동일한 10개의 소프트웨어 취약점으로 인해 지난 20년 이상 다른 소프트웨어보다 더 많은 보안 위반이 발생했습니다. 그럼에도 불구하고 많은 기업들이 여전히 위반 후, 이벤트 후 수정을 선택합니다. 모든 것의 인간과 비즈니스의 파급 효과를 통해 혼란. 그러나 이제 새로운 연구 연구는 새로운, 인간 주도방향을 가리킵니다.

‍다음은 에 의해 수행 된 연구에서 파생 된 통찰력에 대해 설명합니다 Secure Code Warrior Evans Data Corp는 '반응에서 예방으로의 전환: 애플리케이션 보안의 변화하는 얼굴'(2021)을 통해 보안 코딩, 보안 코드 관행 및 보안 작업에 대한 개발자의 태도를 탐구합니다. 여기에서 백서를 다운로드하십시오.

곧 출시될 연구에서 개발자와 개발 관리자는 보안 코딩과 관련된 활동에 대해 물었습니다. 상위 3개의 응답은 다음과 같은 것입니다.

• 배포된 응용 프로그램에서 검색 도구를 사용합니다.
• 취약점에 대한 코드를 수동으로 검토합니다.
• 취약점으로부터 보호되는 소프트웨어를 작성하는 활성 및 지속적인 관행입니다.
  ‍

그래서 이것이 우리에게 무엇을 말하고 있습니까? 상위 3개의 응답 중 두 개는 여전히 사후 대응 방식, 첫 번째 도구(스캐너)에 의존하는 것, 그리고 두 번째 는 수동 검사를 수행하는 개발자(예: 인간)에 초점을 맞추고 있습니다. 이러한 방법을 사용하여 감지된 취약점은 프로젝트 일정 및 프로젝트 비용에 대한 노크 효과로 재작업을 위해 개발 팀으로 다시 시작해야 합니다.

동시에 지명된 세 가지 활동 중 두 가지는 인간의 요소인 인간의 문제로서 안보에 대한 인식을 높이는 포인터에 의존합니다. 그러나 후보에 오른 모든 활동 중 가장 많은 것은 3번으로, 애초에 취약점으로부터 보호되는 소프트웨어를 작성하는인적 요소를 식별합니다.  이는 소프트웨어 개발 수명 주기 시작부터 소프트웨어를 바로 전환하는 사전 예방적이고 예방적인 접근 방식인 왼쪽 시작으로의 전환을 강조합니다. 

반응성이 고가의 동일할 수 있습니다.

IBM 연구*에 따르면, 릴리스 후 코드의 취약점을 처음부터 발견하고 수정하는 것보다 30배 더 비쌉니다. 이는 개발자가 처음부터 보다 안전하게 코딩할 수 있도록 하는 소프트웨어 보안 방어에 대한 새로운 사전 예방적이고 보다 인간적인 접근 방식에 대한 강력한 인센티브입니다. 

이것은 당신이 인간 주도의 방어를호출 할 수있는 것입니다. 그러나 개발자가 보안에 대한 관심을 시작하도록 하려면 매일 생각하고 코딩하는 방식의 일부가 되어야 합니다. 이것은 개발자의 일상 업무와 매우 관련이 있는 교육에 대한 새로운 접근 방식을 요구하고 있으며, 현재 교육 모델에 대해 모두 할 수 있는 교육 모델을 알려주지 않습니다.

사전 예방적 보안 문화를 조성하려면 다음을 위한 새로운 교육이 필요합니다.

• 소프트웨어 보안 기술을 향상시켜 개발자에게 안전 코딩을 긍정적이고 매력적인 경험으로 만듭니다. 
• 개발자가 보안 마인드를 통해 일상적인 코딩 작업을 볼 수 있도록 권장합니다. 
• 일상적인 워크플로우에 내재된 안전한 코딩
  

이러한 스레드가 함께 모이면 애초에 취약점이 발생하지 않도록 하여 팀이 자신있게 품질 코드를 더 빠르게 배송할 수 있습니다. 좋은 소식은 Learning Platform 소프트웨어 개발 프로세스에 '왼쪽으로 시작'이 이미 존재하며, 이는 개발자에게 처음부터 양질의 코드를 만들 수 있는 기술과 도구를 이미 강화하고 있습니다.
‍‍

‍

‍

‍

*IBM 소프트웨어 그룹; 코드 결함을 최소화하여 소프트웨어 품질을 개선하고 개발 비용을 절감합니다.
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

이미 2021년까지 2개월이 넘었으며, 이와 함께 사용자 경험에 큰 개선이 이루어졌습니다. Sensei , Secure Code Warrior '의 IntelliJ 플러그인. 바로 다이빙을 하고 최신 릴리스에서 전달된 흥미로운 새로운 것들을 살펴보겠습니다.

설치 등록 Sensei 더 이상 필요하지 않습니다.

이전 버전에서 Sensei , 그것은 그것을 인증하는 요구 사항이었다 Secure Code Warrior 계좌. 지금 당신은 사용할 수 있습니다 Sensei 전혀 로그인하지 않고. 그냥 설치, 당신은 갈 수 있어.

새로운 퀵스타트 가이드를 통해 더 빠르게 시작하세요.

설치시 더 이상 인증할 필요가 없습니다. Sensei 하지만 이제 향상된 온보딩 환경으로 보안 코드를 더 빠르게 작성할 수 있습니다. 

새로운 퀵스타트 가이드는 코드가 포함된 스크래치 파일을 제시합니다. Sensei 빠른 수정을 제공합니다. 이것은 get-go에서 빠른 수정 사항을 찾고 적용하는 방법을 보여줍니다.

바로 이동하여 코드를 더 빠르게 작성하는 흐름에 들어갑니다.

쉽게 요리 책을 찾을 수

우리는 당신이 활용할 수있는 요리 책을 쉽게 찾을 수 있도록했습니다. 쿡북을 추가하면 제안된 쿡북 중 하나를 사용할 수 있는 옵션도 제공됩니다. GitHub의 쿡북 인덱스를 방문하여 더 많은 요리책을 찾을 수 있습니다. 이를 사용하려면 페이지에 제공된 링크를 복사하고 일반에 따라 새 쿡북을 추가할 때 URL로 사용합니다.

‍

‍

프로젝트에 자동으로 로드된 레시피

이제 프로젝트에 레시피를 로드하는 것이 그 어느 때보다 쉬워졌습니다. 최신 릴리스를 통해 자동으로 레시피를 살펴보겠습니다. sensei 프로젝트의 루트에 있는 폴더입니다. 우리가 그것을 발견하면, 그들은 로드됩니다. 얼마나 쉬운가요?

더 나은 자바 구문 범위

Java 모델에서 더 많은 키워드에 대한 적용 범위를 확장하여 레시피에서 원하는 정확한 코드를 더 잘 타겟팅할 수 있습니다. 다음 키워드에 대한 지원이 추가되었습니다.

• 주장하다
• 마침내
• 스위치

향상된 수 비교

정수 값에 대한 상대적 비교를 수행할 수 있는 기능이 추가되었습니다. 이제 값이 1에서 10 사이의 경우 문자 그대로를 검색하는 레시피를 구성할 수 있습니다.

검색:
리터럴:
정수값:
그중: 0
미만: 11

IntelliJ 2021.1 EAP 지원

우리는 IntelliJ 2021.1 EAP 빌드 1에 대한 지원을 추가했습니다. 이 빌드에서 2021.1.1을 실행할 때 문제가 발생하면 문제가 되지 않아야 합니다. 우리는 IntelliJ의 최신 EAP 빌드를 추적하고 우리가 최신 빌드를 지원하고 있는지 확인하기 위해 최선을 다하고 있지만, 당신은 여전히 문제에 실행할 수 있음을 명심하십시오.

추가 개선 사항

위와 함께 다음과 같이 개선했습니다. 

• 향상된 오류 보고
• 중요한 기능에 대한 더 쉬운 액세스
  

최근 릴리스에 대한 자세한 내용은 여기에서 릴리스 노트를 확인하십시오.

가져오기 Sensei 지금

보안 코딩 기술을 다음 단계로 끌어올리는 데 관심이 있으십니까? 다운로드 Sensei 오늘 더 나은 품질 코드를 작성하기 시작합니다.

