疑将塑造企业、政府和公共服务在线的长期创新，但他们承担着平衡快速上市目标、高软件质量和减轻安全风险的重任。

到目前为止，这种平衡是非常难以达到的。这导致了开发团队往往是各自为政，普遍把主要精力放在提供特性和功能上，而没有考虑到他们在快速生产的代码中可能产生的漏洞。应用安全专家们不断地修复同样的错误，而相对简单的后门被打开所带来的漏洞威胁却很大。

如果我们的数据要保持安全，CISO和CIO需要对他们的团队合作方式进行创新，并自上而下打造一种积极的安全文化和共同责任。只要看看 万豪酒店因其2018年的漏洞而面临的灾难性后果就知道了。超过1.23亿美元的GDPR罚款，超过5亿条记录被盗，安全声誉一塌糊涂。这场灾难的发生在很大程度上是不安全的编码实践的直接结果，早在 2014年就在Starwoods服务器上发现了SQL注入漏洞，该公司于2016年被万豪收购。他们随后对该软件的使用显然没有从应用安全的角度进行检查。这给了恶意攻击者多年的时间来访问和获取数据，而其他漏洞，如弱口令，随着时间的推移，留下了更多的漏洞可以利用。

CIO和CISO需要非常仔细地考虑他们自己的软件安全环境的状况。一般开发人员的安全意识如何？AppSec和开发团队的合作情况如何？没有 "神奇的魔杖 "可以解决，但文化、培训和支持是可以努力和改进的。开发团队可以从组织中数据泄露风险的第一线转变为安全的超级英雄，在坏代码进入生产之前就将其阻止。

安全编码健康检查。你的安全编码是否处于生命维持状态？

你自己的开发团队适合在哪里？我创建了这个安全编码清单，以帮助CIO和CISO确定他们的开发团队是否真正有能力成为安全编码的推行者，帮助以更快、更好和更安全的代码进行创新（或者，事实上，你是否需要进行安全项目的检修）。

1.你的C-Suite的其他成员的支持程度如何？他们是否理解传统的网络安全不再是足够的？

在未来的软件中，使用过时的安全措施来确保网络层的安全是根本不够的（而且，让我们面对现实吧，反正很少成功），即使是面对半专业的黑客。在许多一致的报告中， Verizon的 "2017年数据泄露调查报告"指出，今天有惊人的35%的数据泄露是由网络应用程序漏洞引起的。

网络应用安全与网络安全同样重要；忽视这一点，不为应用安全措施的基本保护层做预算和灌输，可能会让你很容易受到侵害。

2.你的左移足够远，而且你做得足够早吗？

目前应用安全的方法是相当重的工具，重点是在软件开发生命周期（SDLC）中从右到左的移动。从定义和设计上看，这承认了这个过程是有缺陷的，并支持检测和反应的结果。安全团队正在寻找和检测已经写好的代码中的漏洞，对修复已提交的代码做出反应，而不是确保它在制作过程中没有漏洞。根据美国国家标准与技术研究所（NIST）的数据， 检测和修复已提交代码中的漏洞比在IDE中编写时防止漏洞的 成本高30倍。这甚至还没有考虑到生产延迟、重复处理和反复补救相同的众所周知的安全问题所花费的时间。

一个真正强大的安全文化坚持从左边开始，在开发者队伍中激励安全推行者，同时给开发团队提供正确的工具和培训，使其成长并以安全编码的心态行事。着重于持续的自我发展，并弯曲他们解决问题的肌肉，使他们能够成为组织的第一道防线，从一开始就防止常见的漏洞发生。

3.你是在努力培养实用的安全技能，还是只是在单向地灌输知识？

绝大多数的安全培训解决方案（在线和CBT）都集中在建立知识，而不是直接与他们的工作相关的实际技能。为了使开发人员能够茁壮成长并参与编写安全代码，他们需要定期获得上下文的实践学习，积极鼓励他们在真实环境中不断培训和发展技能。他们需要通过真实的代码实例来了解最近发现的漏洞，并且能够在他们喜欢的语言和框架中工作。这种学习经验可以有效地帮助他们了解如何在他们在工作过程中积极处理的代码中定位、识别和修复已知的漏洞。

虽然外面有很多知识渊博的老师，也有很多关于修复安全漏洞的信息，但翻阅教科书或观看数小时的视频并不能吸引很多有创造力、能解决问题的开发者的注意力，而且如果不断发生的数据泄露事件能说明问题的话，在防止漏洞进入代码方面仍然基本上没有效果。

