关于安全代码的信息

在软件开发和安全领域的工作生涯中，我接触过众多应用安全负责人、首席信息安全官、首席信息官以及网络安全专家——他们来自全球各地的各类企业。

无论身处何种境地，无论团队经验如何丰富，无论在这个瞬息万变的数字世界中经历多少岁月，一个问题始终如影随形：他们极少能有效引导开发团队积极参与安全工作。安全仍是禁忌话题，是团队间的冲突根源，更是整个行业的真正难点。

然而，软件安全的重要性远超我们当前普遍的认知水平。我们必须努力扭转局面，让安全成为每位开发者职业生涯中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等手段让开发者承担起安全责任并积极参与其中。

当前的景观

开发人员从大学毕业时，对安全编码的实践知识知之甚少。他们进入的工作岗位中，安全培训很少被列为优先事项（即便被列入，通常也只是强制性的健康安全合规视频内容——这些视频枯燥乏味，以至于没人会真正关注安全编码）。 他们初次接触安全领域，往往是遭遇审计或测试报告突然中断未来版本开发，瞬间扼杀了他们的创造力。他们与安全报告负责人产生分歧，于是"安全"一词在他们心中便与"挑刺"画上了等号。真恶心。

软件安全领域普遍存在这种负面认知，实在令人遗憾。毕竟，我职业生涯中最美好的回忆，恰恰与学习软件安全密不可分。 我接触黑客技术的最初岁月，是在各类会议中度过的。在那里，我不仅能与同行切磋技艺（说实话，也有一点炫耀的成分），更能与志同道合的伙伴们尽情畅谈——这些热衷破解软件的同好们，其热情程度丝毫不亚于我。

BruCon、DefCon、BlackHat……这些活动让像我这样的人得以在友好的竞赛中施展所长。我绝不会承认参与过这类反社会活动，但有些人甚至会通过入侵其他参赛者的手机，并将他们的信息公之于众——在展示屏幕上供所有人观看——来炫耀自己的黑客本领。 寻找漏洞、利用漏洞、修复漏洞，以此改进软件——这已成为一种游戏。 几年前，我有幸接触数百名中东地区的孩子，为他们传授网络安全知识。至今仍记得班上一名八岁女孩的身影——她一边玩游戏，一边学习暴力破解密码和base64编码技术。

游戏化教学同样被用于教授编程技术。全球各地的教育机构正采用这种方法，为学龄前儿童乃至高中生传授编程知识。如今，年仅四岁的孩子已能定期参与"编程夏令营"等假期项目，更有众多优质在线课程教导儿童学习Python等编程语言。 我甚至为四岁的女儿购置了这款超棒的无屏幕编程工具——Cubetto。

然而，尽管乐趣与进步并存，仍存在一个缺口。没有人想到可以利用游戏化手段来培养开发者编写安全代码的能力。

嗯……几乎没人。几年前，我意识到我们必须为安全领域注入新的灵感，真正激励开发者参与进来并开始行动。

游戏化：最简单的解决方案。

我怀着坚定的决心致力于帮助开发者掌握安全知识，正是这份热忱促使Secure Code Warrior。软件安全至关重要，而且它确实充满魅力。

我并非唯一这么想的人。

游戏化能让最平凡的任务变得更有趣，并让玩家保持足够的动力持续游戏、赢取奖励并不断进步。看看《精灵宝可梦GO》的玩法就知道了！它让最懒惰的人也从沙发上起身，外出寻找虚构生物，或是发现FitBit如何设定每日步数目标... 若目标未达成，连胜中断，徽章未能获得，人们便会产生真实的失落感。

让我们回到安全培训的话题。我们已向众多客户证明，游戏化对真正改变其组织的安全文化至关重要——它能促进应用安全团队与开发团队的协作，并帮助他们整体上打造符合更高标准的软件。

目前，安全性并非开发者的首要考量。通过在训练方法中融入友好、竞争和互动的元素，您不仅能激励他们"参与游戏"，更能促使他们反复练习以获取更多积分、刷新最高纪录、提升精准度，并挑战团队其他成员。

我们已经知道，成功的培训是这样的：

• 开发人员能够使用真实代码并在其自己的语言/框架中工作
• 挑战简短且涵盖所有常见安全漏洞
• 挑战不断扩展和更新，以便开发者能够随着时间推移持续提升技能。
• 这些挑战的复杂程度各不相同，因此无论对经验丰富的开发者还是经验尚浅的开发者都极具吸引力。
• 开发人员及其主管可以查看所取得的进展，包括他们克服的挑战、自身优势与不足、投入培训的时间以及整体准确性。

我们的一家重要客户在部署游戏化平台时展现了其真正的魔力：他们为开发者提供了主题团队装备，为游戏优胜者准备了丰厚奖品，更将赛事打造成了难忘的一天。此后他们持续举办国际竞赛，整个团队至今仍保持着高强度的训练。

