为何SQL注入是应用安全领域的蟑螂（以及CISO如何彻底根除它们）

有一种广为人知的理论认为，蟑螂几乎能抵御任何灾难，甚至包括核爆炸。尽管该理论仅在一定程度上成立，但其简单的身体构造使其在同等体型生物中具有超强的抗性，在多数环境下都难以彻底根除。

我一直在思考……如果蟑螂在数字世界有对应物，那便是代码中的SQL注入漏洞（SQLi）。这种漏洞已存在二十余年，但各类组织却屡屡中招。塔吉特公司那场影响广泛且代价高昂的攻击事件，正是源于SQL注入漏洞；伊利诺伊州选举系统遭黑客入侵导致20万选民记录外泄的案例亦是如此。这促使联邦调查局紧急建议所有IT管理员立即采取行动，强化安全防护措施。

Imperva黑客情报计划报告显示，2005至2011年间，83%的已报告数据泄露事件均利用了SQL注入攻击。时至今日，注入漏洞仍稳居OWASP十大安全漏洞榜首。这类漏洞虽相对简单，却始终难以根除。

令人难以置信的是，这种漏洞竟仍在大量应用程序安全扫描中频频出现。我们既了解其运作机制，也掌握了防范方法。这究竟是怎么回事？事实是，我们的软件安全体系仍存在巨大的改进空间。

Veracode的《2017年软件安全状况报告》——基于40万次应用程序扫描数据——揭示了一项令人震惊的统计数据：仅有30%的应用程序通过了OWASP十大安全政策检测。 过去五年间，这一问题始终反复出现——近三分之一的新扫描应用程序存在SQL注入漏洞。这表明该问题已呈瘟疫式蔓延：我们未能从过往错误中汲取教训，而首席信息安全官们似乎正面临一场艰苦卓绝的战斗，以期获得足够的安全人才储备。 通常应用安全专家与开发人员的比例严重失衡，达到1:100。

为什么软件安全处于危急关头？

众所周知，安全领域的人才十分稀缺，但我们同样需要关注的是：开发人员并未及时修复问题，且显然缺乏防范措施来避免漏洞的产生。Veracode的同一份报告披露，在所有开发漏洞中，仅有14.4%具备文档化的缓解措施。 换言之，多数漏洞在开发阶段未采取任何缓解措施。不到三分之一的漏洞能在90天内修复，更有42%的漏洞在整个开发周期内始终未被修复。

我经常与安全专家、首席信息安全官和首席执行官交流，有趣的是，我发现许多企业因发现大量无法缓解的漏洞（更不用说所谓的误报问题）而感到沮丧，最终干脆停止漏洞排查工作，只能祈祷一切顺利。

为什么应用安全专业人员会允许这种情况发生？

别误会：应用安全人员对代码问题有着清醒的认识。毕竟，这正是他们成为团队宝贵资源的核心能力之一。然而，他们常常受到多种因素的制约。

例如，应用安全管理员发现问题后会询问开发人员："你能修复代码吗？" 这个关键问题的答案因组织而异，但通常开发人员为满足严格的功能交付期限已竭尽全力，既无时间修复漏洞，也缺乏有效的工具辅助。应用安全专家虽能识别漏洞，却常因缺乏技术能力或权限而无法即时修复。

我们还必须意识到，每个问题都需要经历寻找解决方案、实施并验证的过程。即便是在代码中发现最微小的缺陷，其修复所需的时间和资源投入也极为可观。软件中可能存在的漏洞超过700种，任何人都无法单独防御所有威胁。 正因如此，多数企业仅遵循OWASP十大安全风险清单。与此同时，开发者仍在持续创建新功能，而他们编写的代码中也持续存在着安全漏洞。

解决方案是什么？

简单的事实是，我们并未为开发人员提供必要的工具和培训来促进安全编码的成功。没有任何法规要求组织确保开发人员具备相应的安全技能，而更令人遗憾的是，大多数大学和实习项目也未能为年轻开发者提供安全编程的准备。

当有人想驾驶飞机时，必须经过极为严格的流程：确保其接受过专业培训、具备实践经验、通过体检、掌握安全知识并通过考核才能获准飞行。没有人敢想象自己会跳过如此全面的准备和技能验证环节，但这正是日常编写代码时普遍存在的情况。

我们需要投入时间来教育开发人员如何编写安全的代码。然而在当今世界，软件开发节奏快，优秀的开发人员和安全专业人员又稀缺，这件事似乎永远排不上优先级。是时候改变这种局面了。

世界经济论坛近期一篇题为《没有安全就不可能有数字经济》的文章指出，安全必须成为任何数字化转型战略的核心组成部分。文章阐述道："安全是保护企业的基石，它使企业能够创新并开发新产品与服务。安全不仅具有防御功能，更能为企业提供战略性增长优势。"

提升安全编码技能与成果将为组织增添强大的网络防护层，助力其更快创建更优质的代码。开发者无需成为安全专家，但必须接受积极实用的培训，使其成为抵御网络攻击的第一道防线。 开发者有望成为安全与创新领域的未来英雄。他们才智过人，善于创造性解决问题，且普遍渴望提升技能。请通过专业培训激发他们的优势，共同践行更高的软件安全标准。阅读我们的白皮书获取更多信息。

当有人想驾驶飞机时，必须经过极为严格的流程：确保其接受过专业培训、具备实践经验、通过体检、掌握安全知识并通过考核才能获准飞行。没有人敢想象自己会跳过如此全面的准备和技能验证环节，但这正是日常编写代码时普遍存在的情况。