遗留的 AppSec 工具迷失在云端

2024-01-07 08:20

本文主要是介绍遗留的 AppSec 工具迷失在云端,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

随着应用程序开发步伐的加快,IT 和安全团队正在对旧的应用程序安全(AppSec) 工具失去信心。

根据 Backslash 对 300 名 CISO、AppSec 经理和工程师的调查,遗留工具无法跟上并陷入永远的追赶游戏。

影响是深远的,大多数组织都看到云原生 AppSec 工具不足的广泛影响。

该报告指出,“人”的影响尤为显着,因为团队合作良好的能力以及留住关键 AppSec 和开发人才的能力与团队是否拥有现代化的云就绪工具直接相关。

最引人注目的调查结果之一是由于工具不足而浪费了大量时间,89% 的人至少浪费了四分之一的工作日(58% 的人浪费了一半以上)来寻找漏洞,而不是主动制定正确的安全策略。

其影响是广泛的,员工的挫败感、团队之间的摩擦、留住人才的问题等等。

企业还需要承担“防御”的硬成本,也就是防御税,每年可能超过 100 万美元,这甚至不考虑未充分保护给定企业应用程序的成本。

该报告得出的另一个令人担忧的结论是,云原生工具不足是 AppSec 团队与开发人员之间摩擦的根本原因。

当前一代的 AppSec 工具无法报告开发团队根据警报采取行动所需的证据级别。

再加上报告的大量误报,AppSec 团队最终在开发人员眼中失去了信誉。

当被问及缺乏云原生工具的影响时,受访者表示 AppSec/dev 摩擦不断增加是被提及的第一大问题,其次是留住开发人才和 AppSec 人才。

我们发现 AppSec 团队最想要的事情之一就是与他们的开发同行良好合作,这是整个调查过程中出现的一个核心问题。

对于追查漏洞所花费的时间,这一切都归结为一个事实,即尽管企业正在拥抱基于云的应用程序开发,但 AppSec 团队并未配备云原生工具。

他们很难跟上快速将代码部署到云中的快节奏开发团队的步伐,然后问题因应用程序安全工具而变得复杂,这些工具会产生过多的低价值警报。

对他们目前使用的工具的最大抱怨是,它们噪音很大,而且对发现的优先级进行排序花费的时间太长,导致无休止、低效且徒劳无功的漏洞追踪。

标准的 AppSec 工具根本不是为云构建的,并且缺乏对 AppSec 团队成功完成工作绝对关键的云环境。

应用程序安全态势管理 (ASPM),一种新的安全方法,为 AppSec 团队提供了更多控制权,并改善了他们应用程序的安全态势。

最后,出现了一种新的思维方式,一种提供应用程序安全态势的整体视图的思维方式,使 AppSec 能够在左移思维与被授权在漏洞被利用之前识别和缓解漏洞之间取得平衡。这就是市场的发展方向。

AppSec 专业人员已经明确表示,标准的 AppSec 工具不适用于云,他们每天都在处理后果,团队摩擦、人才保留问题、收入受到威胁和声誉下降。

AppSec 行业已准备好迎接重大变革,需要专门为理解云而构建的工具。

推动这一变革的责任应该从 CISO 和 AppSec 团队自上而下地推动到组织中:原因有两个。

首先,云安全已经向 CISO 证明,他们可以通过自给自足的方式全面了解和控制其云资产,这提高了 AppSec 的门槛,期望它也可以实现现代化,通过 AppSec 团队的完全可见性进行简化。

其次,虽然左移趋势可以通过将责任转移到开发方来帮助管理快速交付周期,但归根结底,CISO 和 AppSec 团队要负责应用程序的安全性。

因此,CISO 和 AppSec 团队应该对云应用程序安全风险有充分的了解和洞察力。

这篇关于遗留的 AppSec 工具迷失在云端的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/579314

相关文章

高效录音转文字:2024年四大工具精选!