4.你是否用实时指标来衡量你的安全编码技能？

确保在开发团队中建立安全第一的思想的一个重要步骤是收集和审查证据。这不应该是一个假设或猜测的游戏：开发人员要么有安全意识，要么没有。

衡量标准试图向开发者和他们的组织证明他们的努力工作得到了回报，他们的个人安全编码技能正在提高。你不能改善你不能衡量的东西。应该有相关的评估，这些评估应该有助于实时确定你的开发团队的进展，以及基准他们的安全编码的优势和劣势，以便持续改进。

很多时候，安全培训变成了组织的 "打勾 "活动，而没有强调确保这种培训的有效性、参与性甚至是保留。

5.你的外包供应商是否使用强大的安全编码技术？

许多组织决定将开发工作外包给第三方机构。无论他们是在国内还是离岸，他们的一般安全编码能力和实践对他们的客户来说都是一个相对神秘的东西。在最好的情况下，一个组织将收到的与安全有关的唯一形式的保证是在合同中要求交付品是 "安全 "的声明。很少有公司采取措施来验证这些开发公司的技能，因此有可能在交付软件时，没有遵循健全的安全编码做法，而是按照简报上的要求进行操作。更糟糕的是，如果采购公司没有意识到应用程序中的任何固有的安全缺陷，它就有可能将有漏洞的软件送入野外。

最常见的情况是，任何漏洞都会被专门的安全专家发现（这些人很难找到，而且成本很高），你将面临上线日期的延迟，以及可能的合同讨论，即谁需要为修复这些安全弱点付费。然而，如果你在前期很聪明，并对将要建立你的下一个应用程序的开发人员的应用安全技能进行评估，你就可以节省很多潜在的延误、挫折和现金。

6.你的开发人员是否知道最常被利用的安全弱点？

超过85%的被利用的网络应用程序漏洞是由10个已知的漏洞 " OWASP Top 10"引起的。至少，你的应用安全培训必须包括这些，以及更多的漏洞类型。你的开发人员所面临的培训挑战必须定期修订和更新，为新的编码框架或新的漏洞类型提供新的挑战。

使用真实世界的安全编码场景的精确培训应该是标准；模糊的一般知识是根本无效的。想知道这些安全编码场景是什么样子的吗？请看我们的 "编码者征服安全"博客系列；每篇文章都有一个可玩的挑战）。)

7.你有内部安全推行者吗？

每一个开发人员密集的组织都应该投资一个安全卫士，这个人将负责在开发团队中维护一个高的安全标准。他们的目的是成为任何有安全问题的人的支持联络点，并成为遵循安全最佳实践的主要推行者。

他们是安全文化拼图中的重要一环；一个优秀的安全卫士可以保持密集培训的势头，确保团队的所有成员都有他们需要的东西，并继续倡导支持。

8.你是否为你的开发人员投资了工具以使安全编码更容易？

如果你的组织是一个实行敏捷开发的组织，或者你确实面临着对公司建立的应用程序的频繁更新，那么将部分安全工作自动化是跟上疯狂的工作节奏和工作量的唯一方法之一。

在SDLC的每个阶段都有一些工具，可以作为顾问、质量把关人或检测工具。此外，有些工具在代码上运行自动测试，一旦软件进入生产阶段，就会模拟黑客的尝试。所有这些都有自己的好处和挑战，但没有一个能提供全面的、100%的保证，即应用程序中不存在安全威胁。你可以采用的首要预防措施是，你越早捕捉到弱点，就越快、越便宜地补救它，对你的业务影响最小。

具有前瞻性的CISO的下一步行动

那么，对照上述检查表，你的组织表现如何？

虽然首席信息官和首席信息官基本上被迫积极建立他们的企业DevOps和DecSecOps能力，但这并不意味着没有时间考虑和实施正确的工具和跨团队培训。安全编码技能将成为创新的武器，而不是阻碍，放弃这些技能可能意味着对公司声誉和数据的绝对破坏。这些技能代表了关键的能力，也是减少漏洞和降低风险的更便宜的长期解决方案。

一个杰出的、创新的CISO有能力自上而下地协调一个健康的安全文化；确保你的员工拥有有效执行安全最佳实践所需的东西。

Pieter Danhieux是一位安全专家，也是 "安全之家 "的联合创始人。 Secure Code Warrior.

