建站
咨詢
售后
建站咨詢
新聞中心
老實(shí)說(shuō)，要不是有拼寫(xiě)檢查的幫助，“separate”這詞兒拼錯(cuò)的人肯定不少。微軟Word將近20年的忠實(shí)耐心重復(fù)功不可沒(méi)。
創(chuàng)新互聯(lián)是一家專注于做網(wǎng)站、成都網(wǎng)站建設(shè)與策劃設(shè)計(jì),西塞山網(wǎng)站建設(shè)哪家好?創(chuàng)新互聯(lián)做網(wǎng)站,專注于網(wǎng)站建設(shè)十多年,網(wǎng)設(shè)計(jì)領(lǐng)域的專業(yè)建站公司;建站業(yè)務(wù)涵蓋:西塞山等地區(qū)。西塞山做網(wǎng)站價(jià)格咨詢:18980820575
思考安全問(wèn)題的時(shí)候，拼寫(xiě)檢查的概念也是十分有啟發(fā)性的。當(dāng)場(chǎng)改正的好處非常巨大——能立即發(fā)現(xiàn)過(guò)程中的錯(cuò)誤。更大的好處則是能看到建議的修正方案，因?yàn)橹貜?fù)的識(shí)別和修復(fù)過(guò)程是高度有效的學(xué)習(xí)工具。拼寫(xiě)檢查能自我完善，越來(lái)越杰出。
軟件安全測(cè)試的傳統(tǒng)工作模式一成不變了好一段時(shí)間。研發(fā)團(tuán)隊(duì)寫(xiě)代碼一直寫(xiě)到能放出一個(gè)完整版本，然后完整應(yīng)用程序被投入測(cè)試;測(cè)試結(jié)果再返回研發(fā)團(tuán)隊(duì)進(jìn)行查缺補(bǔ)漏。
這就是麻煩產(chǎn)生的起點(diǎn)。因?yàn)闇y(cè)試結(jié)果返回的時(shí)候，研發(fā)團(tuán)隊(duì)已經(jīng)推進(jìn)到下一個(gè)開(kāi)發(fā)周期了。未解決測(cè)試中發(fā)現(xiàn)的問(wèn)題，他們必須暫停當(dāng)前工作，又把思緒調(diào)回到之前的周期，展開(kāi)調(diào)查和修復(fù)工作。有些測(cè)試工具背著經(jīng)常誤報(bào)的黑歷史，研發(fā)人員還得先驗(yàn)證每個(gè)漏洞是不是確實(shí)存在且可被利用的。這讓常被進(jìn)度催著走的研發(fā)團(tuán)隊(duì)壓力山大，往往就為了趕時(shí)間而不顧安全了。
甚至安全培訓(xùn)(假設(shè)有培訓(xùn)吧，雖然更常見(jiàn)的現(xiàn)象是根本沒(méi)有)，也是整體兜售的。研發(fā)人員被調(diào)出開(kāi)發(fā)周期，去參加各種課程或被鼓勵(lì)去進(jìn)行基于計(jì)算機(jī)的培訓(xùn)。隨著千禧一代踏入軟件開(kāi)發(fā)職場(chǎng)，隨著敏捷軟件開(kāi)發(fā)方法的擴(kuò)張，這一培訓(xùn)方法不再理想。千禧一代更喜歡速食碎片化學(xué)習(xí)模式。
顯然，軟件安全測(cè)試和安全培訓(xùn)都需要進(jìn)行范式轉(zhuǎn)換。作為回應(yīng)，很多廠商熱衷于拋出一個(gè)讓人迷惑的術(shù)語(yǔ)：左移。這詞兒源于瀑布式開(kāi)發(fā)圖表，里面的左移表示進(jìn)入該過(guò)程前已嵌入測(cè)試。但這些廠商中大多數(shù)，左移的不過(guò)是調(diào)出與傳統(tǒng)方式相同測(cè)試過(guò)程的“按鈕”而已。
并不完全是范式轉(zhuǎn)換