您的软件革命之旅由此启程。澳大利亚银行业正引领潮流，通过游戏化培训对抗劣质代码——这种颠覆传统（或枯燥）培训模式的创新举措堪称行业典范。看看我们的客户如何通过顶级编程大赛实现突破。您准备好与我们携手提升团队实力了吗？

我们必须努力改变现状，让安全成为每位开发者职业生涯中不可或缺的一部分。而我认为实现这一目标的最佳途径之一，就是通过游戏化等手段让开发者承担起安全责任并参与其中。

9月3日，我和团队部分成员共同出席了由澳大利亚CSO主办的精彩安全颁奖典礼。作为澳大利亚同类奖项的先驱之一，2019年女性安全行业奖项汇聚了业内多位顶尖安全专家的卓越成就。 这场盛会既是对女性在网络安全领域贡献的礼赞，也是一个不可或缺的平台——它彰显了那些常被忽视却始终致力于卓越事业的女性所展现的非凡才华与创新精神。

我非常自豪地Secure Code Warrior 副总裁（又名首席酷炫官）法蒂玛·贝德恩全程参与了本次活动。她向热情的听众发表了题为《未来导师计划：如何共同助力网络安全领域女性人才成长》的演讲。 尽管短短十二分钟远不足以展现她对我们及整个网络安全行业产生的深远影响，但她不仅见证了关键的积极变革，更亲手推动了这些变革的发生。

更具包容性的方法。

« 当我刚进入这个行业时，»法蒂玛解释道，«我是团队中为数不多的女性成员之一。许多社交活动也以男性为中心，这阻碍了我参与其中、结识关键人物并向企业展现自身价值的机会。 我试图改变这种局面，尽可能创造更包容的空间。

例如，我经常参加行业活动，发现许多企业展位都使用模特来吸引眼球。 理论上这很合理，但由于我显然不属于目标客户群，经常被忽视。职业生涯初期负责活动策划时，我决心探索更具包容性且有趣的方式来推广我们的产品。"她如是说。

法蒂玛与我共事多年，她始终致力于在我们共同工作的企业中推动包容与多元。这不仅为团队中的女性开辟了更多发展路径，更使关键贡献获得认可，并通过汇聚多元视角、观点与视野，打造出更具凝聚力的团队。

“听着，当然没人愿意成为象征性的女性，”法蒂玛说道。 「然而问题在于，某些缺乏多样性的管理团队往往倾向于提拔与自己相似、能在个人层面产生共鸣的领导者。这些管理者本可因女性的才能和资历而受益，但女性却常常难以获得晋升机会。 "如果管理层能够认识到多样性（不仅限于性别）所能带来的力量，他们往往非常愿意创造这些机会，开始提拔那些准备充分、渴望贡献且有能力为组织做出卓越贡献的女性。"她补充道。

灵活办公场所：成功的关键要素。

当我创办自己的公司时，很快意识到：只有当团队成员有喘息空间时，才能完成最出色的工作。灵活性对每个人都很重要，但那些帮助员工家庭的政策，更能有效留住关键人才。

此处率先推出的政策之一是职场哺乳政策，该政策使新妈妈能够更快重返工作岗位，同时享有必要的灵活性以安排就医事宜，并可安心将婴儿带到工作场所而无需担心受到评判。

法蒂玛表示："我不想在母亲角色和事业之间做出选择，而能够带年幼的儿子来上班的决定如此积极，让我感受到支持与重视。分娩后我的专业能力并未消失，作为初创企业的创始成员，我只想尽快重返岗位！"

她甚至在ABC新闻上谈到了灵活工作的优势：

贵公司是否拥有蓬勃发展的导师制文化？

要帮助某人走上正确的职业发展轨道并保持势头，寻求导师指导是个绝佳选择。在计算机科学、网络安全等以男性为主导的众多领域中，管理层的性别比例失衡现象依然存在，这可能带来一定挑战。

虽然女性在管理层中看到"自己"的身影至关重要，但男性同样能通过鼓励团队中的优秀女性并尽可能给予指导来贡献力量。

"管理团队对组织多元化具有深远影响，同时能确保杰出女性获得与他人同等的认可和职业发展机会。捷星航空网络安全主管伊薇特·莱金斯的实践印证了这一点。 她不仅是女性权益的捍卫者，更凭借自身成就与不懈努力推动变革，帮助更多女性重拾信心，勇攀职业巅峰。"法蒂玛如是说。

Secure Code Warrior 第100位员工。我自豪地宣布，公司女性员工占比已超过50%，而法蒂玛更是全体同仁的卓越榜样与导师。

所有企业都能从团队多元化中获益匪浅。来自不同背景的多元观点，正是将好点子转化为卓越创意的关键要素。正如往常一样，团结协作让我们更加强大。

根据一项广为人知的理论，蟑螂几乎能抵御任何灾难，甚至核爆炸也不例外。尽管该理论仅在一定程度上成立，但其简单的身体构造使其在同等体型生物中具有超强的抗性，在多数环境下都难以彻底根除。