本文的一个版本最初发表在 数字交易杂志.

今年，PCI安全标准委员会发布了一套全新的软件安全指南，作为其PCI软件安全框架的一部分。这一更新旨在使软件安全最佳实践与现代软件开发相一致。这是一个非常好的倡议，它承认了这个过程是如何随着时间的推移而改变的，需要重新思考安全标准，这些标准是在我们大多数人的生活迅速数字化之前制定的。

这清楚地表明，我们的行业更密切地参与到可适应的指导方针的想法中--这些指导方针随着我们不断变化的需求而发展--以及网络安全环境的需求，如果我们继续在安全开发过程中松懈，可能会很快失去控制。当然，PCI安全标准委员会作为银行和金融业的管理机构（例如，为我们信任的软件制定安全标准，以保护我们所有的钱、信用卡、在线交易和销售点），他们承担着大量的风险，并且有巨大的动力来减少风险。

虽然这些标准肯定比以前的版本有所改进，并在一定程度上堵住了我们在快速、创新的功能开发方面的漏洞，同时也将安全作为其整体质量的一部分assessment ，但发现我们仍然有很长的路要走，这是一个有些令人失望的现实。

不，这不是我对这一举措说 "呸，讨厌！"。事实是，这些新的安全准则根本没有使我们向左走得足够远。

我们仍然专注于测试（而且测试得太晚）。

我发现PCI安全标准框架的一个突出问题是它对测试的明显依赖。当然，软件仍然必须进行测试（SAST/DAST/IAST过程仍然有它的位置），但我们仍然落入了同样的陷阱，并期望得到不同的结果。

是谁写了一行又一行的代码来创建我们所熟悉、喜爱和信任的软件？软件开发人员。

谁拥有测试这些代码的令人羡慕的地位，无论是用扫描工具还是手动代码审查？应用安全专家。

这些专家继续发现了什么？同样的错误，已经困扰了我们几十年了。简单的东西，我们已经知道如何修复多年了。SQL注入、跨站脚本、会话管理的弱点......对这些人来说，这就像土拨鼠日。他们把时间花在寻找和修复开发人员自己多年来有能力修复的代码违规行为上，只是在他们的过程中没有把安全作为优先事项 " 尤其是现在，在敏捷开发的时代，功能交付是王道，而安全是偷走创造性过程和项目完成的胜利的格林奇。

这并不是对任何一个团队的否定assessment ；开发人员和AppSec专业人员都有极其重要的工作要做，但他们仍然在互相妨碍。这种情况只会使有缺陷的SDLC长期存在，在这种情况下，安全意识淡薄的开发人员在消极的安全文化中操作，产生不安全的代码，然后在最初写完后，还得对其进行扫描、评估和修复。AppSec几乎没有时间来修复真正复杂的问题，因为他们被那些反复出现的小问题所困扰，而这些问题如果不加以检查，仍然可能给公司带来灾难。

我们正在浪费时间、金钱和资源，让测试成为代码中安全弱点的万能钥匙。由于每隔一天就有大规模的数据泄露，这种方法显然没有发挥出最佳效果，如果有的话。这些新的标准仍然在评估最终产品的状态（也许是假设所有的开发者都有安全意识，但事实并非如此）：比如，已经建成的产品。这是修复缺陷的最昂贵和最困难的阶段；这就像建造一座漂亮的新房子，但在你搬进去的同一天，却要请一个安全小组来检查是否有危险。如果地基出了问题，试想一下，要到那个地方去解决这些问题，需要多少时间、多少费用、多少头疼的事情。简单地重新开始往往更容易，也更便宜（而对于建造第一个版本的每个人来说，这是一个完全不满意的过程）。

我们绝对必须从基础做起：让开发团队参与安全最佳实践，赋予他们高效安全编码的知识，此外，还要在每个工作场所创建和维护积极的安全文化。

这是一个学习曲线吗？是的，它是。这是不可能的吗？绝对不是。而且它不一定是一个无聊的苦差事。如果Russ Wolfes在Capital One的经验能说明问题的话，直接吸引开发人员的创造性和解决问题的特征的培训方法已经在银行和金融部门取得了巨大的成功。

