2015년에 선교 사업을 시작한 이래, 개발자를 위한 재미있고 관련성이 높고 매력적인 보안 코딩 교육을 촉진하는 데 항상 중점을 두어 왔습니다. 우리는 오랫동안 개발자에게 보안 모범 사례를 이해하는 지식과 도구를 제공하는 것의 중요성, 중요한 이유 및 코드가 작성될 때 악성 공격으로부터 소프트웨어를 강화하는 데 어떻게 도움이 되는지 를 인식해 왔습니다.

그러나 보안 교육은 새로운 개념이 아닙니다. 우리는 확실히 이니셔티브와 함께 처음에 도착하지 않았다, 적절한 보안 조치는 오랜 시간 동안 소프트웨어 개발에 고려되었습니다. 물론, 교육의 일부 유형은 다른 사람보다 더 효과적이지만, 일부 보안 교육에 대한 액세스는 특히 오늘, 상대적으로 쉽게 찾을 수 있습니다.

... 그래서 왜 도대체 우리는 너무 많은 데이터 유출을 해야 합니까? 9월 현재 2019년에만 여러 사이버 공격에 40억 개 이상의 기록이 노출되었습니다.

현재 많은 조직이 점점 더 가치 있는 데이터를 안전하게 유지하기 위해 패배하는 싸움을 벌이고 있습니다. 전 세계 CISOs와 CIO에게 "왼쪽으로 이동하는 것"이 여전히 너무 늦었다는 것이 분명해졌습니다. 우리는 SDLC에서 보안왼쪽으로 시작해야하며, 이는 개발자가 코드가 커밋되기 훨씬 전에 결함을 해결하기에 충분한 보안 지식이 있어야합니다.

AppSec 전문가는 보안 지식의 유일한 게이트 키퍼가 될 수 없습니다.

과거에는 소프트웨어 보안이 매우 특별한 영리한 괴짜 무리의 영역이었으며 코드를 작성하는 엔지니어와의 상호 작용이 없었습니다. 안전하지 않은 코드가 하루의 빛을 보는 것을 테스트하고, 깨뜨리고, 중지하는 것이 그들의 임무였습니다. 만약 그들이 교차 경로를 했다면, 그것은 코드의 결함을 지적 하는 보안 전문가의 결과 가능성이 있었다... 뭔가 그 창조를 통해 노예 개발자의 서리가 내린 리셉션과 만날 보장.

오늘로 빨리 감기, 상황은 거의 동일합니다, 지금을 제외하고, 위험에 훨씬 더있다. 우리 삶의 거의 모든 측면은 디지털화됩니다... 소셜 미디어의 사진 앨범, 의료 기록, 은행 및 가장 가치있는 신분증에서 모든 것을 제공합니다. 주로 오프라인, 독립 실행형 소프트웨어 및 운영 체제를 보호하는 것이었습니다. 수십억 줄의 코드에 대한 위협을 방어해야 하는 것은 또 다른 일이며, 수억 명의 사용자가 잠재적으로 위험에 처할 수 있습니다. 한 전문가 그룹이 모든 책임을 짊어지기에는 너무 많은 위험이 있으며, 이것이 우리가 AppSec과 개발 팀 사이의 격차를 해소해야하는 이유입니다. 그들은 함께 일하고, 지식을 공유하고, 하나의 응집력 있는 보안 인식 장치로 작동해야 합니다.

개발자는 의미 있는 방식으로 안전한 코딩 기술을 배울 수 있는 기회를 거의 얻지 못하는 한 가지 문제가 있습니다. 대부분의 고등 교육은 보안 모범 사례에 거의 영향을 하지 않으며, 실무 교육은 품질면에서 격렬하게 다릅니다.

우리가 격일로 엄청난 위반을 보고 있는 것은 놀라운 일이야? AppSec 체크리스트를 다운로드하세요.

‍

"코드 에 대한 라이센스".

우울한 현재의 풍경에도 불구하고, 나는 안보의 미래에 대해 낙관적이다. 공기에 변화가 있고, 나는 지금 심각하게 보안 코딩을 복용 조직의 엄청난 금액에 의해 부표입니다.

개발자가 보안 위험을 완화하기 위해 올바른 도구와 지식에 대한 액세스가 필요하며 데이터 침해와의 싸움에서 보안 인식 문화가 번성하는 것이 중요하다는 것이 점점 더 분명해지고 있습니다. 개발자가 코드가 작성될 때 보안에 대한 책임을 지면 공격자가 간단한 결함을 악용하고 성의 열쇠를 얻는 것은 훨씬 적습니다.

일부 개발자는 다른 개발자보다 보안을 더 잘 알고 있는 경우가 항상 있으며, 이는 조직에 실질적인 도전과제를 제시합니다. 사내 개발 팀은 종종 어느 정도의 교육과 기술 모니터링을 가지고 있지만, 계약자, 프리랜서 및 최근 졸업생을 믹스에 소개할 때 물은 매우 진흙투성이가됩니다. 그들은 보안 사고 방식을 가지고 행동합니까? 수십 년 동안 주변에 있었던 크로스 사이트 스크립팅과 같은 오래된 결함을 성공적으로 피할 수 있습니까? 말하기는 어렵지만 소프트웨어 빌드의 중요한 부분에서 느슨해지는 경우가 많습니다. 저런.

고맙게도, 우리는 개발자를위한 비 협상 표준의 증가를보고있다. 예를 들어 일부 조직에서 사용하고 있습니다. Secure Code Warrior 개발 기술을 평가하고 "코드 에 대한 라이센스"를 발행하는 도구로. 기본적인 보안 코딩 평가를 통과하지 않으면 프로젝트에서 작업할 수 없습니다. 이는 졸업생과 인턴이 보안 기술을 빠르게 유지하면서 동시에 안전하게 코딩하는 데 중요한 의미를 심어주는 데 매우 중요합니다. 결국, 보안은 소프트웨어에 관해서 품질과 동의어가어야합니다.

과외 교육은 대학을 주목하고 있습니다.

보안 코딩에 대한 대화를 변경하는 것은 여기에 기사, 기조 연설보다 더 걸릴 않습니다. 지역 사회 차원의 운동이 되어야 하며, 많은 최상위 조직이 주의를 기울이고 높은 수준의 보안 프로그램을 부러워하는 표준으로 구축하는 것을 보는 것은 대단한 일입니다. 이러한 회사 중 하나는 HSBC입니다, 누구의 강력한 프로그램은 최근 졸업생과 새로운 고용이 가능한 한 빨리 "왼쪽 시작"여행에 보장하고있다. HSBC 인도 기술 아카데미의 머리로, 세카르 바부 타타바르티는 심층 보안 교육필수 를 발견했다 :

"HSBC Technology는개발자 커뮤니티가 은행을 취약점으로부터 보호하기 위해 안전한 코딩의 중요성을 이해하고자 했습니다. 올해 Grads 교육 프로그램에서는 젊은 이들을 사로잡고 각자의 프로젝트에 참여하고 코딩을 시작하기 전에 최고의 보안 코딩 관행을 스스로 배우고 배어 할 수 있는 엄청난 기회라고 생각했습니다.  

우리는 Secure Code Warrior 그라드를 위한 훌륭한 게임화 방법을 위한 플랫폼은 우리의 기대를 믿을 수 없었습니다. 우리는 그들 각자가 열정적으로 참여한 것을 기쁘게 생각합니다. tournament 다른 기술로 화이트 벨트 인증을 완료하는 것 외에도"라고 말했다.