我暗自思忖……倘若蟑螂在数字世界有对应物，那必然是代码中的SQL注入漏洞（SQLi）。这种漏洞已存在二十余年，但各类组织却屡屡中招。塔吉特公司那场影响广泛、代价高昂的攻击正是SQL注入所致，伊利诺伊州选举系统遭入侵事件亦是如此——20万选民档案遭泄露，促使联邦调查局紧急建议所有IT管理员立即强化安全措施。

D'Imperva关于黑客情报计划的报告显示，在2005至2011年间，83%的已报告数据泄露事件中都使用了SQL注入攻击。时至今日，注入漏洞仍稳居OWASP十大威胁榜首。这类漏洞虽相对简单，却始终难以根除。

令人费解的是，同样的漏洞竟在大量应用程序安全分析中屡屡出现。我们既了解其运作机制，也掌握了防范方法。这究竟是怎么回事？事实是，我们的软件安全仍存在改进空间。

Veracode《2017年软件安全现状报告》基于40万次应用程序扫描数据揭示了一项令人担忧的统计数据：仅有30%的应用程序符合OWASP十大安全风险政策。 过去五年间，这一问题始终存在：在最近扫描的应用程序中，近三分之一存在SQL注入漏洞。 这证明了问题已成痼疾：我们未能从错误中吸取教训，而信息安全负责人似乎难以招募到足够的安全人才。通常情况下，应用程序安全专家与开发人员的比例不足100:1。

为何软件安全正处于生存模式？

众所周知，安全专家本就稀缺，但我们还需警惕开发人员并未及时解决问题，且显然缺乏足够能力避免从源头引入漏洞。 Veracode的同一份报告还揭示，仅有14.4%的开发相关漏洞具备可追溯的缓解措施。换言之，多数漏洞提交时并未附带任何开发层面的缓解方案。 不到三分之一的漏洞在90天内得到修复，42%的漏洞在整个开发周期内始终未被修复。

我经常与安全专家、首席信息安全官和首席执行官们交流，有趣的是，我发现许多企业对检测到的众多无法缓解的漏洞（再加上众所周知的误报问题）感到如此沮丧， 以至于彻底停止漏洞排查，只能祈祷一切顺利。

为什么应用安全专业人员会放任这种情况发生？

别误会：应用安全人员对代码问题有着极其敏锐的洞察力。毕竟，这正是他们作为团队宝贵资源的核心能力之一。然而，他们常常受到多重因素的制约。

例如，应用安全负责人发现问题后会询问开发人员："能否修复代码？"。这个关键问题的答案因组织而异，但通常开发人员因需严格遵守功能交付冲刺周期而分身乏术，既无时间解决这些问题，也缺乏相应的工具支持。 应用安全专业人员或许能识别漏洞，但他们往往缺乏必要的技能和/或权限来直接修复问题。

我们还必须认识到，每个问题都需要找到解决方案、实施并测试。即使是代码中发现的微小问题，解决所需的时间——更不用说所需资源——也是巨大的。软件中可能存在超过700个漏洞，而单凭个人力量根本无法防御所有这些漏洞。 正因如此，多数企业仅专注于OWASP十大漏洞。与此同时，开发者仍在持续创建新功能，而他们编写的代码又不断引入新的漏洞。

解决方案是什么？

事实上，我们并未为开发人员提供必要的工具和培训来促进安全编码的成功。没有任何法规要求企业确保开发人员具备足够的安全技能，而令人遗憾的现实是，大多数大学和实习项目同样未能为初级开发人员做好安全编码的准备。

当有人想驾驶飞机时，必须经过极其严格的流程：接受专业培训、积累实践经验、通过体检、掌握安全知识并通过考核，才能获得飞行资格。没有人敢想象在缺乏如此深入的准备和技能验证的情况下，竟能被放任翱翔天际——但这正是日常编程工作中普遍存在的现象。

我们必须投入时间培训开发人员编写安全代码。然而在当今世界，软件开发节奏快，优秀开发人员和安全专家又稀缺，这似乎永远不是优先事项。是时候改变这种论调了。

世界经济论坛近期一篇题为《没有安全就不可能有数字经济》的文章，其内容强调必须将安全置于所有数字化转型战略的核心位置。"安全是保护企业、使其能够创新并创造新产品与服务的基础。 安全不仅具有防御功能，更能为企业提供增长层面的战略优势。"

提升安全编码技能与成果将为组织增添强大的网络防护层，助力其创建更高效、更快速的代码。开发者无需成为安全专家，但必须通过积极实用的赋能成为抵御网络攻击的第一道防线。他们有望成为安全与创新领域的未来先锋。 他们是极具智慧的群体，擅长创造性解决问题，且普遍渴望提升技能。通过提供他们应得的专项培训，充分发挥其优势，并致力于遵守更严格的软件安全标准。阅读我们的白皮书了解更多详情。

