这篇文章的一个版本出现在 黑暗阅读.它已被更新并在此转发。

‍

最新的人工智能工具一经推出，就引起了人们的热议，开发人员和编码狂热者纷纷使用这些工具一键生成代码。安全专家很快就指出，在许多情况下，生成的代码质量低劣、易受攻击，如果落入缺乏安全意识的人之手，可能会导致不安全的应用程序和网络开发大量涌向毫无戒心的消费者。

还有一些人掌握了足够的安全知识，却将其用于作恶。每一次令人惊叹的人工智能壮举，似乎都会有同样的技术被用于邪恶目的的反击。网络钓鱼、深度伪造诈骗视频、恶意软件制作、一般的脚本恶作剧......这些破坏性活动都能以更快的速度、更低的门槛实现。

当然，也有很多点击率很高的广告，把这种工具吹捧为革命性的，或者至少在与 "一般 "人类技能相匹配的情况下能够胜出。虽然法律硕士式的人工智能技术将不可避免地改变我们处理许多方面工作的方式，而不仅仅是软件开发，但我们必须退一步，考虑头条新闻之外的风险。 

作为编码伴侣，它的缺陷也许是它最 "人性化 "的特质。

低劣的编码模式是其主流解决方案

由于 ChatGPT 是在数十年的现有代码和知识库基础上训练出来的，因此，尽管它神奇而神秘，但也存在着人们在浏览代码时所面临的常见缺陷，这一点也不足为奇。糟糕的编码模式是普遍现象，这仍然需要具有安全意识的驱动程序通过提出正确的问题和提供正确的工程提示来生成安全的编码示例。 

即便如此，也不能保证所提供的代码片段从安全角度来看是准确和实用的；正如 Mike Shema 发现的那样，该技术容易产生幻觉，甚至在被要求执行某些特定 JSON 操作时编造出不存在的库。这可能会导致威胁行为者进行 "幻觉蹲守"，他们很乐意伪装成 ChatGPT 信心十足地推荐的编造库来制作恶意软件。

归根结底，我们必须面对这样一个现实：总体而言，我们并没有期望开发人员具备足够的安全意识，作为一个行业，我们也没有让他们做好充分准备，将编写安全代码作为一种默认状态。这一点在输入 ChatGPT 的海量训练数据中显而易见，而且我们可以预期，至少在最初阶段，它的输出结果也同样缺乏安全性。开发人员必须能够识别安全漏洞，并自行修复或设计更好的提示，以获得更稳健的结果。

斯坦福大学的研究人员进行了首次大规模用户研究，考察用户如何与人工智能编码助手互动，以解决各种与安全相关的功能：

"我们观察到，与对照组的参与者相比，能够使用人工智能助手的参与者更有可能在大多数编程任务中引入安全漏洞，但也更有可能将其不安全的答案评为安全答案"。

这说明人们默认信任人工智能编码工具的输出结果，认为它们生成的代码总是固有安全的，而事实上并非如此。

考虑到这一点以及未来不可避免的人工智能威胁，开发人员现在比以往任何时候都更需要磨练自己的安全技能，并提高代码质量标准，无论其来源如何。

好心办坏事

人工智能编码伴侣的流行不足为奇，尤其是当开发人员面临着越来越多的责任、越来越紧迫的期限，以及肩负着公司创新的雄心壮志时。然而，即使用心良苦，如果在使用人工智能进行编码时缺乏可操作的安全意识，也将不可避免地导致明显的安全问题。所有使用 AI/ML 工具的开发人员都将生成更多代码，而代码的安全风险程度将取决于他们的技能水平。企业需要清楚地认识到，未经培训的人员肯定会更快地生成代码，但他们也会加快技术安全债务的速度。

即使是我们对 ChatGPT 的初步测试（2023 年 4 月）也显示，它会生成一些非常基本的错误，而这些错误可能会带来毁灭性的后果。当我们要求它使用 MySQL 数据库在 PHP 中创建一个登录例程时，功能代码很快就生成了。但是，它默认在数据库中以明文存储密码，在代码中存储数据库连接凭证，并使用可能导致 SQL 注入的编码模式（不过，它确实对输入参数进行了一定程度的过滤，并吐出了数据库错误）。从任何角度看，这些都是新手错误：
‍

‍
进一步的提示确保了错误得到纠正，但纠正错误需要大量的安全知识。

当然，就像初级开发人员的技能无疑会随着时间的推移而提高一样，我们也期待人工智能/ML 的能力会不断提高。一年后，它可能不会再犯如此明显和简单的安全错误。但是，这将会大大提高追踪更严重、更隐蔽、更非同小可的安全错误所需的安全技能。

我们在发现和修复安全漏洞方面仍然准备不足，而人工智能扩大了这一差距

虽然 "向左转移 "的说法已经流传多年，但事实仍然是，对于大多数组织而言，开发人员严重缺乏实用的安全知识，我们必须更加努力地提供合适的工具和教育，帮助他们继续前行。

目前，我们还没有做好准备来应对我们习以为常的安全漏洞，更不用说像提示注入和幻觉蹲守等人工智能带来的新问题了，这些问题代表着全新的攻击载体，将像野火一样燎原。人工智能编码工具确实代表着开发人员编码武器库的未来，但现在就必须进行安全使用这些生产力武器的教育。

