隨著數字化轉型全面展開，使用的代碼量也隨之急劇增加，同時也意味著攻擊面也在增加。這給軟件研發(fā)和安全團隊帶來了挑戰(zhàn)。提前了解常見漏洞的現狀和趨勢可以幫助他們提前部署，防患未然。

新思科技(Synopsys, Nasdaq: SNPS)近日發(fā)布了《2023年軟件漏洞快照》報告。新思科技網絡安全研究中心 (CyRC) 分析的數據顯示，目標應用中發(fā)現的漏洞顯著減少——從 2020 年的 97% 下降到 2022 年的 83%——這是一個令人鼓舞的跡象，表明代碼審查、自動化測試和持續(xù)集成有助于減少常見的編程錯誤。

該報告詳細介紹了由新思科技安全測試服務運行的測試匯總出的三年數據(2020 年至 2022 年)，測試目標包括 Web 應用、移動應用、網絡系統(tǒng)和源代碼。測試結合多種安全技術，包括滲透測試、動態(tài)應用安全測試 (DAST)、移動應用安全測試 (MAST) 和網絡安全測試，旨在探測在真實環(huán)境不法分子會如何攻擊正在運行的應用。

雖然行業(yè)采取積極措施應對軟件漏洞，數據表明，依靠靜態(tài)應用安全測試 (SAST) 等單一工具作為解決方案的方法已不再適用。例如，服務器配置錯誤平均占三年測試中發(fā)現的漏洞總數的 18%。如果沒有結合多層安全措施，例如SAST識別編碼缺陷、DAST檢查正在運行的應用、軟件組成分析(SCA)識別第三方組件引入的漏洞以及滲透測試識別內部測試可能遺漏的問題，這些類型的漏洞可能會無法檢測出來。

新思科技質量與安全部門總經理Jason Schmitt表示：“多年來我們第一次看到軟件中已知漏洞的數量有所下降，這給企業(yè)帶來了新希望。他們嚴肅對待安全問題，并優(yōu)先考慮對軟件安全部署全面的策略，以持續(xù)確保安全。隨著黑客變得越來越老練，我們比以往任何時候都更需要采取多層安全措施，以識別軟件風險所在并保護企業(yè)免遭利用?！?

《2023年軟件漏洞快照》報告還發(fā)現：

? 高危漏洞的可能性較?。哼^去三年平均有 92% 的測試發(fā)現了某種形式的漏洞。然而，這些測試中只有 27% 包含高危漏洞，6.2% 包含關鍵高危漏洞。

? 信息泄露仍然是首要風險：2020年至2022 年發(fā)現的首要安全問題沒有變化——信息泄露，這是敏感信息暴露給未經授權方時發(fā)生的重大安全問題。平均 19%的漏洞與信息泄露問題直接相關。

? 跨站腳本攻擊呈上升趨勢：2022 年發(fā)現的所有高危漏洞中，有 19% 容易受到跨站腳本攻擊。

? 第三方軟件風險增加：2022 年十大安全問題中，25% 的測試發(fā)現“使用易受攻擊的第三方庫”存在風險。如果您不知道正在使用的所有組件(包括第三方和開源組件)的版本，那么軟件可能容易受到攻擊。