随着我们继续迈向持续型IT，安全问题备受关注，而这也理所应当。安全事件层出不穷，每天都有新的漏洞被发现，补丁缺口似乎也没有缩小。
要提高代码安全性，经常有人建议扫描源代码。静态和动态安全扫描已成为持续交付流程中的常规环节。我们自己的内部流水线也包含这些扫描，我可以随时查看仪表板，全面了解扫描发现的问题。
 | 但正如《特种部队》提醒我们的，知道源代码中存在漏洞只是成功了一半。 如果另一半真的是蓝红激光交锋，那固然精彩，但应用安全的现实是，另一半在于“针对这些漏洞采取行动”。遗憾的是，我们并未看到这种设想成为现实。 您可能还记得Tripwire的一份报告（《2019年容器安全状况》）。报告中，17%的受访者承认其容器存在漏洞，也清楚具体是哪些容器，却仍然进行了部署。 您可能还记得Arxan/IBM 2017年移动和物联网应用安全报告。报告发现，53%的受访者对移动应用使用静态安全测试，51%使用动态安全测试。尽管他们非常担忧发生安全事件，但仍有近一半（44%）没有采取任何预防措施。 |
不进行测试，也不处理已知漏洞，这一问题几乎总是与缩短价值实现时间的压力有关。近半数（48%）的开发人员表示，他们没有足够的时间投入安全工作（2018 年 DevSecOps 社区调查）。其他调查也得出了相同结论：开发人员承受着巨大压力，需要更快、更频繁地交付代码。事实证明，无论是在数据路径还是交付路径中，只要速度面临压力，安全仍会成为被舍弃的“事项”。
众所周知，人们会努力实现考核指标。开发人员也不例外。如果考核指标是快速将应用推向市场，他们就会以此为目标，即使这意味着省略某些步骤，从而削弱安全性。要向市场交付安全的应用，我们就需要推动文化转变，对安全地推向市场和快速推向市场给予同等重视。
在此之前，指望开发人员处理漏洞，与指望红蓝激光一样不可靠。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。