如今，我們每個人的日常生活和工作都離不開各種各樣應(yīng)用程序。這些應(yīng)用程序承載了海量的個人隱私信息和工作重要內(nèi)容，因此其安全性變得愈發(fā)重要。在美國新思科技近日發(fā)布的《現(xiàn)代應(yīng)用程序開發(fā)安全》報(bào)告中，我們了解到了安全團(tuán)隊(duì)對應(yīng)用程序開發(fā)和部署的具體實(shí)踐，以及需要采取哪些安全措施才能夠降低其中的風(fēng)險。

“研究表明，43%的受訪者表示DevOps集成對于改善應(yīng)用安全計(jì)劃至關(guān)重要。”新思科技軟件質(zhì)量與安全部門高級安全架構(gòu)師楊國梁在介紹這份報(bào)告時表示，“盡管大多數(shù)組織認(rèn)為他們的應(yīng)用程序安全計(jì)劃是可靠的，但并沒有一個具體的指標(biāo)來證明他們確實(shí)做的還不錯。”

值得注意的是，AppSec已上升為企業(yè)安全投資類別中的優(yōu)先項(xiàng)，超過一半的受訪者表示計(jì)劃在未來12個月內(nèi)大幅增加應(yīng)用程序安全的支出。這與新思科技幾年前就開始推行的概念呈現(xiàn)出吻合。同時，安全“向左移”的理念也開始越來越被行業(yè)所理解和接受。總而言之，這項(xiàng)研究的關(guān)鍵洞察凸顯了企業(yè)需要在整個開發(fā)生命周期中全面處理應(yīng)用程序安全。

報(bào)告主要發(fā)現(xiàn)

·大多數(shù)組織認(rèn)為他們的應(yīng)用程序安全計(jì)劃都是可靠的，盡管許多組織仍然會提交易受攻擊的代碼。69%的受訪者將他們現(xiàn)有計(jì)劃的有效性評為8分或更高分，評級從0分到10分（其中10分表示最有效）。但是，由于近一半的企業(yè)仍然定期提交易受攻擊的代碼，因此大多數(shù)組織在過去12個月遭受到OWASP Top 10漏洞入侵其生產(chǎn)應(yīng)用程序。

·DevOps集成是改進(jìn)的關(guān)鍵要素。超過四分之一的受訪者表示他們現(xiàn)在的應(yīng)用程序安全工具增加了摩擦并減緩了開發(fā)周期，而23%的受訪者則認(rèn)為與開發(fā)/ DevOps工具的不良集成成為最常見的挑戰(zhàn)。此外，26%的受訪者指出，不同的應(yīng)用程序安全供應(yīng)商的工具之間是否存在集成困難或缺乏集成是常見的應(yīng)用程序安全挑戰(zhàn)。

·開發(fā)人員在應(yīng)用程序安全中扮演重要角色，但是他們?nèi)狈记珊团嘤?xùn)。近三分之一（29%）的受訪者表示，企業(yè)內(nèi)的開發(fā)人員缺乏用現(xiàn)有的應(yīng)用程序安全工具解決問題的知識。而且僅僅17%的受訪者表示他們的開發(fā)人員利用其安全工具中提供的即時培訓(xùn)，只有29%的受訪者被要求每季度至少參加一次培訓(xùn)。

·企業(yè)計(jì)劃增加應(yīng)用程序安全支出。超過一半（51%）的受訪者表示計(jì)劃在未來12個月內(nèi)大幅增加應(yīng)用程序安全的支出。44%的受訪者計(jì)劃將應(yīng)用程序安全投資瞄準(zhǔn)云端。

·AppSec工具的激增正在推動許多組織投資于工具整合。許多組織在努力整合和管理現(xiàn)有的工具，這往往會降低安全計(jì)劃的有效程度，并需要安排過多資源來管理工具。72%的受訪者使用的工具超過10種，復(fù)雜性成為了一個關(guān)鍵問題，因此超過三分之一的受訪者將投資重點(diǎn)放在了整合上面。

DevSecOps落地面臨挑戰(zhàn)

將安全結(jié)合DevOps之后，就被稱為DevSecOps。當(dāng)把安全集成進(jìn)去后，整個DevOps運(yùn)轉(zhuǎn)的流暢是應(yīng)用安全計(jì)劃成功與否關(guān)鍵點(diǎn)。絕大多數(shù)受訪者都希望進(jìn)一步提升安全工具的集成的水平。