‍

是时候将敏捷原则应用于安全代码培训了

在大多数组织中，安全代码培训的传统方法是将其作为一个有独立开始和结束的时间点的练习。随着企业在数字时代发展得越来越快，这已经不够好了。所有类型的组织都需要采取持续的学习策略，将其嵌入到开发人员的日常工作中。雇用新的安全技能是一个答案，但这种人才是稀缺的，而且这种方法不能扩展。就像敏捷实践已经超越了软件开发中的瀑布式方法一样，敏捷现在正在彻底改变开发者的安全培训。敏捷在软件方面的好处是把工作分成小块，在下一个冲刺的基础上分层，以确保在一个连续的、迭代的循环中以高速度成功交付。同样，安全代码的敏捷学习也被分解成小的、可消耗的部分，逐步分层，并以迭代的方式紧密地整合在开发者的工作流程中。有了敏捷，开发人员可以更有效地学习，更快地内化安全技能，并几乎立即写出更安全的代码。  

传统安全培训与安全代码的敏捷Learning Platform

敏捷学习是一套价值观和原则，它框定了人们如何更快、更有效地内化知识。在他们的敏捷学习宣言中（如下图1所示），Gartner定义了四个价值和八个原则。

这四个价值代表了如何思考员工培训的新思维。学习是工作的一个组成部分，其价值在于业务成果、成长心态、实时嵌入培训和社区复合。这些价值观是学习计划的北极星，也是八项原则的框架，我们在此简单介绍一下。

1. 从学习到挣钱： 将公司的财务目标和能力需求与开发人员的技能提升联系起来。 
2. 激励倍增： 获得一个有效的安全技能建设平台，开发人员可以将其应用于他们的职业发展，从而激励他们学习更多知识
3. 适时的微爆发： 2至25分钟的小段学习内容在此刻浮出水面，提供背景，帮助开发者建立相关的、可用的技能
4. 动态途径： 安全内容可以以不同的形式提供，开发人员可以以最适合他们学习风格的模式进行自我服务
5. 渐进式分层： 掌握基础的安全代码概念后，再进行更高级的知识和实践。
6. 价值交付的流程： 安全代码的概念被嵌入到开发人员已经居住的工具和空间中，因此他们不需要离开他们的工作就能获得培训。
7. 数据驱动，人工智能支持： 技术动态地调整课程并进行个性化学习，使开发人员保持在正确的轨道上，为他们提供在课堂上无法获得的定制体验。 
8. 社会性的放大：建立一种学习文化，在这种文化中，安全编码技能受到赞誉，开发人员参与友好竞争以及知识共享，使整个企业受益。

介绍一下安全代码的敏捷learning platform 

在过去的十年中，Secure Code Warrior ，将敏捷原则融入到我们的设计中learning platform 。我们打破了传统安全培训的模式，提供了以开发人员为中心的、灵活的学习体验，在多个方面为客户带来了2到3倍的商业价值提升，从降低风险和成本到提高开发人员的生产力。但是，什么定义了敏捷的learning platform ？安全代码的敏捷learning platform ，具体如何使开发人员快速内化新技能并立即投入工作？是什么让安全代码的敏捷学习比传统的安全培训更好？ 在这篇系列博文的第一篇中，我们将探讨SCW敏捷Learning Platform ，如何体现出敏捷的价值和原则。

嵌入在价值交付流程中的动态路径和及时的微爆发 

安全代码的敏捷learning platform ，为学习者提供了不同的方式来消费内容，提高他们的知识，并内化新的技能。它为开发者提供了动态的途径，让他们在需要的时候，在小型的、可消费的、及时的微爆内容中找到最适合自己的内容。用户可以在我们的平台上选择最适合他们的学习形式。他们通过视频、指南和演练 获得安全概念，这些都是在微爆中浮现的。 这些功能提供了基本的概念--特定漏洞的 "什么 "和 "如何"。 由于这些内容是在他们每天使用的开发工具（如Jira）中提供的，因此这些概念可以更好地落地，更有意义，从而使它们被内化。

SCW平台体现了渐进式分层的敏捷原则。在初步熟悉了安全代码的概念后，开发人员可以进入实践的互动模块，如挑战、 missions和编码实验室 ，在那里他们可以练习前面介绍的基础概念。 这些模块适应不同的技能水平和学习风格，让开发人员可以选择如何学习--动态路径。 

‍

实现从培训到敏捷学习的转变

将你的方法从安全培训转变为安全代码的敏捷学习是一种强大的方式，可以使你的开发人员队伍，重新获得浪费的开发人员时间，并将这些时间用于更有成效的项目。 在这篇文章中，我们只介绍了Secure Code Warrior平台的一些功能，以及它们如何体现敏捷学习策略的原则。在下一篇文章中，我们将展示安全代码学习的商业案例，并展示该平台更多受敏捷启发的功能。

关于Secure Code Warrior

Secure Code Warrior 为您的开发人员提供编写安全代码的技能。我们的learning platform 是最有效的安全编码解决方案，因为它使用敏捷的学习方法让开发人员学习、应用和保留软件安全原则。超过600家企业信任Secure Code Warrior ，以实施敏捷学习安全计划，快速交付安全软件，并创建一个由开发人员驱动的安全文化。准备了解更多吗？ 申请一个演示。

这篇文章最初是作为福布斯技术委员会的一部分出现的。它已被更新并在此转发。

‍

你认为在2022年有多少数据记录被泄露？如果你猜测在5亿左右，那你就猜对了。根据公开的违规数据，仅去年就有约480,014,323条记录被盗，但这个数字可能要大得多。在任何情况下，对于普通公民来说，这是一个令人清醒的统计数字，对于任何企业安全专业人员来说，这也是一个令人深切关注的问题。

