我在LinkedIn上看到一个帖子,有人问几个静态分析安全厂商的区别。有一个人不出所料地回答说,他们的解决方案比较好,因为当其他公司注重质量和安全时,他们在严格地执行安全。
当然,这句话很可笑。而这种想法也许正说明了目前业界应用安全问题的猖獗;例如,那些试图将安全小组与SDLC的其他部分(包括开发和测试工作)完全分开运行的组织。在这种模式下,安全小组运行自己的测试,主要是试图破坏软件,然后将安全错误反馈给开发团队。换句话说,试图在他们的代码中测试安全。我可以向你保证,这并不比在你的代码中测试质量更有效。
当然,这种安全测试是必要的,但这根本不够。虽然破坏软件确实很有用,但依靠它作为提高安全性的方法,会导致在发现错误的时候为时已晚,最终被压制。特别是,诸如不恰当的框架和算法等根源问题被扫地出门,因为时间表赢得了重写代码和将版本发布出去之间的冲突。
在我上面提到的Linkedin评论中,供应商通过声称他们的软件以某种方式更好,而实际上没有说任何有用的关于如何或为什么它更好的东西,这是在危险地误导毫无戒心的潜在客户。我无意挑剔任何一个特定的工具供应商,尤其是我自己也需要供应商提供的工具。然而,我对这种稻草人的论点感到失望,因为这种论点给人的感觉是在兜售蛇油。在这种情况下,厂商的