游戏化之所以是提升软件安全水平的关键因素

AppSec管理员、CISO、CIO、网络安全专家等——我在软件开发与安全领域积累职业经验的过程中，曾与全球各类公司的众多人士交流过。

无论情况如何不同，团队经验如何差异，在不断变化的数字世界中时间流逝多久，始终存在一个相同的问题：几乎从未让开发团队积极参与安全工作。安全至今仍是肮脏的词汇，是团队间冲突的根源，也是行业背后的棘手难题。

然而软件安全的重要性，远非我们惯常的思维方式所能忽视。我们必须转变对话方式，努力将安全融入每位开发者的日常工作中，使其成为不可或缺的组成部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等手段增强开发者的安全能力，激发他们的参与热情。

当前的景象

开发者们在大学毕业时几乎不具备提供安全代码的实用知识，且在工作中安全培训往往并非优先事项（即便被列为优先事项，通常也只是健康与安全合规视频的组成部分，因此无人真正关注安全编码）。他们初次接触安全领域往往是通过漏洞报告或测试，这种经历常导致后续版本突然中断，瞬间摧毁创造力。由于他们总要与安全报告负责人争论不休，"安全"一词在他们心中逐渐与"批评"划上等号。天啊。

软件安全领域存在如此普遍的负面认知，坦率地说令人遗憾。毕竟，我职业生涯中最难忘的经历，部分都与学习软件安全相关。我的黑客生涯初期是在各类会议中度过的。 在会议上，我不仅能向同行展示技术实力（坦白说还有些炫耀成分），更结识了许多与我志趣相投、同样热衷于拆解软件的人，度过了无比愉快的时光。

BruCon、DefCon、BlackHat...这些活动为像我这样的人提供了在友谊赛中施展技术的舞台。虽然我绝不承认自己参与过这类反社会行为，但确实有人通过入侵其他参与者的手机，将自己的信息投射到演示屏幕上供所有人观看，以此炫耀黑客能力。为使软件更完善而寻找漏洞的行为——即利用漏洞并修复的过程——已演变成一种游戏。几年前，我有幸在中东向数百名儿童传授网络安全知识。至今仍记得班上八岁的小女孩，她通过游戏学习强制密码和Base64编码原理。

游戏化教学也被用于教授编程技能。全球教育机构正采用这种方法，面向包括高中生在内的低龄儿童开展编程教学。如今，未满4岁的幼儿已能定期参加诸如节日编程课程等活动。CodeCamp还有许多出色的在线课程，教孩子们用Python等语言编程。甚至还买到了名为"无屏幕编程"的惊人工具——为我刚满一岁的女儿准备的。

然而，尽管存在这些乐趣与进步，差距依然存在。没有人曾思考过能否利用游戏化来教导开发者编写安全代码的方法。

嗯……几乎没人参与。几年前，我意识到必须重新激发安全领域的活力，激励开发者参与进来并开始游戏。

游戏化：简单方法。

我内心深处怀抱着提升具备安全知识的开发者能力、强化其专业素养的强烈愿望。正是这份热忱促使我创建了Secure Code Warrior。软件安全至关重要，同时也能充满趣味。

我的想法并非只有我一个人这么想。

游戏化能让最日常的任务变得更有趣，并大幅提升参与度，使人们渴望持续游玩、赢得胜利、不断进步。 看看《精灵宝可梦GO》的做法！就连最懒的人也会离开沙发，外出寻找想象中的生物；就像FitBit让许多人每天以计步为目标那样...若目标未达成、连续记录中断或未能获得徽章，人们会感到真正的失望。

现在让我们回到安全培训的话题。我们从众多客户处证实，游戏化不仅能真正改变组织的安防文化，在应用安全（AppSec）与开发团队之间架起桥梁，更能助力构建更高水准的软件。

当前安全并非开发者的优先事项。通过在培训方法中加入友好、竞争性和吸引人的元素，可以激励开发者不仅参与"游戏"，更能持续回归以获取更高分数、提升准确率，并向团队成员发起挑战。

成功的训练是这样的，这一点我们早已知晓。

• 开发者可以使用实际代码和自己的语言/框架进行工作。
• 挑战时间短，涵盖所有常见的安全漏洞。
• 挑战持续扩展和更新，因此开发者即使随着时间推移也能不断积累技术。
• 由于任务的复杂性各不相同，因此对高级开发人员和经验较少的开发人员都具有吸引力。
• 开发人员和管理员可以查看任务完成情况、优势与劣势、培训耗时以及整体准确率等进展信息。

我们最大的客户之一真正展现了游戏化平台的魔力。他们为开发者提供主题团队装备，为游戏冠军准备了惊艳奖品，将锦标赛打造成难忘的盛事。此后他们还举办了国际赛事，整个团队至今仍保持着高强度的训练节奏。

属于您的软件革命由此启程。澳大利亚银行业正以真正创新的方式彻底颠覆传统（或枯燥）教育模式，率先将游戏化教学引入对抗劣质代码的战役。快来看看我们的客户如何实现突破——进阶锦标赛。准备好了吗？与我们携手，让团队水平跃升？

我们必须努力改变对话方式，将安全打造为每位开发者工作中不可或缺的部分。为此，我认为最佳途径之一是通过游戏化等方式增强开发者的安全能力并激发其参与热情。