編程有五個(gè)主要步驟：?jiǎn)栴}的識(shí)別和定義（需求分析），問題解決方案計(jì)劃（方案編制），程序的編碼（代碼實(shí)現(xiàn)），測(cè)試和文檔編制。這一細(xì)致的過程，需經(jīng)過所有基本要點(diǎn)方能完成。在這個(gè)過程的方方面面，必須考慮到安全性。在提出解決方案并編寫代碼時(shí)，需要始終確保安全性。安全滲透人員的利器Kali
在國(guó)外網(wǎng)站上看到一篇文章，提到程序員應(yīng)該像黑客一樣思考的原因，頗感有趣也正契合我內(nèi)心之所思，雖然各種觀點(diǎn)不見得是多新穎，但是安全這個(gè)問題是常讀常新，意識(shí)需要時(shí)刻加強(qiáng)的，也就班門弄斧一下，搬過來(lái)一起看看。
網(wǎng)絡(luò)攻擊正變得越來(lái)越普遍，這是一個(gè)趨勢(shì)，可想而知在可預(yù)見的未來(lái)不太可能改變。隨著個(gè)人，企業(yè)，組織和政府越來(lái)越依賴現(xiàn)代信息技術(shù)，網(wǎng)絡(luò)犯罪預(yù)計(jì)只會(huì)增加，不可能減少。當(dāng)今社會(huì)的人們所做的事情幾乎都涉及互聯(lián)網(wǎng)，時(shí)刻接觸計(jì)算機(jī)、應(yīng)用程序。對(duì)于程序員而言，考慮制作應(yīng)用程序或軟件的安全性，是再合乎邏輯不過的事情。程序員僅僅實(shí)現(xiàn)功能，顯然是不夠的，畢竟軟件使用者選擇軟件過程中，越來(lái)越多的意識(shí)到軟件的安全性對(duì)他們有多重要。網(wǎng)絡(luò)攻擊具有毀滅性后果，從身份盜用到成千上萬(wàn)的數(shù)字資產(chǎn)或企業(yè)失去機(jī)會(huì)。此外，還有合規(guī)性巨額處罰，例如文章里就舉例說(shuō)了，今年早些時(shí)候，英國(guó)航空公司因不滿足合規(guī)性要求，遭受1.83億英鎊巨額罰款。當(dāng)程序員像黑客一樣思考時(shí)，對(duì)于軟件的安全性將大有裨益！然而，開發(fā)人員在獲得計(jì)算機(jī)科學(xué)大學(xué)學(xué)位或通過在線培訓(xùn)課程學(xué)習(xí)時(shí)，很少接受太多安全培訓(xùn)，這點(diǎn)在我們做網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)過程中，監(jiān)測(cè)的應(yīng)用程序或設(shè)備是，發(fā)現(xiàn)很多應(yīng)用程序或設(shè)備，在設(shè)計(jì)之初就沒考慮到安全性，沒有提供相應(yīng)的安全策略實(shí)現(xiàn)方式，缺少相應(yīng)的功能模塊。隨著我國(guó)信息化發(fā)展，國(guó)家層面提到網(wǎng)絡(luò)安全和信息化是一體之兩翼，驅(qū)動(dòng)之雙輪。企業(yè)也意識(shí)到擁有有效的安全策略和訓(xùn)練有素的員工的重要性，但仍局限在將大部分精力和金錢用于增加單獨(dú)的網(wǎng)絡(luò)安全防御層或從網(wǎng)絡(luò)攻擊中恢復(fù)的工作中。開發(fā)團(tuán)隊(duì)最佳實(shí)踐之一就是需要通過了解黑客如何利用漏洞，學(xué)習(xí)最佳的安全編碼實(shí)踐。不僅有益于編程過程的最終輸出，而且有益于軟件開發(fā)人員的熱情和效率。為什么程序員應(yīng)該采用黑客的思維方式，我們摘錄如下：1.無(wú)與倫比的韌性
