圆桌讨论：应对现代威胁的安全性

📌 一句话摘要

一组安全专家探讨了现代软件供应链威胁，强调了零信任（Zero Trust）、安全设计原则以及将安全性集成到开发人员工作流程中。

📝 详细摘要

本次 InfoQ 圆桌讨论汇集了来自 Snyk、Johnson Matthey、EPAM 和 Sage 的安全从业者，共同探讨现代威胁的演变。对话的核心在于“设计弹性”（resilience by design）的必要性，通过零信任框架挑战对 CI/CD 流水线和公共存储库的固有信任。讨论的关键策略包括将渗透测试左移至早期阶段环境，将安全性作为赋能者（“安全带”）而非阻碍者（“刹车”），以及解决安全中的人为因素。专家组还涉及了 AI 提示词注入（prompt injection）等新兴风险，以及在应用程序代码、依赖项、容器和基础设施方面实现全面可见性的重要性。

💡 主要观点

- 挑战对“受信任”内部流水线和公共存储库的假设。 供应链中的零信任意味着审计和监控每一个阶段，因为恶意代码可能会在运行时被注入到受信任的 CI/CD 环境或容器镜像中。

将渗透测试左移至早期开发环境。 无需等待预发布阶段，在系统测试环境（STE）等早期阶段进行渗透测试，有助于在漏洞修复成本更低、难度更小时将其识别出来。

安全性应充当“安全带”，在实现速度的同时提供保障，而不是“刹车”。 通过提供“黄金护栏”（golden guardrails）和自动化扫描，安全团队能够赋能开发人员安全地进行创新，并让他们能够安心专注于功能开发。

解决安全领域中的人为因素和沟通鸿沟。 网络钓鱼仍然是主要的攻击向量；有效的安全性需要培训、加强安全团队与工程团队之间的沟通，并让“安全的方式”成为“简单的方式”。

💬 文章金句

- 弹性不仅仅是一个流行词，它是一种承诺，旨在让安全性成为我们工程工作流程中的一等公民。

我倾向于这样看待安全性：如果你有一辆车，安全性不是刹车，而是你的安全带。
你无法仅靠扫描就能找到解决方案……安全漏洞从不休息。
如果安全性是事后才考虑的，如果太晚了，那将会痛苦得多，并且肯定会阻碍任何创新。

📊 文章信息

AI 评分：88

来源：InfoQ

作者：Sonya Moisset, Andra Lezza, Stefania Chaplin, Celine Pypaert, Emma Yuan Fang

分类：软件编程

语言：英文

阅读时间：30 分钟

字数：7336

标签：供应链安全, 零信任, DevSecOps, 安全设计, AI 安全

阅读完整文章

圆桌讨论：应对现代威胁的安全性

🤖 問 AI