HSBC와 같은 더 많은 조직에서는 개발자 수준에서 보안 코딩 기능이 필수적이라고 보고 있습니다. 그리고 이것이 실제로 한 일은 고등 교육 전체에 빛을 비추고 있습니다. CIS와 CIO는 새로 졸업한 엔지니어가 강력한 보안 교육 없이 교육을 완료하는 이유에 대해 의문을 제기하기 시작했습니다.

고등 교육 혁신.

보안 코딩은 고등 차원에서 소프트웨어 엔지니어링의 필수 구성 요소가 되어야 하지만, 일부 대학은 지상에서 부족한 AppSec 전문가의 영역이 아닌 처음부터 개발 프로세스의 일환으로 최고 수준의 교육을 제공하고 보안을 우선 순위를 지정하는 데 앞장서고 있습니다.

호주 퀸즐랜드 대학에서 라이언 코 교수는 사이버 공격의 피할 수없는 공격으로부터 우리를 보호하기 위해 개발자의 다음 물결을 준비하는 데 상당한 진전을 이루고 있습니다.

"대부분의 소프트웨어 취약점은 코딩 단계에서 발생하므로 소스(즉, 프로그래머)에서 이 문제를 해결할 수 있다면 오늘날 CVE 목록에서 반복적으로 발견되는 대부분의 문제를 근절할 수 있을 것입니다. 소프트웨어는 현대 사회 대부분의 삶과 생계에 영향을 미치기 때문에 대학과 교육 기관은 모든 초보 프로그래머에게 안전한 코딩 방법을 가르쳐야 할 도덕적, 사회적 책임이 있습니다."라고 그는 말했습니다.

이것은 표준에서 흥미 진진한 진화입니다 courses , 중요한 보안 인식 및 기술의 방법으로 거의 제공하는 사람들. 그리고, 이것은 하나의 "바이러스"나는 더 확산 상관 없어. 내 기쁨에, 맥쿼리 대학은 또한 보안 우선 사고 방식으로 학생들을 감염, 크리스토프 도체 같은 개인의 노력 덕분에:

"2016년에 시작된 Optus Macquarie 대학 사이버 보안 허브는 호주에서 이러한 종류의 첫 번째 이니셔티브로, 정보 보안, 비즈니스, 범죄학, 정보, 법률 및 심리학 학자들과 업계 및 정부의 사이버 보안 전문가와 연결되었습니다.

우리의 임무는 교육, 연구 및 파트너십을 통해 호주를 사이버 보안 분야의 글로벌 리더로 자리매김하는 것입니다. 이 것의 한 가지 중요한 측면은 2022년에 전 세계적으로 180만 개의 일자리가 채워지지 않을 것이라는 예측과 함께 사이버 보안에서 잘 문서화된 기술 격차를 해결하는 것입니다.

이러한 기술 격차를 해소하려면 기존 인력을 지원하고 재숙련할 뿐만 아니라 차세대 사이버 보안 전문가를 교육하는 다각적인 접근 방식이 필요합니다."

그들의 접근 방식은 부서 간의 격차를 해소하고 번창하는 보안 인식 심장 박동을 만드는 데 도움이되는 높은 참여, 정밀 학습을 제공합니다. 그들은 그들의 전략에 마이크로 러닝을 활용, 보유의 높은 비율로 게임, 한입 크기의 학습 모듈을 제공, 참여 및 반복 플레이. 특히 학생들이 학생들을 창의적으로 참여시킬 수 있게 되어 자랑스럽습니다.

"이 참여의 훌륭한 예는 파트너십입니다. Secure Code warrior . 후 a tournament Secure Code Warrior 2019년 8월 사이버 보안 허브, 우리는 지금 포함을 찾고 있습니다. Secure Code Warrior 특히 보안 응용 프로그램 개발에 대한 새로운 단위에서 커리큘럼에 대한 플랫폼"이라고 크리스토프는 말했다.

맥쿼리 대학교와 퀸즐랜드 대학교와 같은 이니셔티브는 교육 공간에서 보안 코딩을 개척하고 있습니다. AppSec 전문가, 개발자 및 더 넓은 보안 커뮤니티로서의 우리의 목표는 우리가 하는 모든 일로 보안을 구우고 왼쪽을 시작하기 위한 우리의 노력을 계속하는 것입니다.

9월 3일, 나와 몇몇 팀원들은 CSO 오스트레일리아가주최하는 멋진 보안 어워드 컨퍼런스에 참석했습니다. 호주에서 최초로 2019년 여성 보안 어워드는 업계에서 가장 높은 평가를 받고 있는 보안 마인드의 놀라운 절정이었습니다. 사이버 보안에 대한 여성의 공헌을 축하하는 행사이자 종종 스포트라이트를 받지 못하고 놀라운 일을 하는 여성들이 가져온 놀라운 재능과 혁신을 선보일 수 있는 매우 필요한 플랫폼이었습니다.

그것은 나에게 그 말을 큰 자부심을 준다 Secure Code Warrior '고객 성공의 부사장 (일명 최고 굉장한), Fatemah Beydoun, 그 날의 중요한 부분이었다. 그녀는 그녀의 강연, 미래를 위한 멘토링: 우리 모두가 여성 사이버 보안 인재를 매우 수용적인 청중에게 육성하는 데 어떻게 더 잘 할 수 있는지에 대해 발표했습니다. 12분은 우리와 사이버 보안 산업 전체에 대한 오랜 영향력을 드러낼 수 있는 충분한 시간이 아니지만, 그녀는 (말할 것도 없고, 주도적인) 중요한 긍정적인 변화를 보았습니다.

보다 포괄적인 접근 방식.

"이 업계에서 처음 커리어를 시작했을 때, 파테마는 "저는 제가 참가한 팀에서 몇 안 되는 여성 중 한 명이었습니다. 많은 네트워킹 기회도 남성 중심이었으며, 제가 가입하고, 올바른 사람들을 만나고, 비즈니스에 중요한 가치를 보여주기가 어려웠습니다. 저는 그 역동성을 바꾸고 가능하면 더 포괄적인 공간을 만들고자 했습니다.

예를 들어, 저는 종종 업계 행사에 참석하여 많은 회사 부스가 홍보 모델을 사용하여 스탠드에 관심을 끌기 위해 사용할 수 있습니다. 이론적으로는 괜찮지만, 목표 시장이 아니었기 때문에 종종 무시될 것입니다. 저는 일찍부터 행사를 진행하는 일을 담당했고, 우리 자신의 제품에 관심을 끌 수 있는 더 포괄적이고 재미있는 방법을 마련할 수 있다고 다짐했습니다."

Fatemah와 나는 오랫동안 함께 일해 왔으며, 그녀는 항상 우리가 운영한 기업 내에서 포용성과 다양성을 옹호해 왔습니다. 이것은 항상 팀의 여성을위한 더 많은 경로로 이어졌으며, 주요 기여도를 인식하고 다양한 접근 방식, 의견 및 삶의 방식에 의해 강화되는 집단을 인식했습니다.

"봐, 아무도 토큰 여성이되고 싶어하지 않습니다, 물론,"Fatemah는 말했다. "그러나 문제는 일부 덜 다양한 경영진이 리더십 지휘봉을 자신과 같은 사람들에게 전달하는 경향이 있다는 것입니다. 이 같은 임원은 장점과 기술 기반 용어에 기여하는 여성의 혜택을 누릴 수 있지만, 종종 그들이 조회를 얻기 어렵다. 경영진이 다양성이 가져올 수 있는 힘을 알게 된다면(그리고 성별을 넘어서는) 그들은 종종 그러한 길을 만들고 조직을 위해 훌륭한 일을 할 준비가 되어 있고 기꺼이 할 수 있는 여성들을 끌어올리기 시작했습니다."

직장 유연성: 성공을 위한 핵심 성분.

