内存安全周报第164期 | 五眼联盟发布关于消除内存安全漏洞的指导文件

美国、英国、加拿大、澳大利亚和新西兰的政府机构发布了关于软件制造商消除内存安全漏洞的指导文件。

这份文件名为《内存安全策略案例》，其建议采用内存安全编程语言(以下简称”MSLs“)来消除网络攻击中常被黑客利用的代码错误。尽管工程师们努力减少内存安全漏洞，但见效甚微，解决这类漏洞的一种方法就是向MSLs过渡。该文件鼓励软件制造商创建和发布内存安全策略，以展现他们对安全成果、透明度以及对自上而下的安全产品开发方法的承诺。采用MSLs是一种业务上的迫切需要，政府敦促企业高管们来领导这一转变，要求他们公开指派负责推动安全策略发布的高级员工，以及能根据需求进行资源重新分配的高级员工。

该文件还概述了一些减缓内存安全漏洞的方法，如：开发人员培训、代码覆盖、安全代码指导、模糊测试、静态和动态应用程序安全测试工具，以及使用更安全的语言子集。采用MSLs有望提高代码的可靠性，减少修补漏洞、紧急发布和紧急更新的需要，最终降低数据泄露的可能性。该指南强调MSLs能减少受攻击的范围，使黑客意识到利用一些漏洞会更具挑战性和资源密集性。该文件还概述了向MSLs过渡的优先顺序，以及选择合适的开发语言和培训开发人员的步骤。