이 문서의 버전은 SC 매거진에등장. 여기에 업데이트되고 신디케이트되었습니다.

‍

오늘날의 보안 전문가가 직면한 많은 수수께끼 중 하나는 그들이 직면한 사이버 위험을 처리하는 데 사용할 솔루션의 균형을 파악하는 것입니다. 예산은 어떻게 도구와 사람들 로 나누어야 합니까? 기존 기술 스택에 가장 적합한 도구 제품군은 무엇입니까? 거기에 너무 많은 옵션으로, 쉬운 답변이 없으며 잘못된 옵션을 선택하면 나중에 시간과 비용이 듭니다.

최근 보고서에 따르면 응용 프로그램 보안 도구 시장은 현재와 2025년 사이에 '폭발적인' 성장을추적하고 있으며, 이는 DevSecOps 성공적인 관행에서 명백한 역할을 보여주고 잠재적인 보안 취약점이 있는 코드의 양이 증가함에 따라 업계 관련성이 증가하고 있음을 밝혔습니다.

그러나 다소 호기심이 많은 문제가 있습니다. 모든 조직의 거의 절반이 고의로 취약한 코드를 발송하고 있습니다. 부인할 수 없는 시장 수요가 빠른 견인력을 얻고 있는 제품의 경우, 그것은 거의 의미가 없습니다. 왜 그렇게 많은 사람들이 정교한 보안 도구로 구입, 단지 자신의 결과를 무시하거나 전혀 사용하지? 그것은 해변가 집을 구입하는 것과 조금 비슷하며 숲의 텐트에서 잠을 자게됩니다.

AppSec 도구가 우리가 기대했던 대로 활용되지 않는 몇 가지 이유가 있으며 도구와 기능에 대해서는 덜 하며 보안 프로그램 전체와 통합하는 방법에 대해 더 많이 설명합니다.

더 많은 도구는 적은 문제와 동일시하지 않습니다.

기업들이 Agile에서 DevOps로 이동하는 소프트웨어 개발 프로세스를 발전시키고, DevSecOps(hey, now, it's best)인 거룩한 열반으로 발전함에 따라 여러 스캐너, 모니터, 방화벽 및 모든 종류의 AppSec 도구를 구매할 수밖에 없습니다. 그것은 '더, 즐거운'의 경우처럼 보일 수 있지만, 매우 자주이 프랑켄슈타인의 괴물을 닮은 기술 스택에 이르게, 이 것을 의미하는 모든 예측 불가능.

필요한 작업 범위에 대해 점점 더 제한되는 예산과 전문가 리소스를 통해 혼란을 취소하고 앞으로 최고의 툴링 경로를 찾으려고 노력하는 것은 어려운 작업이며 스캔 및 수정이 필요한 코드는 계속 진행됩니다. 많은 조직이 배송 코드를 유지해야했지만 다소 놀랍지만 여전히 데이터와 개인 정보 보호에 엄청난 위험을 초래한다는 것은 놀라운 일이 아닙니다.

스캐닝 도구는 느리고 이러한 영향은 민첩성을 방출합니다.

빠른 속도로 보안을 달성하는 것은 소프트웨어 개발에서 백색 고래의 무언가이며, 진실은, 우리는 여전히 우리가 DevSecOps 지향 접근 방식을 채택로 조직을 안내로 그 권리를 얻기 위해 노력하고 있습니다. 세심한 수동 코드 검토는 90 년대에 보안 페일세이프로 작동했을 수도 있지만 수백 억 개의 코드 라인을 휘젓는 시대에 는 손톱 가위로 축구 경기장을 준비하는 것만큼 효과적인 계획입니다.

스캐닝 도구는 잠재적인 문제를 찾는 프로세스를 자동화하여 세심한 코드 검토 부분을 수행합니다. 문제는 모든 실린더에서 CI/CD 파이프라인 이 발사되는 컨텍스트에서 여전히 느리며, 하나의 도구가 모든 취약점을 찾지 못했다는 것입니다. 또한 스캔 후 보안 팀에서 스팻되는 결과에 대한 몇 가지 눈부신 문제가 있습니다.

1. 거짓 긍정 (및 네거티브)이 많이 있습니다.
2. 일부 가난한 보안 전문가는 여전히 거기에 앉아서 팬텀 버그에서 실제 버그를 정렬하기 위해 수동 검토를 수행해야합니다
3. 코드를 배포하기 전에 선택되어야 하는 일반적인 취약점이 너무 많은 경우가 많습니다. 당신은 정말 작은 물건과 크고 털이 보안 문제에서 산만 매우 비싼 보안 전문가를 원하십니까?
4. 스캐너는 고치지 않습니다.

사이버 보안 모범 사례에 최선을 다하고 있는 조직에서도 프로세스의 모든 단계에서 보안을 포함해야 하는 시대와 함께 이동하는 조직에서도 스캐너가 주요 보호 조치이고 너무 많은 일반적인 버그가 안전한 코드를 배포하는 데 있어 팀을 이동하면 위의 프로세스는 여전히 쇼스토퍼입니다. 그것은 모서리가 여기에 절단 될 수 있다는 것을 추론하기 위해 서, 그리고 그 일반적으로 가능성이 모든 잠재적 인 위험을 커버 할 수없는 도구의 맨 최소에 의존의 형태로 온다, 솔루션의 제품군을 구입한 경우에도.

일부 기술 주도 자동화는 코드 품질 저하로 이어질 수 있습니다.

스캔 및 테스트는 방화벽 및 모니터링과 같은 필수 요소와 함께 AppSec 툴링에서 자동화된 프로세스의 부하를 부담하지만 다른 일반적인 도구는 시간이 지남에 따라 실수로 실습 보안 기반을 침식시킬 수 있습니다.

예를 들어 RASP(런타임 응용 프로그램 자체 보호) 기술은 코딩 속도를 희생하지 않고 보안 태세를 강화하기 위해 종종 적용됩니다. 응용 프로그램의 런타임 환경에서 작동하여 악성 코드 입력, 실시간 공격 및 홀수 실행 동작으로부터 보호합니다.

그것은 확실히 추가 보호의 계층, 하지만 코드 베이스에서 잠재적인 약점에 대 한 페일 세이프로 생각 하는 경우, 개발자 는 만족 될 수 있습니다., 새로운 기능을 밀어 점점 불가능 한 시장 이동 마감에 직면 하는 경우에 특히. 런타임에 자체 보호가 실수를 감지할 것이라는 가정하에 보안 코딩 관행을 따르지 않을 수 있습니다. 개발자는 안전하지 않은 코딩 패턴을 만들기 위해 길을 벗어나지 않지만 특히 자동화된 보호 장치를 가정하여 기능 제공에 우선 순위가 더 많이 드는 경우가 많습니다.

도구는 실패할 수 있으며 RASP의 경우 거짓 긍정을 피하기 위해 모니터링 모드에서 실행되는 경우가 많으며, 이는 공격에 대한 보호가 아닌 가시성만 제공하며, 그럴 경우 매번 신뢰할 수 있는 고품질의 보안 코드입니다. 코드를 터치하는 모든 역할의 보안 인식은 DevSecOps의 기본이며 개발자는 보안 코드를 교육하거나 생성하지 않는 것은 실수입니다. 안전하고 안전하지 않은 코드는 작성에 동일한 노력이 필요합니다. 그것은 실제 에너지를 소요 안전하게 코딩하는 지식을 얻고있다. RASP를 구현하고 최적화하는 데 소요되는 시간은 개발자를 업스킬링하는 데 훨씬 더 활용되어 처음부터 실수를 하지 않도록 할 수 있습니다.

도구와 사람들의 균형: 은색 총알은 아니지만,이 가장 가까운 것입니다 (지금은).

DevSecOps의 주요 정신은 보안을 공동의 책임으로 만드는 것이며, 전기 그리드에서 초인종에 이르기까지 우리의 삶에 힘을 실어주는 소프트웨어를 만드는 조직에 대해 더 높은 수준의 안전을 보장하기 위해 모든 사람을 여행에 데려와야 합니다.

도구는 모든 것을 하지 않습니다., 그리고 그것은 심지어 가장 저렴 한 방법. 지금까지 최상의 결과는 코드를 터치하는 모든 사람을 위한 관련 보안 교육의 우선 순위를 정하고, 개발 팀의 보안을 최우선으로 유지하기 위해 적극적으로 노력하고, 지원 역할을 하는 툴링 제품군을 통해 인간이 주도하는 긍정적인 보안 문화를 구축함으로써 달성됩니다.