黑客在擊敗安全系統(tǒng)方面大多是自學(xué)成才的專家。他們是那些有著非凡耐心的一群人，是不斷嘗試盡可能地打破阻礙他們做或得到某事的障礙的人。當(dāng)涉及到他們使用的大多數(shù)技術(shù)時(shí)，他們并不總是依靠正規(guī)的教育，而是獨(dú)辟蹊徑。黑客是頑強(qiáng)的。通常，他們自己學(xué)習(xí)一切。他們不依靠其他人向他們提供新的知識(shí)，而是喜歡以DIY的方式弄清楚事物。如果有他們不了解或了解不了的東西，會(huì)竭盡所能學(xué)習(xí)。黑客可能不一定艱難崎嶇之路，但正規(guī)教育中的內(nèi)容太少，他們不得不以某種方式走更艱難崎嶇之路。他們可能想嘗試或做的事情涉嫌違法，并且被遵紀(jì)守法的社區(qū)程序員反對(duì)。2.實(shí)踐重于閱讀和傳統(tǒng)學(xué)習(xí)
對(duì)于黑客來(lái)說(shuō)，始終要有動(dòng)力實(shí)踐嘗試許多事情以實(shí)現(xiàn)其目標(biāo)，這一點(diǎn)非常要。他們所學(xué)甚多，但非都源自書籍或講座。更多的是實(shí)踐經(jīng)驗(yàn)中積累新知識(shí)。實(shí)踐與閱讀或參加講座相比，斬獲更多。正如那樣埃德加·戴爾（美國(guó)學(xué)者）的經(jīng)驗(yàn)所表明的，人們的學(xué)習(xí)，從講座中獲得知識(shí)的5％，從閱讀獲得大約10％的知識(shí)，約75％的知識(shí)來(lái)自實(shí)踐或興趣。3.預(yù)期潛在的安全漏洞
黑客一直認(rèn)為打破網(wǎng)絡(luò)攻擊防御的刻板印象并非完全錯(cuò)誤。他們奇思妙想，讓人感覺天生叛逆，喜歡利用薄弱的環(huán)節(jié)，破壞已建立的保護(hù)體系。若程序員能夠與黑客換位思考，會(huì)更加關(guān)注編程實(shí)現(xiàn)過程無(wú)意中創(chuàng)建的安全漏洞。站在黑客的視角思考的程序員會(huì)自動(dòng)考慮如何繞過安全協(xié)議或利用應(yīng)用程序中的漏洞。那么就能夠知己知彼，提前預(yù)防或加固所創(chuàng)造的程序。4.創(chuàng)造性思維和打破常規(guī)的意愿
在信息安全領(lǐng)域沒人否認(rèn)黑客絕對(duì)具有創(chuàng)造力和機(jī)智。他們不走尋常路，以創(chuàng)新和非傳統(tǒng)的方式保持組織。他們新思泉涌，不斷實(shí)現(xiàn)自己的目標(biāo)。他們不畏困難，屢敗屢戰(zhàn)，內(nèi)在的堅(jiān)韌性促使他們不斷前進(jìn)。當(dāng)然，這里不是鼓勵(lì)程序員肆無(wú)忌憚的去違反法律或采用黑客的方法。關(guān)鍵是，程序員不為經(jīng)驗(yàn)所支配，思考更多，不完全依賴于從學(xué)校或傳統(tǒng)書籍中學(xué)到的知識(shí)，做的更好，做到未雨綢繆。黑客也非都是違法亂紀(jì)，當(dāng)今世界很多黑客通過不同方式，在找漏洞幫助軟件生產(chǎn)商加固系統(tǒng)。5.開心
僅將編程視為工作時(shí)，編程亦非易事。只想按照里程碑或截止日期完成程序時(shí)，可能壓力巨大，日久生厭。黑客攻擊，或許可以是調(diào)動(dòng)你熱情和興奮的催化劑。黑客不設(shè)時(shí)限時(shí)刻可能入侵，隨機(jī)而動(dòng)，總能看到機(jī)會(huì)。結(jié)論
以黑客技術(shù)為非作歹當(dāng)然不是榜樣，理應(yīng)為人唾棄。我們也知道文章并不是要美化壞人，另外利器無(wú)善惡，善惡的只是人心，以正心握利器行正道，善莫大焉！此文目的，只是為程序員建設(shè)安全的產(chǎn)品提供一種思考方式，以便開發(fā)更安全的應(yīng)用程序，使之更具防御能力。
做等保的人需要理解標(biāo)識(shí)與鑒別的基本概念
做等保的人需要理解最小特權(quán)管理基本思想
信息安全人員的滲透利器Kali Linux 2019.4發(fā)行
2019年十月份惡意軟件之“十惡不赦”排行榜
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