左移什么的都可以放下了，不如利用拼寫(xiě)檢查式安全技術(shù)植入安全。這些工具活躍在開(kāi)發(fā)環(huán)境內(nèi)部，代碼編寫(xiě)過(guò)程中就在做漏洞檢查，對(duì)代碼進(jìn)行輕量級(jí)靜態(tài)分析，在源頭發(fā)現(xiàn)跨站腳本或SQL注入之類的常見(jiàn)問(wèn)題。
此類工具的高級(jí)版本還提供教育性材料，向開(kāi)發(fā)者解釋所發(fā)現(xiàn)漏洞的本質(zhì)及其利用方式，可用于清除漏洞的修復(fù)方案也有建議。有些還會(huì)在開(kāi)發(fā)者確認(rèn)后執(zhí)行所選修復(fù)。漏洞就這樣被現(xiàn)場(chǎng)發(fā)現(xiàn)、解釋、修復(fù)了。
這種方法的好處顯而易見(jiàn)。
1. 漏洞實(shí)時(shí)發(fā)現(xiàn)，開(kāi)發(fā)者可立即修復(fù)問(wèn)題，不用等到之后很久測(cè)試結(jié)果出來(lái)又再重開(kāi)工程進(jìn)行修復(fù)。采用這些工具的企業(yè)已經(jīng)見(jiàn)證了開(kāi)發(fā)生產(chǎn)力上15%的效率提升。這得益于在查找并清除誤報(bào)，以及中斷開(kāi)發(fā)周期修復(fù)前版軟件上的時(shí)間節(jié)省。成千上萬(wàn)美元的修復(fù)開(kāi)銷節(jié)省也是有報(bào)道的。
2. 互動(dòng)過(guò)程成為了開(kāi)發(fā)團(tuán)隊(duì)進(jìn)行微學(xué)習(xí)的機(jī)會(huì)。這些工具教授開(kāi)發(fā)人員常見(jiàn)漏洞的本質(zhì)，提供從他們的代碼中清除這些漏洞的模板。觸手可及的學(xué)習(xí)過(guò)程比傳統(tǒng)學(xué)習(xí)方法有著高得多的駐留率和影響。最終，常見(jiàn)錯(cuò)誤從代碼庫(kù)中消失了。
3. 這些工具提供了對(duì)開(kāi)發(fā)團(tuán)隊(duì)安全準(zhǔn)備度的宏觀視角，鞏固了對(duì)員工及其安全編碼表現(xiàn)的信息掌握。經(jīng)理們能看出開(kāi)發(fā)模式，采取額外培訓(xùn)或單個(gè)輔導(dǎo)的方式解決潛在問(wèn)題。可見(jiàn)性提供了改善現(xiàn)狀和進(jìn)一步提高生產(chǎn)力的機(jī)會(huì)。
目標(biāo)非常明確——盡早發(fā)現(xiàn)問(wèn)題以便能在源頭進(jìn)行修復(fù)。盡管這些工具不能免除開(kāi)發(fā)周期末端的全面靜態(tài)和動(dòng)態(tài)測(cè)試，但只要運(yùn)用合適，安全拼寫(xiě)檢查應(yīng)能在這些測(cè)試前捕獲很多問(wèn)題。這將讓開(kāi)發(fā)周期末端的那輪測(cè)試更多地像是最終評(píng)估，而不是單純的漏洞測(cè)試。
成熟的企業(yè)應(yīng)采納混合式方法，將測(cè)試工具融入開(kāi)發(fā)生命周期各個(gè)階段。目標(biāo)是早期發(fā)現(xiàn)并修復(fù)，摒棄開(kāi)發(fā)生命周期的中斷，用工具來(lái)提升開(kāi)發(fā)人員的安全競(jìng)爭(zhēng)力。
最終結(jié)果將會(huì)使更精明的企業(yè)脫穎而出。
名稱欄目：打造拼寫(xiě)檢查式安全
當(dāng)前鏈接：http://m.fisionsoft.com.cn/article/djijcip.html
