情境式动手学习：训练大脑以增强安全性的强大方式

对不起，我得告诉你一些坏消息。

传统训练已不复存在。

好吧，好吧，不是... 但应该如此。研究一次又一次地表明，让一群人呆在教室里学习新东西、完成合规任务或接受再培训是人们接受教育的最无效的方式之一。而且，在企业培训方面，这些统计数据并没有改善。《哈佛商业评论》 发表了一项研究 关于课堂培训对大型企业新员工的有效性，发现这种学习方法平均花费了 八到十二个月 让新员工快速上手并提高工作效率。那是一个 正是 要花很长时间才能充分利用一个人的技能（如果你是新员工，也需要很长时间才能感到舒服）。如今，大多数地方都没有这样的时间；不可避免的是，会有人偷工减料，人们得不到所需的培训，公司损失了大量本可以更快实现的价值。

令人难以置信的是，许多地方仍然依赖教室、枯燥的教科书和乏味的视频培训来让自己的最佳和最聪明的人了解公司的最佳实践或新举措，尤其是在有更好、更具吸引力、更有价值的学习方式：情境式培训时。事实证明，当我们亲身体验新的想法和流程时，我们人类在保留信息方面要好得多。

现在，对于开发者来说... 我们是一群特别的人。根据我作为开发者的亲身经历，传统培训并不能完全让我大吃一惊。开发者往往是富有创造力、足智多谋的问题解决者，他们宁愿使用这些工具，也不愿在教室里听课，或者在尝试学习新信息时坐在无休止的会说话的人的视频前。如果你特别看一下安全培训，在当前的环境中似乎存在明显的脱节：开发人员未能解决其代码中的常见漏洞，这导致AppSec专业人员一遍又一遍地面对同样容易修复的问题时大吃一惊。这些团队之间的关系紧张，开发人员没有获得正确的工具和培训来保持对安全开发最佳实践的参与。他们的主要目标是功能构建，但是随着每家公司的网络风险迅速增加，我们再也承受不起忽视和降低安全知识优先级的代价。

最棒的部分呢？如果开发人员具有安全意识，那么这些常见的漏洞就会开始消失。风险降低了，修复后期错误的成本也降低了（AppSec不会让少数人掉头发）。

那么，让开发人员参与情境培训到底是什么样子呢？

现实世界的例子非常强大。

想象一下，如果我们都必须通过在YouTube上观看视频来学会开车。虽然你可以大致了解汽车的工作原理，以及为推动你在道路上行驶而引发的一系列事件，但除非你跳上车亲自试一试，否则几乎不可能学会如何驾驶。

情境培训非常有价值，因为它可以让学生掌握所教的内容。当你了解某件事的真实背景时，它会使学习变得更具吸引力和意义。

从安全编码来看，任何人都可以坐下来看视频，了解 SQL 注入的基础知识，但是当最后期限迫在眉睫且功能交付成为优先事项时，实际解决问题的本质很容易被遗忘。但是，如果可以查看真实的代码示例，请识别注入并将其作为训练练习的一部分进行修复，也就是说 远 比尝试保留单向信息更适用于开发人员的日常工作。对于开发人员来说，这也更具相关性，如果他们看到的代码与他们平时写的代码类似，他们就会站出来关注。

在 安全代码勇士 平台，我们对安全代码培训进行了游戏化，在多种语言和框架中提供了各种各样的挑战。该系统鼓励重复游戏，最重要的是，可立即自定义，为真正的情境学习提供合适的环境。

在知识最有用的时候提供知识

根据情境学习理论，只有当学生在自己的个人参考框架内以对他们有意义的方式处理新信息或知识时，才能进行有效的学习。

想象一下，开发人员收到来自漏洞赏金计划、SAST 工具或错误跟踪软件的安全漏洞清单。如果他们以前从未遇到过这些漏洞，他们可能会感到困惑，甚至不知所措。更糟糕的是，大多数报告是为应用程序安全专家设计的，而不是为开发人员设计的。报告中的信息很难解析，并且通常包含不直接适用于开发人员的通用建议。

最近，我们增加了直接深度链接到漏洞赏金计划、SAST 工具、错误跟踪软件和渗透测试报告漏洞的实践培训的功能。开发人员可以立即了解基础知识并为其特定框架学习良好的编码方法。

以这种方式学习可以确保开发人员在最相关的时候接受有关概念的知识和培训，并且他们更有可能长期保留这些信息。

更快的结果，更少的干扰，更快的露营者。

在任何培训中，与日常活动相关的即时背景都比尝试在工作中运用一些通用的东西要强大得多。你在 “学习模式” 上花费的时间更少，甚至更糟糕——当你需要某件事的答案时，你必须回过头来阅读已经 “学到” 的东西。

情境培训的原则之一是能够在知识的基础上再接再厉，使培训的每个组成部分都与前一个部分相辅相成，从而允许一个分步的过程，为参与者提供通往精通的途径。同样，这是我们在平台上支持的，其传送带系统类似于空手道场的传送系统。每个人都从白带开始，然后晋升到梦寐以求的黑带，或者在投入必要的训练和比赛参与时间之后，进入 “安全冠军” 级别。这是一种具有现实价值和实际应用的有趣方法。

想留住最优秀的人才并让他们保持安全意识吗？为他们提供成功的工具。

不幸的是，目前，具有安全意识的开发人员和AppSec专家是一种稀缺（但至关重要的）资源。众所周知，它们也很难坚持。

Cybrary 在2018年对3100名IT和安全专业人员进行了一项调查，显示留住有价值的员工的关键要素是投资于他们的培训。他们的调查结果表明，提供工具和培训以培养内部安全技能的公司比没有提供工具和培训的公司留住安全专业人员的能力高60％，高达65％的受访者更愿意将这种培训作为动手实践。很整洁，对吧？

但是，调查结果也提供了一个相当令人震惊的启示：80％的受访者认为没有做好充分的准备来保护自己的组织免受网络威胁。这些威胁不会消失，现在比以往任何时候都更需要正确的培训来应对代价高昂的数据泄露和攻击的日益增长的风险。而且，好吧，我可能有偏见，但是Secure Code Warrior的平台可能是你需要的工具，可以激发积极的安全文化，提高技能，为开发人员提供他们喜爱的情境培训，保护你的组织免受坏人的侵害。 申请演示 我们将向您展示更多。