시간 제약, 잘라 코너 및 보안 전문가가 밤에 잠을 잃게 만드는 다른 것들에도 불구하고 개발자가 처음에 일반적인 보안 결함을 도입하지 않으면 이러한 도구 (및 사용 여부)는 위험 요소의 훨씬 적은 것을 나타냅니다.

‍

이 문서의 버전은 원래 도움말 순 보안에등장. 여기에 업데이트되고 신디케이트되었습니다.

‍

코드에 익숙해야 하는 사이버 보안 역할에 있다면 SQL 주입에 대해 생각해야 할 가능성이 높습니다... 거듭 거듭. 첫 번째 발견 후 몇 주 이내에 다소 간단한 구제 책을 알고 있음에도 불구하고 소프트웨어를 계속 괴롭히고 배포 전에 발견되지 않은 상태로 두면 공격자가 될 수있는 작은 기회를 제공하는 일반적인 취약점입니다.

2020년 12월 13일 SQL 주입의 22번째 생일을 표시하고, 이 취약점이 마실 만큼 충분히 오래되었음에도 불구하고, 우리는 그것을 좋은 것으로 스쿼시하는 대신 우리보다 더 나은 것을 얻을 수 있게 합니다. 올해 8월, Freepik Company는 830만 명의 사용자 계정을 손상시킨 SQL 주입 실수의 희생자가 되었다고 밝혔습니다. 그들 중 많은 사람들이 제 3 자 로그인 (예 : 구글, 페이스 북)을 사용했지만, 몇 백만 명의 암호화되지 않은 암호가 사용자 이름과 함께 노출되었습니다. 슬프게도 그들과 길을 따라 많은 다른 사람에 대 한, 이러한 사건에서 낙진은 거 대 한 두통, 그리고 사용자 기반신뢰를 재건 하는 것은 장기 프로세스.

레거시 문제로 간주되는 이정표를 "축하"하는 동안 잠시 해부합시다. 왜 계속 터지지 않습니다, 왜 여전히 너무 위험 그것은 년 동안 OWASP 상위 10에서 상위 자리에서 이동 하지 않은, 왜 상대적으로 간단한 수정 소프트웨어 개발에 대 한 일반적인 벤치 마크 표준으로 그것을 하지 않습니다?

SQL 주입이 2021년에 여전히 관련이 있는 이유는 무엇입니까?

최근 의 외형 위반에 대한 빠른 눈, FireEye에 파괴적인 사이버 공격,정교의 엄청난 수준을 보여줍니다 : 그것은 매우 조정된 국가 공격이었다 고급 기술의 넓은 배열을 사용하여 FireEye 강도에 대한 사용자 정의 된 것으로 나타났다. 성명에서, 파이어 아이 CEO 케빈 만디아 그녀는 말했다 :

"공격자는 특히 FireEye를 표적으로 삼고 공격하기 위해 세계적 수준의 역량을 조정했습니다. 그들은 운영 보안에 고도로 훈련및 규율과 초점으로 실행 ... 그들은 과거에 우리 또는 우리의 파트너가 목격하지 않는 기술의 새로운 조합을 사용했다."

그것은 어떤 CISO에 대 한 악몽 연료, 그리고 이 같은 파이어 아이에 발생할 수 있는 경우, 그것은 얼마나 취약 한 많은 기업 실제로 관점에 두고.

... 제외 하 고, 그것은 평균 조직에 대 한 더 나쁜 뉴스. FireEye는 지구상에서 가장 유명한 사이버 보안 회사 중 하나이며, 그들에 대한 성공적인 공격은 그들이 조정, 대규모 실행에 있던 모든 것을 던지는 마스터 마인드 수준의 도둑을했다. 많은 기업의 경우, 간단한 버그를 악용하여 수익성 있는 데이터 유출이 가능할 수 있으며, 마스터마인드가 전혀 필요하지 않습니다. 그리고 SQL 주입은 후자의 일반적인 예입니다, 여전히 다크 웹에 빠른 달러를 만들기 위해 찾고 스크립트 키디에 의해 활용되고있다.

2020년 5월, 한 남성이 신용카드 인신매매 및 해킹 범죄 혐의로 기소되어수십만 개의 활성 신용 카드 번호를 저장하는 디지털 미디어로 발견되었습니다. 그는 많은 회사와 수백만 명의 고객을 손상시키는 작업에서 SQL 주입 기술을 사용하여 모든 것을 수확했습니다.

업계로서 우리는 항상 개선하고 있지만 SQL 주입은 여전히 중요한 위협이며 레거시 또는 패치가 적용되지 않은 시스템보다 훨씬 더 많은 영향을 미칩니다.

개발자가 살아 유지 하는 이유 (그리고 왜 그들의 잘못)

SQL 주입은 수정이 간단하며 코드를 작성하여 전혀 도입하지 않도록 해야 한다고 계속 말합니다. 대부분의 것들과 마찬가지로, 제대로 하는 방법을 배웠을 때만 쉽습니다.

여기서 휠은 소프트웨어 개발 프로세스에서 흔들리기 시작합니다. 개발자는 동일한 실수를 저지르고 있으며, 이로 인해 코드베이스에 침투하는 SQL 주입과 같은 반복되는 취약점이 있습니다. 그러나, 이것은 놀랄 일이 아닙니다. 대부분의 엔지니어는 보안 코딩에 대해 많은 것을 배우지 않고 학위를 마칠 수 있습니다. 대부분의 실무 교육은 특히 보안이 비즈니스 우선 순위로 간주되지 않는 환경에서 는 부적절합니다.

우리는 개발자에게 보안에 관심을 가지거나 보안을 더 잘 인식할 수 있는 강력한 플랫폼을 제공하지 않습니다. 잘못된 코딩 패턴은 SQL 주입과 같은 버그를 살아 있게 하고 있으며, 개발자 보안 인식에 더 중점을 두어야 하며 더 높은 수준의 안전하고 품질 코드를 작성할 수 있는 시간을 제공해야 합니다. 안전한 코딩 패턴은 작성하는 데 시간이 오래 걸릴 수 있지만, 거기에 소요되는 시간은 나중에 귀중한 효율성을 만듭니다.

SQL 주입 장례식이 있습니까?

장례 비유는 약간 병적이지만 SQL 주입이 좋은 휴식을 취하면 민감한 데이터가 더 안전할 것입니다. 나는 우리가 그것에 도착하기 전에 몇 가지 더 생일을 축하 할 것이라고 매우 확신합니다, 그러나, 예방 보안 및 보안 코딩에 대한 강조에 대한 문화는 단순히 관을 닫을 못을 박기 시작할 만큼 진화하지 않았기 때문에.

Rust와 같은 새롭고 보안이 견고한 언어는 보다 안전한 기능을 활용하여 오랫동안 처리해 온 몇 가지 버그를 근절하는 데 도움을 주고 있지만, 엄청난 양의 레거시 소프트웨어, 오래된 시스템 및 라이브러리가 계속 사용 중이고 잠재적으로 취약해질 것입니다.

개발 프로세스의 보안에 대한 공동 책임(안녕하세요, DevSecOps)은 "쉬운" 악용이 선한 방향으로 종료되는 것을 보고 싶다면 매우 중요합니다. 개발자는 처음부터 여정을 가져와야 하며 더 안전하고 더 나은 코드를 만드는 데 있어 자신의 역할을 책임질 수 있도록 지원되어야 합니다.

개발자는 코드에서 SQL 주입 버그를 수정하는 방법에 대해 어떻게 접근해야 합니까?

SQL 주입을 식별하고 수정하는 방법을 배우고자 하는 개발자를 위한 포괄적인 가이드를 마련했습니다. 자신이 선택한 프로그래밍 언어(심지어 COBOL!)에서 게임화된 도전으로 완성된 이 프로그램은 모든 개발자가 더 안전하고 고품질의 코드를 만드는 데 도움이 되는 훌륭한 기본 학습을 제공합니다.

이 문서의 버전은 사이버 디펜스 잡지에등장. 여기에 업데이트되고 신디케이트되었습니다.