在快节奏的工作生活中,能够快速将录音转换成文字是一项非常实用的能力。特别是在需要记录会议纪要、讲座内容或者是采访素材的时候,一款优秀的在线录音转文字工具能派上大用场。以下推荐几个好用的录音转文字工具! 365在线转文字 直达链接:https://www.pdf365.cn/ 365在线转文字是一款提供在线录音转文字服务的工具,它以其高效、便捷的特点受到用户的青睐。用户无需下载安装任何软件,只

【Linux 从基础到进阶】Ansible自动化运维工具使用

Ansible自动化运维工具使用 Ansible 是一款开源的自动化运维工具,采用无代理架构(agentless),基于 SSH 连接进行管理,具有简单易用、灵活强大、可扩展性高等特点。它广泛用于服务器管理、应用部署、配置管理等任务。本文将介绍 Ansible 的安装、基本使用方法及一些实际运维场景中的应用,旨在帮助运维人员快速上手并熟练运用 Ansible。 1. Ansible的核心概念

超强的截图工具:PixPin

你是否还在为寻找一款功能强大、操作简便的截图工具而烦恼?市面上那么多工具,常常让人无从选择。今天,想给大家安利一款神器——PixPin,一款真正解放双手的截图工具。 想象一下,你只需要按下快捷键就能轻松完成多种截图任务,还能快速编辑、标注甚至保存多种格式的图片。这款工具能满足这些需求吗? PixPin不仅支持全屏、窗口、区域截图等基础功能,它还可以进行延时截图,让你捕捉到每个关键画面。不仅如此

PR曲线——一个更敏感的性能评估工具

在不均衡数据集的情况下,精确率-召回率(Precision-Recall, PR)曲线是一种非常有用的工具,因为它提供了比传统的ROC曲线更准确的性能评估。以下是PR曲线在不均衡数据情况下的一些作用: 关注少数类:在不均衡数据集中,少数类的样本数量远少于多数类。PR曲线通过关注少数类(通常是正类)的性能来弥补这一点,因为它直接评估模型在识别正类方面的能力。 精确率与召回率的平衡:精确率(Pr

husky 工具配置代码检查工作流:提交代码至仓库前做代码检查

提示:这篇博客以我前两篇博客作为先修知识,请大家先去看看我前两篇博客 博客指路:前端 ESlint 代码规范及修复代码规范错误-CSDN博客前端 Vue3 项目开发—— ESLint & prettier 配置代码风格-CSDN博客 husky 工具配置代码检查工作流的作用 在工作中,我们经常需要将写好的代码提交至代码仓库 但是由于程序员疏忽而将不规范的代码提交至仓库,显然是不合理的 所

10个好用的AI写作工具【亲测免费】

1. 光速写作 传送入口:http://u3v.cn/6hXWYa AI打工神器,一键生成文章&ppt 2. 讯飞写作 传送入口:http://m6z.cn/5ODiSw 3. 讯飞绘文 传送入口:https://turbodesk.xfyun.cn/?channelid=gj3 4. AI排版助手 传送入口:http://m6z.cn/6ppnPn 5. Kim

分享5款免费录屏的工具,搞定网课不怕错过!

虽然现在学生们不怎么上网课, 但是对于上班族或者是没有办法到学校参加课程的人来说,网课还是很重要的,今天,我就来跟大家分享一下我用过的几款录屏软件=,看看它们在录制网课时的表现如何。 福昕录屏大师 网址:https://www.foxitsoftware.cn/REC/ 这款软件给我的第一印象就是界面简洁,操作起来很直观。它支持全屏录制,也支持区域录制,这对于我这种需要同时录制PPT和老师讲

生信圆桌x生信分析平台:助力生物信息学研究的综合工具

介绍 少走弯路,高效分析;了解生信云,访问 【生信圆桌x生信专用云服务器】 : www.tebteb.cc 生物信息学的迅速发展催生了众多生信分析平台,这些平台通过集成各种生物信息学工具和算法,极大地简化了数据处理和分析流程,使研究人员能够更高效地从海量生物数据中提取有价值的信息。这些平台通常具备友好的用户界面和强大的计算能力,支持不同类型的生物数据分析,如基因组、转录组、蛋白质组等。

IntelliJ IDEA - 强大的编程工具

哪个编程工具让你的工作效率翻倍? 在日益繁忙的工作环境中,选择合适的编程工具已成为提升开发者工作效率的关键。不同的工具能够帮助我们简化代码编写、自动化任务、提升调试速度,甚至让团队协作更加顺畅。那么,哪款编程工具让你的工作效率翻倍?是智能的代码编辑器,强大的版本控制工具,还是那些让你事半功倍的自动化脚本?在这里我推荐一款好用的编程工具:IntelliJ IDEA。 方向一:工具介绍 Int

BIRT--商业智能和报表工具,从零开始

1.简介 BIRT (Business Intelligence and Reporting Tools), 是为 Web 应用程序开发的基于 Eclipse 的开源报表系统,特别之处在于它是以 Java 和 JavaEE 为基础。BIRT 有两个主要组件:基于 Eclipse 的报表设计器,以及部署到应用服务器上的运行时组件。 2.下载 官网下载网址:http://download.ec