在Secure Code Warrior ，我们坚信游戏化的力量，以吸引开发人员安全地编码，这不是什么秘密。这就是我们所做的，而且到目前为止，结果是惊人的。但是，用一个实际的视频游戏来评估潜在的新员工呢？这是否走得太远了，或者它可能是一种有效的做法？

这就是创业公司Scoutible正在做的事情，我不得不说我对他们的方法很感兴趣。Scoutible使用视频游戏来评估潜在的雇员--不是游戏化的评估，而是实际的视频游戏体验--并检查这个人在某些情况下的表现。在短短20分钟的游戏过程中，该游戏捕获了 "用于衡量候选人各种属性的数百万个数据点"，并使用这些数据点来评价候选人在有关工作中的表现。

这里有很多东西值得喜欢，也有很多东西值得学习。这个产品很灵活，可以满足客户的需求，而且它针对的是许多负责招聘的人长期以来都知道的问题。自我报告assessment ，如Myers-Briggs，只是不可靠。它们允许你 "玩弄 "这个系统，或者至少是试图这样做，因为你不完全诚实。在游戏中，你有一个目标，必须适应和解决问题以达到这个目标。这很简单，如果它像Scoutible所说的那样运作，就很有创意。我迫不及待地想听到更多关于它的消息。

游戏与游戏化

Scoutible的方法对他们的目标受众和使用案例来说是有意义的。在Secure Code Warrior 的发展历程中，我们曾经考虑过一个完整的游戏平台的价值，或者在培训中加入小游戏，但最后这个角度并没有真正为我们的目的增加足够的价值。参加我们安全培训的终端用户知道他们应该是在学习。

在我们的Secure Code Warrior 平台内，我们衡量软件开发人员的安全编码技能，同时使用基于游戏的元素来保持他们的参与。这意味着要牢记这些问题。

• 他们是否了解最常见的软件安全弱点？
• 他们能否使用框架特定的安全功能修复常见的安全漏洞？
• 他们对自己的软件安全技能有信心吗？
• 他们在安全代码方面的优势和技能差距是什么？

关怀的设计

还有一个原因，我对Scoutible的产品有强烈的共鸣。它不仅对招聘公司有利，而且对候选人也有利。并非所有你遇到的优秀候选人都擅长面试。对有些人来说，这不是他们的个性。对于其他人来说，他们可能从来没有被教导过面试的艺术，或者他们是新加入的劳动力，这是他们的第一次面试。

这是我看到的与软件开发人员相似的地方。可悲的是，在许多大学课程中，并没有对安全问题给予关注。有抱负的开发人员被告知 "你将在工作中学习它"。他们离开学校时知道如何使他们的代码工作，但他们在不知不觉中延续了我们已经对抗了20年或更久的所有相同的漏洞。

当开发人员得到这份工作并要求学习安全知识时，他们的时间比在学校时还要少。他们的工资是用来生产功能性的、有效的软件，而许多开发人员的安全培训courses ......嗯，他们很无聊。说实话吧。

如果你能让你的开发人员，不管是新的还是旧的，在没有真正思考的情况下关心安全问题呢？你如何让培训变得有趣、有吸引力，甚至有乐趣，同时也是有效的？

这就是我们的挑战，就像 "Scoutible "一样，它是一个非常真实的挑战。虽然问题非常严重，但并不意味着解决方案必须是平凡和无聊的。我们已经试过了。我们更喜欢在我们的解决方案中注入一点乐趣、刺激、竞争和参与。到目前为止，它的效果非常、非常好。

我想，如果我们能建立一个感觉像游戏的工具，并纳入适当的个性和认知属性的测试，我们就能解决我一直在研究的许多问题。

https://www.inc.com/kevin-j-ryan/scoutible-video-game-reinventing-the-hiring-process.html

在进行移动开发时，应用程序往往需要向系统申请一些权限。它们可能需要访问用户的联系人、蓝牙连接或发送短信的能力。上面提到的所有权限都是平台权限，由安卓框架定义。

但在有些情况下，这些并不足够，应用程序需要定义他们自己的自定义权限。我以我们公司为例。Secure Code Warrior 可能会创建一个应用程序，将一些私人数据保存为档案的一部分，包括用户在SCW平台上的表现。而我们希望允许另一个安全培训应用，例如DevTrainer，使用这些数据，如果用户允许他们这样做的话。这是敏感数据，用户当然不希望任何人知道这些，但SCWApp不应该完全隐藏和保护它，因为它可能是有用的。所以我们希望让用户对它进行控制。这就是自定义权限的作用。