저는 회사를 시작할 때 팀원들이 숨을 쉴 수 있는 공간이 있을 때 가장 좋은 일이 이루어지는 것을 매우 빨리 배웠습니다. 유연성은 모두에게 중요하지만, 일하는 가족을 돕는 정책은 중요한 인재를 유지하는 데 도움이 될 수 있습니다.

여기에 소개 된 첫 번째 정책 중 하나는 새로운 어머니가 약속에 필요한 유연성과 판단의 두려움없이 작동하도록 유아를 데려 오는 능력으로 더 빨리 일할 수 있도록 하는 유아 근무 정책이었습니다.

"저는 엄마와 제 커리어 중 하나를 선택하고 싶지 않았고, 어린 아들을 직장으로 데려올 수 있는 능력은 제가 지지하고 소중히 여기는 느낌을 유지하는 데 긍정적인 움직임이었습니다. "내 기술은 출산 후 사라지지 않습니다, 그리고 신생 기업의 창립 멤버가되는, 잘, 당신은 그것으로 다시 얻을 싶어!"

그녀는 심지어 유연한 작업의 이점에 대해 ABC 뉴스와 의논했습니다.

당신은 번성 멘토 문화가 있습니까?

훌륭한 커리어 궤도에서 누군가를 시작하고 기세를 유지하기 위해 멘토가 되는 것은 좋은 아이디어입니다. 많은 IT, 사이버 보안 및 남성 지배적 인 분야에서, 남성과 비교하여 임원 수준의 여성의 불균형이 매우 있다, 그래서 그것은 조금 도전이 될 수 있습니다.

여성이 리더십 직책에서 "자신"을 보는 것이 중요하지만, 남성은 팀의 영리한 여성을 들어 올리고 가능한 한 멘토링을 함으로써 도움을 줄 수 있습니다.

"리더십 팀은 조직의 다양화에 큰 영향을 미칠 수 있을 뿐만 아니라 뛰어난 여성들이 다른 누구보다도 인정받고 진로를 얻을 수 있도록 보장할 수 있습니다. 젯스타의 사이버 보안 책임자인 이벳 레진스(Yvette Lejins)와 함께 이런 행동을 보았습니다. 그녀는 여성의 챔피언이며 자신의 성공과 노력을 통해 앞으로 지불하고 다른 여성들이 정상에 대한 자신감을 연상시키는 데 도움이되었습니다"라고 Fatemah는 말했습니다.

그것은 의미로, Secure Code Warrior 방금 100명의 직원을 고용하는 것을 축하했습니다. 저는 비즈니스 전반에 걸쳐 50% 이상의 여성 대표를 가지고 있으며, Fatemah는 모두에게 탁월한 롤모델이자 멘토입니다.

모든 기업은 팀의 다각화에서 엄청난 힘을 찾을 수 있습니다. 다양한 각계각층의 다양한 의견은 좋은 아이디어를 훌륭한 아이디어로 바꾸는 데 필요한 비밀 성분이 될 수 있습니다. 언제나 처럼, 우리 모두 함께 강한.

소프트웨어 보안 산업은 따뜻하고 퍼지감정, 기발한 관찰, 삶의 해설로 정확히 알려져 있지는 않지만, 나이가 들어감에 따라 우리 모두가 세상에 미칠 수 있는 영향에 대해 생각해 보곤 합니다. 또한 사이버 보안의 경계를 훨씬 뛰어넘는 긍정적인 파급 효과를 일으킬 수 있습니다.

팀원의 제안 덕분에 전사에게 돌려주는 프로그램을 회사 전체에 구현했습니다. 이 이니셔티브는 우리 주변 지역 사회에 "돌려주는"정신으로 우리를 데려 가기 위해 고안되었으며, 세상을 조금 더 밝게 만들기 위해 팀으로 적극적으로 일했습니다.

우리 중 많은 사람들이 단합된 팀으로 유대감을 쌓을 수 있는 놀라운 기회였지만, 한 걸음 뒤로 물러서서 땅을 조사하고, 새롭게 된 선명도로 무엇이 진정으로 중요한지 볼 수 있는 특별한 순간이었습니다. 스타트업의 모든 사람이 당신에게 말할 것이다, 그것은 많은 가동 중지 시간, 슈퍼 바쁜 될 수 있습니다 ... 그것은 보람, 지치고 한 번에 스릴입니다. 그러나, 당신이 살고 당신의 사업을 호흡 할 때, 그것은 당신의 주위에 생활을 종료하는 것이 너무 쉬울 수 있습니다.

좋은 힘.

우리가 성취하고자 하는 가장 중요한 것은 커뮤니티에 즉시 유용한 일을 하는 것이었으며, 단지 뒤에서 자신을 두드리기 위해 몇 장의 사진을 찍기 위해 포즈를 취하는 것이 아닙니다. 그것은 우리의 특권을 인정하고 감사하는 행동을 하는 것이었습니다. 모든 산업에서 모든 사람들은 좀 더 많은 일을 할 수 있었습니다. 결국, 당신은 너무 많은 선의를 전파하거나 너무 겸손하게 머물 수 없습니다.

킥오프 행사를 위해 타이크스 를 위한 자전거 프로그램을 통해 불우한 어린이를 위한 자전거 를 함께 구축하기로 결정했습니다. 나는 우리가 결합 된 기계 기술 (또는 그 부족)에 대한 사랑스러운 기억과 많은 웃음으로 이 날을 되돌아 볼 것이라고 확신하지만, 행복의 불꽃은 가장 필요한 시기에 아홉 명의 매우 특별한 아이들에게 가져다 주었고, 새로운 자전거의 재료 측면을 훨씬 뛰어 넘는 보상입니다. 이 행사는 우리 편에서 작은 제스처였지만, 잠시 동안 그들은 자신의 문제를 잊고 단순히 아이들이되는 것을 즐길 수 있기를 바랍니다.

다시 주고, 더 얻을.

"친절은 모두가 감당할 수 있는 선물"과 같은 오래된 속담이 있습니다. 그것은 매우 사실이지만, 특히 사이버 보안 커뮤니티가 잘하는 것 같은 한 가지는 사람들이 이해하고 배우고 탐구하는 데 도움이되는 무료 지식 공유 및 온라인 리소스가 풍부하다는 것입니다. 당연히 OWASP와 같은 조직은 우리 모두를 더 안전하게 만드는 데 많은 시간을 할애하고 있으며, 이벤트 프리젠 테이션 및 기능 후 질문에 대답할 수있는 다른 사람들의 의지를 끊임없이 봅니까? 우리 모두가 더 많은 것을 주었다면, 결국 10 배만 갚을 수 있다고 생각합니다.  

우리는 전 세계의 다른 많은 멋진 회사와 마찬가지로 보답하기 위해 계속 노력할 것입니다. 우리가 어디에 있든 긍정적인 변화를 위한 힘이 되자.

(Psst: 개발자 학습 리소스 라이브러리는 항상 여러분을 위해 열려 있습니다).

십대 보안 연구원빌 데미르카피의 최근 보고서는 자신의 학교에서 사용하는 소프트웨어의 주요 취약점을 노출확실히 몇 가지 기억을 다시 가져왔다. 나는 호기심 아이인 것을 기억, 소프트웨어에 후드를 들어 올려 아래 들여다 보고 모든 작동 방법을 볼 수 - 그리고 더 중요한 것은 - 내가 그것을 깰 수 있다면. 수십 년 동안 소프트웨어 엔지니어들은 제품의 지속적인 개선과 강화를 추구해 왔으며, 보안 커뮤니티(접근 방식은 약간 건방진 반면)는 악의적인 사람이 같은 작업을 수행하기 전에 결함과 잠재적 재해를 발견하는 데 중요한 역할을 합니다.