불신의 흔들리는 기초 위에 세워진 관계는 낮은 기대치로 가장 잘 접근합니다. 슬프게도, 이것은 조직 내의 개발자와 AppSec 팀 간의 작업 관계의 상태일 수 있습니다. 일반적으로 서리가 내린 서로의 방식으로 얻는 경향에 의해 손상, 상황은 이상적이지 않고 기술에 대한 고위험 의존의 세계에서 가난한 결과로 이어질.

개발자는 문제 해결, 기능 구축 및 작업에서 창의성을 보여주는 데 성공합니다. 반면 AppSec은 코드에서 보안 버그를 찾고 수정을 위해 반송하고 엔지니어의 애완 동물 프로젝트에서 빛을 망치는 감사 및 보고서를 제공하는 부러운 작업을 수행합니다. 보안이 그들의 우선 순위나 KPI의 일부가 아니며, 단순히 업무를 수행하는 것에 대해 과로한 AppSec 팀이 불이익을 받을 수 없습니다. 그러나 사이버 보안 모범 사례와 조직 수준에서 더 나은 보안 결과를 얻으려면 실제로 좋은 플레이를 시작해야 합니다.

그리고 그것은 모두 신뢰로 시작됩니다.

AppSec의 "나쁜 사람"이미지는 DevSecOps 의 조화의 길에 서있다.

누군가와의 유일한 상호 작용이 당신이 잘못 한 곳을 지적 할 때 온다면, 기회는 그들의 입력이 호의적으로 볼 수 없습니다 좋은 것입니다.

문제가 없는 경우는 거의 볼 수 없지만 보안 팀의 존재에 대한 부정적인 의미를 파악하는 것은 마찰을 일으키는 경향이 있습니다. 이 관계는 꽤 오랜 시간 동안 골절되었습니다, 개발자는 기능의 창의성에 차단기로 AppSec 팀을 보고, 프로세스, 기능의 정시 배송, AppSec지속적으로 존재한 일반적인 보안 버그를 지적의 매우 피곤 성장하는 동안 (자신의 해결책이있다) 수십 년 동안.

점점 더 불가능한 기한, 자원이 부족한 팀, 재작업을 피하려는 강한 욕구를 가진 개발자들은 코드를 발송하는 마지막 순간까지 기다려야 하는 경우가 많기 때문에 AppSec 검토 및 개입기회를 최대한 작게 만듭니다. 기능 장애 프로세스는 조직에 사이버 보안 위험을 증가시켜 받아 들일 수없는 영향을 미칩니다.

보안 전문가의 경우, 그것은 "메신저를 촬영하지 마십시오"의 경우입니다 - 결국, 그들의 임무는 버그를 찾아 그들이 치료 할 수 있도록그들을보고하는 것입니다 - 아무것도 개인. 고집포인트는 종종 회사의 기술 스택에 가장 적합하지 않은 권장 사항을 만들 수 있으므로 사내 소프트웨어 개발의 더 큰 그림에서 크게 도움이되지 않는 것으로 볼 수 있다는 것입니다.

악당으로 AppSec의 개념은 대부분의 개발 방법론에 대한 직관에 반직관적이지만, DevSecOps에 대한, 그것은 재앙이다. 금 본위제는 폭포, 애자일, 심지어 DevOps를 훨씬 뛰어넘어 보안을 SDLC 초기부터 공동책임으로 여기는 프로세스로 옮겨갔습니다.

DevSecOps가 작동하려면 소프트웨어 엔지니어가 보안에 관심을 가지어야 하는 이유가 있어야 하며, 이는 왜 그들이 세계의 소프트웨어를 보호하는 데 중요한지 이해하는 데서 비롯됩니다. 올리브 가지를 확장하고, 개발 관리자와 협력하여 팀의 요구를 충족시키고, 보안 인식을 육성하는 데 더 많은 멘토링 역할을 하는 보안 전문가는 노력에서 장기적인 혜택을 볼 수 있습니다... 그리고 그들은 또 다른 XSS 오류를 통해 밖으로 그들의 머리를 찢 고 약간 적은 시간을 보낸다.

개발자는 더 안전한 코딩 결과를 제공하기 위해 활성화해야 합니다.

고등 교육 중에 안전한 코딩을 배우는 데 있어 많은 엔지니어에게는 존재하지 않습니다. 그리고 그들은 모두 맥주 퐁과 WoW를 재생 바쁜 때문이 아니다 - 그것은 단순히 대부분의 컴퓨터 과학 및 IT 학위의 일부가 아닙니다.

이를 위해 실무 교육은 개발자가 소프트웨어 보안 의 예술에 대한 첫 번째 노출인 경우가 많으며, 거의 세상을 불붙이는 경우가 많습니다. 지루한 비디오의 시간은 일반적인 교육 방법입니다, 너무 드문 "체크 - 더 - 박스"준수 연습은 개발자에게 안전하게 코딩하는 방법을 가르치는 데 실제적인 영향을 미칠 수 없습니다, 또는 조직의 소프트웨어에서 일반적인 취약점을 줄이기에 어떤 진로를 만들기.

AppSec 팀과 개발 코호트는 모두 미친 바쁜, 그래서 모든 교육은 의미, 참여, 실습해야한다. 개발 배경에서 말하기, 우리는 문제를 해결하고 도구에 얻을 사랑, 그래서 대부분의 정적 훈련은 우리가 더 시급한 무언가에 집중하는 동안 우리를 통과 (또는, 솔직히 하자, 흥미로운).

AppSec 전문가는 영향력있는 장소에 있으며 개발자의 이익을 옹호함으로써 장기적인 윈 - 윈 상황을 만들 수 있습니다. 직업과 관련이 있고 선호하는 언어와 프레임워크로 제공되는 실행 가능한 교육을 찾는 것은 바늘을 옮기고 조직 내에서 풀뿌리, 긍정적 인 보안 문화를 고무시키는 데 큰 걸음입니다. 우리는 수십 년 동안 같은 일을 시도해 왔으며 분명히 "한 가지 크기는 모든 것에 맞는" 교육 접근 방식이 작동하지 않습니다. 개발자에게 올바른 도구와 지식을 제공함으로써 보안 코딩을 성공적으로 강화하고, 보안 인식의 높은 감각을 가지고 행동하며, 더 높은 수준의 코드를 생성할 수 있습니다.

같은 페이지에 도착하는 노력은 양쪽에서 와야합니다.

서로 다른 목표를 가진 사람들이 서로를 오해하거나 최악의 경우 다소 불신이 되는 것은 쉽습니다. AppSec은 코드가 휘젓는 공격을 계속하고 수년 동안 긍정적인 고객 감정을 파괴할 수 있는 데이터가 손상되고 무단 액세스 및 악의적인 공격으로 이어질 수 있는 보안 문제를 찾는 것을 목표로 하고 있습니다.

개발자는 무엇보다도 마감일까지 기능을 빌드합니다. 소프트웨어의 기능적이고 아름다운 기능을 만들고 고객을 충성도 있게 유지하는 독특한 디지털 경험의 제작자가 되는 임무를 맡고 있습니다. 그들은 이미 저글링을 많이 가지고 있으며, 보안에 대한 책임의 형태로 커브볼을 피칭하는 것은 어려운 전망입니다. 그것은 코드를 확보하기 위해 AppSec의 문제로 볼 수 있으며, 90 년대에 다소 달성 할 수있는 동안 (당신은 알다시피, 우리의 자동차가 해킹 될 수있기 전에, 우리의 전체 삶은 스마트 폰이라는 포켓 슈퍼 컴퓨터에서 수행 될 수 있습니다) 단순히 너무 많은 코드와 보안 건틀릿을 통해 실행하는 충분하지 않은 사람들이있다.

AppleSec과 개발자는 소프트웨어 생성 프로세스의 초기부터 보안을 최우선으로 삼을 수 있는 다양한 공감을 통해 목표를 달성할 수 있는 방법을 볼 수 있습니다. 결국, 긍정적 인 보안 문화는 그것에 의존하고, 보안 인식 개발자는 일반적인 취약점을 중지하는 비밀 성분입니다, 심지어 계속 확대 사이버 보안 기술 부족.

시간에 대한 상호 존중은 엄청난 이점이 있습니다.