我们已经到了这样一个地步：发达国家的大多数人可能已经看到他们的一些个人数据通过成功的网络攻击落入犯罪分子手中，因此，世界各国政府正在寻找解决方案，以阻止这种破坏性的在线犯罪活动。拜登政府以《国家网络安全战略》的形式发布了最新的内容，我正以极大的兴趣关注着。该战略包括围绕我最近最喜欢的话题之一的指令：安全问责制。

该战略是在CISA网络安全和基础设施安全总监Jen Easterly的一次开创性演讲后发布的，可以理解它在安全界引起了一些分歧。然而，我相信它代表了我们在全面提高软件标准方面的最佳机会，并最终迎来了一个具有安全技能的开发者的新时代。

供应商本应一直 为不安全的软件负责。

几十年来，在软件安全方面，问责制是一个烫手的山芋，没有哪个团队会去玩这个游戏。高管和团队往往对谁是软件安全的最终责任人有强烈的分歧，来自Venafi的一份报告显示，97%的高级IT主管同意软件构建过程不够安全，但对谁是实现安全最佳实践的最终责任人却存在分歧。61%的高管表示，IT安全团队应该承担起软件安全的责任，而31%的人表示这应该是开发团队的责任。而这只是问题的一部分：软件构建中的开源和第三方商业组件问题是攻击面的不断扩大。即使在AppSec和安全团队之间，也很少有一个明显的 "所有者"，尽管在更新、监控和测试方面需要持续保持警惕。

这项调查还表明，尽管在谁应该对软件安全和完整性负责的问题上存在内部冲突，但94%的高管认为应该对那些未能保护其构建管道免受威胁者影响，并将客户和最终用户置于风险之中的软件供应商进行处罚。 

最近，Uber的CISO因其对2016年毁灭性网络攻击的管理不善而被起诉，以及GDPR等监管举措，我们慢慢看到那些通过降低安全优先级来玩火的供应商的风险在增加。然而，这根本是不够的。我们正在输掉与网络犯罪分子的战斗，虽然这是一颗难以吞咽的药丸，但正是软件供应商的宽松做法为他们提供了无限的机会，让他们茁壮成长。 

国家网络安全战略旨在划清界限，通过将不安全软件的全部责任分配给供应商来停止循环指责游戏。

让我们来看看：

战略目标3.3--转移不安全软件产品和服务的责任：

"太多的供应商 "无视安全开发的最佳实践，用不安全的默认配置或已知的漏洞来运送产品，并整合未经审核或来历不明的第三方软件。

我们必须开始将责任转移到那些未能采取合理预防措施以确保其软件安全的实体身上，同时认识到即使是最先进的软件安全程序也无法防止所有的漏洞。"

这可以理解为激怒了一些人。但是，正如大多数行业的标准和法规发展中的其他决定性时刻一样，这是中期的痛苦，以确保更好的长期结果。作为一个软件供应商，当涉及到安全问题时，责任必须由我们来承担是有道理的。这是我们的构建管道、我们的流程和我们的质量控制，如果我们失误了，那么我们就有责任进行补救。

此外，我们应该在一个地方寻求创建尽可能高的质量的软件，而安全编码必须是定义成功结果的指标的一部分。在这个不惜一切代价注重速度的世界里，实现这一目标是一个很高的要求，但这取决于指导我们未来的安全领导人，以确保软件创建过程中的每个人都得到充分的培训，以便在他们的角色范围内提供安全最佳实践，特别是开发人员。 

我们仍然缺乏对长期最佳做法的指导。

战略目标3.3确实参考了成熟的NIST安全软件开发框架作为其一般最佳实践的基础，这些是全面的、包罗万象的准则。他们确实明确指出需要 "确保组织的人员、流程和技术准备好在组织层面上进行安全软件开发"，但对于安全意识经理在选择启用解决方案时应注意的因素并没有特别的规定。

为了使该方法真正具有变革性，应将开发人员视为安全计划的组成部分，并给予一切机会来提高他们的技能并分担检测和根除漏洞的责任。如果没有超级相关的上下文学习和工具，他们就无法以可衡量的方式实现这一目标，如果这被认为是年度合规性工作，而不是持续的技能发展途径，他们也无法实现。 

当涉及到破解安全之谜时，开发人员是一块强大的拼图，而一个具有安全技能的开发人员团队基本上是大多数组织中缺少的成分。他们使安全的速度成为可能，但只有当时间和资源被用于在团队中解锁的时候。在此之前，世界上所有的一般最佳实践指南都将无法起到推动作用。

通往软件安全涅槃的漫长道路。

拜登政府已经承诺为CISA提供30亿美元的资金，目的是实现整个关键基础设施的快速恢复能力。虽然来自政府最高层的资金和支持是至关重要的，但我们要想有机会挫败威胁者，就必须在全球范围内推动改写安全文化的故事。

前面的路还很长，但它始于每个软件供应商在组织层面向安全责任迈出勇敢的第一步。

2023年3月20日，Spring Security Advisories发表了一篇博文，提到了一个内部发现的漏洞CVE-2023-20860。没有披露详细的信息，只是说这是一个关于使用mvcMatchers的访问控制问题。Spring的开发人员已经修复了这个问题，并建议进行版本更新。

你想亲身体验一下吗？在这里尝试一下任务。

由于安全是我们的主要关注点 Secure Code Warrior我们决定深入研究这个mvcRequestMatchers漏洞，找出核心问题所在。

Spring提供了RequestMatcher接口来确定一个请求是否符合路径模式。请看下面的代码片段，其中mvcMatchers辅助方法被用来注册端点以及它们的认证和授权要求。例如，我们可以看到，只有ADMIN角色的用户可以访问/logs/audit 端点。 

MvcMisMatchers?