그러나 여기서 문제는 그의 발견에 대한 응답으로, 그는 학교에서 사소한 정지를 입었다는 것입니다. 그리고 그는 회사(Follett Corporation)에개인적으로 연락할 수있는 모든 길을 소진 한 후에만, 마침내 자신과 자신의 시스템을 위반 할 수있는 능력을 식별하기 위해 다소 공개 적인 폭발을 선택했습니다. Follett Corporation에 윤리적으로 경고하려는 그의 반복된 시도는 응답없이 갔고, 소프트웨어는 취약한 상태로 남아 있으며 학생 데이터의 산은 암호화되지 않은 것처럼 상당히 쉽게 노출되었습니다.

그는 또한 다른 회사의 소프트웨어에서 버그를 사냥: 블랙 보드. Blackboard의 데이터에는 적어도 암호화가 있었지만 잠재적 인 공격자가 수백만 개의 레코드에 도달하고 더 많이 기록될 수 있었습니다. 이 소프트웨어와 Follett의 제품은 모두 그의 학교에서 사용되었습니다.

"사악한 해커의 이야기는 문제가있다.

데미르카피는 올해 DEF CON에서자신의 연구 결과를 발표했으며, 그의 장난에 대한 자세한 내용은 관중들의 박수를 받았다. 당연히, 정말 - 그는 나쁜 책에 처음과 자신의 발견을 인식하기 위해 많은 장애물에 직면하는 동안, Follett 공사는 소문에 따르면 자신의 노력에 감사하고 자신의 조언에 행동, 궁극적으로 자신의 소프트웨어를 더 안전하게하고 다른 데이터 유출 통계가되는 위기를 피하기. 그는 또한 고등학교를 마친 후 로체스터 공과 대학에 참석할 것이므로 수요가 많은 보안 전문가가 되기 위한 올바른 길에 있다는 것은 분명합니다.

보안 요원으로서 이 상황이 어떻게 처리되었는지에 대해 문제를 제기하기는 어렵습니다. 이 경우 잘 끝나는 모든 것이 좋지만, 처음에는 성가신 대본 아이가 속하지 않은 곳에 코를 두는 성가신 스크립트 아이처럼 대우받았습니다. 사건의 Google 검색은 "해커"로 그를 참조 하는 기사가 (보안 평신의 마음에, 이것은 많은 방법으로 악당으로 그를 위치), 때 실제로 그의 접근 방식 (그리고 많은 다른 사람의) 우리의 데이터를 안전 하 게 유지 하는 데 도움이.

우리는 호기심이 많고 영리하며 보안에 초점을 맞춘 사람들이 후드 아래를 바라보아야 하며, 훨씬 더 자주 일어나는 것이 필요합니다. 7월 현재, 올해만 40억 건 이상의 기록이 악의적인 데이터 유출에 노출되었습니다. 당신은 잠재적으로 그 그림에 또 다른 5천만 추가 할 수 있습니다, 패션과 라이프 스타일 브랜드의 8 월 위반 덕분에, Poshmark.

우리는 같은 실수를하고, 더 걱정스럽게도, 그들은 종종 우리를 트립 계속 얼굴 손바닥 유도, 간단한 취약점입니다.

사이트 간 스크립팅 및 SQL 삽입은 사라지지 않았습니다.

WIRED에의해 보고 된 바와 같이, 블랙 보드 커뮤니티 참여 소프트웨어와 Folletts 학생 정보 시스템은 크로스 사이트 스크립팅 (XSS) 및 SQL 주입과 같은 일반적인 보안 버그를 포함하는 데미르 카피에 의해 발견되었다, 둘 다 1990 년대 이후 보안 전문가의 혀에 머리카락이었다. 우리는 정말 오랜 시간 동안 그들의 존재를 견뎌 왔고, 하이퍼 컬러 티셔츠와 플로피 디스크와 마찬가지로 지금은 먼 기억이되어야합니다.

그러나, 그들은 아니에요, 그리고 그것은 충분히 개발자가 자신의 코드에 그들의 도입을 중지 하는 적절 한 보안 인식을 보여 분명 하다. 스캐닝 도구와 수동 코드 검토는 그다지 많은 작업을 수행할 수 있으며 XSS 및 SQL 주입보다 훨씬 더 복잡한 보안 문제가 발생하므로 비용이 많이 들고 시간이 많이 소요되는 조치를 더 잘 활용할 수 있습니다.

빌 데미르카피와 같은 사람들은 개발자가 더 높은 수준의 코드를 만들도록 영감을 주어야 합니다. 불과 17세에 그는 코드가 커밋되기 전에 스니핑하고 수정해야 하는 위협 벡터를 통해 두 개의 고트래픽 시스템을 위반했습니다.

게임화: 참여의 열쇠는?

나는 개발자가 크게 보안과 단절 남아 이유에 많은 글을 썼고, 짧은 대답은 많은 조직, 교육 수준에서 수행되지 않는 것입니다, 보안 인식 개발자를 육성하기 위해. 기업이 개발자의 언어를 구사하고 계속 시도하도록 동기를 부여하는 교육을 구현하는 등 참여를 보상하고 인식하는 보안 문화를 구축하는 데 시간이 걸리면 이러한 성가신 취약점 유물은 우리가 사용하는 소프트웨어에서 사라지기 시작합니다.

Demirkapi는 분명히 보안에 과외 적인 관심을 가지고 있으며, 악성 코드를 리버스 엔지니어링하는 방법을 배울 수있는 시간을 촬영하고있다, 결함을 발견하고, 잘, 외부에서 깨진 나타나지 않는 물건을 깰. 그러나, VICE에 말하기에서 (그리고 그의 DEF CON 슬라이드를 통해), 그는 자신의 자기 교육에 흥미로운 성명을 발표 ... 그는 그것을 게임 :

"우리 학교의 소프트웨어에서 무언가를 찾는 것이 목표이기 때문에, 그것은 자신에게 상당한 양의 침투 테스트를 가르치는 재미있는 방법이었습니다. 더 많은 것을 배우려는 의도로 연구를 시작했지만, 결국 예상보다 훨씬 더 나빠졌다는 것을 알게 되었습니다."

모든 개발자가 보안을 전문으로 하는 것은 아니지만 모든 개발자는 보안 에 대한 인식이 될 수 있는 기회를 제공해야 하며, 기본 은 조직 내에서 거의 "코드 사용 권"으로 사용되며, 특히 민감한 데이터를 대량으로 제어하는 개발자가 있어야 합니다. 가장 간단한 보안 허점이 작성되기 도 전에 모든 개발자가 패치 할 수 있다면, 우리는 혼란을 과시하고자하는 사람들에 대해 훨씬 더 안전한 위치에 있습니다.

게임화 교육에 대한 호기심? XSS 및 SQL 주입에대한 코더 정복 보안 시리즈를 확인하십시오.

VxWorks는 일반 소비자에게 정확히 가계 이름이 아니지만,이 소프트웨어 제품은 필연적으로 당신과 나 같은 많은 사람들에게 매일 매일 혜택을 누릴 수 있습니다. 세계에서 가장 인기있는 실시간 운영 체제 (RTOS)로, 그것은 우리가 (프록시에 의해) 엔터프라이즈 네트워킹 및 방화벽, 항공 우주 인터페이스, 산업 장비, 심지어 일부 의료 장치에 의존하는 주력, 단지 광범위한 사용의 몇 가지 응용 프로그램의 이름을 지정합니다.