내가 전에 말했듯이, 모두가 마법 (일명 놀라운 소프트웨어)을 만드는 것에 관해서 매우 바쁘다. 개발자는 안전한 코딩 기술을 구축하는 실행 가능한 실습 교육을 수행하려면 할당된 작업 시간이 필요하며 모든 교육 프로그램은 설계별로 매우 관련성이 있어야 합니다.

AppSec은 동일한 OWASP Top 10 취약점을 반복해서 수정하여 시간을 낭비하고 있으며 개발자들은 보안이 집안일이라는 생각을 강화하는 낮은 참여 운동을 통해 시간을 낭비했습니다.

선별된 학습 경험은 매우 중요하며, 필요한 순간에 관련 교육의 맥락적이고 한입 크기의 전달을통해 추적을 줄이는 데 도움이 됩니다.

원하는 결과와 사내 학습 경로에 맞는 사용자 지정 보안 코딩 과정을 큐레이팅하여 개발자의 시간과 워크플로우를 존중하는 동시에 비즈니스의 취약점 및 사이버 보안 위험을 측정 가능한 감소시키기 위해 노력하고 있습니다. 소프트 라이벌을 종식시키고, 단합된 전선으로 사이버 보안 와일드 웨스트로 전진하는 것은 빠른 승리입니다.

Secure Code Warrior '최신 문맥 학습 기능, Courses , 지금 사용할 수 있습니다.

‍

이 문서의 버전은 어두운 읽기에나타났다. 여기에 업데이트되고 신디케이트되었습니다.

보안에 대해 개발자와 이야기 할 때, 내 진언 중 하나는 "유일한 품질 코드는 보안 코드입니다"라는 것입니다. 이것은 사실로 남아 있습니다. 우리는 취약한 소프트웨어가 90 년대에 야생에서 나왔을 때 재앙을 피할 수 있지만 오늘날 위험할 만한 가치가 없습니다. 많은 사람들이 수년에 걸쳐 개발자에게 보안 인식 사고 방식을 심어주기 위해 열심히 노력해 왔으며, 그렇게 함으로써 자기 자신에게 있어 보안이 품질과 동의어로 만들어졌으면 좋겠습니다. assessment 코드의.

그러나 반성 (그리고 동료들 사이에서 몇 가지 논쟁)이되면 개념을 지나치게 단순화할 수 있습니다. 실제로 안전한 코드를 만들 수 있지만 초보 개발 기술 또는 이상적이지 않은 다른 문제 영역의 징후를 보여 줄 수 있습니다.

우리 업계는 '좌파 이동'이라는 개념에 대해 긴 이야기를 나타남. 내 마음에, 그것은 모든 엔지니어링 코호트가 보안에 대한 책임을 공유 할 수 있도록하여 왼쪽에 대한 (품질의 측면인), 그들에게 자신의 (문자 그대로) 손끝에서 일반적인 취약점을 지울 수있는 힘을 제공. 이 현재의 수수께끼에 비추어 볼 때 봉투를 조금 더 밀어야하는 것 같습니다.

일정 수준의 품질 코드는 정의에 의해도 안전하지만 모든 보안 코드가 반드시 좋은 품질은 아닙니다. 순수한 보안 코딩 표준을 보장하기 위해 수식을 "왼쪽"으로 시작하고 있습니까?

"품질 이 좋지 않은" 보안 코드는 어떤 모습일까요?

이 코드 스니펫을 통해 돋보기를 살펴보겠습니다.

보안 관점에서 이 코드를 분석하는 경우 이 스니펫은 실제로 안전하며 공격자가 SQL 주입 취약점을 악용하는 진입점이 아닙니다.  

고품질 코드의 예인가요? 정말, 불행하게도. int(eger)에서 문자열 값으로 인수를 간단하게 변경하면 자유 형식 사용자 입력이 쿼리를 조작할 수 없는 숫자와 달리 쿼리를 조작할 수 있습니다. 이러한 변경 또는 다른 곳에서 문자열 SQL의 우연한 복사 및 붙여넣기는 SQL 주입 취약점이 발생할 수 있는 환경과 다음과 관련된 모든 위험을 즉시 만듭니다.

보안 조치는 매우 제한된 범위를 가지고 있지만, 더 철저한 (또는 경험이 풍부한) 개발자는 다른 접근 방식을 취하고 비효율적인 인수 구조의 의미를 고려했을 수 있습니다. 이와 같은 배송 코드는 가난한 관행일 뿐만 아니라 개발 코호트의 다른 사람들에게 나쁜 모범을 보입니다.

소프트웨어 "트리플 위협": 형태, 기능, 요새 와 같은?

엔터테인먼트 업계의 "삼중 위협"은 똑같이 높은 수준의 기술로 행동하고 춤을 추며 노래할 수 있는 개인입니다. 그들은 모든 오디션에서 두려워하고 부러워하는 사람들이며 이미 경쟁적인 공간의 유니콘입니다. 모든 산업에는 자체 버전의 최상위 계층, 제품 및 서비스의 예외적인 예가 있으며 소프트웨어도 예외는 아닙니다.

동일한(고품질) 품질과 균형을 맞추기 어려운 응용 프로그램의 세 가지 핵심 요소를 생각하면 기능/우아함과 철로 덮인 보안, 필요한 배송 속도를 고려할 때 비용 효율성이 있을 수 있습니다. 이제 마지막 특성은 의심 할 여지없이 다른 두 옵션이 얼마나 잘 적용되는지에 대한 정의 요소이며 시간이 지남에 따라 전반적인 품질 미끄러짐을위한 촉매제가 될 수 있습니다.

그러나 모든 소프트웨어가 휴 잭맨처럼 수행해야합니까, 아니면 니콜라스 케이지와 도망갈 수 있습니까? 이렇게 말하십시오 : 울버린을 팀에 배치 할 수 있다면 최고의 기회를 제공합니다.

마틴 파울러는 질문, 높은 품질 가치가 비용? 소프트웨어 개발에서, 뿐만 아니라 "가치가"결론을 내렸다, 하지만 실제로 시간이 지남에 따라 저렴했다. 대부분의 사용자는 코드가 엉망인지, 또는 보안이 다른 모든 것만큼 중요한지 여부를 평가하기 위해 후드 아래에서 보고 있지 않을 것입니다. 그러나 도구에 있는 사람들은 새로운 기능에 추가하기 위해 실수 코드를 다시 수행하거나 프로젝트의 주요 부분을 트롤링하여 무슨 일이 일어나고 있는지 이해하거나 AppSec 팀에서 반송된 취약점을 수정하고 생산을 지연시키는 최악의 시나리오를 트롤링하는 귀중한 시간을 낭비합니다. 코드를 안전하고 좋은 품질로 만들기 위해 시간을 보내는 것은 제대로 실행되지 않은 작업을 해명하는 비용은 말할 것도없고 미래의 많은 고통을 절약 할 수 있습니다.

숙련된 보안 인식 개발자는 기능 제공에서 창의적이고 문제 해결 비전을 유지하는 코드를 작성하며, 엔지니어가 프로세스 단계에서 제어할 수 있는 일반적인 보안 함정을 지워야 합니다. 보안 코드는 격리에 매우 효과적이지 않으며, "왼쪽 왼쪽"을 시작하는 개념은 개발자에게 두 번째 특성으로 보안 문화를 지원하는 데 도움이되며, 위험이 감소된 놀라운 기능을 제공할 수 있습니다.

"왼쪽 왼쪽"을 시작하는 것은 안전한 사용자 경험에 매우 중요합니다.

보안은 오랫동안 소프트웨어 사용자 경험을 고려해 왔지만 성공이 분명했습니다. 보안 오구성은 지난 한 해 동안 클라우드 기반 데이터 유출의 21%를 차지했으며, 아마추어 시간 오류는 암호를 일반 텍스트로 저장하여 영향을 받는 회사에 대한 생산성, 수익 및 고객 신뢰에 심각한 손실을 초래했습니다.

즉, 사용자 자신은 자신의 데이터를 보호에 올 때 자신의 최악의 적이 될 수 있습니다. 너무 많은 사람들이 여전히 암호로 "암호"를 사용하거나 여러 중요한 계정에서 동일한 조합을 사용하고 있습니다.

나는 그들이 로그인 화면에서 작동해야한다고 들었을 때 공기를 주먹펌프 하는 개발자를 모른다, 그리고 그것은 당연하다 : 그것은 강력하고 기능적인 보안 흐름을 설계하는 섬세한 균형이며, 사용자가 그들에게 의미가있는 방식으로 탐색 할 수있을 것입니다, 최소한의 혼란.

