企业网络安全的新盲区：影子工程

“眼不见为净”绝不是应对网络安全或安全软件开发生命周期的好方法。然而，在数字化转型的浪潮中，许多企业正不知不觉地暴露在与“公民开发者”应用相关的安全风险中。

低代码/无代码（LCNC）技术的普及使得没有正式编程或软件开发培训的个人也能轻松构建应用程序，这种现象催生了一个新术语——“影子工程”。通过提供直观的拖放界面和生成式人工智能（GenAI）功能，LCNC平台使员工能够在安全团队的监管范围之外独立创建和部署应用。

尽管存在风险，LCNC应用在推动数字化转型中扮演着重要角色。它们不仅能够显著降低成本，还可能成为全球大多数应用的核心。根据Gartner的数据，近三分之二的首席信息官（CIO）表示，他们的企业计划在未来两年内部署LCNC平台，或已经部署了这些平台。CIO们认为，提升客户或公民体验、改善运营利润率以及增加收入是数字技术投资的最关键成果。

影子工程：安全盲区的隐患

LCNC和机器人流程自动化（RPA）技术使应用开发民主化，让没有编程技能的用户也能参与其中。然而，影子工程也正在制造一个安全盲区，使企业暴露在无法预见的风险中。

使用低代码/无代码应用平台（LCAP）——如Microsoft Power Apps、Power Automate、UiPath、Automation Anywhere或ServiceNow——业务用户创建的应用和自动化流程绕过了传统的软件开发生命周期（SDLC）及其安全保证流程。影子工程使安全团队对公民开发者部署的LCNC应用几乎没有控制权。这些应用还绕过了通常用于标记软件漏洞和错误配置的代码测试，可能导致数据泄露。这种缺乏可见性的情况使企业无法执行政策，以确保其符合企业或行业安全标准。

例如，销售团队创建的用于处理信用卡支付的低代码自动化工具可能会泄露敏感数据，并违反PCI DSS要求，而安全运营团队对此一无所知。

应对影子工程风险的最佳实践

要解决影子工程带来的风险，需要将传统的应用安全原则应用于LCNC应用，包括以下最佳实践：

1. 发现与追踪
   缺乏可见性是影子工程带来的主要风险，也是缓解风险的起点。发现并清点所有LCNC应用和自动化流程，识别并消除冗余或过时的应用，并筛选出应受企业政策控制的实时应用。
2. 保护应用
   LCNC应用与传统开发的软件存在许多相同问题，例如硬编码或默认密码以及数据泄露。即使是用于收集员工T恤尺码的简单应用，也可能让黑客访问其HR文件和保护数据。应定期评估LCNC应用的威胁和漏洞，以便及时发现和修复。同时，可以使用运行时控制来检测应用和自动化流程中的恶意行为。
3. 强制执行合规性
   公民开发者可能不了解GDPR、CCPA、HIPAA、PCI DSS等法规。制定并执行LCNC安全政策，以检测和防止违规行为。
4. 赋能公民开发者
   以易于理解的方式为公民开发者提供指导，帮助他们尽可能快速、轻松地修复风险。与业务开发者合作，确保安全被整合到未来的LCNC应用开发过程中。
5. 定期监控
   安全从来不是一劳永逸的。定期监控应用开发过程，并对LCNC应用进行定期安全评估和审计。检查应用和自动化流程以识别安全漏洞，例如默认密码。评估其第三方组件以识别恶意代码或漏洞，并检查其数据使用情况以防止数据泄露。监控开发者活动，特别是在应用发布后，关注是否有修改行为。

结语

LCNC和RPA技术使软件开发民主化，只要企业保持必要的可见性以实施治理和安全控制，这将是一个积极的发展。然而，在大多数大型企业中，与公民开发者应用相关的风险往往未被发现或忽视，且未得到缓解。上述步骤为保护LCNC应用和RPA提供了坚实的基础。为了控制安全风险，企业应从发现、评估、修复和治理LCNC应用及RPA任务的结构化流程开始。

原文链接：https://www.darkreading.com/vulnerabilities-threats/understanding-security-new-blind-spot-shadow-engineering