그리고 지금, 우리는 이러한 장치 중 수십억 이 아니라면수억 이 취약점이 적어도 11개의 취약점으로 손상될 가능성에 직면해 있습니다. 윈드 리버의 수석 보안 건축가, 알렌 베이커, SearchSecurity에서기사에서 숫자에 이의를 제기했다, 정확한 범위는 확인되지 않은 공개와 높은 것으로 생각되지. 그럼에도 불구하고 데이터 유출과 공격이 항상 발생한다는 것을 이미 알고 있지만, 이것은 다음 단계입니다 : 확인된 결함은 상대적으로 악용하기 쉽고 많은 사람들이 문을 열고 공격자가 네트워크 패킷의 전송을 통해 원격으로 장치를 제어 할 수 있습니다.

윈드 리버는 물론 영향을 받는 고객과 동료에게 일련의 수정 사항과 패치를 발표했습니다. 문제는 패치 업데이트를 필요로하는 장치의 깎아 지른듯한 수에있다 - 타노스는 그의 손가락의 클릭으로 세계를 종료처럼, 그것은 많은 장치가 패치되지 않은 상태로 남아, 따라서 오랫동안 취약 남아있을 것입니다.

보안 회사 인 Armis는이 매머드 발견의 배후에 있었고, 그들의 연구 결과를 긴급 / 11로더빙했습니다. 그(것)들은 다중 벡터에서 공격의 용이성과 광대한 감염을 위한 잠재력 때문에 의심할 여지없이, 심각한 로 그것을 확인했습니다. MRI 스캐너와 VOIP 제품부터 네트워크 및 신호등을 교육하는 모든 것을 지원하는 소프트웨어웜의 생성 및 배포가 완전히 가능합니다.

당황할 때가 된가요?

보안 인식을 삶에서 중요한 임무로 만든 사람으로서, 저는 일상적인 잠재적인 보안 문제를 많이 봅니다. 나는 나 자신이 너무 많은 공황을 허용하면 히스테리에 내 하루의 대부분을 보낼 것 (결국, 나는 오히려 교육하고 버그를 해결하는 데 도움이하려고사업에 도착 것!). 그러나 긴급/11 발견의 범위는 매우 무서운 것입니다. 발견된 11개의 취약점 중 6개는 중요한 것으로 간주됩니다. 해커 뉴스가 밝힌 바와 같이, 이러한 결함은 버전 6.5 (VxWorks 653 및 VxWorks Cert Edition을 포함하여 인증을 위해 설계된 버전을 제외) 이후 VxWorks를 실행하는 장치에 존재해 왔으며, 이는 일부 중요한 기술이 10 년 이상 장치 인수 공격의 위협을 받고 있습니다. 모든 장치가 모든 11 개의 결함에 취약한 것은 아닙니다 (공격자가 동일한 LAB 서브넷에있는 경우에만 악용 될 수있는 장치)이지만 평범한 해커조차도 기회의 작은 창이 필요합니다.

윈드 리버는 신속하게 행동하고 아미스와 마찬가지로 문제 완화에 대한 자세한 조언을 제공했다는 점에 유의해야 합니다. 그리고 VxWorks RTOS는 매우 신뢰할 수 있고 소프트웨어 안전 규정에 대한 점수가 높기 때문에 널리 채택됩니다 - 일반적으로 버그 현상금 사냥꾼은 너무 많이 귀찮게하지 않습니다. 그러나 보안 회사와 윈드 리버는 문제를 해결하는 데 많은 것을 할 수 있습니다... 패치를 다운로드하고, 보안 조언에 주의하고, 자신의 장치를 강화하는 것은 최종 사용자의 손에 있으며, 이것이 까다로워지는 곳입니다.

아마도 우리는 아직 당황 할 필요가 없습니다, 하지만 제출이 짐승을 씨름하는 마을이 걸릴 수 있습니다.

긴급/11 취약점 설명

이 시점에서 버전 6.5가 긴급/11 중 하나 이상의 영향을 받을 수 있기 때문에 손상된 VxWorks TCP/IP IPnet 스택에 연결된 모든 장치가 영향을 받을 수 있습니다. (윈드 리버의 CvEs 전체 목록은 여기를참조하십시오.).

대부분 이러한 결함으로 인해 원격 코드 실행(RCE) 및 서비스 거부 공격이 허용되며, 몇 가지 는 정보 노출 및 비즈니스 논리 문제로 이어질 수 있습니다. 공격자가 최종 사용자 상호 작용이 없는 장치를 제어할 수 있으므로 원격 코드 실행은 이 경우 특히 중요한 문제입니다. 아무도 실수로 의심스러운 것을 클릭하거나, 아무것도 다운로드하거나, 세부 사항을 입력할 필요가 없습니다 ... VxWorks 장치를 매우 "웜가능"으로 만들고 자체의 자동화된 수명을 위한 공격을 렌더링합니다. 이터널블루의 워너크라이 웜을 기억하시나요? 긴급/11은 우리에게 글로벌 두통을 줄 수있는 유사하면서도 더 파괴적인 잠재력을 가지고 있습니다.

우리는 그것에 대해 무엇을 할 수 있습니까?

음, 글을 쓰는 시점에서 긴급 /11의 결과는 알려지지 않았습니다. 미디어는 업계를 인식하고, 윈드 리버는 명확하게 영향을받는 사람들을 지원하고있습니다. 앞으로 몇 달 동안 공격자가 이러한 알려진 결함을 의미있는 방식으로 악용하기로 결정했는지 알 수 있지만, 그 동안 명백한 해결책은 과다한 조언에 주의하고 궤도에있는 관련 장치를 패치하는 것입니다.

장기적으로, 그것은 같은 임무 남아: 모든 소프트웨어 보안에 관해서 더 나은 할 필요가. 긴급/11 CvEs는 일반적으로, 걱정스럽게 간단한 뒷문을 통해 걸어, 그들은 몇 년 동안 발견되지 않은 남아 있다는 사실은 전반적인 업계의 관심과 인식이 매우 낮은 에 대한 증거입니다.

모든 개발자는 자신의 역할을 할 수있는 기회를 가지고 있으며, 그들은 생산의 시작 부분에서 코드를 보호하는 방법을 배울 수있는 지원이 필요합니다. AppSec에서 C-suite에 이르는 영향력 있는 팀은 비즈니스 내의 모든 소프트웨어 접점에서 긍정적인 보안 문화가 번창할 수 있도록 보장할 수 있습니다.

자신의 보안 인식을 테스트하시겠습니까? 당사의 게임화된 플랫폼은 긴급/11에서 발견된 것과 유사한 실제 코드 문제를 제공할 수 있습니다. 그들을 체크 아웃하고 당신이 요금을 확인하는 방법을 참조하십시오 :

• IPdhcpc에서 DHCP 제공/ACK 구문 분석의 힙 오버플로 (CVE-2019-12257)
  메모리 손상 - 힙 오버플로우
• 잘못된 TCP 옵션을 통한 TCP 연결 DoS(CVE-2019-12258)
  불충분한 운송 계층 보호 - 민감한 정보의 보호되지 않은 전송
• ipdhcpc DHCP 클라이언트에 의해 IPv4 할당의 논리적 결함 (CVE-2019-12264)
  비즈니스 로직 결함
• IGMP 구문 분석에서 NULL 참조를 통한 DoS (CVE-2019-12259)
  메모리 손상 - Null 참조
• IGMP 정보 IGMPv3 특정 회원 보고서를 통해 유출 (CVE-2019-12265)
  정보 노출 - 민감한 데이터 노출

이 문서의 버전은 DevOps.com에등장; 그것은 다시 제목과 새로운 정보를 포함하도록 업데이트되었습니다.

