美國(guó)新思科技公司近日發(fā)布的《現(xiàn)代應(yīng)用程序開發(fā)安全》報(bào)告發(fā)現(xiàn)盡管許多組織仍會(huì)提交易受攻擊的代碼，但大多數(shù)組織認(rèn)為他們的應(yīng)用安全計(jì)劃都是可靠的。擁有良好的應(yīng)用安全計(jì)劃并不意味著組織將不再提交易受攻擊的代碼。區(qū)別在于提交此類代碼的人完全知情并清楚地了解他們所承擔(dān)的風(fēng)險(xiǎn)。

要想實(shí)現(xiàn)應(yīng)用程序安全就需要持續(xù)對(duì)潛在風(fēng)險(xiǎn)進(jìn)行分類處理，這其中就涉及到如何制定優(yōu)先級(jí)決策，使得開發(fā)團(tuán)隊(duì)既能在規(guī)定日期前交付應(yīng)用程序，同時(shí)還能降低風(fēng)險(xiǎn)。如果在開發(fā)周期中過(guò)晚發(fā)現(xiàn)漏洞，那么這些漏洞通常將無(wú)法得到解決。這也進(jìn)一步強(qiáng)調(diào)了盡早注重應(yīng)用程序安全的重要性。因?yàn)橹挥斜M早發(fā)現(xiàn)漏洞才能留出足夠的時(shí)間及時(shí)解決關(guān)鍵問(wèn)題，不影響按時(shí)交付。

根據(jù)行業(yè)分析公司Enterprise Strategy Group (ESG)對(duì)網(wǎng)絡(luò)安全和應(yīng)用程序開發(fā)專業(yè)人員進(jìn)行的一項(xiàng)調(diào)查，《現(xiàn)代應(yīng)用程序開發(fā)安全》報(bào)告著重說(shuō)明了安全團(tuán)隊(duì)對(duì)現(xiàn)代開發(fā)和部署實(shí)踐的了解程度以及需要采取哪些安全控制措施以降低風(fēng)險(xiǎn)。該研究發(fā)現(xiàn)，將近一半(48%)的調(diào)查受訪者因時(shí)間壓力，仍會(huì)提交易受攻擊的代碼。研究還表明，43%的受訪者表示DevOps集成對(duì)于改善應(yīng)用安全計(jì)劃至關(guān)重要。

ESG資深分析師Dave Gruber表示：“DevSecOps已在現(xiàn)代開發(fā)領(lǐng)域中將安全放在了前端和核心的位置;然而，安全和開發(fā)團(tuán)隊(duì)業(yè)務(wù)指標(biāo)不同，很難達(dá)成統(tǒng)一的目標(biāo)。大多數(shù)安全團(tuán)隊(duì)缺乏對(duì)現(xiàn)代應(yīng)用程序開發(fā)實(shí)踐的了解，也進(jìn)一步加劇了這一挑戰(zhàn)。向微服務(wù)架構(gòu)的轉(zhuǎn)型，以及對(duì)容器和無(wú)服務(wù)器模式的使用已經(jīng)改變了開發(fā)人員構(gòu)建、測(cè)試和部署代碼的方式。”

新思科技委托權(quán)威IT分析和研究機(jī)構(gòu)ESG，記錄有關(guān)開發(fā)團(tuán)隊(duì)和網(wǎng)絡(luò)安全團(tuán)隊(duì)之間有關(guān)應(yīng)用程序安全解決方案部署和管理的現(xiàn)狀和見解。ESG對(duì)378名負(fù)責(zé)IT、網(wǎng)絡(luò)安全和應(yīng)用程序開發(fā)的專業(yè)人員進(jìn)行了采訪和調(diào)研。受訪者對(duì)安全的應(yīng)用程序開發(fā)技術(shù)有深入了解并負(fù)責(zé)這方面的工作，或者采用安全開發(fā)工具和流程進(jìn)行應(yīng)用程序開發(fā)。受訪者在美國(guó)和加拿大的多個(gè)行業(yè)工作，包括制造業(yè)、金融業(yè)、建筑與工程行業(yè)和商業(yè)服務(wù)業(yè)等。

新思科技軟件質(zhì)量與安全部門產(chǎn)品市場(chǎng)總監(jiān)Patrick Carey表示：“這項(xiàng)研究的關(guān)鍵見解凸顯了企業(yè)需要在整個(gè)開發(fā)生命周期中全面處理應(yīng)用程序安全。在仍提交易受攻擊的代碼的企業(yè)中，45%是因?yàn)樵陂_發(fā)周期中過(guò)晚發(fā)現(xiàn)漏洞，以至于這些漏洞無(wú)法及時(shí)解決。這再次說(shuō)明在開發(fā)流程中將安全左移的重要性，開發(fā)團(tuán)隊(duì)需要能夠持續(xù)接受培訓(xùn)，并在當(dāng)前的流程提供補(bǔ)充的工具解決方案，以便他們能夠在不影響速度的前提下安全地進(jìn)行編碼?！?

研究的主要發(fā)現(xiàn)包括：

· 大多數(shù)組織認(rèn)為他們的應(yīng)用程序安全計(jì)劃都是可靠的，盡管許多組織仍然會(huì)提交易受攻擊的代碼。69%的受訪者將他們現(xiàn)有計(jì)劃的有效性評(píng)為8分或更高分，評(píng)級(jí)從0分到10分(其中10分表示最有效)。但是，由于近一半的企業(yè)仍然定期提交易受攻擊的代碼，因此大多數(shù)組織在過(guò)去12個(gè)月遭受到OWASP Top 10漏洞入侵其生產(chǎn)應(yīng)用程序。

· DevOps集成是改進(jìn)的關(guān)鍵要素。超過(guò)四分之一的受訪者表示他們現(xiàn)在的應(yīng)用程序安全工具增加了摩擦并減緩了開發(fā)周期，而23%的受訪者則認(rèn)為與開發(fā)/ DevOps工具的不良集成成為最常見的挑戰(zhàn)。此外，26%的受訪者指出，不同的應(yīng)用程序安全供應(yīng)商的工具之間是否存在集成困難或缺乏集成是常見的應(yīng)用程序安全挑戰(zhàn)。

· 開發(fā)人員在應(yīng)用程序安全中扮演重要角色，但是他們?nèi)狈记珊团嘤?xùn)。近三分之一(29%)的受訪者表示，企業(yè)內(nèi)的開發(fā)人員缺乏用現(xiàn)有的應(yīng)用程序安全工具解決問(wèn)題的知識(shí)。而且僅僅17%的受訪者表示他們的開發(fā)人員利用其安全工具中提供的即時(shí)培訓(xùn)，只有29%的受訪者被要求每季度至少參加一次培訓(xùn)。

· 企業(yè)計(jì)劃增加應(yīng)用程序安全支出。超過(guò)一半(51%)的受訪者表示計(jì)劃在未來(lái)12個(gè)月內(nèi)大幅增加應(yīng)用程序安全的支出。44%的受訪者計(jì)劃將應(yīng)用程序安全投資瞄準(zhǔn)云端。

· AppSec工具的激增正在推動(dòng)許多組織投資于工具整合。許多組織在努力整合和管理現(xiàn)有的工具，這往往會(huì)降低安全計(jì)劃的有效程度，并需要安排過(guò)多資源來(lái)管理工具。72%的受訪者使用的工具超過(guò)10種，復(fù)雜性成為了一個(gè)關(guān)鍵問(wèn)題，因此超過(guò)三分之一的受訪者將投資重點(diǎn)放在了整合上面。