너무 많은 복잡한 단계와 제한사항을 적용하면 사용자가 돌아오지 않도록 전원을 끄지 않을 수 있으며(새 앱에 대한 재해) 너무 혼란스러워할 수 있으며, 지원 팀에 계정에 액세스하려는 사용자의 쿼리를 필드로 그룹편두통을 제공할 수 있습니다. 너무 쉽게 만들고 보안 부분에서 실패할 수 있습니다.

성공적인 보안 사용자 환경은 소프트웨어에 대한 설득력있는 다른 모든 것을 손상시키지 않는 방식으로 제공되는 흐름에 엄격한 보안을 짜야합니다. 당신은 확실히 복잡한 암호 요구 사항, CAPTCHA, 미니 보스, 좀비의 네 파도의 모든 방법을 넣어 보안 로그인 기능을 코딩의 목표를 충족 할 수 있지만, 그것은 사용자에게 격퇴하는 총 혼란인 경우, 그것은 마크를 누락.

소프트웨어 우수성의 토대를 마련하십시오.

개발자로서, 나는 우리 대다수가 우리의 일에 자부심을 가지고, 옳은 일을하고 싶다는 것을 알고있다. 시간 제약, 현재 목표의 갑작스런 변화 또는 긴급 핫픽스와 같은 성가신 커브볼은 흐름을 방해하고 실수로 이어질 수 있지만, 가혹한 진실은 많은 소프트웨어 엔지니어가 성공을 위해 설정되지 않았다는 것입니다.

"왼쪽 왼쪽"을 시작하는 것은 개발자 우선 개념이며 조직이 엔지니어링 코호트를 고양시키는 데 진지해야 합니다. 보안 인식 개발자는 금에 무게를 두는 가치가 있으며, 교육, 올바른 도구 제공 및 경험이 풍부한 개발자가 멘토링할 수 있는 기회는 소프트웨어를 다음 단계로 끌어올리는 데 필요한 정밀도와 세부 사항에 대한 정밀도와 주의를 기울여 보안 우선 사고 방식으로 코드가 제작되는 환경을 조성할 것입니다.

보안 코딩 불을 붙일 준비가 되셨습니까? 도전에 상승.

‍

이 문서의 버전은 DevOps.com에나타났습니다. 여기에 업데이트되고 신디케이트되었습니다.

사이버 보안에서 영웅과 악당 사이의 경기장은 악명 불공평하다. 중요한 데이터는 새로운 금이며 공격자는 방어를 우회하기 위해 신속하게 적응하여 잠재적인 페이더트에 대해 크고 작은 보안 버그를 악용합니다.

생성되는 코드의 양은 보안 전문가에게 너무 나쁘다 - 부족증가 - 그리고 데이터 유출의 증가 비용은 뭔가가 제공해야한다는 증거입니다. 다행히도, 우리의 디지털 안전과 모든 곳에서 CISSo의 정신을 위해, DevSecOps 운동은 소프트웨어 개발 프로세스의 시작부터 보안 여행에 개발자를 데려 도움이된다. 그들은 사이버 공격자에 대한 방어의 첫 번째 라인으로 인식되고있다, 자신의 손끝에서 일반적인 취약점을 제거 할 수있는 힘.

그러나 그들의 방어 능력은 그들이 받는 훈련만큼이나 훌륭하며, 보안 팀이 실행하는 또 다른 건틀릿입니다. 직장에서 보안 코딩 교육을 받은 많은 개발자에게 주요 과제는 효과적이지 않은 마음마비, 실습 활동 중에 깨어 있는 것이지, 보안을 미리 염두에 두도록 영감을 주는 것입니다. 소울리스 비디오 courses 토큰 연간 '체크 더 박스'이벤트는 시간 낭비이며, 아무도 기회의 작은 창에 점프대기 잠재적 인 악의적 인 위협 배우에 대해 승리하지 않습니다.

우리 업계의 이 단계에서, 우리는 개발자가 현실 세계에서 우연히 만날 수 있는 문제를 모방하는 도전과 함께 관련 프로그래밍 언어와 프레임워크에서 제공되는 문맥적이고 실무적인 교육을 훨씬 더 매력적인 접근 방식으로 해결했습니다.

이것은 AppSec 전문가가 일반적인 취약점을 제거하는 데 도움이되는 개발자의 탐구 의 단계 이지만 2 단계는 과급 된 보안 인식 방어 력에 대 한 시나리오 현실을 얻을 해야 하는 곳.

비계 학습은 성인 교육에 중요합니다.

과외에 관해서 courses 또는 직업 교육을 통해 성인이 일정 수준의 경험과 기존 지식을 가지고 오는 것을 간과하는 경우가 많습니다. 좋은 훈련은이 기초에 추가, 학습 과정에서 더 깊은 이해와 빠른 자율성을 허용하는 방식으로 구성되어 있습니다.

스캐폴드 교육은 이전 경험을 활성화하고 향상시키는 동시에 관리하기 쉬운 청크에서 새로운 기술을 계속 구축하여 점점 더 많은 자신감을 가지고 점점 더 어려운 작업을 해결할 수 있도록 하는 강력하고 긍정적인 학습 방법입니다. 일반적으로 데모, 시각 보조 장치 및 학생 주도 탐험의 건강한 부분과 함께 제공되는 방법론입니다.

이 접근 방식을 개발자 보안 교육과 다시 연결하면 이론 기반 정적 학습인 드루저리보다 동적이고 학습별 학습 방법이 오랫동안 선호되고 있다는 것은 놀라운 일이 아닙니다. 그들은 자유롭게 도메인의 주인이 될 수 있으며, 그들의 시간이 잘 소요되는 것을 보아야합니다.

그런 의미에서 하이퍼관련성이 높은 상황상황에서 안전하게 코딩하는 것이 중요하지만 이 단계의 '레벨 업'은 취약한 코드가 작동하는 것을 보는 것입니다. 프론트 엔드 및 백엔드 뷰의 컨텍스트를 나란히 볼 수 있는 코드 프로세스 중에 수행되는 작업과 공격자가 잘라낸 모서리, 잘못된 구성 또는 적발및 해결되지 않은 사고로 인해 수행할 수 있는 작업 사이에는 유형링크가 있습니다.

진정으로 예방 보안 접근 방식의 리콜에서 응용 프로그램으로 이동

보안 취약점의 영향을 직접 경험하는 것은 교육 퍼즐의 중요한 부분이며, 개발자를위한 가장 현대적인 보안 교육 옵션에도 불구하고 매우 드문 짐승입니다. 취약점을 발견하고 해결하는 데 기술을 연마하고 기록되는 것과 동일한 버그를 제거하는 경험을 기억하는 데 소비된 기본 작업은 매우 중요하지만 전체 그림은 아닙니다. 악의적인 행위자에 의해 취약한 코드가 악용되는 방법을 보려면 강력한 컨텍스트 계층이 추가되며, 이는 코드 보안의 중요성을 가정으로 유도하고 하드 획득된 보안 지식을 적용하여 모든 기회 의 창을 닫습니다.

일반적으로 개발자는 보안을 사랑하지 않는 것으로 받아들여지며 보안 교육에 대한 애정이 훨씬 적습니다. AppSec 전문가와의 경험은 매우 서리가 내릴 수 있으며, 보안 팀이 취약한 코드를 개발자에게 다시 해결하도록 반송하여 발생하는 재작업은 그 존재의 베인입니다. 이미 얇게 퍼져 있는 엔지니어링 팀에게 보안은 우선 순위가 아닌 다른 사람의 문제이며, 자연스러운 창의성과 건물 기능 구축의 주요 목표에 장애가 됩니다. 그러나 코드가 너무 많고 위반이 너무 많으며 이러한 사고 방식이 계속되기 위해 전 세계 데이터에 너무 많은 위험이 있습니다.

기능적 DevSecOps 프로세스는 SDLC의 시작 부분에서 보안 팀과 조화를 이루는 개발자를 보유하고 있으며, 시뮬레이션 된 악용과 상호 작용할 수있는 응용 학습의 기회를 볼 수 있으며 보안이 제대로 안전하지 않은 코드의 영향을 볼 수 있습니다(결국 그렇게 나쁘지 않은 사람)와 같은 페이지에 개발자를 얻는 데 먼 길을 갑니다.