CISOs와 CIO는 소프트웨어 보안에 대한 책임의 사자 점유율을 취하는 부러운 위치를 가지고 있지만, 특히 당황스러운 회사 데이터 유출의 경우 관련성을 높일 수있는 독특한 기회가 있습니다 : 그들은 새로운 혁신가이며 올바른 접근 방식에 큰 영향을 미칠 수 있습니다. 공공 및 상업 적 모든 조직은 빠르게 디지털화 되는 세계에서 시장 공간을 유지 (그리고 얻을) 싸우고 있다. 고객은 과거와 미래의 제품 모두에서 원활한 온라인 경험을 기대하고 있으며 "디지털 우선" 비즈니스 접근 방식이 필수적입니다. 결국, 이러한 기대를 충족하지 않는 경우, 거의 확실히 기회에 급습 할 준비가 경쟁자가있다.

그렇다면 현대 CISO 또는 CIO에게는 어떤 의미가 있을까요? 당연히, 그것은 그들이 개발자의 팀을 고용하는 것을 의미, 각각은 디지털 제품이나 서비스를 형성하는 코드의 라인 후 라인을 만드는. 사이버 보안은 수년 동안 주요 고려 사항이지만 온라인과 공격자의 시야에서 점점 더 많은 비즈니스 작업이 수행됨에 따라 증가하는 위험 요소입니다. 위반의 의미는 엄청나지만 디지털화를 거부하는 것은 선택 사항이 아닙니다.

크리에이티브 CIS와 CIO는 AppSec 및 개발 팀과 함께 디지털 선물의 경로를 계속 단조할 수 있는 최고의 위치에 있습니다. 그들은 의심 할 여지없이 온라인 비즈니스, 정부 및 공공 서비스의 장기적인 혁신을 형성할 것이지만 빠른 시장 목표, 높은 소프트웨어 품질 및 보안 위험 완화의 균형을 맞추는 데 막대한 책임을 지고 있습니다.

이 균형은 현재까지 파업하기가 대단히 어려웠습니다. 이로 인해 코드에서 만들 수 있는 취약점을 고려하지 않고도 기능과 기능을 제공하는 데 중점을 두고 종종 단편화되는 개발 팀이 있습니다. AppSec 전문가는 지속적으로 같은 실수를 해결, 상대적으로 간단한 뒷문에서 위반의 위협이 큰 열린 직기를 남아있는 동안.

당사의 데이터가 안전하게 유지된다면 CISO와 CIO는 팀이 함께 일하는 방식에 창의적이고, 긍정적인 보안 과 공동 책임문화를 만들어야 합니다. 메리어트가 2018년 위반으로 인해 직면한 치명적인 결과를 살펴보면, GDPR은 1억 2,300만 달러 이상의 GDPR 벌금, 5억 건 이상의 기록, 그리고 너덜너덜한 보안 평판을 볼 수 있습니다. 이 재해는 2016년 메리어트가 인수한 회사인 Starwoods 서버에서 2014년 초에 SQL 주입 취약점이 발견된보안 되지 않은 코딩 관행의 직접적인 결과로 주요 부분에서 발생했습니다. 소프트웨어의 후속 사용은 응용 프로그램 보안 관점에서 명확하게 확인되지 않았습니다. 이로 인해 악의적인 공격자가 데이터에 액세스하고 수집할 수 있는 수년이 지난 반면, 약한 암호와 같은 다른 취약점은 시간이 지남에 따라 악용할 구멍이 더 많이 남았습니다.

CIO와 CIO는 자체 소프트웨어 보안 환경의 상태를 매우 신중하게 고려해야 합니다. 일반 개발자는 보안 에 대해 어떻게 인식합니까? AppSec 및 개발 팀이 얼마나 잘 협력하고 있습니까? "마법의 지팡이"수정은 없지만 문화, 훈련 및 지원이 작업하고 개선 할 수 있습니다. 개발 팀은 조직의 첫 번째 데이터 유출 위험 라인에서 잘못된 코드를 중지하는 보안 슈퍼 히어로로 전환할 수 있습니다.

안전한 코딩 상태 확인: 당신은 생명 유지에 있습니까?

자신의 개발자 팀은 어디에 적합합니까? CIO와 CIO가 개발 팀이 진정으로 안전한 코딩 챔피언이 될 수 있도록 지원하는 이 보안 코딩 검사 목록을 만들어 더 빠르고, 더 좋고 안전한 코드(또는 보안 프로그램 점검이 필요한지 여부에 관계없이)로 혁신하는 데 도움을 줍니다.

1. C-Suite의 나머지 부분에서 얼마나 지지합니까? 그들은 기존의 네트워크 보안이 더 이상 충분하지 않다는 것을 이해합니까?

소프트웨어의 미래에, 오래된 보안 조치를 사용하여 네트워크 계층을 확보하는 것은 단순히 충분하지 않습니다 (그리고, 어쨌든 그것을 직면하자, 거의 성공하지 않습니다) 심지어 반 전문 해커에 대해. 많은 일관된 보고서 중 Verizon의 "2017 데이터 유출 조사 보고서"는오늘날 데이터 유출의 35 %가 웹 응용 프로그램 취약점으로 인해 발생한다고 말합니다.

웹 응용 프로그램 보안은 네트워크 보안만큼이나 중요합니다. 이를 무시하고 AppSec 조치의 기본적이고 기본적인 보호 계층에 대한 예산을 책정하고 주입하지 못하면 위반에 대해 잘 하고 진정으로 개방될 수 있습니다.

2. 왼쪽으로 충분히 이동합니까, 당신은 충분히 일찍 그것을하고 있습니까?

응용 프로그램 보안에 대한 현재의 접근 방식은 매우 도구가 무겁기 때문에 소프트웨어 개발 수명 주기(SDLC)에서 오른쪽에서 왼쪽으로 이동하는 데 중점을 두고 있습니다. 이는 정의와 설계에 따라 프로세스가 결함이 있다는 것을 인정하고 탐지 및 반응 결과를 지원합니다. 보안 팀은 이미 작성된 코드의 취약점을 검색하고 감지하여 제작할 때 버그가 없는지 확인하는 대신 커밋된 코드를 수정하는 데 반응하고 있습니다. 국립 표준 기술 연구소(NIST)에따르면, 그것은 감지 하 고 IDE에 기록 된 대로 그들을 방지 하는 것 보다 커밋된 코드에 취약점을 해결 하는 데 30 배 더 비싼. 이는 생산 지연, 이중 처리 및 동일한 잘 알려진 보안 문제를 반복해서 해결하는 데 소요되는 시간을 고려하지 않습니다.

진정으로 강력한 보안 문화는 개발 팀에게 안전한 코딩 사고 방식을 가지고 성장하고 행동할 수 있는 적절한 도구와 교육을 제공하면서 개발자 집단 내에서 보안 챔피언들에게 영감을 주는 왼쪽을 시작해야 한다고 주장합니다. 지속적인 자기 개발에 초점을 맞추고, 그들은 처음에 발생하는 일반적인 취약점을 방지, 자신의 조직에서 방어의 첫 번째 라인이 될 수 있도록 자신의 문제 해결 근육을 구부리고있다.

3. 실용적인 보안 기술을 구축하기 위해 노력중입니까, 아니면 단방향 지식을 공급하고 있습니까?

