信息來源：51CTO

近日，根據(jù)根據(jù)WhiteHat Security的一項(xiàng)新研究，在制造業(yè)、公共服務(wù)、醫(yī)療保健、零售、教育和公用事業(yè)等行業(yè)中使用的應(yīng)用程序中，至少有50%包含一個(gè)或多個(gè)嚴(yán)重的可利用漏洞。

而根據(jù)AppSec Stats Flash 今年啟動的應(yīng)用安全調(diào)查報(bào)告，制造業(yè)的應(yīng)用安全“暴露窗口”風(fēng)險(xiǎn)最大，該行業(yè)近70%的應(yīng)用程序至少具有一個(gè)嚴(yán)重的可利用漏洞。

WhiteHat在過去三個(gè)月中記錄的前五大類漏洞分別是信息泄漏、會話到期、跨站點(diǎn)腳本、傳輸層保護(hù)不足和內(nèi)容欺騙。報(bào)告的作者指出：“發(fā)現(xiàn)和利用上述漏洞所需的工作和技能門檻很低，很容易受到攻擊?！?

與此同時(shí)，行業(yè)用戶緩解關(guān)鍵漏洞的平均時(shí)間偏長。報(bào)告發(fā)現(xiàn)，所有行業(yè)的平均漏洞緩解時(shí)間為189天。不過令人欣慰的是，過去12個(gè)月的平均天數(shù)呈下降趨勢(同比減少了5天)。漏洞緩解表現(xiàn)最糟糕的三個(gè)行業(yè)——教育、公共管理和房地產(chǎn)，緩解關(guān)鍵漏洞平均用時(shí)都超過了一年之久。

應(yīng)用安全人才需求激增

應(yīng)用程序開發(fā)安全已經(jīng)成為網(wǎng)絡(luò)安全未來發(fā)展的關(guān)鍵所在。一項(xiàng)最新的行業(yè)研究表明，開發(fā)安全已經(jīng)成為增長最快的網(wǎng)絡(luò)安全技能。預(yù)計(jì)未來五年開發(fā)安全技能的需求將增長164%。五年內(nèi)，開發(fā)安全人才的職位缺口將從2020年的29635人擴(kuò)大到48601人。

上述調(diào)查發(fā)現(xiàn)提出了重要的問題：什么是應(yīng)用程序開發(fā)安全性?是什么在推動“安全左移”和開發(fā)安全需求的快速增長?

什么是應(yīng)用開發(fā)安全

首先，開發(fā)安全是通過查找和修復(fù)漏洞來增強(qiáng)應(yīng)用程序的防御能力。顧名思義，此過程通常發(fā)生在應(yīng)用程序投入生產(chǎn)環(huán)境之前的開發(fā)階段。但也可能在所有者部署了這些應(yīng)用程序之后發(fā)生。

測試應(yīng)用程序開發(fā)安全性的方法有很多，統(tǒng)稱為應(yīng)用程序安全性測試(AST)，主要有以下三大類：

• 靜態(tài)應(yīng)用程序安全性測試(SAST)：在這種類型的Web應(yīng)用程序安全性測試中，安全專家對應(yīng)用程序的體系結(jié)構(gòu)有一些了解。他們可以利用這些知識來報(bào)告源代碼中的弱點(diǎn)。
• 動態(tài)應(yīng)用程序安全測試(DAST)：與SAST相反，DAST假定測試人員不了解應(yīng)用程序的代碼。其目的是在特定應(yīng)用程序的運(yùn)行狀態(tài)中查找潛在的缺陷。
• 交互式應(yīng)用程序安全性測試(IAST)：此方法將SAST和DAST結(jié)合在一起，成為一種混合方法。

根據(jù)Verocode發(fā)布的《2020年軟件安全現(xiàn)狀報(bào)告》，結(jié)合使用多種掃描類型(包括靜態(tài)分析(SAST)、動態(tài)分析(DAST)和軟件組成分析(SCA))的團(tuán)隊(duì)可以提高修復(fù)率。那些同時(shí)使用SAST和DAST的人可以把漏洞修復(fù)工作縮短24天。而在SDLC中進(jìn)行自動化安全測試比非自動化測試發(fā)現(xiàn)半數(shù)漏洞的速度要快17.5天。

總之，用于軟件安全測試的(自動化)工具需要與研發(fā)團(tuán)隊(duì)現(xiàn)有的研發(fā)流程和安全實(shí)踐匹配融合，并具備與研發(fā)管理平臺融合的能力。

為什么需要應(yīng)用程序開發(fā)安全性?