대화형 학습은 보스 싸움을 위한 개발자를 준비합니다.

작성 당시, 7 일 동안 보고 된 두 가지 주요 위반이 있었다: Razer는 100,000 개 이상의 민감한 데이터 기록이 노출되었다고발표, 사무실 공급 체인 스테이플스도 유사한 데이터 유출을보고하는동안. 2020년에는 10억 개 이상의 민감한 기록이 노출되었으며, 이러한 걱정스러운 추세는 둔화될 기미를 보이지 않습니다. 간단히 말해서 악의적인 행위자는 우위를 점하고 있으며 보안 인식 개발자는 방어의 최전선역할을 하기 위해 매우 필요합니다.

이러한 위반을 시뮬레이션하는 데 초점을 맞춘 대화형 과제는 개발자를 수동 적인 리콜에서실제 보스 싸움에 영향을 미치는 기술을 적용하는 것으로 이동합니다.

‍

일년 중 (어쨌든) 태양 주위의 가장 최근의 랩을 되돌아 보며, 지난 3백육십5일 동안 성장, 교훈, 불가피한 예측 불가능성에 대해 우리를 배치하기 위해 한 일은 그 특별한 시기입니다.

작년의 우여곡절을 예견할 수 있는 사람은 아무도 없을 것 같지는 않지만, 결국 우리 대부분은 LA 다저스보다 더 많은 커브볼에 직면했다고 생각합니다. 달력의 똑딱 은 이름을 수 없습니다 올해의 고통 지점에 갑자기 중지를 넣어하지 않았다, 하지만 내 주위에 모든, 나는 개인, 기업, 우리의 업계에서 확고한 탄력성을 참조하십시오.

그렇다면 은하계 전역에서 코드를 확보하기 위해 어떤 진전을 이루었습니까?

우리는 우리의 제품 제품군을 과급했습니다.

Secure Code Warrior 교육 플랫폼은 항상 우리의 제품의 마음과 영혼이 될 것입니다, 하지만 더 다양한 만들기 위해 노력하고, 더 많은 개발자가 선택한 도구는 우리의 최우선 순위입니다.

우리는 개발자가 모든 팀이 자신있게 고품질 소프트웨어를 제공 할 수있는 예방 보안 코딩 접근 방식을 수용하도록 영감을주고 싶습니다.

저희 제품 팀이 출시하기 위해 열심히 일한 것을 자세히 설명해 주게 되어 매우 자랑스럽습니다. 그들은 일년 내내 놀라운 목표를 걷어 차버렸습니다.

• 우리는 Adversary.io 인수하고 9 개월 이내에 놀랍도록 숙련 된 팀과 기업 고객을 통합했습니다.
• 우리는 Docker, Ansible, Terraform, Kubernetes, Powershell 및 CloudFormation과 같은 코드 주류로 인프라를 포함하여 50 개 이상의 프로그래밍 언어를지원하는 놀라운 이정표에 도달했으며 Rust 및 Go와 같은 블록의 새로운 아이들을 지원했습니다.
• 개발자가 작업 간에 전환할 필요 없이 플레이할 수 있는 컨텍스트 학습을 제공하는 Atlassian JIRA Cloud & Server 외에도 GitHub 작업 및 문제에 대한 완전히 새로운 확장을 릴리스하여 개발자에게 보안 지식을 제공합니다.
• IDE의 실시간 품질 코드 지침 Sensei 이제 JetBrains 마켓플레이스에서 모든 개발자가 보안 버그를 탐지하고 모범 사례를 시행하고 지식을 공유하며 성능 문제 및 기술 부채를 방지할 수 있습니다.
• 기업이 개발자와 더 쉽게 참여하고 릴리스를 통해 보안 코딩을 확장할 수 있도록 합니다. Courses 조직 및 보안 목표와 가장 관련성이 높은 목표에 대한 선별된 학습 경로를 허용하는 새로운 기능입니다. 우리는 또한 추가 Missions 주력 플랫폼을 흥미롭게 개선하여 개발자들이 파일럿 의석에 배치합니다. 개발자에게 성공을 위한 실행 가능하고 평생의 기반을 제공하는 비계 학습 접근 방식의 다음 단계입니다.

... 코딩 초보자를 알고 있다면 무료 앱( Secure Code Bootcamp)을 확인하고 보안 여정을 시작하세요.

우리는 착륙, 확장, 우리는 영향을.

우리는 보안 코딩에 조금 다르게 접근하는 것을 좋아하며, 당연히이 정신이 업계 전반에 걸쳐 잡히기를 바랍니다. 개발자가 사이버 공격자와의 좋은 싸움을 싸우는 데 자신의 힘을 인식하고 실제로 보안에 대해 배우는 것을 즐기는 것이 주요 목표입니다.

수천 명의 개발자가 가상에 가입했습니다. tournaments 전 세계에서 80개 이상이 2020년에만 개최되었습니다. GitHub Universe,글로벌 시스코 이벤트, 데브세콘의일원으로 플레이하는 사람들을 기쁘게 생각합니다.

우리는 데이터를 파고 들었고, 2020년에 는 수십만 명의 고유 사용자가 플랫폼에서 플레이한 것을 보았는데, 이는 6년 전에 시작된 곳을 생각하면 놀랍습니다.

포춘지 선정 1000대 기업들 사이에서 도달 범위를 크게 늘렸다는 사실에 매우 기뻤고, 그들 각자는 보안 프로그램의 일환으로 새로운 것을 시도할 의향이 있었습니다. 특히 기술 회사와시너지 효과를 찾았으며, 그 중 상당수는 원격 작업을 시작하고 원격 교육 옵션에서 가치를 보았습니다.

팀 굉장한 함께 더 크고 강해졌습니다.

지난 한 해 동안 회사로서 겪었던 가장 큰 진화 중 하나는 아이슬란드에 본사를 둔 사이버 보안 회사인 Adversa를 인수한 것입니다. 우리는 사이버 보안, 정렬 된 가치 및 보완 제품에 대한 사람들 중심의 접근 방식에 대해 비슷한 입장을 보였습니다. 우리는 훌륭한 사람들 사이에서 귀중한 전문 지식과 재능을 얻고, 우리 자신의 팀을 환영했다.

또한 John Wilson을 글로벌 영업 의 SVP로 환영하며, 성장을 주도하고 클라우드 기술 및 사이버 보안 회사를 시장 선두로 구축한 25년 의 광범위한 실적을 달성했습니다. 그의 광범위한 기술 적 기술은 시만텍, Qualys, 블랙 베리, 버라이존과 같은 회사에서 혁신적인 힘이었으며, 우리는 그가 우리와 함께 마법을 작업하게하는 것이 더 행복할 수 없었습니다.

실제 사무실의 부족은 5 개국에 걸쳐 60 명의 신입사원을 온보딩하는 것을 막지 못했고, 가상 지원, 소개 및 물론 탐낼 직원 스웨그 팩이 문으로 배달되었습니다.

우리는 모든 부서에서 성장을 계속했으며, 품질 코드를 신속하게 사용하도록 설정하는 글로벌 사명을 달성하는 데 있어 동등한 중요성을 지니고 있습니다. 그럼에도 불구하고, 그것은 여전히 우리가 방금 시작한 것처럼 느낍니다.

2021년, 대화를 바꾸는 해.

사회가 사이버 보안에 대해 충분히 신경 쓰지 않는다는 것은 오랫동안 제 생각이었고, 우리가 바늘이 행동과 인식에 움직이는 것을 볼 수 있을 만큼 과감한 일이 일어날 때만 가능합니다.

작년 말에 엄청난 솔라윈즈 위반이 발생하면서 더 자세한 내용이 수면 위로 떠오르고 있습니다. 피해의 전체 범위는 아직 알려지지 않았지만,이 사건은 광범위한 변화의 촉매제가 될 수 있습니다. 미국 정부 부처는 이미 보안 프로그램을 철저히 조사하고 있으며 사이버 스파이는 잃을 것이 많은 사람들 사이에서 매우 화제입니다.

우리는 여전히 우리가하는 모든 일에 약간의 재미를 넣을 수 있지만, 지금은 우리의 소매를 롤업하고 진정으로 대화를 변화에 작업할 때입니다.