在Spring中， **是一种模式，可以匹配URL中任何数量的目录和子目录。例如，/bankaccount/**将匹配所有以/bankaccount/开头的URL，包括子目录，如/bankaccount/dashboard/settings。 

*模式是一个匹配任何URL的模式，并且正好有一级子目录。例如，/bankaccount/* 将匹配bankaccount/dashboard。

当用*配置匹配器时，Spring表示"Spring Security和Spr ing MVC之间的模式匹配发生了不匹配"，从而产生了这个漏洞。

从本质上讲，由于双通配符前面没有分隔符，路径不匹配传入的请求，因为所有传入的请求都以斜线为前缀。这意味着访问控制规则没有被应用，允许任何未经认证的用户访问资源。

让我们看看修复该问题的提交。

最突出和重要的变化是增加了第315行，它解决了绕过授权和认证规则的问题。它确保任何提交的路径模式，都以正斜杠（/）为前缀。 

404 未找到匹配项

当向/bankaccounts/view 发送网络请求时，匹配方法将解析并比较安全过滤器中定义的模式与请求的路径。解析器将把给定的模式变成一棵树的路径元素。

解析器读取第一个字符作为SeparatorPathElement。然后它继续读取字符串字符，直到下一个分隔符，创建一个新的LiteralPathElement。

那么，用**作为模式时，哪里出了问题？ 

虽然有很多路径元素类型，但这里最有趣的是WildcardPathElement和WildcardTheRestPathElement，它们分别用字符串表示：*和/**。 

WildcardPathElement匹配单个路径段中的零个或多个字符，而WildcardTheRestPathElement匹配零个或多个单独的路径段（包括分隔符）。

后者给了我们一个线索，说明在提交**作为模式时出了什么问题。在解析过程中，它寻找模式，但**并没有以预期的正斜杠开始。所以它没有成为WildcardTheRestPathElement，而是变成了两个连续的WildcardPathElements。

接下来，解析后的模式被用来与请求的URL匹配。路径应以正斜线开始，但通配符不与分隔符匹配。

这意味着返回的不是一个RequestMatchResult，而是一个null。因此，放在这个匹配器上的访问控制规则不会被应用到所请求的URL上。

Spring通过预加斜线解决了这个问题。换句话说，任何**模式都会变成/**，这意味着它可以被解析为WildcardTheRestPathElement，并且会返回一个RequestMatchResult，因为该模式现在与请求的URL相匹配。

漏洞还是API滥用？

这是否应该被认为是一个漏洞是值得商榷的，因为该代码是按预期工作的。问题基本上在于Spring文档中没有明确提到路径应该以分隔符开始。因此，这可以被认为是一个滥用API的案例，而不是一个错误或漏洞。

这篇采访最初出现在 网络新闻.

‍

尽管安全工具和服务很普遍，但公司仍在努力跟上不断变化的威胁形势。

这可以归因于开发人员缺乏安全意识和培训，这可能导致风险代码被发布并被恶意行为者利用。虽然像防病毒软件或强大的漏洞扫描解决方案这样的安全措施可以增加一层安全，但我们今天的嘉宾解释说，这一切都始于一个以安全为重点的开发团队。

为了讨论如何培训开发人员识别和减轻安全威胁，CyberNews的团队与Pieter Danhieux进行了会谈，他是一家公司的首席执行官兼联合创始人。 Secure Code Warrior该公司提供了一个learning platform 和一套以开发人员为中心的工具，协助开发团队浏览安全漏洞。

你的旅程是怎样的？Secure Code Warrior 的想法是如何产生的？

作为一个年轻的书呆子，我着迷于拆解技术，以发现里面有什么，以及它如何工作。令我的家人和我们共同的电器感到欣慰的是，我最终对硬件和软件采取了同样的方法，寻找突破和打破它的方法。多年来，我专注于与学生、同事和安全社区分享我的 "破解 "技能，展示如何发现、使用和滥用软件中的错误。后来，我重新专注于提高防御者的技能，在课堂环境中教给开发者良好、安全的编码模式，并帮助他们了解常见的漏洞以及如何避免它们。我还从事咨询工作，为大公司提供建议，帮助他们改进安全计划，特别是在开发人员参与方面。正是在这段时间，我与现在我在Secure Code Warrior 的创始团队建立了联系。我们一起了解到安全和开发团队在处理代码级漏洞时面临的痛点，以及大多数针对提高开发人员安全技能的培训方案存在的问题。我们开始着手设计一个learning platform ，它可以在企业层面上进行扩展，同时仍然保持对开发人员的乐趣和吸引力。最终，我们希望创建一套适合开发者工作环境的工具，减少破坏性，并帮助他们建立安全第一的心态。而且，我们着手使之尽可能地具有语言的灵活性和内容的丰富性。

你能向我们介绍一下你的工作吗？你们帮助驾驭的主要挑战是什么？

最终，我们支持企业通过消除代码中使用不良安全模式所带来的安全摩擦和延误来加快他们的软件开发。我们已经创建了一个learning platform 和一套以开发人员为中心的工具，协助开发团队浏览常见的安全漏洞，其中许多漏洞已经存在了几十年，并继续使公司暴露在网络风险中。他们持续存在的原因是，开发人员缺乏培训和技能来补救这些代码级别的问题，并且经常通过持续使用不良的编码模式和技术来引入这些问题。他们没有在高等教育阶段学习安全编码，大多数工作场所的培训计划在提供与他们日常工作相关的内容方面是无效的，此外，由于频率太低，无法真正对代码质量和安全产生长期的影响。我们的解决方案力求提供有吸引力的相关技能发展，改变编码行为，帮助他们在现实世界中把安全放在第一位。我们越来越多地与开发人员最熟悉的环境相整合，我们对上下文学习的关注给了用户保留关键教育成果的最佳机会。我们还努力以一种帮助开发人员从积极、有趣的角度看待安全问题的方式，奖励成功并建立社区。