SCWApp创建了一个自定义权限，DevTrainer请求这个权限，用户可以决定他是否要允许。这是一种常见的做法，也是限制访问白名单应用程序的好方法。

不幸的是，围绕着自定义权限有一些不直观的行为，这使得它们从安全的角度来看是有风险的。具体来说，自定义权限可以由任何应用程序在任何时候定义，而且 "第一个赢"，这种策略会带来一些后果。

对于下面的场景，我们定义了两个我们在上面介绍的应用程序配置文件（所有这些应用程序都是虚构的，用于示范目的）。

1. SCWApp：定义自定义权限的应用程序，并使用该权限对组件进行防御。

2.DevTrainer：这个应用程序定义了与SCWApp相同的权限，并向用户声明它希望持有这个权限。

这是一个常见的场景，被称为 "同行应用案例"。如果DevTrainer应用只是SCWApp的一个插件，它就不必定义自定义权限。在这种情况下，假设SCWApp会在DevTrainer之前被安装，不会发生意外的行为。如果用户确实先安装了DevTrainer，那么用户不会被告知请求权限的事情。如果用户后来安装了SCWApp，DevTrainer就不会被追溯性地授予权限，所以DevTrainer应用程序使用安全组件的尝试将会失败。

这就是同行应用案例的意义所在。在某些情况下，你不能期望一个应用程序在另一个之前被安装。比如说，如果Facebook和Twitter都想使用对方的组件，他们必须定义对方的自定义权限。

然而，这就是它变得棘手的地方。如果DevTrainer应用程序首先被安装，用户不会被告知其对自定义权限的请求。在这一点上，即使没有通知用户，DevTrainer也持有自定义权限，可以访问安全组件。

它变得更加棘手。DevTrainer应用程序可以改变权限保护级别。安卓系统不使用防御者的保护级别，而是使用首先定义的保护级别，这意味着哪个应用先安装，就可以定义它。这意味着，如果DevTrainer将权限级别改为正常，那么未来任何请求此权限的应用程序都不必经过用户确认，而是自动获得访问权。

这个方案的灵感来自于cwac-security github上对这个问题的解释。

"首战告捷 "的策略有一些危险的后果，不知道它的行为可能会导致开发人员根据不受信任的输入做出安全决策，并允许非预期的应用程序访问敏感数据或受保护的服务。要了解更多关于避免通过不受信任的输入作出安全决定的信息，请访问我们的平台。这种行为从安卓5.0（Lollipop）开始改变。但由于目前有超过22%的安卓设备仍在运行较低版本的安卓系统，因此在你的应用程序中减轻原始行为的风险非常重要。检查该权限是否已经在你的应用程序首次运行时被定义，如果是这样的话，请采取适当的措施来解决任何安全风险。

祝你编码成功，下周见。

通过定义自定义权限，一个应用程序可以与其他应用程序分享其资源和能力。

https://developer.android.com/guide/topics/permissions/defining.html

侧信道攻击是指黑客可以从软件系统的物理实现中收集信息，而不是从算法的理论弱点或软件代码的错误中收集信息。

我喜欢用一个例子来更清楚地说明这一点，就是一个做用户名枚举的方法。如果你想知道什么是用户名枚举，或者为什么它是坏的，请访问我们的网站获取视频解释，或者玩一个挑战，看看你是否能在代码中识别它。

现在，为了理解如何通过侧面渠道攻击进行用户名枚举，你需要对现代网络应用中如何处理密码（或至少应该如此）有一些了解。一个好的网络应用程序不知道你的密码，它不会把你的密码保存或储存在任何地方。那么，它怎么知道你输入的是正确的，而且是你的密码呢？嗯，你的密码是散列的。

散列函数是一种数学运算，它很容易以一种方式进行（尽管计算上有些昂贵），但很难逆转，对于好的散列算法，输出是唯一的，取决于输入。当你在一个网站上注册时，该散列值被安全地存储，而不是你的密码本身。这意味着，每次你登录时，网络应用都会对你的输入进行散列，并将散列结果与存储的散列进行比较。如果你想了解更多关于安全的密码存储，你可以在我们的平台上进行。