我们仍在寻找完美的 "最终状态"。

如果你把更新的PCI安全标准放在它们的背景下看，比如--你的成品、用户准备好的金融产品必须遵循这些最佳实践，以获得最佳的安全保障，那么它们绝对是好的。然而，在我看来，每一个公司--不管是金融公司还是其他公司--都会有最好的机会达到一个既能代表功能质量又能代表高标准安全的软件最终状态，只要他们退一步，意识到从周期的开始就这样做会更有效率。

那个完美的最终状态？你知道，当一个产品被扫描，人工审查，结果是完美的，没有错误的时候？我们仍在寻找它。在这个时间点上，它是一个独角兽。

为什么它如此难以捉摸？有一些因素。

• 人们依赖扫描工具，但它们并不总是有效的。误报是一个令人沮丧的、浪费时间的副产品，因为即使在一起，DAST/SAST/PCI扫描也不能识别和揭示代码库中每一个可能的漏洞。当然，它们可能会给你一个明确的答案，但它们真的在寻找一切吗？攻击者只需要利用一个漏洞就可以访问你认为受到保护的东西。
• 开发人员继续犯着同样的错误。开发人员之间没有围绕安全的知识分配，也没有众所周知和记录的 "安全代码配方"（好的安全代码模式）。
• 没有强调建立一个合作的、积极的安全文化。
• 开发人员需要被赋予正确的工具，以便在他们编写的产品中加入安全因素，同时不破坏他们的创意过程和敏捷开发方法。

这些准则是软件应该遵守的安全标准的有力验证清单，但让软件达到这种状态的最佳过程还有待商榷。

我们没有不安全的软件，因为我们缺乏扫描仪，我们有不安全的软件，因为没有为开发者提供易于使用、易于理解的安全工具来指导他们。

我们现在正处在一个进化的时代。多年来，软件安全总体上是可选的。今天，它基本上是强制性的--特别是对于敏感信息（金融、医疗、社会安全......你懂的）的保管者。

PCI安全标准委员会正在帮助设定基准，但我希望看到他们--以其所有的行业自尊和影响力--努力为开发人员提供实用指南，强调充分和积极的培训和工具。目前，企业没有压力来确保他们的开发团队具有安全意识和合规性，许多开发人员也不了解那些容易修复的小错误在被那些试图造成伤害的人利用时的严重程度。

正如生活中任何有价值的事情所预期的那样，真正的变革确实需要一个村庄。而空气中的变化（希望）将使我们所有人进一步向左倾斜。

在2019年，我们应该谈论使用1959年发明的计算机语言，这似乎有点滑稽。现在没有太多的研讨会或会议专门讨论重新穿戴经典的辛格缝纫机的艺术，或更换雪佛兰帕克伍德或凯旋先驱的油箱。这些老旧的工具大多早已退役，升级为新的和更有效的模型。然而，在这里的技术领域，与其他行业相比应该是最先进的，我们仍然在使用像COBOL这样的语言，它是在同一时期发布的。

当然，这是有非常好的理由的。通用商业导向语言（COBOL）可能已经有60年的历史了，但是它的结构非常好，以至于它今天仍然有意义，并被广泛使用。

COBOL是作为一种相对简单的方式被创造出来的，它使用普通的语言组合成特定的句子和语法，对后端系统进行编程以执行数学和公式化的任务。为什么它能活到今天？简单地说，它在其工作中非常出色。从某种意义上说，它已经成为金融业和制造业等不同行业的许多大型机和核心系统的计算结构的一部分。

多年来，COBOL一直在逐步更新，最引人注目的是在2002年，它被变成了一种面向对象的语言，使新的应用程序的编程更加流畅。但在大多数情况下，COBOL在今天仍然是当年的样子：一个无名英雄，一种在后端工作的编程语言，支撑着许多现代大型机级别的应用。

COBOL的安全性如何？

不幸的是，在COBOL刚创建的时候，并没有什么安全方面的考虑。例如，许多COBOL应用程序都有一个密码程序来保护它们，但它们几乎从未对诸如暴力保护之类的东西进行加固以防止破解。再加上许多监控网络流量的现代安全工具不知道如何处理或评估用COBOL等商业语言编写的程序中发生的功能，你就会有一个等待发生的真正问题。由于缺乏对运行经典计算机语言的系统的安全监督，相当多的现代漏洞已经成功。2015年，美国人事管理办公室（OPM）被黑客攻击，超过400万美国联邦雇员的数据被暴露，责任在于他们使用的COBOL，理由是无法在这样一个古老的系统上实施现代安全措施。