대부분의 보안 교육 솔루션(온라인 및 CBT)은 업무와 직접적인 관련이 있는 실용적인 기술 대신 지식을 구축하는 데 중점을 둡니다. 개발자가 번창하고 보안 코드를 작성하려면 실제 환경에서 교육과 기술을 지속적으로 교육하고 개발하도록 적극적으로 장려하는 상황에 맞는 실습 학습에 정기적으로 액세스해야 합니다. 실제 코드 예제를 사용하여 최근에 식별된 취약점에 대해 알아보고 선호하는 언어및 프레임워크에서 작업할 수 있어야 합니다. 이 학습 환경은 작업 과정에서 적극적으로 작업중인 코드에서 알려진 취약점을 찾고 식별하며 수정하는 방법을 이해하는 데 효과적입니다.

많은 지식이 풍부한 교사가 있고 보안 취약점을 해결하는 데 많은 정보가 있지만, 교과서를 통해 엄지 손가락을 치거나 비디오 시간을 시청하는 것은 많은 창의적이고 문제 해결 개발자의 마음을 참여하지 못하며 데이터 유출의 지속적인 흐름이 표시되는 경우 취약점이 코드를 입력하는 것을 방지하는 데 크게 비효율적입니다.

4. 실시간 메트릭으로 보안 코딩 기술을 측정하고 있습니까?

개발 팀 내에서 보안 우선 사고 방식을 구축하는 중요한 단계는 증거를 수집하고 검토하는 것입니다. 개발자는 보안에 신경을 쓰지 않거나 그렇지 않은 가정이나 추측 게임이 되어서는 안 됩니다.

메트릭은 개발자와 조직에 자신의 노력이 성과를 거두고 있으며 개별 보안 코딩 기술이 향상되고 있음을 증명하려고 합니다. 측정할 수 없는 것을 개선할 수 없습니다. 관련 평가가 있어야 하며, 이러한 평가는 개발 팀의 진행 상황을 실시간으로 파악하고 지속적인 개선을 위해 안전한 코딩 강점과 약점을 벤치마킹하는 데 도움이 될 것입니다.

보안 교육은 조직을 위한 "체크 더 박스" 운동이 되는 경우가 많으며, 이 교육이 효과적이거나 참여하거나 심지어 유지되도록 하는 데 중점을 두지 않습니다.

5. 강력한 보안 코딩 기술을 사용하여 아웃소싱 공급업체입니까?

많은 조직이 타사 기관에 개발 작업을 계약하기로 결정합니다. 그들이 온/ 또는 해외에 있든, 그들의 일반적인 안전한 코딩 능력과 관행은 클라이언트에 대한 상대적인 미스터리입니다. 가장 좋은 경우, 조직이 보안과 관련하여 받게 될 유일한 보증 형태는 결과물이 "안전"하도록 요구하는 계약서의 성명서입니다. 이러한 개발 주택의 기술을 미리 검증하기 위한 조치를 취하는 기업은 거의 없으므로 브리핑된 대로 작동하는 소프트웨어가 전달될 위험을 감수하면서도 건전한 보안 코딩 관행을 따르지 않고 구축되었습니다. 더 나쁜 것은, 구매 회사가 응용 프로그램 내에서 고유의 보안 결함을 인식하지 못하는 경우, 그것은 야생으로 취약한 소프트웨어를 보낼 위험이 있습니다.

가장 일반적인 시나리오는 모든 취약점이 전담 보안 전문가(출처가 어렵고 높은 비용으로 오기 어려운 개인)에 의해 포착되는 것입니다. 그러나 스마트한 선불로 다음 응용 프로그램을 빌드하려는 개발자의 응용 프로그램 보안 기술을 평가하는 경우 많은 잠재적 지연, 불만 및 현금을 절약할 수 있습니다.

6. 개발자가 가장 일반적으로 악용되는 보안 약점을 알고 있습니까?

악용된 웹 응용 프로그램 취약점의 85% 이상이 알려진 10개의 취약점"OWASP Top 10에기인합니다. 최소한 응용 프로그램 보안 교육은 더 많은 취약점 유형 외에도 이를 다루어야 합니다. 개발자가 다투는 교육 과제는 새로운 코딩 프레임워크 또는 새로운 취약점 유형에 대한 새로운 과제와 함께 정기적으로 수정 및 업데이트해야 합니다.

실제 보안 코딩 시나리오를 사용하는 정밀 교육이 표준이어야 합니다. 모호한 일반적인 지식은 단순히 효과적이지 않습니다. (이러한 보안 코딩 시나리오가 어떻게 생겼는지 궁금하십니까? 코더 정복 보안 블로그 시리즈를 확인하십시오. 각 게시물에 는 플레이 가능한 도전이 있습니다).

7. 사내 보안 챔피언이 있습니까?

모든 개발자가 많은 조직은 보안 챔피언에 투자해야 합니다" 개발자 팀 내에서 높은 보안 표준을 유지하는 책임을 져야 하는 사람. 그들의 목적은 보안에 관한 질문이있는 모든 사람을위한 지원 지점이 될 뿐만 아니라 보안 모범 사례를 따르는 주요 옹호자가되는 것입니다.

그들은 보안 문화 퍼즐의 중요한 조각이다; 훌륭한 보안 챔피언은 집중적인 훈련에서 기세를 유지하고 팀의 모든 구성원이 필요한 것을 가지고 있는지 확인하고 지원을 계속 옹호 할 수 있습니다.

8. 개발자가 안전한 코딩을 쉽게 할 수 있도록 도구에 투자했습니까?

조직이 민첩한 개발이 수행되는 조직이거나 실제로 회사 가 구축된 응용 프로그램에 대한 빈번한 업데이트에 직면한 경우 보안의 일부를 자동화하는 것이 혈안이 속도와 작업 량을 유지하는 유일한 방법 중 하나입니다.

SDLC의 각 단계에서는 어드바이저, 품질 게이트키퍼 또는 탐지 도구역할을 하는 도구가 있습니다. 또한 일부 도구는 코드를 통해 자동화된 테스트를 실행하여 소프트웨어가 생산되면 해킹 시도를 시뮬레이션합니다. 모든 사람은 고유한 이점과 과제를 가지고 있으며, 응용 프로그램 내에 보안 위협이 존재하지 않는다는 것을 100% 보장할 수 없습니다. 당신이 사용할 수있는 번호를 하나의 예방 조치는 당신이 약점을 캡처 할 수있는 이전, 빠르고 저렴 비즈니스에 최소한의 영향으로 그것을 해결하는 것입니다.

미래 지향적인 CISSo를 위한 다음 단계

그렇다면 조직은 위의 체크리스트에 대해 어떻게 요금을 결제했습니까?

CISOs와 CIO는 본질적으로 엔터프라이즈 DevOps 및 DecSecOps 기능을 적극적으로 구축해야 하지만 팀 간에 올바른 도구와 교육을 고려하고 구현할 시간이 없다는 의미는 아닙니다. 안전한 코딩 기술은 "혁신에 방해가 되지 않는 무기"가 될 것이며, 이를 예견하면 회사 평판과 데이터의 절대적인 파괴를 초래할 수 있습니다. 이러한 기술은 중요한 기능과 취약점을 줄이고 위험을 완화하기 위한 훨씬 저렴한 장기 솔루션을 나타냅니다.

훌륭하고 혁신적인 CISO는 위에서 아래로 건강한 보안 문화를 조율 할 수있는 능력을 가지고 있습니다. 직원들이 보안 모범 사례를 효과적으로 실행하는 데 필요한 사항을 확보하도록 합니다.

피터 단히우스는 보안 전문가이자 공동 창립자입니다. Secure Code Warrior .

이 문서의 버전은 원래 디지털 거래 잡지에 게시되었습니다.