哈希输入需要在计算机上花费一些时间，开发人员总是试图优化他们编写的一切，以使用户有一个流畅的体验。有一件事可以加快程序的速度，那就是在不需要的时候跳过散列。例如，当用户名不存在时（因此不需要检查密码），他们可以立即响应用户。这样他们就可以跳过对密码进行哈希运算的缓慢计算。如果用户名是正确的，他们将对输入的密码进行散列，并将其与存储的散列进行比较。

在这一点上，你可能已经猜到了事情可能出错的地方。尽管在现实中哈希运算只需要几毫秒，但黑客可以利用这个额外的延迟来找出他输入的用户名是否正确，因为一个错误的用户名会有一个稍快的反应，因为没有进行哈希运算。这种类型的旁门左道攻击被称为定时攻击，它是一个很好的例子，说明不同的非功能需求是如何相互抵消的。有时代码不能同时做到快速和安全。

因此，尽管密码处理得很完美，而且显示的信息是通用的，没有提示密码或用户名是否错误，但系统仍有漏洞。解决方法很简单，总是对密码进行哈希处理，或者将发送回复的时间推迟到哈希处理所需的时间。

获得的信息可以被攻击者用来获得系统中的用户列表。这些信息可以用来攻击网络应用程序，例如，通过暴力或默认用户名/密码攻击。

https://www.owasp.org/index.php/Testing_for_User_Enumeration_and_Guessable_User_Account_(OWASP-AT-002)

在计算机系统上删除文件是很棘手的。每个人，甚至是你的母亲，以前都删除了太多的文件，并且很高兴发现它还在垃圾桶里，能够恢复它。

计算机系统中的数据是由一个比特序列表示的。这意味着系统需要在文件系统中做一些簿记，以知道哪些比特代表哪个文件。这些信息包括文件的大小、最后修改的时间、文件的所有者、访问权限等等。这些记账数据与文件内容分开存储。

通常，当一个文件被删除时，代表该文件的比特不会发生任何变化，但记账数据会被改变，以便系统知道这部分存储现在没有意义，可以重新使用。直到另一个文件被保存在这个位置，并且这个位置的比特被覆盖，你通常仍然可以恢复被保存的数据。这不仅提高了删除文件的速度，而且往往是撤销删除的一个有用的功能。

然而，这种方法也有弊端。当计算机系统上的一个应用程序处理敏感信息时，它将把这些数据保存在文件系统的某个地方。在某些时候，当不再需要这些信息时，这些数据可能被删除。如果没有采取额外的措施，这些数据可能仍然可以恢复，即使开发者的意图是删除所有数据。

彻底清除这些数据的最简单方法是用随机数据重写文件内容（有时甚至是多次重写）。现有几种安全删除文件的方法，它们在不同的存储类型和文件系统中有所不同，如Gutmann方法。然而，对于日常应用的使用，这些方法有点矫枉过正，你可以自己覆盖数据。

但要小心！不要使用所有的零或其他低熵数据。不要使用所有的零或其他低熵数据。许多文件系统可能会优化写入这种稀疏的文件，并留下一些原始内容。建议在删除文件本身之前，生成安全的随机数据来覆盖整个文件内容。

数据残留是指以某种方式被删除的数据的残留物理表示。在存储介质被擦除后，可能有一些物理特性允许数据被重建。

https://fas.org/irp/nsa/rainbow/tg025-2.htm

BSIMM 8已经出来了!太棒了。这是对大型组织为生产安全软件所采取的安全实践的唯一的大规模研究。

这项研究是由应用安全专家在Gary McGraw的监督下进行的，确保收集到的数据是一致的、准确的，并能深入了解30万名开发人员的日常工作。在我最近的演讲中，我提到了BSIMM的数字，我提到平均每100名开发人员中有2名应用安全专家。

然而，自BSIMM4以来，情况就不是这样了。BSIMM8报告说，这个数字更少了，现在是每100个开发人员中有1.6个。雇用更多的应用安全专业人员是根本行不通的，因为现在人才短缺。我们比以往任何时候都更需要给开发人员提供工具和培训，以编写安全的代码，这些代码是可以动手的，随时可以使用的，并且可以为组织扩展。

