![](https://csdnimg.cn/release/download_crawler_static/75514688/bg5.jpg)
API:与每个人息息相关的攻击:第 7 卷,第 4 期 SOTI 55
安全人员和开发人员从未真正站在相同的立场,部分
原因在于双方的经验、词汇和优先任务各不相同。然
而,这种紧张的关系变得越来越重要,尤其是在不可
避免的推动力量下交付更多功能、加快发布速度,以
及 开 展“ DevOps”大项下的各类工作,以把握新近掀
起的工程热潮。需要做出什么改变才能实现更好地协
调一致?
我们先谈点别的。以我的经验来看,攻击者也是最
好的防守者。当然我不是建议您从 PLA Unit 61398
或 Lazarus Group 招募信息安全人员。我将攻击者
定义为具有进攻导向型思维模式和专业知识的人,
也可以说是“破坏者”。
破坏者要更加熟谙“可能性的艺术”。通常情况下,
破坏者会报告一个漏洞,随即团队会对漏洞进行修
补,达到能抵御概念验证中的漏洞攻击的程度,但
也仅此而已。只要攻击者将一个字符从小写改成大
写,或者到网站的不同部分尝试相同的攻击,又可
以再次成功得手。为什么?防守者并未进行彻底的
修复。为什么呢?因为他们并不完全清楚攻击的来
龙去脉以及攻击者的真实意图。简单地告诉他们“像
攻击者一样思考”并不能解决问题,因为他们从未做
过这样的事情;就好比告诉一名发型师“像水管工一
样思考”,然后就期待这位发型师有如中了魔法一
样,瞬间掌握了改造下水道的技术。
从未做过破坏者的人也倾向于曲解风险,而且通常
是过度夸大。有些时候,这些漏洞利用攻击对他们
来说就像巫术一样,因为他们自己从来没做过这样
的事,就趋向于认为一切安全漏洞都无比严重。这
最终是徒劳无益的,因为如果事事优先,就相当于
没有优先事项可言了。
另一方面,纯粹的破坏者往往不了解开发过程是如
何进行的。他们过度低估了与代码更改相关的成本
和复杂性,而且他们与开发人员的立场也完全不
同。他们可能从未构建或发布过产品,并且无法掌
握业务权衡的复杂性。而且有时他们也不想花心思
去了解 — 破坏要更加有趣。
这就是我们当前面临的情况。只有极少数的安全专
业人士能够驾轻就熟地在这两种角色间变换。他们
就是招聘者们孜孜以求的“紫松鼠”— 十分适合这份
工作,但可遇不可求。
那究竟该怎么做?
在产品管理领域中,您有时会听到“实现价值的时间”
(或“首次实现价值的时间”,英文简称为 TTFV)这 个
词,指的是新客户或潜在客户从您销售的任何产品中
首次实现价值所需的时间。毫无疑问,目标当然是“越
快 越 好 ”。
我们需要最大限度地缩短新安全从业人员实现价值
的时间。
在谈到近期安全泄露事件的规模和影响时,Jeremiah
Grossman 认为攻 击 技 术 的 进 步 幅 度 并 不 大 ,但 对 手
在招聘和培训入门级角色方面比信息安全行业的实力
更强。
API:与每个人息息相关的攻击:第 7 卷,第 4 期 SOTI