모든 보안 인식 개발자는 사이버 공격으로부터 세상을 좀 더 안전하게 만들고, 성공할 수 있는 지식을 제공하고, 심지어 그것을 사랑할 수도 있습니다. 우리는 개발자가 보안에 대해 배우고 최고 품질의 코드를 만들 때 사용하기로 선택한 도구를 만들기 위해 매일 열심히 노력하고 있습니다. 보안 코드는 표준이어야 하며, 우리는 모두 이러한 현실을 실현하기 위해 손을 빌려줄 수 있습니다.

이 문서의 버전은 어두운 읽기에나타났다. 여기에 업데이트되고 신디케이트되었습니다. 사이버 보안 예측은 우리 업계에서 전통의 무언가이다, 우리는 와서 앞으로 어떤 일이 앞으로 거짓말을 할 수 있습니다 볼 때 GRAMMYs에서 레이디 가가보다 더 많은 변화가있을 수 있습니다. 때때로 우리는 옳고, 때로는 한 세대에 한 번 유행이 찾아와서 우리가 결코 예상하지 못했던 방식으로 우리에게 도전합니다.

그러나 이에 집중하지 맙시다. 이것은 약 2021, 그리고 우리는 우리와 함께 2020의 적응의 일부를 취할 것입니다 동안, 사이버 보안의 미래를위해 저장에 많은이있다, 그리고 가장 흥미로운 일들은 심지어 지구상에서 여기에서 일어나고 있지 않습니다.

맞습니다, 우리는 2021우리가 주류에 우주 경쟁의 새로운 종류를 가지고 올해라고 예측하고 있습니다: 사이버 위협으로부터 우리의 은하를 안전하게 유지.

NASA는 이미 지구 영역 밖에서 일하는 사이버 보안 인력을 고용하고 있습니다 (그리고 당신이 생각하는 것보다 이상합니다).

NASA가 많은 보안 전문가뿐만 아니라 NASA의 소프트웨어 와 운영을 강화하는 데 중점을 둔 엔지니어를 고용하여 가장 강력한 사이버 공격을 견딜 수 있다는 것은 충격이 아닙니다.

... 놀랍게도 그들은 28세의 케네스 F. 해리스 II라는 수석 위성 엔지니어를 고용하여 궤도에서 위성을 보호하고 방어한다는 사실입니다. 자동화된 프로세스와는 거리가 먼 케네스는 NASA의 위성과 물리적으로 공격하려는 수많은 의도적인 시도 사이에 (은유적으로) 서 있는 실제 슈퍼맨으로, 지구 상의 어느 곳에서나 발생할 수 있는 잠재적인 사이버 위협의 위험을 완화하는 데 도움을 줍니다.

국가의 위성이 손상되면 무슨 일이 위험에 처해 있습니까? 소프트웨어 취약점을 활용하려는 의도적인 충돌 또는 악의적인 행위자가 GPS 네트워크, 기상 경고 및 예측 및 매일 당연하게 여기는 통신 시스템을 방해할 수 있습니다.

말 그대로 궤도에서 벗어날 수 있는 위협이지만, 우주 자산 보호에 초점을 맞춘 보안 요원들이 앞으로 큰 수요를 경험하는 틈새 지역이 될 것이라고 확신합니다.

정부는 이미 우주 군대를 조립하고 있습니다 ... 그리고 그들은 보안 전문가가 필요합니다

2019년 12월, 미국 정부는 이번에는 새로운 군사 작전 지점을 우주에 도입했다. 마크 에스퍼 미국 국방부 장관은 "우주를 "글로벌 커먼스"로 보존하는 데 중점을 둔 기술 중심 부서로, "우리의 안보뿐만 아니라 우리의 무역, 우리의 삶의 방식, 지구, 날씨에 대한 우리의 이해, 당신은 그것을 지칭합니다. 따라서 우리는 이제 그런 식으로 대우하고 스스로를 방어하고 공간을 보존할 준비가 되어 있는지 확인하는 것이 매우 중요합니다."

2020년 10월, 미 공군의 사이버 전문가 130명이 우주군 계급에 재배치될것으로 알려졌으며, 우주군 최고 기술 및 혁신 책임자인 킴벌리 크라이더 장군은 공간을 "사이버 분쟁의 다음 전선"으로 식별했다.

미국은 우주 군대를 조립하는 선두 주자 중 하나였을 지 모르지만, 심각한 부서보다 만화 책 음모처럼 보일 수있는 시점에서 우주 사이버 전쟁은 이미 위험 지역이며 대부분의 국가가 결국 자신의 프로그램으로 소송을 따를 것이라는 것은 말할 수 없습니다.

Tesla는 이미 차량을 공간에 배치했으며, 컴퓨터는 도로에서 운전합니다.

2018년 엘론 머스크는 자율주행 테슬라 차량을 우주로 보냈다. 2020년 10월, '스타맨'이라는 별명을 가진 우주복을 입은 마네킹이 조종하는 차량은 13억 마일을 주행했으며현재 화성을 지나 순항하고 있습니다.

이 상황은 사이버 보안 문제가 아니지만, 우리는 NASCAR 경주의 무한 한 은하계 버전을하고 있는 자동차를 가지고 있다는 것이 궁금하다, 지구에 우리의 도로는 천천히 하는 동안, 하지만 확실히, 컴퓨터에 의해 구동 되는 자동차로 채워지고. 소프트웨어로 구동되는 모든 것은 사이버 위험의 적어도 일부 요소를 운반하고, 자동차 소프트웨어는 재앙의 가능성을신호와 함께, 전에 손상된되었습니다. Tesla는 이미 보안 연구원에 의해 여러 번 테스트되었으며, 한 번의 악용으로 인해 차량의 자율적이고 비자발적인 가속이 시간당 35마일에서 85마일로 감소했습니다. 저런. 그럼에도 불구하고 Tesla의 포괄적인 보안 프로그램은 테스트 및 규정 준수 측면에서 업계의 높은 기준을 설정합니다.

자율 주행 차량은 개인 여행의 미래이지만, Tesla의 좋아하는 것보다 더 많은 플레이어가 시장에 진입함에 따라 모든 눈은 2021년부터 이 시장이 폭발할 것으로 보입니다.

너무 많은 발전, 그리고 우리는 여전히 인간의 요인을 잊고

새로운 기술의 본질적인 위험에도 불구하고, 우리는 확실히 매우 흥미로운 시기에 있습니다. 대부분의 산업은 소프트웨어의 최첨단 사용으로 혁신하고 있으며, 우리는 다음 것을 보고 기다릴 수 없습니다.

하지만 사이버 보안 업계는 전반적으로 약간 고착화되어 있는 것 같습니다. 더 안전한 소프트웨어를 구축하고자 하는 조직에 대한 가장 일반적인 조언은 보안 문제를 해결하기 위해 로봇에게 모든 것을 맡기는 도구, 자동화된 스캐너 및 기타 솔루션을 계속 구매하라는 것입니다. 하루가 멀다 하고 발생하는 대규모 데이터 유출 사고는 이러한 접근 방식에 심각한 업그레이드가 필요하며, 우리가 모든 옵션을 활용하고 있지 않다는 것을 증명합니다.Gartner의 애플리케이션 보안에 대한 하이프 사이클 2020 보고서는 다양한 최신 보안 솔루션을 자세히 설명하며, 실제로 안전한 애플리케이션 개발을 위한 실행 가능한 옵션으로 소개되지 않은 기술 솔루션을 생각하기 어렵습니다. 포괄적이고 좋은 조언처럼 보입니다. 하지만 안타깝게도 안전한 애플리케이션 개발에서 인적 요소에 대한 언급이나 보안에 대한 교육을 받은 개발자가 일반적인 소프트웨어 취약성을 줄이는 데 얼마나 유익한 역할을 할 수 있는지에 대한 언급이 전혀 없습니다. 이는 반복되는 소프트웨어 버그에 대한 가장 경제적인 솔루션이며, 도구와 보안 전문가가 더 복잡한 문제를 해결할 수 있는 시간을 확보할 수 있는 솔루션입니다.

아마도 우리는 예측보다는 질문으로 끝나야 할 지도 모릅니다. 2021년은 업계 분석가들이 안전한 소프트웨어 개발을 강화하기 위해 인간을 염두에 두는 해가 될 것인가?

‍