当有人想驾驶飞机时，必须经过极其严格的流程：接受专业培训、积累实践经验、通过体检、掌握安全知识并通过考核，才能获得飞行资格。没有人敢想象在缺乏如此深入的准备和技能验证的情况下，竟能被放任翱翔天际——但这正是日常编程工作中普遍存在的现象。

流行文化中充斥着关于不道德人工智能和机器人的描述，以及设备反噬人类主人的情节。这些内容深受科幻与奇幻题材的影响，但随着物联网和联网设备日益普及于家庭生活，网络安全与设备安全议题也应同样受到重视。 软件无处不在，人们很容易忘记我们有多依赖代码行来完成所有这些智能任务——正是这些任务为我们带来了如此多的创新与便利。与网络软件、API和移动设备类似，嵌入式系统中的漏洞代码一旦被攻击者发现，同样可能遭到利用。

尽管微波大军奴役人类的可能性微乎其微（尽管特斯拉机器人确实令人有些担忧），但网络攻击引发的恶意网络事件始终存在。 我们的汽车、飞机和医疗设备也依赖复杂的嵌入式系统代码执行关键任务，这些设备遭到破坏的前景不仅令人不安，更可能危及生命。

与其他类型的软件一样，开发人员在创建阶段伊始就率先接触代码。同样地，这类软件也可能存在隐蔽且常见的漏洞，这些漏洞在产品投入使用前可能难以被察觉。

开发人员并非安全专家，任何企业都不应指望他们承担这一角色，但他们可以获得更强大的工具来应对自身面临的威胁类型。 随着技术需求的持续演进，基于C和C++编写的嵌入式系统将日益普及。因此，针对开发者开展该环境工具的安全专项培训至关重要。

空气炸锅爆炸、欺诈车辆……我们难道是坐以待毙的鸭子吗？

尽管存在一些关于安全开发的规范和法规，但为确保我们的安全，我们必须在软件安全的各个方面取得更精确、更显著的进步。 虽然认为空气炸锅被黑客入侵可能引发问题似乎有些夸张，但这种攻击确实以远程代码执行攻击的形式发生过（使威胁发起者能够将温度提升至危险水平），正如那些导致车辆被劫持的漏洞一样。

车辆尤其复杂，因为它们配备了多个集成系统，每个系统都负责微型功能——从自动雨刷到发动机和制动功能。 随着Wi-Fi、蓝牙和GPS等通信技术日益普及，联网汽车已演变为复杂的数字基础设施，面临多重攻击途径。预计到2023年全球将有7630万辆联网汽车上路，这意味着必须构建坚如磐石的防御体系才能实现真正的安全保障。

MISRA是有效应对嵌入式系统相关威胁的关键组织，其制定的指导方针旨在促进嵌入式系统环境中代码的安全性、安全性、可移植性和可靠性。 这些指导方针构成了企业开展嵌入式系统项目时必须遵循的标准基石。

然而，要创建并执行符合该基准标准的代码，需要嵌入式系统工程师对这些工具充满信心，更不用说它们的安全性水平了。

为什么增强嵌入式系统安全能力如此具有特殊性？

C和C++编程语言按当前标准已属老旧，但仍被广泛使用。它们构成嵌入式系统代码库的功能核心，而嵌入式C/C++在联网设备领域正焕发着现代而耀眼的光彩。

尽管这些语言根源久远，且在注入漏洞、缓冲区溢出等常见问题上表现出相似的脆弱性行为，但开发者若想真正有效缓解嵌入式系统中的安全漏洞，必须熟悉模拟实际工作环境的代码。 泛泛的C语言通用安全实践培训，远不如投入更多时间和精力在嵌入式C环境中实践来得有效且令人难忘。

现代车辆中集成了十几个至上百个系统，开发人员必须接受精准培训，掌握如何在集成开发环境（IDE）中直接识别问题并实施修复。
‍

从底层开始保护嵌入式系统是每个人的责任

许多组织当前的现状是，开发速度优先于安全性——至少在开发者的责任范畴内如此。 开发人员编写安全代码的能力鲜少被评估，而快速开发出酷炫功能才是最高标准。软件需求只会持续增长，但这种文化已使我们注定在对抗漏洞及其引发的网络攻击时败下阵来。

如果开发人员未接受过培训，这并非他们的过错，而是团队中应用安全成员需要协助弥补的缺口——他们应为整个开发者群体推荐既适合又易于获取（甚至可评估）的技能强化计划。 在软件开发项目启动之初，安全就应成为首要考量，每位成员——尤其是开发人员——都应获得履行职责所需的支持。

