近年來(lái)不少軟件安全事件成為了新聞?lì)^條，無(wú)論是軟件開(kāi)發(fā)商還是普通消費(fèi)者對(duì)軟件安全隱患都深表?yè)?dān)憂。但也不要忽略了業(yè)界在軟件安全的努力和取得的成果。 在2020年即將到來(lái)之際，新思科技與業(yè)內(nèi)專家探討在過(guò)去幾年對(duì)軟件安全產(chǎn)生積極影響的趨勢(shì)、流程和技術(shù)。
DevSecOps對(duì)軟件安全性的影響
-新思科技高級(jí)首席顧問(wèn)Meera Rao
對(duì)于希望轉(zhuǎn)向DevSecOps并構(gòu)建安全的企業(yè)來(lái)說(shuō)，以下三個(gè)關(guān)鍵領(lǐng)域?qū)λ麄儺a(chǎn)生了巨大影響：
消除信息壁壘。不要等到錯(cuò)誤和漏洞對(duì)應(yīng)用造成破壞之后再修復(fù)它們，而應(yīng)像對(duì)待DevOps流程中的任何其它錯(cuò)誤一樣對(duì)待安全問(wèn)題。安全性不應(yīng)是單獨(dú)存在的，不應(yīng)該是開(kāi)發(fā)人員僅在發(fā)現(xiàn)安全性問(wèn)題時(shí)才能從中獲得反饋。此外，找到合適的協(xié)作自動(dòng)化工具以使開(kāi)發(fā)、質(zhì)量保證和安全團(tuán)隊(duì)能夠一起工作是DevSecOps的重要組成部分。
促進(jìn)協(xié)作變革。企業(yè)希望彌補(bǔ)DevOps與安全性之間的差距，同時(shí)又保持生產(chǎn)率和解決方案上市速度，但他們通常沒(méi)有意識(shí)到整個(gè)企業(yè)都需要進(jìn)行更改。就像持續(xù)集成、持續(xù)交付和持續(xù)部署一樣，開(kāi)發(fā)、安全和運(yùn)營(yíng)團(tuán)隊(duì)之間也必須進(jìn)行持續(xù)的協(xié)作和溝通等等。
培訓(xùn)和成就安全能手。通過(guò)建立培訓(xùn)和安全支持者計(jì)劃，開(kāi)發(fā)團(tuán)隊(duì)的成員可以通過(guò)指導(dǎo)、培訓(xùn)以及與應(yīng)用程序安全團(tuán)隊(duì)密切合作，學(xué)習(xí)并自愿培養(yǎng)軟件安全技能和意識(shí)。這些安全能手們?cè)诘谝痪�指導(dǎo)開(kāi)發(fā)團(tuán)隊(duì)?wèi)?yīng)用程序安全性，彌補(bǔ)DevOps與安全團(tuán)隊(duì)之間存在的差距。
面向工具和解決方案的軟件安全趨勢(shì)
-道瓊斯產(chǎn)品安全總監(jiān)Jay Kelath
我看到了兩種軟件安全趨勢(shì)，一種是在技術(shù)工具方面；另一種是工程方面。
在工具方面，大多數(shù)都集中在IAST（交互式應(yīng)用安全測(cè)試）和DAST（動(dòng)態(tài)應(yīng)用安全測(cè)試）上。這些新技術(shù)將徹底改變應(yīng)用程序的安全性。
其次是以解決方案為導(dǎo)向的應(yīng)用程序安全性。 AppSec團(tuán)隊(duì)專注于發(fā)現(xiàn)問(wèn)題，然后讓開(kāi)發(fā)人員修復(fù)問(wèn)題。事情正在慢慢改變，現(xiàn)在正構(gòu)建工程師可以使用的解決方案。
這就是道瓊斯的發(fā)展方向。我們正在嘗試面向身份驗(yàn)證、加密和跨站點(diǎn)腳本編寫(xiě)這類問(wèn)題的通用解決方案。
對(duì)于我們來(lái)說(shuō)，面向特定技術(shù)開(kāi)發(fā)解決方案更容易，然后告訴開(kāi)發(fā)人員：“嘿，要使用身份驗(yàn)證嗎？這里是一個(gè)庫(kù)、一個(gè)模式或一個(gè)要使用的工具。”這種以解決方案為導(dǎo)向的工程安全性越來(lái)越受到關(guān)注。
云+合規(guī)性=更完善的數(shù)據(jù)安全
-企業(yè)數(shù)據(jù)云公司Cloudera金融服務(wù)總經(jīng)理Steven Totman 和 Richard Harmon
混合云戰(zhàn)略始終承諾并提供更低的成本、更好的敏捷性、更高的運(yùn)營(yíng)效率以及更靈活的適應(yīng)新技術(shù)更新?lián)Q代的能力。金融機(jī)構(gòu)面臨的最大問(wèn)題是，傳統(tǒng)的本地存儲(chǔ)與公共云和私有云的結(jié)合是否可以提供足夠的安全性和治理措施，以抵御欺詐和數(shù)據(jù)泄露的持續(xù)威脅。