该报告还显示，培训实践中最常见的活动是为所有员工提供意识培训，占67%。我开始绘制我们在Secure Code Warrior （SCW）的培训实践中所做的工作，并意识到我们的解决方案可以勾选培训实践中的所有12项活动，从一级（大多数公司做）到三级（极少数公司做）。

一个单一的解决方案，可以用来覆盖整个实践。在12个培训实践中，对Secure Code Warrior 解决方案最感兴趣的实践是。

• 第1级：提供认识培训
• 第1级：提供按需的个人培训
• 第2级：通过培训加强卫星（SCW指标）。
• 第3级：通过课程奖励进阶（SCW徽章）。
• 第三级：为供应商或外包工提供培训（SCW评估）。
• 第三级：主机外部软件安全事件（SCWTournament 模式）
• 第三级：通过培训确定卫星（SCW指标）。

你有信心你目前的解决方案能解决这些实践问题吗？

为什么一个开发者应用安全培训计划比另一个产生更好的效果？

在我担任SANS培训师的10多年时间里，以及在过去三年里创建和建立Secure Code Warrior （SCW）的过程中，我看到了将时间和资源投入到使培训项目产生最佳效果的价值。

在我们销售的第一年，我们公司让超过10,000名开发人员参与了安全代码培训，我注意到在那些最有效的推广者中有一些趋势。他们的结果让人心动：参与度高，安全意识提升，在安全弱点变得昂贵之前及早发现，从而获得了强大的项目投资回报。

我不想承认，但也有一些人采取了 "低强度 "的方法，试图通过发送带有培训链接的电子邮件来推广一个项目。毫不奇怪，它的效果并不理想，我们不得不纠正这些推广的做法。

下面，我将分享我所认为的五条重要经验，这些经验将极大地提高任何开发人员安全培训项目的参与度、影响力和成功率，包括我们的项目。

1.如果你想让你的项目产生影响，就在开球时投入一些乐趣

做一个特别的启动日活动，或者给你的项目一个电影/怪异/游戏的主题，可以从一开始就对兴奋度和参与度产生很大影响。我们的一个大客户围绕着一个流行的电视剧创建了一个完整的幻想项目，有T恤衫、徽章和贴纸，使整个培训项目成为一个没有开发者愿意错过的体验。另一个以《星球大战》为主题的活动，在5月4日方便地举行。一点点的乐趣对帮助员工加入进来有很大的帮助，使短暂的重要的开发人员安全代码技能培训感觉像是工作中的休息，而不是另一个需要完成的任务。里程碑#1实现了，我们已经引起了他们的注意，他们也知道了这个项目。

2.找到合适的开发人员安全培训冠军（提示：他们需要的是沟通技能而不是安全技能！）。

能够在每个Scrum团队中找到合适的安全推行者，对于持续的项目成功至关重要，尤其是在大型组织中。根据我的经验，并不是所有高技能的安全或开发人员专家都有高度发达的人际关系和/或沟通技巧。最好的安全推行者，那些能给你的项目带来积极的持续影响的人，是那些对安全充满热情，并且有很强的人际关系、影响和沟通技巧的人。明智地选择并考虑到个性和沟通技巧。

3.拥有认可技能的酷炫奖励

一般来说，每个计算机极客 " 包括开发人员 - 都喜欢他们的智慧和技能被认可。当你用特定的身份贴纸、极客小工具、特殊的徽章或定制印刷的T恤衫来奖励他们，承认他们的技能，他们会自豪地穿着或展示。如果有人在培训项目中取得了重大成就，就必须想办法让他们得到认可和曝光。我在一个客户那里看到了一个伟大的举措，他们定期为他们的Secure Code Warrior 冠军拍照，并在员工通讯中与公司CISO的照片和信息一起发布。

4.不要试图让你的开发人员成为安全专家

虽然你想通过帮助你的开发人员安全编码，使他们成为安全计划中的 "第一道防线"，但这并不意味着他们需要成为企业中最深入的安全专家；或者你应该不断向他们推送新的安全漏洞和数据泄露案例。虽然安全很重要，但他们的首要目标往往是建立一个伟大的产品或服务，并跟随企业的步伐。如果你用太多的安全问题让别人超负荷工作，你就有可能让他们失去动力。关键的经验教训是，他们需要了解基本的安全卫生知识，并用工具支持他们安全地编码，但他们不需要成为公司的安全专家。