解决嵌入式系统安全问题

缓冲区溢出、注入漏洞和业务逻辑缺陷都是嵌入式系统开发中的常见陷阱。当这些缺陷深埋在单辆汽车或设备中错综复杂的微控制器网络里时，从安全角度看可能造成灾难性后果。

缓冲区溢出问题尤为常见。若想深入了解该漏洞如何导致前文提及的空气炸锅安全漏洞（实现远程代码执行），请参阅CVE-2020-28592漏洞报告。

现在是时候通过真实的C/C++嵌入式代码来熟悉缓冲区溢出漏洞了。接受这个挑战，看看你能否定位、识别并修复导致这个隐蔽漏洞的错误编码模式：
‍

你如何应对？访问www.securecodewarrior.com，获取关于嵌入式系统安全的精准高效培训。

本文最初发表于 DevOps.com。现已更新并修订。

与"区块链"、"大数据"和"数字颠覆"类似，"DevOps"一词是当前大型企业IT部门中另一个流行的术语。

许多人（正确地）认识到加速软件开发生命周期的必要性——一个更精确、与商业目标紧密对齐的流程，能够实现更清晰的工作流，并促进开发与运维团队之间的协作。DevOps本质上是一种"敏捷"开发模式，它经过精心设计，能够满足现代企业对持续创新和快速部署的需求。 对安全专业人员而言，这堪称绝佳举措：我们能将安全防护更早地融入流程，从而降低漏洞修复成本，并避免开发过程中可能发生的灾难性后果。

问题在于，真正成功实施DevOps的企业寥寥无几。若缺乏企业内部的充分支持、激励与理解，它很快就会沦为白象项目——就是那种"别提战争"的项目。

那么问题出在哪里？这是一场值得探讨的讨论，而我认为存在多种方式来推进DevOps实践，这些方法将有助于顺利推进。 有效的DevOps实践绝非仅靠添置新工具、设立花哨头衔或召开团队会议就能实现。这个过程未必轻松，但花时间修正失败的策略（或从一开始就正确实施），长远来看会省去更多麻烦。最终，这将转化为更高质量、更安全的软件产品。

让我们来分解它：

松开"敏捷"围裙的系带。

存在一种误解，认为组织必须在敏捷（Agile）与DevOps之间二选一，一旦选定某条道路就永远不能回头。

事实上，当两者被视为一体并协同实施时，开发流程才能发挥最佳效能。DevOps并非对敏捷开发的重新发明，而是其延伸。当人们期待流程完全复制敏捷模式，或彻底背离敏捷理念时，往往会导致系统崩溃。

敏捷开发倡导跨职能团队原则，在项目初期就汇聚设计师、测试人员和开发人员，并致力于在整个项目周期中保持畅通的沟通渠道。其目标在于终结孤岛式交付并减少重复工作，这两点正是DevOps流程的优势所在。 然而DevOps更进一步，将系统、安全和运维融入其中，形成一套强大的端到端能力体系，其终极目标是向客户交付完整且功能完善的软件产品。

在向更侧重DevOps的流程转型过程中，不可避免会遇到困难，此时开发孤岛的风险可能卷土重来。常见情况是：最初的敏捷团队协同工作，而安全和运维等新增环节始终难以融入整体机制——无人真正知晓如何整合这些环节、它们应承担何种职责，以及它们的总体目标究竟是什么。

DevOps若缺乏明确目标、跨职能协作以及与所有相关方的直接沟通，便无法有效运作。当然，适应期需要精心管理变革，但通过DevOps功能带来的改进使所有人达成共识，这已然是成功的一半。

值得庆幸的是，DevOps日益重视在流程中融入安全最佳实践，这不仅消除了安全环节的神秘感，更弥合了安全团队与其他团队之间的鸿沟。 正如我之前所言，要让开发人员从一开始就安全编码，我们仍有很长的路要走。但成功实施DevOps方法论为在开发团队内部强化安全能力奠定了坚实基础。

自动化并非万能（也并非最安全的解决方案）。

DevOps方法论的另一特征，在某种程度上体现在软件开发流程的自动化。持续集成与持续交付（CI/CD）原则是该理念的基石，正如您所料，这些原则很大程度上依赖于工具支持。

工具确实很棒，它们确实如此。 它们能以前所未有的速度推动软件交付流程，以相对流畅的方式管理代码库、测试、维护及存储组件。

然而，尽管机器人终有一天可能夺走我们所有工作并囚禁人类，但它们显然尚未达到这种程度。对工具和自动化技术的高度依赖，为错误敞开了大门。 扫描与测试未必能发现所有漏洞，代码也可能未经充分验证，这最终将引发巨大的质量问题（更不用说安全隐患）。攻击者只需利用一个后门即可窃取数据，而放弃人工参与质量与安全控制，可能带来灾难性后果。

所谓“恰到好处”的平衡，在于确保人员与工具的协调统一。工具应成为团队的辅助手段，而团队本身需具备达成项目目标的可靠能力。您必须：

• 请预留充足时间让用户熟悉所选的DevOps工具链。
• 专注于高效协作（以及工具如何助力实现这一目标）
• 弥补流程中的所有缺陷，无论是技能、知识还是工具方面的缺陷。