几年前，安全是由熟悉COBOL和其他当时热门语言的程序员组成的军队提供的。在20世纪60年代，COBOL就像今天的Java或.Net，那些了解它的人是他们部门的摇滚明星。截至2019年，这些人可能早就退休了，尽管他们保护的系统还没有。

扩大COBOLs的前线防线

这些所谓的 "白胡子 "中有不少人被带回他们的组织，作为承包商来保卫他们以前工作过的同一台主机。在很多地方，他们的存在有点反常：在办公室的某个角落里，他们是一个秘密的老巫师小团体，他们奇怪的穿着（宽领带和三件套）和奇怪的礼貌举止与所有穿着紧身牛仔裤和男子发髻的现代潮人不太相称。然而，他们是绝对必要的，因为很少有现代程序员用COBOL和其他古老的语言进行编码。可悲的是，即使是这些最后的巫师哨兵也在逐渐消失，最终放弃了幽灵，搬到了博卡拉顿，享受真正的退休生活。

因此，现在迫切需要了解老式语言的人，以及他们所包含的安全漏洞。即使年轻人不知道如何用经典语言写代码，他们至少应该了解它们是如何工作的，以及它们潜在的漏洞。因为虽然COBOL的开发一直保持着相对静止的状态，但针对网络的威胁却在不断地发展。试图使用60年前的古老网络安全技术，如上述的COBOL密码应用程序，来保护大型机对抗现代攻击者，就好比部署一个长矛兵方阵来对抗一排太空海军陆战队--如果没有好莱坞式的奇迹，拿着长矛的人的结局会很糟糕。

无论新旧，它也必须是安全的。

这就是为什么我们相信高级培训系统的重要性，它涵盖了广泛的编程语言和框架。你看，很多安全培训选项的一个突出问题是，这些信息太过笼统，或者更糟的是，与参加培训的开发人员的日常工作完全不相关。花半天时间学习只适用于Java的漏洞并不能帮助COBOL开发者加固他们的系统，而且这只是延续了 "安全 "的想法，即一旦完成了强制性的课程，就会被遗忘。我想补充的是，对Java安全漏洞的培训并不总是适用于Java Spring开发者。安全编码在每种语言中都是不同的，甚至在框架层面上也是如此。

在我们赋予所有开发人员成为安全超级英雄的使命中，我们不会忽视一种有效的计算机语言，这种语言仍然在世界一些最有针对性的关键设施中使用。在我们的平台上，你会发现与COBOL有关的现代实践挑战和培训与当今最现代的一些编程工具（如Googles Golang）一起提供。这种灵活性确保了培训与个人相关，并符合实际情况，模仿他们的工作环境以获得最大的参与度和有效性。毕竟，建立一个强大的安全文化是对抗网络威胁的重中之重，所以培训应该是实用的（当然还有乐趣！）。

我们希望我们的行业能够达到这样的阶段：安全威胁是针对运行老旧语言的系统，还是针对最现代的移动应用程序，都不重要。我们希望每个开发者都能掌握关于这些漏洞、攻击者用来利用这些漏洞的工具和技术以及如何冷酷地阻止它们的最佳信息。面对网络安全威胁，我们永远不会投降或退缩。无论威胁或漏洞是多么现代或多久以前产生的，你总是可以求助于 Secure Code Warrior来学习如何打败它们，每次都是如此。

PS: 你认为一种古老的语言可以避免受到SQL注入的影响？再想想吧。看看你现在能不能在COBOL中找到并修复一个。

原文发表于 信息时代.这是一个更新的版本，纠正了围绕风河系统对其实时操作系统产品VxWorks的持续安全支持的定位。

英国华为网络安全评估中心最近的一份报告指出了华为软件工程流程中的重大安全问题。虽然关于这份重要报告的大部分新闻都集中在前一年未解决的问题上，但更危险和被忽视的问题是华为明显缺乏安全编码准则和采用的做法。但这是一个可以解决的问题。

对于中国电信巨头华为来说，消息越来越糟。虽然美国已经直接禁止该公司参与未来的政府工作，但英国一直比较接受这样一个事实：华为设备和代码中的许多潜在缺陷是可以修复的。英国在2010年成立了华为网络安全评估中心（HCSEC），以评估和解决华为产品的安全问题，并编写有关年度报告。然而，今年的报告尤其令人震惊。