由于学习安全编码对一些人来说可能听起来很乏味，你是如何做到让你的培训既有效又有娱乐性？

我们的旗舰网站learning platform 是以开发人员的参与为前提而设计的。最受欢迎的功能之一是Tournament 模式，参与者可以与他们的同伴测试他们在培训中获得的知识。每一个正确的答案都有分数，并且在整个tournament 。我们在社区活动和会议上开展这些活动，我们的一些客户已经做了令人难以置信的复杂的主题，每个人都穿着服装来。这是一个很好的团队建设经验，也是用披萨、奖品和打破常规的完美时间来庆祝对提高技能的承诺。此外，我们的内容一般有60多个编程框架，使用他们在日常工作中会实际看到的真实代码片段。相对于观看视频或年度合规考试而言，当内容与实际问题高度相关并有助于解决实际问题时，保持参与要容易得多。

你认为现在的开发者遇到的主要挑战是什么？

我认为有一点很重要，那就是开发人员想做得很好，但他们在教育或职业方面没有得到充分的安全保障。这也是他们从安全角度所面临的许多问题的关键。他们还倾向于将安全视为其职责范围之外的事情，在绝大多数组织中，他们的KPI不包括任何与安全编码结果相关的内容。如果我们要看到代码级漏洞数量的变化，这种现状需要被打破。然而，开发人员需要正确的支持和工具，以成为我们希望看到的变化，挑战在于有效的赋能，给他们时间进行培训，并在现在投资提高技能，以实现以后的安全速度。

最近发生的全球事件对你的工作领域有何影响？

虽然每个企业无疑都感受到了当前全球气候对其目标、预测和预算的一些影响，但迄今为止，我们很幸运地度过了这场风暴。网络安全是大多数企业不可谈判的要素，我们努力保持与客户和潜在客户对话的一部分。

在开发软件或应用程序时，组织应遵循哪些最佳实践？

每个组织都有其细微的差别，但一般来说，那些以最佳安全实践运作的公司都愿意跳出框框，尝试不同的方法。他们不会忘记人的力量对安全结果的积极影响。在大多数情况下，开发人员在安全计划中不是一个巨大的考虑因素。然而，面对世界范围内的安全技能差距，不可能在短时间内得到填补，具有安全功能的开发人员可以帮助降低风险，并从软件创建的角度实现合规性。他们可以在流程的最早和最便宜的阶段产生影响。

除了安全编码工具，你认为还有哪些措施或做法不仅可以提高，而且可以保障企业的运营？

每个企业都应该有某种基于角色的安全培训。有大量的威胁存在于代码级别的漏洞之外，威胁者试图利用这些漏洞，所以组织中的每一个人都需要对安全原则有一些定期的基础知识，因为它们适用于他们的工作。在这个意义上，从办公室经理到会计团队的每个人都应该理解和接受他们在网络安全行动和意识方面所扮演的角色。

鉴于目前的经济环境，CISO在以最低成本保持企业安全方面面临很大压力，您对他们有什么建议？

在这种环境下，CISO确实需要运用一些创造力，特别是随着网络安全立法的要求越来越高，在某些情况下，导致CISO在发生漏洞时要承担个人责任。再加上裁员，你就会发现，在编写同样数量的软件时，更少的工程师将被要求承担更多的责任。CISO可以通过解决拖累他们的主要路障之一来帮助企业实现成功：安全。

到目前为止，解决代码级安全漏洞和错误配置的最便宜的阶段是在软件发货之前，这自然使开发人员处于减少这种风险的首要位置。然而，他们需要有针对性的支持来实现这一目标。如果他们为工程组群提供以开发人员为先的工具，并考虑到他们当前的工作流程和技术堆栈，那么安全的速度是可能的。他们需要能力来实现高速的安全准确性，这最好通过向他们展示如何使用安全的编码模式和更快地修复事情来解决。

对于全面的开发人员培训的成本，你基本上可以致力于从源头上消除漏洞，在软件开发生命周期（SDLC）后期节省时间和金钱。随着大规模攻击的频繁发生，CISO所承担的责任比历史上任何时候都要多，我们必须停止指责网络安全技能短缺的落后。优先考虑防御性安全实践，提升已经在你面前的人员。

Secure Code Warrior ，未来会怎样？

我们希望继续创新，在我们推向市场的解决方案中把开发者放在首位。我们专注于使他们能够在不影响功能交付速度的情况下提供安全性，也不影响他们在处理多个优先事项时的理智。

我们的目标是协助企业彻底改变他们的防御性安全计划，我们希望支持安全的开发者成为这个故事的英雄。请注意这个空间。

本文首发于 SC 杂志.