总之，别只满足于"装备自己"，然后指望一切都会顺利。

DevOps 并非时髦词汇，而是一种文化。您是否在培育属于自己的文化？

变革管理在最佳情况下也充满挑战。对未知的恐惧可能阻碍团队中最优秀成员发展技能、拓展视野。

您看，仅仅喊出"推行DevOps"的口号，或是让运维团队搬迁办公地点，并不能像施魔法般实现流程的成功落地。 许多人会感到困惑，资深团队成员更会心生不满。明确传达期望至关重要，而"以身作则"同样不可或缺。DevOps既是开发方法论，更是文化变革，团队必须将跨职能协作的理念融入日常运作的每个细节。

什么是良好的DevOps文化？

• 个人有权将专业知识贡献于流程，而不仅限于领导者。
• 团队之间保持开放、诚实且相互尊重的沟通
• 每个人都承担着将质量和安全融入开发过程这一总体目标的责任。
• 关于企业中DevOps的定义、路线图以及每个人的角色如何/做什么/为什么，大家意见一致。

多年来，我一直强调在开发团队中建立积极安全文化的重要性，而DevOps也不例外。

实施安全最佳实践、减少发现的漏洞数量并让团队理解保护数据的重要性，都需要借助适当的工具、知识和支持。在DevOps实践中，您需要奠定推动积极变革的文化基础：确保每个人都理解自身角色、价值与期望，明确项目总体目标及流程阶段。

您已掌握这些要点？太棒了。现在让我们推动变革，强化安全维度，将DevSecOps打造为软件卓越的终极方案。

无聊，无聊，无聊！每当提及安全编码培训时，这便是开发者们最常给出的回应。Secure Code Warrior，我们坚信必须存在更优解。 为此我们委托Evans Data Corp.开展了一项关于开发人员对安全编码态度、安全编码实践及安全运营的原始调研（下载白皮书副本） 此处）。

在即将出版的《从被动响应到主动预防：应用安全的新面貌》一书中，开发者们被问及当前安全编码培训的主要问题，而他们的回答令人深思。

贬低开发者的培训

40%的受访开发者认为安全编码培训脱离实际。40%认为培训过于理论化，与工作脱节且缺乏"实践性"。30%指出培训未能覆盖其日常使用的编程语言环境。 这很严重，因为它表明当前的安全编码培训在情境相关性上存在缺陷，与开发人员日常工作毫无实质关联。

对许多开发者而言，他们面临的主要挑战在于如何在那些令人麻木、效率低下且无法激发他们将安全置于核心关注点的活动中保持清醒。

封闭式培训阻碍了开发人员在实验室与现实世界之间建立认知联系。

开发人员对安全编码培训的三大期待：

1. 大多数开发人员表示，他们希望获得更注重实践且更贴合日常工作场景的培训。
2. 65%的开发人员表示需要额外培训以应对语言特有的 漏洞及OWASP十大漏洞。
3. 75%的受访开发人员更倾向于在职期间接受结构化培训。

一项助力开发者进步的培训

在职培训中，开发人员具备一定程度的经验和既有知识。这凸显了"支架式学习"的必要性。 这种结构化培训——即脚手架式教学——旨在依托开发者已有的知识体系。通过脚手架式教学法，既能激活并强化既有经验，又能以渐进式方式持续获取新技能。这使其成为在职培训的理想模式。

传承持久的技能

在开发人员安全培训方面，我们深知他们更青睐实践学习法，而非枯燥的理论学习。因此，在高度相关的实践环境中学习安全编码至关重要。 作为安全编码变革的Secure Code Warrior 基于相关编程语言和框架的实践性情境化培训，其挑战场景与开发者在现实工作中面临的困境高度相似。 教学内容包含超过5500项挑战与missions 不同漏洞类型，其中包括至关重要的OWASP十大漏洞、OWASP移动十大漏洞、OWASP API安全十大漏洞以及CWE/SANS前25大漏洞。

若您希望了解这将如何影响您的团队及其更快交付安全代码的能力， 立即预约演示 。

全球企业正经历转型浪潮。随着数字化业务成为核心，可以说大多数组织本质上已转型为软件供应商。大型企业内部拥有庞大的开发团队，在敏捷的DevOps环境中持续开发并部署功能。这些功能交付必须与创新步伐和客户期望同步。 因此，安全措施往往被视为阻碍而非必需品。然而，鉴于我们对软件的依赖程度已达历史之巅（随之而来的网络安全漏洞与风险暴露也空前加剧），这种局面绝不可持续。

安全团队规模并未扩大，即便能够扩大，专业人才也极为稀缺。1:100甚至更高的比例根本不够用；企业内部的安全专家绝不能被视为应对网络威胁的唯一解决方案。

Secure Code Warrior 美洲区）总监Stephen Allor主持的网络研讨会， 以及Capital One网络安全首席专家Russ Wolfe共同主持，深入探讨了DevOps当前面临的挑战，并分享了Capital One等金融机构如何通过有效培育积极的安全文化，成功实现"向左转"，从而提升开发团队的安全编码能力并推动其深度参与。