5.不要衡量培训，要衡量影响

不要衡量你的开发人员参加了多少小时的培训，也不要衡量他们看了多少视频，而是在你开始在每个团队进行培训之前，通过代码分析、bug悬赏或经典的漏洞测试来衡量在开发生命周期中被发现的弱点的数量。 如果你的培训计划是有效的，那么被发现的漏洞的数量就会减少。第二件要衡量的事情是修复一个漏洞所需的时间。如果一个开发人员要花一个月的时间来修复它，这清楚地表明他们不了解如何做，但如果他们能在一个小时内修复它，你就知道他们掌握了这些技能。这就是聪明的公司采用的两个指标来衡量其开发人员安全编码培训的影响。

关于如何推出有效的开发人员安全培训的5条重要经验。

1. 如果你想让你的项目产生影响，就在开球时投入一些乐趣
2. 找到合适的开发人员安全培训冠军（提示：他们需要的是沟通技能而不是安全技能！）。
3. 拥有认可技能的酷炫奖励
4. 不要试图让你的开发人员成为安全专家
5. 不要衡量培训，要衡量影响

来自弗吉尼亚理工大学的研究人员在分析了最受欢迎的开发者论坛（Stack Overflow）上的数百个帖子后发表了一篇论文。他们研究了围绕安全问题的类型，社区给出的最受欢迎的答案以及对代码软件工程师的影响。

对于在网络安全领域工作了一段时间的人来说，这并不是一个真正的惊喜，但从开发者的角度来说，需要对这个问题有更多的认识。

• 编码框架（如JAVA Spring）所提供的安全功能过于复杂，且文件不全。
• 相当多的开发人员似乎不了解编码选项的安全影响，显示出缺乏网络安全培训的情况
• 这些论坛上的许多建议和 "修复 "并不安全，但却得到了积极的投票，因此评级较高。

报告提出了以下解决方案。

• 劳动力再培训
• 半自动化的安全漏洞检测和修复

我们需要从一开始就使安全问题对开发者来说变得简单，并将其内置，以保持今天企业运作的速度。

"这项工作的意义在于，我们为大量令人震惊的安全编码问题提供了经验证据，这些问题以前没有报道过，"该论文说。"这些问题是由多种原因造成的，包括对企业安全应用的需求迅速增加，软件开发人员缺乏安全培训，以及安全库设计不当"。

https://www.theregister.com/2017/09/29/java_security_plagued_stack_overflow/

本月早些时候，比利时的虫子赏金猎人。 Inti De Ceukelaire披露了一个影响到数百家公司的创造性黑客。该技巧涉及利用有缺陷的 业务逻辑以获得对内部网、社交媒体账户或最常见的Yammer和Slack团队的访问。你可以在 Inti自己的博客文章.我对想出这个漏洞所需的创造力印象深刻，并对其中的过程感到好奇，所以我决定问Inti一些问题，现在我和你分享他的答案。

你好，Inti，你能向我们的读者简单介绍一下自己吗？

我是Inti，Intigriti和Hackerone的错误赏金猎人。我住在Aalst（比利时），每天都在破坏东西。

上周我读了你的博文，关于你后来所称的'车票把戏'，我对你找到这个漏洞的创造力印象深刻。你是如何想到要尝试这个技巧的？

我参加了漏洞赏金计划，这意味着某些网站向发现独特漏洞的负责任的安全研究人员提供资金。由于竞争很激烈，你需要不断寻找别人还没有发现的东西。我认为Slack是一个有趣的攻击媒介，因为它经常持有敏感信息，有时只需要一个有效的公司电子邮件。于是我拿起啤酒，躺在沙发上，开始思考所有可能的攻击载体。突然间，我有了这个疯狂的想法--而且事实证明它成功了。我一般会尝试所有进入我脑海中的东西。尽管这只奏效了几次，但却得到了回报;-)

作为一个通常在对面工作的人，试图确保代码的安全，我经常想知道一个pentesting会话是什么样子。 你在哪里工作？这是你在空闲时间在沙发上做的事情吗？还是你坐在办公室里？

白天，我在一家名为Studio Brussel的电台担任数字创意编码员。这涉及到一些编程和一些社交媒体，但没有安全问题。我尽量不把我的爱好和我的专业工作混在一起。我担心如果我这样做，我会失去我的创造力。我不经常黑客：每周最多几个小时。它可以在桌子上，在沙发上或在我的床上--只要在那一刻是舒适的。

