2019第二届世界物联网安全峰会在北京成功召开。本届峰会以“亮剑安全，赋能物联新时代”为主题，邀请了300多位物联网行业
专家企业高层以及研究人员，共同分析未来物联网安全的市场趋势，并探讨其未来发展方向。新思科技软件质量与安全部门高
级安全架构师杨国梁也受邀参会，并在大会现场带来“Build Security In IOT”的主题演讲。杨国梁指出，设计缺陷、安全漏洞和
弱密码等是造成物联网威胁的主要因素，物联网行业需要重视开源代码的安全使用。“企业应该积极主动地去进行开源管理从一
开始就将安全内置在物联网中。”


杨国梁的演讲给物联网安全带来了新的解题思路，他呼吁人们重视起过去容易忽略的开源代码安全在现场赢得很多听众的认可和
掌声会议间隙，51CTO记者采访了杨国梁，请他分享新思科技在物联网安全领域的思考与判断。


将安全内置到物联网

记者了解到，新思科技成立于1986年，至今已有30多年历史，自2014年起，新思科技收购了一系列做软件安全的公司开始针对企业级
市场提供研发阶段的安全测试服务。这其中既包括提供安全测试工具，开源组件的治理工具，也提供白盒、代码审计、自动化之类的
工具，还可以满足客户咨询，提供渗透测试服务、托管测试服务，以及安全成熟度的评估等，总之都是为了一个共同的目标，就是帮
助客户更快更安全进行软件创新。

之所以聚焦物联网安全，是因为新思科技看到了物联网潜在的庞大安全需求。杨国梁告诉记者，物联网需要无数的软件来支撑
但是开发人员往往更关注他们创建的软件代码，而忽略了使用的开源代码，导致黑客有机可乘。不久前，黑客窃取了分析服务
Picreel和开源项目Alpaca Forms的数据，并修改了它们的JavaScript文件，进而在超过4,600个网站上嵌入恶意代码，这正是忽
略开源代码安全的典型例子。

“未修补的软件漏洞是企业面临的最大网络威胁之一，软件中未修补的开源组件会增加安全风险”他告诉记者在2018年审计的
代码库中，有60%至少含有一个漏洞，虽然比例不低，但却远远好于2017年的78%。


那么为什么会提出要“内置安全”这样的理念呢?杨国梁解释道，安全和性能其实在某种程度是博弈的状态，在物联网高速发展的大
趋势下，很少有厂商愿意为了安全在功能或性能上做让步。但是传统的安全防护工具如防火墙、入侵检测，大多都是做边界防护
安全，并不能很好地适用于无边界或者边界日趋模糊的物联网应用环境，所以最好的方法就是在产品研发阶段，从写源代码开始
就做得足够健壮，减少对外界防护工具的依赖。如此一来，既提升了安全防护水平，又不会牺牲产品性能，导致未来一旦遭遇安
全威胁，只能亡羊补牢事后补救。

其实在开源代码阶段就介入安全还有一个好处。众所周知，物联网是一个非常庞大的领域，各行各业的产品形态都不尽相同如果
是生成产品后再部署安全解决方案，那么解决方案必须要匹配各个行业属性，做定制开发。但是做开源代码安全就不同了，它是
从整个开发流程角度实现安全，无论是设备端的开发，还是后端的开发，无非总是遵循设计、研发、测试、发布这样的一个流程
新思科技只要针对这些流程的每一个环节，提供自动化的测试工具，就可以实现高水准的安全质量，可以说是覆盖所有行业安全
需求，更易用更便捷更专业了。

同是代码安全，新思科技出众之处在哪?

其实国内做代码安全的公司并不在少数，为什么新思科技的代码安全更让客户放心呢?对此杨国梁总结了两点。
首先，新思科技提供的是自动化的检测工具，企业不需要去依赖于厂商某一个能力突出的专家，对厂商人员的依赖很小
代码输出质量是很稳定的，服务更值得信赖。

其次，从流程来看，很多提供代码安全检测的公司往往是在产品开发工作结束之后，才开始介入做代码检测和修复一旦发现漏洞
就需要溯源查找研发各个环节，找到修复之后再做回归测试，验证流程再走一遍，检测周期非常长。但是新思科技却不同，他提
供的是一个自动化工具，开发人员可以在任何时间任意模块开发工作告一段落时来进行检查，一旦发现有严重安全问题，就可以
及时修正，时效性大大提升。

当谈到目前国内客户的接受程度时，他告诉记者，像高科技、物联网、设备商、互联网等行业市场的前沿客户和第一梯队的客户接
受程度非常高，大家基本都达成共识，从代码开发这个源头就开始注重安全防护能力。

采访最后，针对峰会现场众人都很关注的物联网安全落地建设的关键，杨国梁强调，“重视”二字尤为重要。为什么人们驾驶汽车都会系上安
全带?就是因为人们意识到安全的重要性，物联网安全领域也同样如此，安全专业人员要意识到安全的重要性，引起足够重视，否则仅仅考
虑如何解决安全难题，也不会取得太显著的效果。