隨著數(shù)字化轉(zhuǎn)型全面展開，使用的代碼量也隨之急劇增加，同時也意味著攻擊面也在增加。這給軟件研發(fā)和安全團隊帶來了挑戰(zhàn)。提前了解常見漏洞的現(xiàn)狀和趨勢可以幫助他們提前部署，防患未然。

新思科技(Synopsys, Nasdaq: SNPS)近日發(fā)布了《2023年軟件漏洞快照》報告。新思科技網(wǎng)絡(luò)安全研究中心 (CyRC) 分析的數(shù)據(jù)顯示，目標應(yīng)用中發(fā)現(xiàn)的漏洞顯著減少——從 2020 年的 97% 下降到 2022 年的 83%——這是一個令人鼓舞的跡象，表明代碼審查、自動化測試和持續(xù)集成有助于減少常見的編程錯誤。

該報告詳細介紹了由新思科技安全測試服務(wù)運行的測試匯總出的三年數(shù)據(jù)(2020 年至 2022 年)，測試目標包括 Web 應(yīng)用、移動應(yīng)用、網(wǎng)絡(luò)系統(tǒng)和源代碼。測試結(jié)合多種安全技術(shù)，包括滲透測試、動態(tài)應(yīng)用安全測試 (DAST)、移動應(yīng)用安全測試 (MAST) 和網(wǎng)絡(luò)安全測試，旨在探測在真實環(huán)境不法分子會如何攻擊正在運行的應(yīng)用。

雖然行業(yè)采取積極措施應(yīng)對軟件漏洞，數(shù)據(jù)表明，依靠靜態(tài)應(yīng)用安全測試 (SAST) 等單一工具作為解決方案的方法已不再適用。例如，服務(wù)器配置錯誤平均占三年測試中發(fā)現(xiàn)的漏洞總數(shù)的 18%。如果沒有結(jié)合多層安全措施，例如SAST識別編碼缺陷、DAST檢查正在運行的應(yīng)用、軟件組成分析(SCA)識別第三方組件引入的漏洞以及滲透測試識別內(nèi)部測試可能遺漏的問題，這些類型的漏洞可能會無法檢測出來。

新思科技質(zhì)量與安全部門總經(jīng)理Jason Schmitt表示：“多年來我們第一次看到軟件中已知漏洞的數(shù)量有所下降，這給企業(yè)帶來了新希望。他們嚴肅對待安全問題，并優(yōu)先考慮對軟件安全部署全面的策略，以持續(xù)確保安全。隨著黑客變得越來越老練，我們比以往任何時候都更需要采取多層安全措施，以識別軟件風險所在并保護企業(yè)免遭利用?！?

《2023年軟件漏洞快照》報告還發(fā)現(xiàn)：

? 高危漏洞的可能性較小：過去三年平均有 92% 的測試發(fā)現(xiàn)了某種形式的漏洞。然而，這些測試中只有 27% 包含高危漏洞，6.2% 包含關(guān)鍵高危漏洞。

? 信息泄露仍然是首要風險：2020年至2022 年發(fā)現(xiàn)的首要安全問題沒有變化——信息泄露，這是敏感信息暴露給未經(jīng)授權(quán)方時發(fā)生的重大安全問題。平均 19%的漏洞與信息泄露問題直接相關(guān)。

? 跨站腳本攻擊呈上升趨勢：2022 年發(fā)現(xiàn)的所有高危漏洞中，有 19% 容易受到跨站腳本攻擊。

? 第三方軟件風險增加：2022 年十大安全問題中，25% 的測試發(fā)現(xiàn)“使用易受攻擊的第三方庫”存在風險。如果您不知道正在使用的所有組件(包括第三方和開源組件)的版本，那么軟件可能容易受到攻擊。