软件开发行业亟须提升开发人员的安全意识

市场竞争激烈,快速提供高质量的可靠的程序代码是软件开发企业的致胜法宝,然而,未经过充分检测便得以快速交付的软件会带来新的问题,就是软件代码的安全性不够,甚至漏洞百出。

如果说在传统的内部网络部署实施的软件即使存在明显的安全问题,也不会带来太大风险的话,人们尚会理解。但在基于互联网的云计算时代,快速地将不够安全的Web系统上线则是在为将来埋下一颗不定时地雷。

一项调查表明:中小型软件开发企业的多数产品及大型软件开发公司的小项目都没有采用适当的安全保障措施来确保安全控制目标的实现,即便是基于网站的应用程序也是如此。

昆明亭长朗然科技有限公司的软件安全顾问Richard Yu称:“多数Web应用系统的开发项目初期并没有让信息安全专业管理人员参与,所以在项目初期的需求分析时即缺乏安全需求的输入,到随后的系统功能规划和设计开发时就更无法保障结果满足安全控管目标。”

软件开发协会的一次软件开发风险分析称:软件开发市场上常见的现象是不断增加产品的功能特性,在软件系统得以实施的后期,安全问题出现后再进行修复的成本异常高昂,因为这时已经很难将安全控制功能推进软件之中。

只有少数行业的关键应用软件的开发会让专业的安全人员进入,多数的软件开发人员并不会意识到安全的重要性,实际上,安全实践应该成为软件开发的一个组成部分,就像软件质量保证实践一样进行必要的渗透测试,而且同样还需要不断的改进安全控管功能。

亭长朗然公司的安全分析师James Dong表示:“几乎所有快速开发的中小型应用软件在安全方面都是失败,其中的重要原因并非赶进度这么单纯,实际上,没有多少软件用户能意识到软件的安全问题,更没有多少用户了解软件的安全问题,如果再没有专业的安全人员积极参与,程序开发人员根本不会去关心如何开发出安全的软件。”

由此,我们看来,要想提高软件系统的安全性,将安全特性内置于软件开发的整个生命周期之中,需从源头抓起,首先要加强软件用户和开发人员的基本安全意识,再提升开发人员的安全技能,要想打造与国际接轨的软件外包产业,获得重视安全的国外大客户的订单,特别要注意先向程序开发人员灌输基本的信息安全意识

software-development-security-training

网络信息安全的发展趋势遐想

互联网行业变迁迅速,我们这一代IT人都是亲眼目睹、亲身经历的。当驱动着和支撑我们的日常生活、学习和工作的各类应用、数据都分布于云端之后,未来还会发生什么呢?世界将走向何处呢?

您可能觉得这个话题太大,远离了我们的视野范围。其实“人无远虑、必有近忧”,至少对我来讲,在网络信息安全领域,我们需要有一定的远见。昆明亭长朗然科技有限公司创始人董志军总结说:本人做了多年网络安全技术工作和企业信息安全咨询工作,经历过一波又一波安全控制产品和技术的热潮,目睹着一批又一批一夜暴富的安全厂商和竞争失利暗淡出局的昨日黄花。

说到这儿,相信您也会深有同感并心生感叹,我们都希望能够预见未来,以便做出正确的决策。安全领域的未来将是怎样的呢?

首先,云端的优势越来越明显,而终端也越来越多样化和移动化,传统的接入管道和网络边界的会逐渐变成人们视而不见的基础设施,虽然不会消亡,但不能一直处于扩充态势。这样看来,那些内网安全、网关安全之类的措施,与云端化和移动化大趋势不够契合,所以在未来的日子,这些类型的产品也会成为配角,需求少了,厂商的日子也会越来越艰难。

其次,随着消费者对隐私保护的关注、运算能力的增强、安全证书的降价普及,加之防线路窃听和中间人攻击的刚需,端对端的加密传输必将大行其道。这样一来,那些靠协议分析的网络安全产品将失去用武之地。虽然加密保护了消费者的隐私和数据传统的安全,但是却不被监管机关喜欢,他们需要能实时解密的利器,以便进行追踪和审计。处于云端的服务商自然必须得向管理当局提供特殊的用于解密的密钥,但是管局显然不会满足于解密大众的主流化网络应用,其实我们也知道,管理当局直接让服务商派专员入驻提供现场服务的情形更为常见。只是,管理当局真正想要的宝贝是对常规性的加密协议进行解密的利器,目前估计也只有美国的监管机构有这个能力,但是这种能力我国早晚得拥有,而且是不公开的拥有。这里面关键的不见得是技术难题,而是整合能力,那些和政府机构关系密切的厂商如何能抓好这个机会,必将挖出一个大金库。

最后,终端安全已经被360和BAT这些大腕们搞到没一点儿利润空间,所以有不少厂商将目光放到云端安全。这里面可以搞的创新就很多了,把传统的网络安全服务搬到互联网云端是最快捷的了。但是这里面有个问题,是网络安全厂商的顾客们往往是政企大客户,受制于互联网保密等法规的限制,他们不可能完全开放地拥抱互联网。所以,互联网安全的消费者主流只能是非政府控股的机构——大量的中小企业和个人家庭用户,而他们的信息化水平和互联网安全意识太低,似乎只相信360和BAT。想搞定又能搞定360和BAT的,又有多少呢?当有这个水平的时候,或许早被人高薪挖去了。剩下的那些只靠整几个WEB安全漏洞,忽悠稍小一点又能有钱的互联网服务商,意欲从中分一杯羹。说到Web安全,很多渗透测试人员自称“安全专家”也不脸红,说到底就是一个会使用扫描探测工具和远程溢出工具的“脚本小子”,根本不懂WEB软件编程,和开发人员聊报告的时候就瞎吹,你说东他说西,说到底,就是厚着脸皮把客户吹晕……

唉,其实说来惭愧,笔者曾经就是这种“渗透测试人员”,只是还有一点良心,觉得做这些渗透测试工作不实在、心里不踏实,还给真正有能力的白帽黑客团体抹黑。要说在业界咱也接触过不少真正的高手,这些高手们话不多,却干活很利索,还经常鼓励人们多学习新东西,多分享新知识。

咱没什么领先的科技知识分享,但是至少可以分享一些对信息安全未来的看法。以后的网络信息安全,必将是一种内嵌式的安全,也就是说安全将成为应用的一部分,没有全面知识体系和深厚的技能积累,只能做些简单的低端的活儿,甚至没有机会。托工业文明、IT互联网和改革开放的福,现在的日子还算是太平和富足,除了吃饱穿暖这些早已经被满足的基础需求,似乎也没有什么是必须的了。年轻的信息安全人,勿贪图享受和玩乐,也勿行尸走肉得过且过,行动起来吧,喜欢与人交流的,可以多学习信息安全管理体系,喜欢与机器交流的,可以多学习各种IT技术……

虽然我不喜欢分享黑客技术,但是并不表示没有分享的或不能够进行分享,而是我更愿意分享反黑客的方法。对此,我们创作了信息安全管理者快速课程,以帮助各类安全管理专员和行业从业人员,从宏观的层面,了解信息安全管理相关的知识,以及反黑客的更广泛更普遍的方法。即使您更喜欢玩儿技术,而不是与人打交道,您也可以了解一些无妨。

如上是本人的一己之见,由于本人知识和经验有限,不管您对此文任何话题有任何的意见,都欢迎您随时通过如下方式快速联系到我。

昆明亭长朗然科技有限公司 董志军

手机:18206751343

微信:18206751343

邮箱:james@securemymind.com

QQ:1767022898