黑帽大會(huì)2011：缺乏用于應(yīng)用程序開(kāi)發(fā)的資金
為了為軟件開(kāi)發(fā)過(guò)程建立安全保證，企業(yè)進(jìn)行了長(zhǎng)期的努力，就在2011年黑帽大會(huì)上，一個(gè)專家小組也表示，解決復(fù)雜的應(yīng)用程序開(kāi)發(fā)安全問(wèn)題不容易。
該應(yīng)用程序安全專家小組成員包括Verizon的Alex Hutton（Verizon數(shù)據(jù)泄漏報(bào)告的共同作者），Deere & Co.的John Deere部門的John D. Johnson，Adobe系統(tǒng)公司的Brad Arkin以及白帽安全（WhiteHat Security）的Jeremiah Grossman。他們認(rèn)為企業(yè)在為軟件開(kāi)發(fā)人員進(jìn)行安全意識(shí)培訓(xùn)，為高層管理人員強(qiáng)調(diào)軟件安全的重要性，以及為早點(diǎn)兒發(fā)現(xiàn)開(kāi)發(fā)過(guò)程中的錯(cuò)誤而進(jìn)行徹底的代碼審查過(guò)程方面，需要更多創(chuàng)新的方式。
“像我們這樣的制造公司，我們已經(jīng)有了較長(zhǎng)的軟件開(kāi)發(fā)周期，憤怒的客戶也少了，而且我們有點(diǎn)兒慢；也許就像泰坦尼克開(kāi)始轉(zhuǎn)彎的時(shí)候，”John Deere的高級(jí)安全經(jīng)理Johnson這樣說(shuō)道，“我希望我們?cè)谲浖_(kāi)發(fā)周期方面可以真正有一個(gè)大的預(yù)算，但我采取的方法都依賴于我們現(xiàn)在已有的東西。”
同樣的編碼錯(cuò)誤——SQL注入和跨站點(diǎn)腳本（XSS）錯(cuò)誤——還在制造問(wèn)題，并成為許多網(wǎng)絡(luò)攻擊進(jìn)入的中心點(diǎn)。Arkin，在Adobe觀察安全改進(jìn)已經(jīng)好幾年了，他表示，Adobe公司的軟件是攻擊者喜歡攻擊的一個(gè)目標(biāo)，這迫使Adobe加強(qiáng)過(guò)程并迅速采取行動(dòng)，在各級(jí)業(yè)務(wù)中注入安全。
但是Arkin承認(rèn)，改善軟件開(kāi)發(fā)過(guò)程是一項(xiàng)艱巨的任務(wù)。一個(gè)需要吸取的教訓(xùn)是，應(yīng)停止在手動(dòng)代碼審查上花更多的時(shí)間和金錢，取而代之的應(yīng)該是在改善其他過(guò)程方面進(jìn)行投資。
“我們的產(chǎn)品中有上億行代碼，”Arkin說(shuō)道，“我們根本不可能通過(guò)手動(dòng)把這些代碼都看一遍。”
所有的小組成員都提倡通過(guò)靜態(tài)和動(dòng)態(tài)代碼分析工具對(duì)軟件中存在的嚴(yán)重編碼錯(cuò)誤進(jìn)行掃描和分析。Arkin認(rèn)為，可重復(fù)的和可靠的代碼測(cè)試在保持軟件開(kāi)發(fā)人員的士氣上是很重要的。這使得開(kāi)發(fā)人員和他們的公司可衡量改進(jìn)的過(guò)程，他解釋道。必須有優(yōu)先編碼錯(cuò)誤修復(fù)進(jìn)程，這樣錯(cuò)誤將被解決，且在開(kāi)發(fā)過(guò)程結(jié)束前被快速解決，Arkin補(bǔ)充道。在開(kāi)發(fā)團(tuán)隊(duì)間，Adobe有一個(gè)認(rèn)證計(jì)劃，可以實(shí)現(xiàn)軟件安全教育。開(kāi)發(fā)人員可以以他們自己的方式利用幾十個(gè)24分鐘的教程，并最終達(dá)到“黑帶”認(rèn)證。Arkin表示，該公司有一個(gè)80點(diǎn)安全計(jì)劃，在很大程度上基于公司的培訓(xùn)計(jì)劃情況下促進(jìn)安全文化。
該小組還表示，獲得高層管理人員的支持對(duì)軟件代碼的改進(jìn)也很重要。白帽的CTO Grossman說(shuō)道，信息安全方面的預(yù)算失準(zhǔn)，導(dǎo)致一些企業(yè)忽視某些領(lǐng)域，比如軟件安全。
雖然在整個(gè)IT預(yù)算中，網(wǎng)絡(luò)的花費(fèi)是最低的，而為開(kāi)發(fā)人員提供的資金很多，但事實(shí)上，信息安全預(yù)算在網(wǎng)絡(luò)層的花費(fèi)最多，而用于創(chuàng)建安全的軟件開(kāi)發(fā)過(guò)程的最少。
“我們可以坐在這里并嘗試得出最好的答案，但如果沒(méi)有可以跟進(jìn)的資源，我們還是得面對(duì)這些問(wèn)題。”Grossman說(shuō)道。
【編輯推薦】