你如何开始？你有一个小抄吗？你是否有一些输入来测试是否有足够的输入验证或输出转义？

我真的很混乱，所以我没有一个真正的检查表，我只是用我的直觉。大多数时候，我从一个叫侦察的东西开始：列出所有有趣的目标信息、子域、IP地址，任何我可以找到的东西。在我开始黑客攻击之前，我试图看到更大的画面并理解商业逻辑。如果你只寻找标准的、教科书上的漏洞，你会错过很多更聪明和复杂的缺陷。当涉及到输入时，我试图在一个有效载荷中涵盖尽可能多的漏洞。每当我发现一些有趣的东西时，我就会用它玩上一阵子，往里面扔上很多废话，只是为了看看系统对它的反应。最好的漏洞往往可以在网络应用程序的更远的地方找到，所以我尽量深入挖掘。

你认为怎样才能成为一个好的五角大楼？你有什么诀窍可以与我们分享吗？

我不是一个entester，所以我不能真正代表一般的entester，但我认为动机和毅力是最重要的资产。大多数人甚至不会考虑在谷歌寻找安全漏洞，因为他们有世界上最好的工程师，但他们每年都会支付数百万的bug赏金。我在一个目标上工作了2年多，现在我开始接触到真正有趣的bug。这需要一段时间。普通的entesting的问题是，无论测试人员是否发现关键漏洞，他们都会得到一定的奖励。我相信在Facebook中仍然有很多漏洞，只是需要有人愿意深入挖掘。

当你意识到 "车票把戏 "的规模时，你的第一个想法是什么？

我的心情很复杂。我感到很惊讶，并立即想到我可以用它来收集错误的赏金，但另一方面，我对这种情况的发生感到震惊。每当你发现这样的东西时，你突然拥有了大量的珍贵信息，恶意的一方会非常感兴趣的。披露过程是一个艰难的过程：你需要尽可能多地通知受影响的公司，但另一方面，你需要确保信息不会被泄露或滥用。

为什么你决定在收集更多的赏金之前发布信息？

做正确的事比收集赏金更重要。我认为我有我的公平份额，现在想回馈社会。此外，几个月来我一直在向公司通报这个问题，所以越来越多的人知道这个问题。我不希望它被泄露或被有不良企图的人滥用。

你对受影响公司的回应有何感受？

大多数的回应都是令人满意的。有些公司其实并不关心这个问题，但到了最后，这是他们的损失。作为一个安全研究人员被拒绝是游戏的一部分。至少我没有收到任何诉讼。10年前，情况可能会是这样的。

最后一个问题，在reddit上，我读到你要求8000美元的bug赏金，你有什么很酷的计划来花这些钱吗？

总的来说，我从这个错误中得到了超过20,000美元。其中一半以上用于缴税。我把剩下的钱花在正常的事情上，比如旅行，出去吃饭，......没什么疯狂的。)

非常感谢你的时间，祝你在未来的狩猎中好运！"。

这个错误仍然存在。它并不是可以马上被修复的东西。在过去的几个月里，我联系了几十家公司和受影响的供应商，作为他们的漏洞赏金计划的一部分，以便使他们的设置得到修复。

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c

如果我们看一下任何组织，无论是公共的还是商业的，有两件事我们可以保证。首先，他们的产品和服务越来越数字化，这意味着他们涉及软件开发人员创建的代码行。第二，这些数字企业面临着来自传统和非传统竞争对手的压力，在一个更加动态和全球化的世界中运作。

在这种环境下，首席信息官已成为新的创新者，并处于权力和影响力的地位。然而，加快上市速度、提高质量和增加灵活性的强大压力导致了复杂的、分布式的开发团队，他们专注于特性和功能的快速开发，而没有意识到他们可能造成的漏洞。

现在比以往任何时候都更需要一种新的工作方式。你只需要看看Equifax最近的漏洞所造成的核损害，那是不安全的编码造成的。CIO和CISO应该仔细考虑他们的开发团队是否是风险的第一线，或者他们是公司的安全推行者，是公司真正的 "第一道防线"。