新闻中对2019年HCSEC报告的大部分关注都与前一年的安全缺陷几乎没有得到解决有关。这包括使用风河公司的VxWorks实时操作系统的旧版本，该系统很快就会被淘汰。华为已经承诺修复这个问题（他们将得到风河系统的持续支持），但它仍然是英国大部分电信基础设施的核心组成部分。

大多数主流媒体似乎忽略了一个关键因素，即该公司开发和部署新软件和硬件的过程可能存在根本性的问题。报告指出，华为处理其内部工程方法的方式存在 "重大技术问题"。

让我们看看报告中概述的那些技术问题的一些例子。必须说，华为所做的最好的事情之一是创建安全编码指南，以帮助他们的工程师和程序员部署新代码。这些准则涵盖了广泛的最佳实践，例如使用来自可信库的已知安全版本的系统函数和进程，当然也不使用具有任何已知漏洞的变体。这在理论上是件好事，但对英国的一个华为生产系统的实际评估发现，这些准则要么从未传达给程序员，要么被他们忽视，要么根本没有执行。

该报告研究了面向公众的应用程序中的特定内存处理功能，在这种情况下，有一组留言板，作为程序的一项功能，用户被邀请添加输入。鉴于用户输入区不应被视为 "可信"，根据华为的内部准则，预计这些区域将只包含安全代码。具体来说，测试人员查看了这些生产系统中直接调用内存处理函数memcpy()、strcpy()和sprintf()的情况，众所周知，自1988年以来，这些函数有可能导致缓冲区溢出等严重安全问题。

令人震惊的是，有5000次直接调用17个已知的安全memcpy()函数，但也有600次使用12个不安全的变体。其他函数的比例也差不多。有1400次安全的strcpy()调用，但也有400次有已知漏洞的坏调用。还有2000次安全使用sprintf()，而不安全的只有200次。虽然这些函数的大部分使用都是安全的，这很好，但仍有大约20%的整体代码容易受到已知攻击。这是一个巨大的威胁面攻击区域，而且它还只考虑到了这三个内存处理函数的直接调用，而不是通过函数指针间接使用的任何实例。虽然审计人员只看了这些特定的函数，但这三个被选中的内存处理函数不太可能是唯一有问题的。

虽然华为为他们的程序员创建了一个最佳实践指南是件好事，但显然还需要做更多。概述安全期望是一个步骤，但只有当这些准则被积极遵守并为开发团队所熟悉时，它们才会有效。华为可以通过承诺对他们的程序员进行有效的培训，而不仅仅是略过如何遵循华为内部准则的基础知识，从而在提高其安全性方面取得重大进展。他们必须采取额外的飞跃，展示如何在总体上更安全地编码。编译员需要在好的（安全的）和坏的（不安全的）编码模式方面得到充分的培训，并被赋予责任，每次都要实践他们公司所宣扬的。

HCSEC报告中概述的许多具体编码问题都作为平台的一部分得到了解决和执行。 Secure Code Warrior平台的一部分，该平台培训程序员和网络安全团队始终部署和维护安全代码。平台内不断展示一些概念，如永远不要相信用户输入，永远从已建立的库中提取功能，在将其传递给服务器之前对所有输入进行消毒，以及其他许多安全编码做法。我们还关注高度具体的漏洞，并逐步展示如何避免和缓解这些漏洞。

除了熟练的培训，像华为这样的公司可以利用DevSecOps解决方案。 它直接在集成开发环境中增加了实时辅导，利用根据公司的安全准则定制的安全编码食谱，在开发人员编写代码时，充当他们在编码 "厨房 "的副厨师。这种方法可以帮助华为所有技能水平的程序员编写更好的代码，并识别潜在的漏洞，同时也允许华为的安全专家创建一个 "食谱"，坚持他们的政策并帮助执行命令。

从华为的麻烦中得到的一个核心教训是，如果程序员不知道安全编码准则，或者根本不知道如何遵循良好的编码实践，那么创建安全编码准则就毫无意义。在这种情况下，内部最佳实践指南变成了华为自己的zhilaohu；西方人称之为"纸老虎"。这是一份有很多风格的文件，但没有内容。要赋予它真正的力量，需要正确的实用工具和实际的培训项目，一个采取实践方法并建立持续知识和技能的项目。