数字化转型下的研发安全痛点"

admin
admin
admin
0
文章
0
评论
2026-10-18 16:45:41 网络安全文章 来源：ZONE.CI 全球网 0 阅读模式

cover_image

数字化转型下的研发安全痛点

原创

aerfa21
aerfa21

我的安全视界观

2024年7月15日 06:06
北京

在小说阅读器读本章

去阅读

很久以前，就想写一篇关于SDL与DevSecOps的文章，但疏于实践一直未能动笔。想写的原因很简单，因为总是听到有人说SDL落后、DevSecOps相关技术更高超。一提到研发安全建设，不分研发模式都在赶时髦一样地说DevSecOps。从我的观察来看，不结合研发模式来做研发安全，都是不成功的。

在数字化浪潮的推动下，一些公司已经完全步入DevOps模式，有的则出现瀑布、敏捷或DevOps并存，且后者是居多的。所以如何在多种研发模式下进行有效的研发安全建设，成为一个必须解决的难题。经过近十年的实践，终于在探索解法上有一点点收获与经验，于是有了“深耕研发安全”这一系列文章。

本文是开篇，介绍在数字化转型过程中，研发安全的工作模式与方法的迭代升级。从研发安全体系建设的角度出发，总结出难度比较大的三个典型问题。

01 市场侧的快速交付需求

———————————

市场需求不断变化，商机一瞬即逝。产品为实现抢占市场的需求，要求背后的研发和交付团队能够快速响应，对于安全团队来讲也是一样的。但纵观整个公司来看，有的业务严格按照瀑布开发计划执行、研发周期很长，有的业务又没有快速部署的需求，于是就出现了多种开发模式并存的状态：

（图片创意来自互联网）

三种主要模式的区别如上图所示，表面上在于研发阶段所占时长、顺序的不一样，往里看还有研发、运维团队工作模式、研发工具的差异，这给安全工作带来了很大的挑战。

02 技术发展带来的多样化

———————————

其次是技术发展带来一些变化，很多年前在说PHP是最好的语言，现在很多大型的业务网站其实都还是Java，不过Go的应用也非常广泛。公司内部的研发技术栈，基本符合外部的趋势。但除了这三个外，主流语言还有C、C++、C#、Python，内部使用的语言还有ruby、rust、swift、Visual Basic...

（图片创意来自互联网）

于是就出现了第二个比较大的挑战，表面看是研发语言种类很多，往里看则是开发框架、人员技能的差异。相关的安全工作开展，如安全组件、编码安全规范、静态代码扫描工具、开源组件安全管理、安全人员能力...也随之变得复杂。

03 研发基础设施的不统一

———————————

第三是研发基础设施没有完全统一，比如由于历史原因产品线各自管理代码和发布系统，公司层面缺少强有力的配置管理团队做全局管控...就会在出现各种代码管理工具、各类构建和发布系统。表面上看是研发工具多种多样，往里看则是研发流程（CI&CD）的不一样。

对于安全测试工具嵌入不同的流程，同样带来了巨大的麻烦。

上述的每一个问题，都是安全团队遇到的痛点。当这些点都集中在一块儿时，困难好比是一个类似乘积的关系，瞬间被放大了很多倍。感觉遇到了一种混沌的状态，安全工作没有了抓手，甚至是无从下手。

长按识别二维码，和我交流

More...

*-- SDL 100问 --*

-- 软件供应链对抗探索 --****

--------- 实战演习 ---------****

--------- 安全运营 ---------****

--------- 软件安全 ---------****

--------- 企业安全 ---------****

--------- 渗透测试 ---------****

--------- 安全开发 ---------****

--------- 个人体验 ---------****

版权声明

本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。

ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
安全领域涉猎者-乌云独行地带
数字化转型下的研发安全痛点" 网络安全文章

数字化转型下的研发安全痛点"

文章分析了数字化转型下研发安全面临的三大痛点：市场侧快速交付需求导致瀑布、敏捷、DevOps多种开发模式并存，增加了安全工作适配难度；技术发展带来多样化语言、框架与工具，使安全组件和扫描工具选择复杂化；研发基础设施不统一造成代码管理、构建发布流程各异，难以嵌入标准化安全测试。作者建议安全建设需结合具体研发模式因地制宜，强调统一规划与流程整合的重要性。
10-180 评论
人工智能帮助发现数百万台设备中使用的FatFs库中的缺陷" 网络安全文章

人工智能帮助发现数百万台设备中使用的FatFs库中的缺陷"

runZero研究人员披露了广泛使用的FatFs文件系统库中的七个安全漏洞(CVE-2026-6682至CVE-2026-6688),严重程度从中等到高。这些漏洞影响数百万嵌入式设备,可通过恶意USB驱动器、SD卡或固件更新触发。研究使用AI辅助工具(如GitHubCopilot)自动生成模糊测试工具,发现了此前人工审计遗漏的漏洞。修复因嵌入式生态碎片化而复杂,runZero已公开了发现和概念验证代码。
10-180 评论
你的AgenticRL可能白训了：被忽略的“旧logits”陷阱" 网络安全文章

你的AgenticRL可能白训了：被忽略的“旧logits”陷阱"

本文指出异步AgenticRL中rollout与训练解耦会导致PPO所需的oldlogits丢失，破坏off-policycorrection语义并混淆两类不同约束。作者提出三条精确恢复路径及低成本的PPO-EWMA近似方案，实验证明该方案通过动态衰减与自动重置，能以极低开销逼近理想恢复效果，建议大规模训练优先采用。
10-180 评论
张江热搜事件警示：外籍组长入职4个月拉7名同乡锁死代码！研发权限漏洞才是致命隐患" 网络安全文章

张江热搜事件警示：外籍组长入职4个月拉7名同乡锁死代码！研发权限漏洞才是致命隐患"

张江科技公司因外籍研发组长入职4个月后锁死代码仓库导致项目停摆48小时的事件，暴露了研发权限失控、团队管理粗放及技术资产无兜底三大漏洞。文章分析了事件经过与根源，并提供了包括最小权限原则、团队制衡、三重应急备份及法律协议在内的代码安全落地指南，强调技术主权必须掌握在企业手中。
10-180 评论
ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
评论：0   参与：  0