對應(yīng)用程序開發(fā)安全性的需求不斷增長反映了兩個(gè)持續(xù)的趨勢。

• 世界正變得越來越移動化。企業(yè)和其他組織對其用戶進(jìn)行了投資，使他們能夠通過各種設(shè)備上的移動應(yīng)用程序與他們的服務(wù)進(jìn)行交互。在此過程中，他們需要具備相應(yīng)開發(fā)安全技能的人員來保護(hù)這些移動應(yīng)用程序，以確保為其越來越多的用戶提供一致且安全的移動性能。
• 應(yīng)用程序漏洞削弱了開發(fā)者和用戶之間的信任。總體而言，漏洞在移動應(yīng)用程序中很常見。一項(xiàng)針對2020年iOS和Android應(yīng)用的研究發(fā)現(xiàn)，近四分之三的移動應(yīng)用程序都沒有通過基本的安全測試。在接受調(diào)查的這些應(yīng)用中，超過五分之四(83%)至少有一個(gè)漏洞，有91%的iOS應(yīng)用和95%的Android應(yīng)用都報(bào)告了漏洞。

沒有開發(fā)安全就沒有業(yè)務(wù)安全

軟件漏洞對企業(yè)構(gòu)成重大威脅。弱的服務(wù)器端控制、不安全的數(shù)據(jù)存儲、破解的密碼以及其他問題為外部攻擊者竊取信息打開了方便之門。潛在的客戶可能會因?yàn)閼?yīng)用程序開發(fā)安全性問題而選擇不與容易遭受數(shù)據(jù)泄露的實(shí)體打交道。

最后，客戶和業(yè)務(wù)合作伙伴可能比監(jiān)管部門和消費(fèi)者更加關(guān)注供應(yīng)鏈合作方的應(yīng)用開發(fā)安全問題。企業(yè)應(yīng)當(dāng)在遭受攻擊之前就告訴客戶，他們使用了哪些應(yīng)用程序和工具來編寫安全代碼。在某些情況下，客戶對開發(fā)安全施加對壓力比監(jiān)管機(jī)構(gòu)和合規(guī)審計(jì)員更大。這表明開發(fā)安全已成為一種關(guān)鍵的業(yè)務(wù)方法，企業(yè)可以通過這種方法與客戶一起開展業(yè)務(wù)，同時(shí)保持保持緊密互信的伙伴關(guān)系，而不是數(shù)據(jù)泄露事件披露之后。

開發(fā)人員的最佳做法

正如工作場所所需的安全防御技能始終在變化一樣，開發(fā)安全的技能本身也在變化。開發(fā)人員工具鏈內(nèi)置的軟件組件分析工具以及有限的防御測試， 可能會在未來幾年內(nèi)取代舊的AST方法。行業(yè)專家預(yù)測，到2022年，自動化解決方案將能夠修復(fù)SAST工具發(fā)現(xiàn)的10%的漏洞。

這些預(yù)測揭示了應(yīng)用程序開發(fā)安全發(fā)展方向的趨勢。但是，這些趨勢與當(dāng)下開發(fā)人員的安全開發(fā)最佳實(shí)踐并不沖突。例如，開發(fā)人員應(yīng)當(dāng)意識到，他們幾乎不需要從頭開始編寫自己的代碼。他們不能寄希望于“右側(cè)的”安全防護(hù)。相反，開發(fā)人員可以使用安全框架來推動其代碼開發(fā)流程，他們還應(yīng)確保使用的是最新版本的第三方代碼或庫。

開發(fā)人員還應(yīng)該注重團(tuán)隊(duì)合作的力量，與安全架構(gòu)師和運(yùn)營團(tuán)隊(duì)通力合作實(shí)施威脅建模。此過程不僅有助于發(fā)現(xiàn)和分類潛在威脅，還可以促進(jìn)溝通和相互理解，這是建設(shè)DevSecOps文化的基礎(chǔ)工作。