承包商流水线、OAuth 网络钓鱼和团队管理不善正成为 SDLC 漏洞的关键切入点。
译自 From Contractors to OAuth: Emerging SDLC Threats for 2025，作者 Rajiv Srinivasan。
随着每一个新的开发者工具、导入的操作系统包或服务帐户的出现，软件开发生命周期 (SDLC) 的攻击面也在扩大。越来越多地依赖无数的 AI 流水线工具来管理代码审查和部署，也使得保护 SDLC 变得更具挑战性。
在 2025 年，攻击者不会直接针对应用程序，而是会专注于开发过程中的漏洞。保护云中完全编译的应用程序与在其开发过程中保护其组件有着根本的不同。我预计 SDLC 将成为攻击者的首选攻击面，使攻击者能够在应用程序到达其公开可用环境之前渗透到应用程序中。
SDLC 安全的未来将由针对开发每个阶段的多层威胁来定义。这些威胁需要能够预测漏洞的方法，从安全性差的承包商流水线到针对开发人员的网络钓鱼计划。组织必须准备好正面应对这些威胁，否则将面临灾难性的破坏。
攻击者不值得任何赞扬；如果说有什么不同的话，那就是他们具有创新性。他们积极地寻找模式和弱点以获得影响力和金钱。如果我们知道可以用来对付我们的小的或孤立的漏洞，攻击者肯定也会知道。
这些弱点——无论是配置不当、过度配置的访问权限还是开源依赖项——相互作用，从而产生更大、更危险的漏洞利用。例如，JFrog 服务帐户令牌的秘密泄露，加上权限管理不当，可能会让攻击者获得他们需要访问的权限，从而升级为更大的破坏。
虽然开源代码扫描工具可以检测到其中一些问题，但它们无法完全了解潜在威胁的范围。大多数软件成分分析 (SCA) 工具不会显示是谁导入了易受攻击的包、何时添加的，或者它在存储库中传播的范围。如果没有这些关键上下文，组织可能会错过更大的图景。
孤立地管理单个漏洞的传统方法必须让位于更全面的策略，该策略要考虑到现代软件生态系统的相互关联性。就像运动队研究其竞争对手以保持领先一步一样，组织必须了解攻击者在 2025 年可能会采用的策略，以保护他们的系统。
让我们来看看攻击者可能会使用的三个关键策略，安全领导者应该在来年保持警惕。
外包软件开发是一种常见的做法，但在管理不当时会带来重大的安全风险。这些外包操作缺乏应用于内部团队的严格安全措施，从而造成攻击者可以轻易利用的盲点。这种情况下的一个常见漏洞是过度配置访问权限。例如，承包商可能被授予对代码存储库中比完成工作所需更多资产的访问权限。承包商可能非常多产，并且为多个客户工作，因此他们很可能是攻击者寻找访问其资产登录信息的方法的对象。如果他们的客户不强制执行适当的基于身份的权限管理，则整个存储库环境可能会受到损害。
配置不当的 CI/CD 流水线是另一个关键弱点。当组织外包软件开发时，他们通常对其承包商环境的安全实践知之甚少。攻击者可以利用配置不当的流水线来访问源代码或操纵软件交付流程。通过针对 CI/CD 实践薄弱的承包商，攻击者可以进入原本应该受到保护的系统，利用外包代码作为特洛伊木马，更深入地渗透到组织内部。
随着组织越来越依赖第三方开发者，监控和控制承包商的权限和配置至关重要。
关于 SDLC，攻击者可能会增加 OAuth 网络钓鱼 尝试针对开发者，诱骗他们授权访问敏感代码库。OAuth 是一种开放标准授权协议，允许用户登录 GitHub 或 Jenkins 等平台，而无需直接输入其凭据。这种策略在移动设备上尤其有效，因为在移动设备上，用户可能难以注意到提醒他们存在威胁的设计差异。
攻击者通过欺诈性 OAuth 请求捕获开发者的凭据，并获得对关键系统的未授权访问。开发者，尤其是职业生涯早期的开发者，可能会在不知不觉中向攻击者提供凭据，误以为他们正在回应合法查询。
防止 OAuth 网络钓鱼可能很困难，因为它利用的是用户行为，而不是传统的技术漏洞。虽然网络钓鱼培训至关重要，但最好的防御措施是限制攻击者在获得访问权限后可能造成的损害。通过将开发者权限限制为其角色所需的权限，组织可以减少受损帐户的影响，并防止更广泛的系统入侵。
2025 年最具灾难性的 SDLC 安全漏洞可能并非源于技术漏洞，而是源于管理不善的开发团队。大多数工程经理的薪酬是根据产品推进情况而定的，因此安全性通常是次要考虑因素。这种动态导致大多数行业缺乏评估基于团队的风险或识别未充分监督其 SDLC 资产的经理的明确策略。因此，攻击者将越来越多地寻找缺乏这种监督的小型、管理不善的团队。此类团队通常拥有过度配置的访问权限、过时的安全实践和不一致的问责制，使其成为威胁行为者的主要目标。
当多个权限过高的开发者集中在同一个项目上时，风险会放大。一个管理松懈的团队，使用配置不当的 CI/CD 管道或过时的依赖项，可能会在一个原本安全的组织中造成重大漏洞。攻击者将瞄准这些团队，因为他们知道利用一个集中的弱点比利用分散的个体漏洞更容易。
为了降低这些风险，安全领导者必须按团队、经理和项目监控 SDLC 安全性。管理层的问责制和更强的监督将帮助组织减少单个管理不善的团队成为攻击入口点的可能性。
此处概述的攻击策略仅代表组织在 2025 年将面临的更多多向量威胁中的一小部分。应对这些挑战需要一种超越技术解决方案的综合方法，包括在开发团队中纳入强有力的监督和文化变革。
对于安全领导者来说，计划很明确：预测不断变化的威胁并在整个 SDLC 中加强防御。通过实施更严格的访问控制、改进管道安全性和培养问责文化，组织可以领先攻击者一步，保护其系统免受灾难性入侵。