在被問及DevSecOps如何進(jìn)行落地時，楊國梁舉例談到，在落地的過程中工具一般會發(fā)生一些問題，假設(shè)10個問題中有5個問題都是噪聲，那么要把這些結(jié)果推送給開發(fā)人員的話，就必須確保推送內(nèi)容是非常有價值的，噪聲是很低的，不然就拖慢了開發(fā)人員的開發(fā)進(jìn)度。

其次，加了一個新的工具進(jìn)來，如果研發(fā)人員配合度高，愿意學(xué)習(xí)怎么用就好很多，但是研發(fā)壓力非常大，如果人員配合度比較低，應(yīng)該怎么把它通過技術(shù)化的手段，讓研發(fā)人員感覺不到集成了一個工具，讓他們只看到一些噪聲非常低、非常有價值的結(jié)果，并且在短時間內(nèi)能拿到這些結(jié)果，這是在技術(shù)層面能夠更好地實(shí)現(xiàn)DevSecOps落地的實(shí)踐經(jīng)驗(yàn)。

“落地的過程中，研發(fā)人員可能不愿意加（安全性方面）這種東西，認(rèn)為造成了額外的工作量。我們需要想辦法讓研發(fā)人員不抵觸。從技術(shù)上來說，你要給他一些有信服力的答案，從流程上來說，可以找一個配合度高的團(tuán)隊(duì)，先把這些流程工具逐步的搭建起來，讓大家看到效果之后，認(rèn)可了它的價值，再一步一步去推廣。”他表示。

對此，楊國梁提出，可以針對不同的人、角色、利益出發(fā)點(diǎn)，做針對性的培訓(xùn)。企業(yè)可以開展一些自己的流程、策略上的安全培訓(xùn)，同時包括新思科技這樣的第三方安全廠商可以針對編碼方法、滲透測試等更專業(yè)的安全問題進(jìn)行培訓(xùn)。

再談安全“向左移”概念

談及現(xiàn)在業(yè)界廣為接受的安全“向左移”概念，楊國梁在接受采訪時表示，“這個概念其實(shí)我們很多年前就已經(jīng)提出來了，也很欣慰看到現(xiàn)在終于大家都開始接受，并且在探討如何開始左移。我們最早提出來左移的概念，根本的邏輯是一個投入產(chǎn)出比的比較，在靠后的階段發(fā)現(xiàn)一個安全漏洞和靠前的階段發(fā)現(xiàn)，花費(fèi)的成本和代價是天壤之別，所以向左移的核心思想，就是盡早的發(fā)現(xiàn)安全問題。”

他談到，現(xiàn)在討論的是如何在技術(shù)層面實(shí)現(xiàn)向左移，之前我們?nèi)狈玫募夹g(shù)手段，不能在更早的階段發(fā)現(xiàn)一些安全問題，但我們現(xiàn)在不斷在完善相關(guān)的手段，比如白盒檢測和軟件組成分析等，都對安全左移實(shí)現(xiàn)了很大的突破。

同時，他告訴我們，根據(jù)新思科技與一些頭部廠商的嘗試合作，將新思科技的不同工具融入進(jìn)他們的辦公流程中，其中一些最佳實(shí)踐逐步變成了業(yè)界的主流方法。目前國內(nèi)企業(yè)對DevSecOps非常注重，并且進(jìn)展良好。

當(dāng)被問及DevSecOps是否更適合某些特定的行業(yè)時，他強(qiáng)調(diào)，技術(shù)本身并不挑行業(yè)，只是一些行業(yè)的業(yè)務(wù)性質(zhì)決定了它更適合DevSecOps。“像互聯(lián)網(wǎng)行業(yè)，集成持續(xù)部署的速度可能是一小時、一分鐘甚至十幾秒，行業(yè)性質(zhì)天然就決定了DevSecOps對它更適合，因?yàn)槠錁I(yè)務(wù)的模式就是率先搶占市場。但如果是工業(yè)控制類的軟件，速度可能并不是最重要的，重要的是穩(wěn)定性。當(dāng)然，如果技術(shù)條件允許的話，也可以考慮DevSecOps。”他分析道。

責(zé)任編輯：gt