您将发现：

• 如果您正遭受安全知识的"黑洞"困扰
• 为何几十年前的安全措施比今天更可靠？
• 传统上将应用程序安全视为合规性"勾选项"的态度，以及为何这种态度至多只是流于表面
• 应用程序质量评估必须将安全性纳入质量评估范畴的原因在于：无论其设计或功能如何出色，不安全的应用程序都不能被视为高质量产品。
• 为何该行业未能将软件安全融入普通开发者的思维方式和文化（以及为何必须改变）
• 为何缺乏共享的安全编码技能会导致相同漏洞反复出现
• 为何应用程序分析工具无法检测所有漏洞？为何通过聘请受过充分培训的安全工程师/开发人员来规避漏洞才是更可行的策略？
• 软件日益增长的脆弱性问题及其根本原因
• 为何必须改变教学方法而非学生，才能真正降低风险？
• 为什么大多数安全培训未能充分发挥开发人员的核心优势，也未能提供他们真正需要的培训类型以助其卓越发展？
• 软件工程领域在合规性与发展预期方面为何逊于其他工程学科，以及我们如何在此领域开创了解决方案
• Russ Wolfe及其Capital One团队如何设计了一套基于趣味化培训的认证计划，该计划能让开发人员保持参与度，通过真实代码源进行学习，并达成安全最佳实践的基准目标。
• 该认证计划如何促进参与度、知识保留率及持续教育
• 激励措施如何帮助开发人员从一个培训级别过渡到另一个级别，并使其能够快速提升技能，同时符合关键安全政策。
• 评估如何帮助识别安全冠军并促进培训参与度。

立即观看我们的点播网络研讨会，了解向左转的优势，以及为开发人员提供必要的工具和知识，使其从一开始就能安全编码，重点关注积极的安全实践。

了解像Capital One这样的金融机构如何推动其开发团队参与安全编码实践并提升相关技能，有效营造积极的安全文化，并成功实现"向左转"。

Le nombre croissant d'attaques de cybersécurité, ainsi que leur sophistication accrue, ont entraîné des changements dans tous les secteurs et industries du monde entier. Tout le monde essaie de « basculer vers la gauche », en sécurisant tous ses processus et procédures le plus tôt possible. La situation a même favorisé des mouvements entièrement nouveaux destinés à améliorer les cyberdéfenses. comme DevSecOps, où la sécurité est intégrée au cœur même de la création de nouveaux logiciels et applications.

Bon nombre de ces changements se font sentir au sein de la communauté des développeurs. Comme ce sont eux qui créent, écrivent et codent les nouveaux logiciels et applications, leur demander d'adopter des pratiques de codage plus sécurisées semble être une bonne idée. Après tout, vous ne pouvez pas vous déplacer plus loin vers la gauche que lorsque de nouvelles applications sont créées pour la première fois.

Mais que pense la communauté des développeurs de cette responsabilité ? Autrefois évalués presque exclusivement en fonction de la rapidité avec laquelle ils pouvaient coder, que pensent aujourd'hui les développeurs de leur nouveau rôle en tant que champions de la sécurité ? Et ont-ils le sentiment que la direction de leur entreprise soutient ces efforts en proposant une formation de qualité, de meilleures récompenses et la reconnaissance qu'ils méritent pour avoir assumé cette nouvelle responsabilité essentielle ?

Pour la deuxième année consécutive, nous sommes associés à Evans Data Corp. pour mener une enquête complète auprès de la communauté mondiale des développeurs concernant les compétences, les perceptions et les comportements en matière de pratiques de codage sécurisées, ainsi que leur impact et leur pertinence perçus sur le cycle de vie du développement logiciel (SDLC). Les résultats ont été assez surprenants à bien des égards.

L'état de l'enquête de sécurité menée par les développeurs en 2022

L'enquête Secure Code Warrior sur l'état de la sécurité pilotée par les développeurs a été menée par Evans Data Corp en décembre 2021. Des questions sur le codage des logiciels, la sensibilisation à la sécurité, la formation, l'assistance, les motivations et d'autres sujets ont été posées à 1 200 développeurs de logiciels actifs travaillant dans la région Asie-Pacifique, en Europe et en Amérique du Nord. L'enquête a été réalisée en anglais et traduite si nécessaire pour obtenir une perspective globale précise. Parmi les personnes interrogées figuraient des développeurs qui créent de nouvelles applications ainsi que des responsables issus de la communauté des développeurs.

Quelques découvertes surprenantes

Un livre blanc détaillé (Les défis (et opportunités) liés à l'amélioration de la sécurité logicielle) et un rapport (L'état de la sécurité pilotée par les développeurs, 2022) qui abordent tous les aspects de l'enquête seront publiés le lundi 11 avril. Le livre blanc inclut notre analyse des résultats et des préoccupations soulevées par la communauté concernant les pratiques de codage sécurisées, ainsi que des recommandations aux organisations pour donner aux équipes de développeurs les moyens d'améliorer la sécurité des logiciels.