CISO 发现自己的处境越来越困难：他们需要保护更多的资产、发送更多的代码、减少更大的攻击面，而资金却在迅速减少。网络安全被视为成本中心，这是一个无法回避的事实，尽管企业的安全计划是阻止威胁行为者成为明天灾难性头条新闻的关键，但安全领导者必须做更多的工作，以对执行机构有意义的语言来推销和证明该部门的整体业务价值。

世界一流的首席信息安全官们正迎难而上，领导着全面的安全计划，以提高客户信任度和品牌声誉，并利用所有可用工具创造无可争议的价值。首先要对常见的安全隐患采取战略性的预防措施，并抛弃时间、资源或人员永远不够的观念，以保持安全的卓越性。

改变会议室的讨论方式。

在当前的经济环境下，很少有公司和部门能够逃脱对其花费、招聘以及对业务目标的战略影响的审查。虽然现代企业需要一个庞大的网络安全计划似乎是毋庸置疑的，但这对企业来说是一笔不小的开支，而且从投资回报的角度来看也并不直接合理。

企业高层领导和董事会利益相关者需要清楚地了解网络安全投资计划的预期成果，而不是仅仅停留在电子表格的数字上。他们的技术知识水平和理解能力各不相同，因此首席信息安全官必须努力用通俗易懂的信息来阐述他们的理由。解释计划的规模、需要保护的内容以及需要启用的人员，以提供同类最佳的范例。攻击呈上升趋势，但预算却跟不上，要打好这一仗，首先要在口头上证明其价值。

一直以来，人们都在说，无论在哪个行业，每家公司都在迅速成为一家技术公司。在大多数企业中，数字优先已成为常态，这意味着一个巨大的攻击面，需要最好的保护措施。安全领导者身兼数职，但有一点却被忽视了（直到为时已晚），那就是他们本质上是客户信任的守护者。这一点作为价值主张怎么强调都不为过，它与销售和营销目标一样重要。 

证明预防性安全方法的价值。

当前的网络安全统计数据令人震惊，但要想赢得更多预算，利用虚假信息和恐吓通常是徒劳无益的策略。很少有公司的领导团队成员会认为网络安全不是优先事项，但如果能提出利用现有资源取得更好成果的进取战略，他们就更有可能接受增加预算。 

根据 Neustar 国际安全委员会最近的研究，只有 50% 的公司认为他们有足够的预算来解决已知的网络安全问题。而随着 2021 年至 2022 年全球网络攻击增加了 38%，对于普通的 CISO 来说，未来的道路可能会更加艰难。然而，真正的世界级安全领导者能够超越这些痛点，在逆境中不断创新。

在许多情况下，预防比治疗更容易、更直接，网络安全也不例外。全面的安全计划必须远远超出被动应对措施的范畴，而漏洞管理是许多首席信息安全官最关心的三大问题之一，因此开发人员是这一运动中不可或缺的一部分也是合情合理的。他们需要接受实践教育，正面应对常见的安全漏洞，帮助他们从源头上消除这些问题，确保它们永远不会进入生产阶段。现在，我们不能再继续原谅低质量、不安全的代码，而提高开发人员的技能是迄今为止最具成本效益、最有效的解决代码级漏洞的方法。 

首席信息安全官们必须努力保留现有预算，详细说明基于角色的安全技能提升的好处，尤其是对开发人员的好处，这比在臃肿的安全技术堆栈中添加下一个 "银弹 "来得更快。

安全应成为品牌的基本要素。

大多数首席信息安全官并不是因为热衷于市场营销而进入这个职位的，但这是你可以努力的一个方面，至少在向那些掌握钱袋子的人介绍你的情况时是这样。 

网络安全计划对客户信任度和品牌忠诚度的影响无论怎样强调都不为过，大规模的漏洞可能会导致客户大量流失。与此相反，通过将严格的安全措施与品牌核心价值相结合，您就会发出一个明确的信息，即数据隐私和保护不仅是首要任务，而且是客户可以依赖的东西。 

现代的首席信息安全官必须花时间强调安全策略和政策的竞争优势，因为这关系到客户持续的积极情感和信任；仅靠被动的安全措施不会产生同样的影响，而采用一种平衡的方法，利用一切可用资源重点保护特权资产，才能最终脱颖而出。 

我们不能再找借口了，但首席信息安全官们在为真正的转型安全战略寻求充足资金时，可以强调很多令人信服的理由。

本文原载于 SD Times.本文已更新并在此联合发表。

‍

在现代社会的大部分时间里，技能验证一直是我们生活的一个方面，它赋予我们有效性，为我们打开一扇扇原本无法打开的大门。例如，对于大多数人来说，驾驶是一项重要的成人仪式，我们需要通过一系列标准化的评估，以确认我们可以驾驶一台重达四千磅、时速超过一百英里的机器。失误，尤其是高速行驶时的失误，可能会让你失去这项特权，甚至是人命。

但是，如果对某些人来说，驾驶不仅仅是日常的便利，而是一种精英职业呢？一个人可以继续他们的技能提升之旅，并有可能成为一名 F1 赛车手，在那里他们可以操作比任何普通人都要快的机器，而不会在高速行驶中出现巨大的失误。 

为此，令人费解的是，大多数开发人员在开发关键基础设施、汽车、医疗技术等所有领域的代码时，都没有首先验证自己的安全能力。另一方面，有安全技能的开发人员已经多次证明他们了解如何安全地构建事物，为什么还要因为所有的安全门而在不断放缓的开发流程中与其他人一起排队呢？业界认为这不是疏忽，而是常态。 

我们通过广泛的研究发现，大多数开发人员根本没有将代码中的安全性放在首位，而且缺乏必要的常规教育，无法解决许多常见的安全漏洞。他们往往是导致安全速度看起来像痴人说梦的部分原因，许多支持安全的开发人员感觉自己被困在高速公路的慢车道上，跟在一群学车者的后面。 

尽管如此，安全领域仍在缓慢前进，对开发人员拥有经过验证的安全技能并能立即投入工作的需求也在不断增加。拜登政府关于改善国家网络安全的行政命令特别要求对美国政府软件供应链中的任何供应商及其开发团队的安全实践进行评估。按理说，大多数部门对开发人员安全技能的重视程度只会与日俱增，但在几乎没有行业标准评估的情况下，企业如何证明自己的安全计划正在提高可验证的开发人员安全技能，而又不会使交付陷入困境，或阻止具有安全意识的开发人员展翅高飞？