我创建了这个安全编码检查表，以帮助CIO和CISO考虑你是否已经将你的开发团队设置为安全编码的推行者，他们可以帮助你以更快、更好和更安全的代码进行创新。

1.你的C级主管是否认识到，传统的网络安全是不够的？

使用传统的安全措施确保网络层的安全已经不够了，而且无论如何都很少成功，即使面对半专业的黑客。在许多赞同的报告中，Verizon的2017年数据泄露调查报告中指出，今天35%的数据泄露是由网络应用程序漏洞引起的。网络应用安全与网络安全一样重要。

2.你是否从一开始就考虑到安全问题？

目前的应用程序安全工具侧重于在软件开发生命周期（SDLC）中从右向左移动。这种方法支持检测和反应，这意味着安全团队检测编写的代码中的漏洞并作出反应来修复它们。根据美国国家标准与技术研究所（NIST）的数据，检测和修复已提交代码中的漏洞比在IDE中编写代码时预防漏洞的成本高30倍。更不用说在补救问题时产生的时间延迟了。安全代码冠军从SDLC的最左边开始，重点是不断培训他们的开发人员进行安全编码，这样他们就可以成为他们组织的第一道防线，从一开始就防止漏洞。

3.你是否真正建立了安全技能，而不是只提供知识？

大多数培训方案（在线和课堂）都集中在建立知识而不是建立技能。 对于开发人员来说，他们需要定期获得实践学习的机会，让他们积极地学习和建立他们的安全编码技能。他们需要在真正的代码中，以及在他们自己的语言/框架中学习最近发现的漏洞。这种学习经验应该帮助他们了解如何定位、识别和修复代码中的已知漏洞。

4.你是否用实时指标来衡量你的安全编码技能？

重要的是要创造证据，向开发者和她的组织证明开发者的安全编码技能正在提高。你不能改善你不能衡量的东西。你的评估应该有助于实时识别你的开发团队的进展，以及对他们的安全编码的优势和劣势进行基准评估。

5.你确定你的外包供应商应用了安全编码技术吗？

许多组织决定将开发工作外包给大型的在岸或离岸开发公司。在最好的情况下，组织对安全的唯一保证形式是在合同中声明要求交付的产品是 "安全的"。很少有人真正验证这些开发公司的技能，最终得到的软件并没有遵循良好的安全编码实践。最坏的情况是，他们不知道这些，并开始使用该应用程序。 最常见的情况是，他们被专门的专家发现了（你为此付出了代价），而你面临的是延迟上线，以及关于谁需要为修复这些安全弱点付费的合同讨论。聪明一点，先评估一下将为你建立下一个应用程序的开发人员的应用安全技能。

6.你的开发人员是否了解最常见的安全弱点？

85.5%被利用的网络应用程序漏洞都是由10个已知的漏洞 "OWASP Top 10 "引起的。你的应用安全培训至少需要覆盖这些漏洞和更多的漏洞类型。你的开发人员完成的挑战需要不断地被修改和更新，包括新的编码框架或新的漏洞类型的挑战。

7.你有内部安全推行者吗？

每一个开发人员密集的组织都应该投资一个人，让他在你的开发团队中倡导安全。他们的目的是为任何有安全问题的人提供支持性的联络点，同时在团队中倡导安全编码和安全架构实践。

8.你是否为你的开发人员投资了工具以使安全编码更容易？

在应用程序有许多变化的环境中，或者在实行敏捷开发的环境中，将安全的部分自动化对于跟上节奏和数量是至关重要的。在开发生命周期的每个阶段都有一些工具，可以作为顾问、质量门或检测工具。你应该有IDE插件，可以专注于某些类型的安全漏洞，并在开发人员编写代码时像拼写检查员一样行事。还有一些与构建过程集成的工具，可以在代码提交到代码库时检测某些类型的弱点。还有一些工具在代码上运行自动测试，一旦软件进入生产阶段就模拟黑客技术。所有这些都有自己的好处和挑战，没有一个能100%保证没有安全问题。黄金法则是，你越早抓住弱点，补救弱点的速度就越快，成本就越低，对企业的影响就越小。

随着首席信息官们积极建立他们的企业敏捷能力，安全编码技能将成为创新的武器，而不具备这些技能将成为毁灭的工具。 在你跳过这个关键能力之前，请三思而后行。

你的组织是如何对照这个检查表的？

随着首席信息官们积极建立他们的企业敏捷能力，安全编码技能将成为创新的武器，而不具备这些技能将成为毁灭的工具。在你跳过这个关键能力之前，请三思而后行。