具有諷刺意味的是，盡管混合云環(huán)境會(huì)因企業(yè)不斷在私有和/或本地環(huán)境與公共云之間移動(dòng)數(shù)據(jù)而帶來(lái)安全風(fēng)險(xiǎn)，但它們?nèi)钥梢詫?shí)現(xiàn)更大的災(zāi)難恢復(fù)和更高的數(shù)據(jù)安全性。因此，銀行將處于更好的狀態(tài)以實(shí)現(xiàn)合規(guī)性。這是因?yàn)閷?shù)據(jù)放在一個(gè)地方通常比在整個(gè)企業(yè)的多個(gè)信息孤島中分散保護(hù)起來(lái)更容易。此外，云供應(yīng)商在確保數(shù)據(jù)安全方面有著巨大的既得利益。
軟件安全及硬件安全的趨勢(shì)
-新思科技首席安全官Deirdre Hanford
除了需要安全的軟件（我們和其他幾家公司都在這一領(lǐng)域開(kāi)展業(yè)務(wù)）之外，還有一種新興趨勢(shì)是確�；A(chǔ)硬件也安全。新思科技有很大一部分業(yè)務(wù)是半導(dǎo)體設(shè)計(jì)，提供電子設(shè)計(jì)自動(dòng)化軟件工具和芯片設(shè)計(jì)構(gòu)件。
我們?cè)絹?lái)越多地從合作伙伴那里聽(tīng)到，他們不僅希望構(gòu)建像IoT設(shè)備這樣的超酷且功能強(qiáng)大的芯片，而且還需要安全的IoT設(shè)備。他們希望確保不僅在該芯片上運(yùn)行的軟件是安全的，而且底層硬件也得安全。我的大部分職業(yè)生涯都是和硬件打交道，看到硬件團(tuán)隊(duì)的需求中出現(xiàn)安全性，這使我倍感興奮。
GDPR條例的實(shí)施改善了網(wǎng)絡(luò)安全
-Check Point
《通用數(shù)據(jù)保護(hù)條例》（GDPR） 不可避免地重塑了歐洲（乃至全世界）企業(yè)如何處理網(wǎng)絡(luò)安全的模式。
企業(yè)采用全面的安全計(jì)劃，在設(shè)計(jì)階段將安全性深度集成到IT系統(tǒng)中，而不是在部署后進(jìn)行改進(jìn)。得益于此，企業(yè)將獲得一致且更強(qiáng)大的數(shù)據(jù)安全性。整合安全體系結(jié)構(gòu)，將其嵌入平臺(tái)中并貫穿整個(gè)IT網(wǎng)絡(luò)，這通常在解決網(wǎng)絡(luò)安全事件和提升GDPR合規(guī)性方面更為有效。
軟件安全培訓(xùn)日趨增多
-新思科技高級(jí)安全顧問(wèn)Mahesh Kukreja
企業(yè)越來(lái)越意識(shí)到安全問(wèn)題的重要性。對(duì)軟件開(kāi)發(fā)人員安全培訓(xùn)的需求不斷增長(zhǎng)，因此他們能夠從一開(kāi)始就構(gòu)建安全軟件。隨著越來(lái)越多的企業(yè)需要安全培訓(xùn)，安全技術(shù)也將迅速增強(qiáng)。有些開(kāi)發(fā)人員對(duì)安全性仍然漠不關(guān)心（除非系統(tǒng)受到破壞），此類的培訓(xùn)課程有助于讓他們樹(shù)立“安全開(kāi)發(fā)”心態(tài)。
做好DevOps有助于提升安全性
-Puppet, CircleCI和Splunk，出自2019 State of DevOps Report
在整個(gè)軟件交付生命周期中集成安全性的公司更有可能在整個(gè)企業(yè)中貫徹DevOps實(shí)踐。
我們發(fā)現(xiàn)，在安全集成最高級(jí)別的公司中，有22％的公司已達(dá)到DevOps演進(jìn)的高級(jí)階段。DevOps的原理和安全性的原理有異曲同工之妙，能為軟件開(kāi)發(fā)帶來(lái)積極影響（包括文化、自動(dòng)化、評(píng)估和共享），能確保出色的安全性。
濃厚的DevOps文化還支持更強(qiáng)的安全性。共享的文化，團(tuán)隊(duì)使用共同的工具進(jìn)行協(xié)作并朝著共同的目標(biāo)努力；交付團(tuán)隊(duì)擁有強(qiáng)大的自治能力，但是跨企業(yè)邊界完成工作相對(duì)容易-- 這種文化可以使不同部門(mén)真正地?fù)?dān)負(fù)起共同的安全責(zé)任，可以盡早發(fā)現(xiàn)問(wèn)題并以最佳方式解決問(wèn)題。
編者注：
該文章為節(jié)選，全文請(qǐng)參考：https://www.synopsys.com/blogs/software-security/software-security-trends-devsecops/