基于成绩的访问控制：它能行得通吗？

最低权限安全控制是许多企业的主流，其理念是根据每个角色的工作需要，分配其对软件、数据和系统的访问权限，仅此而已。这种方法，尤其是与零信任授权原则相结合时，有助于全面控制攻击面。实际上，我们应该将同样的策略应用到 API 权限以及其他基于软件的标准用例中。 

我们大多数从事安全业务的人都清楚地意识到，软件正在吞噬整个世界，而运行空气炸锅的嵌入式系统代码就其可被利用的可能性而言，与维持电网正常运行的代码并无二致。我们的生命和关键数据都受到威胁行为者的摆布，每个开发人员都必须明白，如果受过适当的教育，他们有能力强化自己的代码。这需要对组织的安全文化进行认真的升级，但要真正实现 DevSecOps 式的责任共担，开发人员确实需要一个理由来更加关心他们所扮演的角色，而转变他们心态的最快方法也许就是将代码库访问与安全编码学习成果挂钩。

以 BFSI 领域的企业为例，很有可能存在包含客户数据或存储信用卡号等有价值信息的高度敏感存储库。那么，我们为什么要假定每个获准访问的工程师都具有安全意识，符合严格的 PCI-DSS 要求，并且能够快速、顺利地对主分支进行更改呢？虽然有些人可能确实如此，但在这些知识得到证实之前，限制对这些精密系统的访问要安全得多。

面临的挑战是，在大多数公司中，制定 "代码授权 "方案将是一项艰巨的任务，而且根据培训解决方案的不同，有些过于人工化，无法支持任何类型的安全速度目标。不过，综合教育和工具的正确组合可以成为开发人员驱动的防御性安全策略的核心。 

有效的培训整合并非不可能。

找到与高速业务目标和工作流程相辅相成的开发人员技能提升解决方案是成功的一半，但要想切实减少代码级漏洞，就必须克服 "一劳永逸 "式的合规性培训。对于成功证明自己的开发人员来说呢？编码世界是他们的天下，他们不必受到安全控制的束缚，因为安全控制认为他们无法掌握基础知识。 

与开发环境无缝集成的实践技能提升为工程师提供了真正理解和应用安全编码概念所需的环境，这些集成可用于有效管理对关键系统的访问，确保那些在学习成果方面表现出色的人能够不受阻碍地执行最高优先级的敏感任务。它还能更容易地实施奖励和表彰，确保安全技能开发人员被视为同组人员中的佼佼者。 

就像生活中的许多事情一样，幸运总是眷顾勇敢的人，而打破现状，采用开箱即用的方法来验证开发人员的技能，正是我们在不牺牲速度的前提下提升未来可接受代码质量标准所需要的。

本文的一个版本刊登在 黑暗阅读.


在大多数企业经历增长、创新和数字化转型的起伏时，随着公司规模的扩大，一些领域仍在进行中是很自然的事情。企业的网络安全计划往往就是这种情况，尤其是当安全领导者努力领先一步应对新的威胁、漏洞和增加风险的技术发展时。

然而，由于技能人才的持续短缺与为满足全球软件需求而编写的大量代码不相适应，许多企业的网络安全战略和现有基础设施正在落后。而且，由于整个行业似乎都在固守以工具为基础的方法，在一个有效的防御计划中，技术人才的力量往往被忽视。 

现在是时候坦诚地审视我们的整体网络安全成熟度，并评估我们眼前可行的速赢方案了。

可持续的网络安全成熟度是一个过程。

公众很容易认为，每家企业都会有一个强大的网络安全计划，只需选择正确的软件并激活它，就能像力盾一样阻止威胁行为者。2022 年是有记录以来网络事件最严重的年份之一，其中包括整个哥斯达黎加政府被勒索赎金，许多安全专业人士只希望事情能这么简单。 

虽然许多行业（尤其是金融行业）都以合规为导向，并受到日益复杂的监管框架的约束，需要采取严格的安全措施，但现实情况是，大多数组织都缺乏网络复原力。全球半数以上的大型企业无法有效阻止网络攻击，也无法迅速发现和修复被利用的漏洞。 

即使是被视为先进的组织，拥有明确、成熟的计划，包含人员、流程和技术三重威胁的最佳实践，也很难跟上威胁环境的快节奏要求。许多公司在基于角色的安全意识方面存在不足，尤其是开发团队。虽然企业中的每个人都必须了解他们在减少攻击面方面所扮演的角色，但那些日复一日处理代码的人可能会成为真正的安全转型方法的主导者......只要他们能够得到充分的培训。 

一个全面的防御性安全计划需要不断改进，需要认真打好坚实的基础。如果这些基础主要以工具为基础，那么其成熟度很可能低于安全领导者所期望的水平。Ponemon 研究所的一项研究显示，53% 的企业不相信他们的安全技术堆栈能有效阻止入侵，而人为错误是导致大小公司成功遭受网络攻击的主要原因，因此，将开发人员排除在战略安全提升计划之外无异于玩火自焚。 

让开发人员成为卓越软件安全的推动力

围绕网络攻击的一个令人不安的事实是，几乎在所有情况下，攻击者都对目标企业具有明显的优势，无论他们的安全成熟度处于什么阶段。他们有时间、工具和动力，可以细致地扫描任何可以利用的薄弱环节，专心致志地突破防线，达到目的。

