2.2. TOP 25的记分明细

2.3. 排名统计的改进

为了更好的让人们明白每一个缺陷的特性，在缺陷的映射上，尽量映射到更细力度的缺陷枚举类型上，比如base、Variant、Compound，这样有利于从更细粒度上解决问题。所以TOP 25中的CWE的类型正逐步从支柱(pillar)、类（Class) 向更细力度的缺陷枚举类型base、Variant、Compound上过度。

比如：

• Class/Pillar 从2020年的36%，降到现在的28%；
• Class 从2019年的43%，降到现在的16%；
• Base/Var/Comp 从2019年的 57%上升到84%；
• 对应到base类型的问题，从2019年的 50% 提升到现在的 76%。

• 注：CWE的枚举类型详见：《话说CWE 4.2的新视图》。

3. 结论

• 前十位的缺陷变动不大，主要还是内存读写造成的缓冲区溢出，以及外部输入校验所带来的各种注入问题；
• 内存安全问题是C语言指针的灵活性给我们带来的后遗症，也一直是困扰我们的主要安全问题。现在安全性已经成为软件开发的重要需求。新兴的Rust语言是否能够给在内存管理方面带来较大的改善，还需要时间的证明；或者在内存安全和编程灵活性的平衡上，寻找一种更容易被广大开发者接受的新语言；
• 外部输入引发的各种注入类问题，在今后相当长的一段时间会长期伴随者我们。零信任、供应链安全框架的提出，虽然在安全概念和设计指导上达到了一个新的高度，但在软件应用落地时，还取决于广大的开发人员对安全意识的逐步提高，从而在代码中有效的执行各种对外部输入的有效的检测，以及各种凭证的有效验证。当然凭证的校验可以通过使用安全模块来进一步降低开发中的安全风险；
• 在TOP 25的数据统计上，CWE在尽量将各种软件问题归结到更细力度的问题分类上。通过这些年新版本的快速发布，已经增加了相当多的细分类型(Base/Variant/Compound)。 从2017年3.0的714个增加到了现在4.8版本的927个，增加了将近30%。这也说明我们对问题的认知程度在细化和加深，这更加有利于我们在安全防范中，采取更精细的检查和更具针对性的防范措施，从而降低安全防御的成本。

4. 参考

• Differences between Version 4.7 and Version 4.8
• 2022 CWE Top 25 Most Dangerous Software Weaknesses

文章知识点与官方知识档案匹配，可进一步学习相关知识云原生入门技能树首页概览8588 人正在系统学习中