Certains de ces défis sont susceptibles de soulever des questions pour tous ceux qui travaillent avec des développeurs au sein de leur organisation, ainsi que pour ceux qui font eux-mêmes partie de la communauté du développement. Ils l'ont certainement fait pour nous.

Par exemple, seulement 14 % des personnes interrogées ont indiqué que la sécurité des applications était une priorité absolue aujourd'hui. Au lieu de cela, les indicateurs plus traditionnels tels que les performances des applications et la hiérarchisation des caractéristiques et fonctionnalités sont restés au centre de leurs préoccupations.

La sécurité était si peu prioritaire que 67 % des développeurs interrogés ont admis qu'ils laissaient régulièrement des vulnérabilités et des exploits connus dans leur code. Ils l'ont fait soit en raison de délais serrés, en donnant la priorité à la fonctionnalité par rapport à la sécurité, soit parce qu'ils n'avaient tout simplement pas la formation ou les connaissances requises sur la manière de résoudre les problèmes de sécurité.

Dans de nombreux cas, les développeurs ont déclaré que leur organisation ne définissait pas ce qui constituait un code sécurisé et ne fournissait pas de formation ou de soutien adéquats pour changer cette situation.

Cependant, malgré certains résultats négatifs, il était également clair que les attitudes étaient en train de changer. La grande majorité des développeurs (66 %) s'attendaient à ce que la sécurité devienne une priorité accumulée au cours des 12 à 18 prochains mois, tandis que 82 % des responsables du recrutement qui ont répondu à l'enquête ont exprimé leur intérêt à recruter des développeurs qui s'y connaissent en sécurité plutôt que ceux qui ne le savent pas.

S'il ressort clairement des résultats de l'enquête que la communauté des développeurs et les organisations avec lesquelles ils travaillent sont confrontées à d'énormes changements, les plans pour un avenir à court et à long terme se dessinent également rapidement.

Restez à l'affût du livre blanc et du rapport détaillant les résultats complets de l'enquête, ainsi que des commentaires d'experts sur les défis liés aux pratiques actuelles de codage sécurisé et les opportunités que les entreprises peuvent saisir pour améliorer les compétences des développeurs en matière de sécurité et, en fin de compte, la sécurité logicielle.

Consultez le Secure Code Warrior des pages de blog pour en savoir plus sur la cybersécurité, le paysage des menaces de plus en plus dangereuses, et pour savoir comment vous pouvez utiliser des technologies innovantes et des formations pour mieux protéger votre organisation et vos clients.

‍

近年来，为追求快速上市，诸多方面被牺牲在祭坛之上，包括网络安全、海量敏感客户数据以及品牌无价的声誉。 为加速发布新功能而施加的巨大压力，催生了专注于快速开发的复杂分布式团队，这些团队往往忽视自身可能制造的漏洞或巨大风险。 如今比以往任何时候都更需要新的工作方式。Secure Code Warrior Data Corp.开展了针对开发人员及其主管对安全编码、安全编码实践及安全运营态度的原始调研*（下载白皮书副本） 此处）。

项目成功绩效指标：安全因素占据何种地位？

开发人员和管理人员认为拥有安全的代码很重要，但不如其他因素重要。当我们询问开发人员和管理人员软件开发过程中最关键的优先事项时：

• 76%的提名应用程序性能
• 62%的人选择了特性和功能
• 以及略多于50%的精选安全代码
  

与其他衡量项目成功度的绩效指标相比，安全编码目前仅位列第三。

目前，开发者们根据项目完成后才评估代码的绩效指标来衡量项目成功与否，这或许不足为奇。

然而，当被问及未来可能发生何种变化时，情况就不同了。企业将安全视为成功指标的方式正在改变。安全编码正日益成为重要优先事项。

当被问及未来衡量项目成功的关键优先事项时，79%的受访者认同安全编码的重要性将持续提升。值得注意的是，认为安全在未来重要性增长幅度超过其他所有绩效指标的比例显著更高。 安全编码的认知度正持续提升，"左移"安全理念同样如此。安全编码的本质要求在软件开发生命周期（SDLC）更早阶段就纳入安全考量。这意味着必须从编写软件之初就主动将安全机制融入其中，而非推迟至后期处理。

当首席信息官们致力于提升组织敏捷性时，安全编码能力将成为至关重要的创新利器。首席信息官与首席信息安全官需深思：开发团队究竟是风险的第一道防线，还是防御的第一道屏障？

这些信息对组织培养开发人员的方式具有关键影响。团队必须了解新发现的漏洞，并在其使用的语言/框架中学习。简而言之，他们需要掌握如何在日常工作环境中定位、识别并修复代码中的已知漏洞。

作为安全编码变革的Secure Code Warrior 以人为本的方法，积极激励开发者学习并提升安全编码技能。若您希望了解该方案如何助力团队实现"左移安全"，在不牺牲安全性的前提下更快交付安全代码， 立即预约演示。

‍

从被动应对到主动预防：应用程序安全的新面貌。 Secure Code Warrior Evans Data Corp. 2020