另一方面，企业需要兼顾业务和客户需求，虽然他们无法承受网络攻击带来的巨大风险，但为了适应大量的安全控制措施而放慢业务运营速度也是不现实的，因为这些措施最终可能会阻碍业务的开展。因此，具备安全技能的开发人员是网络防御成果的X因素。

长期以来，开发人员一直无法以有意义的方式分担安全责任。组织可以为开发人员创建可行的技能提升途径，但他们需要选择能够以对其世界有意义的方式提供相关课程材料的教育选项。至少，应该用他们常用的语言和框架来传达，并解决他们在代码库中最有可能遇到的漏洞。 

当courses 在结构上考虑到开发人员的工作流程时，就更有可能用良好、安全的模式取代那些导致常见漏洞和错误配置长期存在的不良编码模式，从而随着时间的推移显著提高软件质量。仅今年一年，低质量软件就给美国造成了 2.41 万亿美元的损失，而这只能通过打破错误循环来弥补，因为错误循环会维持高风险的技术债务。

这需要整个组织致力于实施一项更积极、更全面的安全计划；一项利用必要的人力，在以人为本的问题上有所作为的计划。如果不成为明天的头条新闻是必要的，那么这种努力肯定是值得的。

本文原载于 安全大道.

今年早些时候，PCI 安全标准委员会公布了支付卡行业数据安全标准（PCI DSS）4.0 版。虽然企业在 2025 年 3 月之前不需要完全符合 4.0 标准，但这次更新是迄今为止最具变革性的一次，将要求大多数企业评估（并可能升级）复杂的安全流程和技术堆栈元素。除此之外，还需要对开发人员实施基于角色的安全意识培训和定期安全编码教育。

这对 BFSI 领域的公司来说是一个大好机会，可以认真提升其安全计划，开创以人为本的网络复原力新时代。 

做好 PCI DSS 4.0 准备的最大挑战是什么？

正如一个组织的安全计划包罗万象，其业务需求和可用资源错综复杂，新的 PCI DSS 标准也涵盖了很多方面。然而，它们揭示了在满足安全要求的方法上向灵活性的明显转变，而在一个工具、威胁、策略和合规措施都可能在瞬间发生变化的行业中，这一点意义重大。

PCI DSS 4.0 的理念是，有许多方法可以实现同样的目标，即实现密不透风的安全最佳实践。事实的确如此，但它似乎最适合安全成熟度较高的企业，而且会给企业留下很大的犯错空间，尤其是对于那些对其真正的内部安全成熟度缺乏现实assessment 。归根结底，企业必须做好准备，将安全作为一个持续发展的过程，而不是一次性的 "设置和遗忘 "工作。必须建立强大的安全文化，并在整个组织范围内致力于提高安全意识。 

而那些代码级的工具--开发团队--他们必须能够在任何处理数字资产和交易的商业环境中提供合规、安全的软件。 

你的开发人员是否准备好交付合规的软件？

开发人员是实现软件安全卓越状态不可或缺的一部分，这一点与 PCI DSS 合规性尤其相关，而不仅仅是象征性的 PCI DSS 合规性。开发人员必须了解 PCI DSS 4.0 的全貌，了解他们可以控制的内容，并将其集成到软件构建的默认方法中。 

三个关键领域代表了与开发团队最相关的变化，它们可以细分为以下几点：

• 认证：一个可行的访问控制计划一直是PCI合规性的关键部分，然而，4.0版本将这一问题提升了一个档次，需要在内部和外部仔细实施。多因素认证（MFA）将成为标准，围绕密码复杂性和超时的规则也将得到加强。
  
  随着认证和访问控制的安全问题现在是普通开发人员可能面临的最常见的问题，当务之急是推出精确的培训，以帮助他们识别和修复实际代码中的这些问题。
  
  
• 加密和密钥管理：在我们运作的世界中，我们可以通过多个访问点访问我们的一些最敏感的信息，例如我们的网上银行。由于这些高价值的数据面临风险，加密和强大的密码学实践是必须的。开发人员必须确保他们拥有最新的知识，了解信息在哪里传输，用户如何访问它，甚至在信息落入坏人手中的情况下，确保它无法被威胁者读取。
  
  
• 恶意软件： 在以前的指南中，围绕软件保护恶意代码的安全控制被称为 "反病毒软件"，但这过度简化了应该是一个多层次的方法，其保护范围远远超过病毒。反恶意软件解决方案必须在任何必要的地方应用，并且必须持续记录和监控。
  
  同样重要的是，开发人员有学习的途径，包括识别易受攻击的组件，特别是在大多数代码库至少部分依赖第三方代码的情况下。

什么才是对开发者的 "足够 "的培训？  

与之前的建议类似，PCI DSS 4.0 建议开发人员 "至少 "每年接受一次培训。然而，如果这意味着每年一次就足以成为安全软件创建的接触点，那么这远远不够，也不可能产生更安全、更合规的软件。 

开发人员的教育应该从OWASP前10名的基础教育开始，以及任何其他与语言相关和业务关键的漏洞。这应该是一个持续的计划的一部分，目的是继续加强这些技能，不仅从一开始就将安全嵌入到软件开发中，而且还嵌入到他们的心态和角色方法中。此外，开发团队和他们的经理必须非常清楚角色和责任。安全应该是一个共同的责任，但是记录下期望值并确保它们能够得到适当的满足才是公平的。

有了为 PCI DSS 4.0 合规性做准备的准备时间，就有可能在整个组织的安全文化改进方面取得重大进展，而这正是培养最具安全意识的开发团队的沃土。

‍