一般来说，人们不会想到安全公司会提出“忽略漏洞”这种说法。毕竟，漏洞可能导致影响重大的安全事件，相关的事后评论、分析和建议会连续数月充斥我们的信息流。
当然，也绝不会有人把“忽略漏洞”与“提升安全性”联系在一起。
现在您看到了。不过，与大多数建议一样，这也有一些注意事项和适用条件。
当然，不应忽略所有漏洞，但事实证明，有一类漏洞目前可以放心忽略，或者至少可以降低其优先级，留待以后处理。我是在阅读《2018 年开源漏洞管理现状》时了解到这一概念的。该报告由WhiteSource Software发布。
除了提供一些非常有趣的统计数据外，该报告还提出，开源漏洞可分为两类：无效漏洞和有效漏洞。
WhiteSource进行此分类的前提是，某些漏洞属于无效漏洞，即这些漏洞不会被自定义代码调用，因此无法被利用。按照这一观点，具备分析和区分漏洞的能力后，安全人员和开发人员便可专注于被视为有效的漏洞，从而减少投入的时间和精力，同时提升应用的整体安全性。
例如，假设某个自定义应用依赖一个包含易受攻击函数的开源组件。按照White Source的定义，由于该自定义应用从未调用此函数，因此示例中的易受攻击函数可能会被判定为“无效”。细心的读者会注意到，该易受攻击函数可能会被开源组件中的某个函数调用（该函数可能来自另一个组件，也可能来自同一组件），从而使其变为“有效”。当我就这种可能性询问WhiteSource时，他们进一步解释了分类方式，并指出这种可能性已纳入考量。如果易受攻击的代码由自定义代码直接调用，或通过另一个开源组件间接调用，则会被标记为“有效”。反之，如果不存在任何直接或间接调用该易受攻击函数的路径，则会被标记为“无效”。
WhiteSource的研究发现，96.8%的开发人员依赖开源组件，且7.5%的项目存在漏洞，因此，能够确定应优先关注哪些漏洞无疑大有裨益。WhiteSource还发现，高达64%的开源产品仅包含“无效”漏洞，并认为可以放心忽略这些漏洞。
虽然我并不认同仅仅因为某些代码中的漏洞未被主动调用，就可以轻率地将其忽略，但我确实认为，可以利用这一区别来确定漏洞管理的优先级。通过重点关注确实会被主动调用的易受攻击代码，开发人员和安全专业人员可以立即提升应用的整体安全性。这也能更充分地发挥高级开发人员的作用，因为White Source的报告发现，他们平均花在处理漏洞上的时间比初级开发人员更多。
需要采用某种优先级排序方法。WhiteSource表示，2017年报告的漏洞接近3,500个，比2016年增加了60%。这3,500个已报告漏洞并非都会影响每个应用或组织，但应注意，这些数字会不断累积。也就是说，这3,500个是新增的新漏洞，会计入持续增长的漏洞总数。
毋庸置疑，无论是自定义代码还是开源代码，都存在大量漏洞。根据漏洞是否“有效”或“无效”来确定修复优先级，符合新兴安全策略的理念。这些策略除考虑其他因素外，还会根据实际威胁对风险进行评分。无效漏洞几乎不会构成实际威胁。尽管如此，从长远来看，忽略无效漏洞可能并非妥善做法，因为这些漏洞最终可能会变为有效漏洞。随着功能的添加或增强，自定义代码会发生变化；开源组件也会随时间推移而变化。这些变化可能会打通调用易受攻击函数的路径。因此，针对漏洞的源代码分析应持续开展；即使无法做到，也至少应在最终构建期间进行。
但为了按时完成任务并高效利用开发人员的时间，可以考虑将“无效”漏洞的修复优先级调低，以便立即修复“有效”漏洞。这或许是开发人员目前提升安全性的较好方法之一。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。