为了为软件开发过程建立安全保证,企业进行了长期的努力,就在2011年黑帽大会上,一个专家小组也表示,解决复杂的应用程序开发安全问题不容易。 该应用程序安全专家小组成员包括Verizon的Alex Hutton(Verizon数据泄漏报告的共同作者),Deere & Co.的John Deere部门的John D. Johnson,Adobe系统公司的Brad Arkin以及白帽安全(WhiteHat Security)的Jeremiah Grossman。他们认为企业在为软件开发人员进行安全意识培训,为高层管理人员强调软件安全的重要性,以及为早点儿发现开发过程中的错误而进行彻底的代……
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
为了为软件开发过程建立安全保证,企业进行了长期的努力,就在2011年黑帽大会上,一个专家小组也表示,解决复杂的应用程序开发安全问题不容易。
该应用程序安全专家小组成员包括Verizon的Alex Hutton(Verizon数据泄漏报告的共同作者),Deere & Co.的John Deere部门的John D. Johnson,Adobe系统公司的Brad Arkin以及白帽安全(WhiteHat Security)的Jeremiah Grossman。他们认为企业在为软件开发人员进行安全意识培训,为高层管理人员强调软件安全的重要性,以及为早点儿发现开发过程中的错误而进行彻底的代码审查过程方面,需要更多创新的方式。
“像我们这样的制造公司,我们已经有了较长的软件开发周期,愤怒的客户也少了,而且我们有点儿慢;也许就像泰坦尼克开始转弯的时候,”John Deere的高级安全经理Johnson这样说道,“我希望我们在软件开发周期方面可以真正有一个大的预算,但我采取的方法都依赖于我们现在已有的东西。”
同样的编码错误——SQL注入和跨站点脚本(XSS)错误——还在制造问题,并成为许多网络攻击进入的中心点。Arkin,在Adobe观察安全改进已经好几年了,他表示,Adobe公司的软件是攻击者喜欢攻击的一个目标,这迫使Adobe加强过程并迅速采取行动,在各级业务中注入安全。
但是Arkin承认,改善软件开发过程是一项艰巨的任务。一个需要吸取的教训是,应停止在手动代码审查上花更多的时间和金钱,取而代之的应该是在改善其他过程方面进行投资。
“我们的产品中有上亿行代码,”Arkin说道,“我们根本不可能通过手动把这些代码都看一遍。”
所有的小组成员都提倡通过静态和动态代码分析工具对软件中存在的严重编码错误进行扫描和分析。Arkin认为,可重复的和可靠的代码测试在保持软件开发人员的士气上是很重要的。这使得开发人员和他们的公司可衡量改进的过程,他解释道。必须有优先编码错误修复进程,这样错误将被解决,且在开发过程结束前被快速解决,Arkin补充道。在开发团队间,Adobe有一个认证计划,可以实现软件安全教育。开发人员可以以他们自己的方式利用几十个24分钟的教程,并最终达到“黑带”认证。Arkin表示,该公司有一个80点安全计划,在很大程度上基于公司的培训计划情况下促进安全文化。
该小组还表示,获得高层管理人员的支持对软件代码的改进也很重要。白帽的CTO Grossman说道,信息安全方面的预算失准,导致一些企业忽视某些领域,比如软件安全。
虽然在整个IT预算中,网络的花费是最低的,而为开发人员提供的资金很多,但事实上,信息安全预算在网络层的花费最多,而用于创建安全的软件开发过程的最少。
“我们可以坐在这里并尝试得出最好的答案,但如果没有可以跟进的资源,我们还是得面对这些问题。”Grossman说道。
相关推荐
-
Windows XP修复:这是微软的正确决定吗?
软件开发人员希望限制其软件的版本数量以减少很多其他的成本。微软也不例外,在向客户发布Windows XP补丁之前他们也仔细权衡了这些问题。
-
抵御攻击的关键——保护API
自1960年代结构化编程出现以来,API一直是软件开发的重要因素。现在,保护API变得越来越重要……
-
代码安全:持续交付模式会是理想答案吗?
持续交付(CD)模式尽管开发周期短,但安全网关的需求仍不可少。在这种环境下,该使用何种网关或是其他安全措施?我们是否要继续采用CD模式?
-
CISO人事变动频发 何谓“幕后推手”?
近来,大批经验丰富的CISO们纷纷跳槽,另谋高就。在本文中,专家Joe Granneman注意到这一现象并就这一趋势背后的原因做出探讨。