올해 PCI 보안 표준 위원회는 PCI 소프트웨어 보안 프레임워크의 일환으로 소프트웨어 보안 가이드라인의 새로운 세트를 발표했습니다. 이 업데이트는 최신 소프트웨어 개발과 함께 소프트웨어 보안 모범 사례를 제공하는 것을 목표로 합니다. 이 과정은 시간이 지남에 따라 어떻게 바뀌었는지 인정하는 환상적인 이니셔티브로, 우리의 삶의 대부분이 급속히 디지털화되기 전에 설정된 보안 표준을 재고해야 합니다.

이는 변화하는 요구사항으로 진화하는 적응형 가이드라인과 안전한 개발 프로세스에서 계속 느슨해질 경우 통제 불능상태가 될 수 있는 사이버 보안 환경의 요구에 더욱 밀접하게 관여하는 업계의 분명한 증거입니다. 당연히 PCI 보안 표준 위원회가 은행 및 금융 업계 내에서 관리 기관 역할을하고 (에서와 같이, 우리는 우리의 모든 돈을 보호하기 위해 신뢰하는 소프트웨어에 대한 보안 표준을 설정, 신용 카드, 온라인 거래 및 판매 시점에서), 그들은 위험을 많이 수행하고 그것을 줄이기 위해 큰 동기를 가지고있다.

이러한 표준은 확실히 이전 버전을 개선하고 또한 전반적인 품질의 일환으로 보안을 우선 순위를 신속하고 혁신적인 기능 개발에 있는 구멍을 연결하는 몇 가지 방법을 이동하지만 assessment 아직 갈 길이 멀다는 것을 알게 된 것은 다소 실망스러운 현실입니다.

아니, 그건 내가이 이니셔티브에 "바, 험버그!"를주는 것이 아니에요. 사실, 이러한 새로운 보안 지침은 단순히 왼쪽으로 충분히 우리를 이동하지 않습니다.

여전히 테스트에 고정되어 있었고 너무 늦게 테스트되었습니다.

PCI 보안 표준 프레임워크에서 발견한 한 가지 눈부신 문제는 테스트에 대한 명백한 의존성입니다. 물론 소프트웨어는 여전히 테스트해야 합니다(SAST/DAST/IAST 프로세스는 여전히 그 자리를 차지하고 있음), 여전히 동일한 함정에 빠지고 다른 결과를 기대하고 있었습니다.

우리가 알고, 사랑하고 신뢰하는 소프트웨어를 만들기 위해 코드 라인 이후에 줄을 쓰는 사람은 누구입니까? 소프트웨어 개발자.

스캔 도구 또는 수동 코드 검토로 이 코드를 테스트할 수 있는 부러운 위치는 누구입니까? AppSec 전문가.

이 전문가들은 무엇을 계속 발견합니까? 수십 년 동안 우리를 괴롭혔던 동일한 버그. SQL 주입, 사이트 간 스크립팅, 세션 관리 약점등 몇 년 동안 수정하는 방법을 알고 있었던 간단한 것들... 그것은이 사람에 대 한 그라운드 호그 데이 처럼. 그들은 개발자가 수년 동안 수정할 수 있는 코드 위반을 찾아 고치는 데 시간을 보냈다.

이것은 부정적인 것이 아닙니다. assessment 어느 팀 중; 개발자와 AppSec 전문가는 모두 해야 할 매우 중요한 일을 가지고 있지만, 그들은 서로의 방식으로 계속 얻을 수 있습니다. 이 상황은 보안 인식이 거의 없는 개발자가 부정적인 보안 문화에서 작동하는 결함이 있는 SDLC만 영속되며, 안전하지 않은 코드를 생성하여 처음 작성된 후 스캔, 평가 및 수정해야 합니다. AppSec은 확인되지 않은 상태로 두면 회사에 재앙을 초래할 수 있는 작은 반복되는 문제에 너무 사로잡혀 있기 때문에 진정으로 복잡한 문제를 해결할 시간이 거의 없습니다.

우리는 테스트가 코드의 보안 약점에 대한 캐치 올이 될 수 있도록하여 시간, 돈 및 자원을 낭비하고 있습니다. 그리고 격일로 대규모 데이터 유출로 이 방법은 분명히 최적으로 작동하지 않습니다. 이러한 새로운 표준은 여전히 최종 제품 상태를 평가하고 있습니다(아마도 모든 개발자가 보안 에 유의하고 있다는 가정하에, 이는 그렇지 않습니다) 이미 구축된 표준입니다. 이것은 결함을 해결하기 위해 가장 비싸고 어려운 단계입니다. 그것은 당신이 이사 같은 날에 어떤 위험을 확인하기 위해 안전 팀을 가지고, 공상, 새로운 집을 구축처럼. 재단에 문제가 있다면, 문제를 해결하기 시작하기 위해 그 지역에 도착하는 시간, 비용 및 완전한 두통을 상상해보십시오. 그것은 종종 쉽고 저렴 단순히 다시 시작 (그리고 첫 번째 버전을 구축 하는 모든 사람에 대 한 완전히 만족 스러운 프로세스).

개발 팀이 보안 모범 사례에 참여하도록 하고, 모든 직장에서 긍정적인 보안 문화를 만들고 유지하는 것 외에도 효율적으로 코딩할 수 있는 지식으로 역량을 강화함으로써 처음부터 노력해야 합니다.

그것은 학습 곡선인가? 지옥 그래, 그렇습니다. 불가능합니까? 확실히. 그리고 지루한 드루거일 필요는 없습니다. 캐피탈 원에서 Russ Wolfes 경험이 어떤 징후라면 개발자의 창의적이고 문제 해결 특성에 직접 호소하는 교육 방법은 이미 은행 및 금융 분야에서 엄청난 성공을 거두었습니다.

여전히 완벽한 "최종 상태"를 찾고 있었습니다.

업데이트된 PCI 보안 표준을 원하는 컨텍스트에서 살펴보면 완료된 사용자 지원 금융 상품은 최적의 보안 및 안전을 위해 이러한 모범 사례를 따라야 하므로 절대적으로 괜찮습니다. 그러나, 내 관점에서, 모든 단일 회사 - 금융 또는 그렇지 않으면 - 단지 그들이 한 걸음 뒤로 했다 고 사이클의 처음부터이 작업을 수행하는 것이 훨씬 더 효율적이다는 것을 깨달았다, 기능 품질과 보안의 높은 기준모두를 대표하는 소프트웨어 최종 상태에 도달의 가장 좋은 기회를 가질 것이다.

그 완벽한 엔드 스테이트? 알다시피, 제품을 스캔하고 수동으로 검토하고 완벽하고 오류가없는 경우 발생하는 제품? 우리는 여전히 그것을 찾고 있습니다. 이 시점에서, 그것은 유니콘입니다.

왜 그렇게 애매합니까? 다음과 같은 여러 가지 요인이 있습니다.

• 스캐닝 도구는 의존하지만 항상 효과적인 것은 아닙니다. 거짓 긍정은 DAST / SAST / PCI 스캔이 코드 베이스의 가능한 모든 취약점을 식별하고 공개 할 수 없다는 사실과 마찬가지로 사용의 실망스러운 시간 낭비 부산물입니다. 물론, 그들은 당신에게 모든 명확한 줄 수 있습니다,하지만 그들은 정말 모든 것을 찾고 있습니까? 공격자는 보호대상이라고 생각되는 것에 액세스하려면 하나의 취약점만 있으면 됩니다.
• 개발자는 계속해서 동일한 실수를 저지르고 있습니다. 보안에 대한 개발자 간의 지식 분포가 없으며 잘 알려져 있고 문서화된 "보안 코드 레시피"(좋은 보안 코드 패턴)가 없습니다.
• 협력적이고 긍정적인 보안 문화를 구축하는 데 중점을 두지 않습니다.
• 개발자는 창의적인 프로세스와 민첩한 개발 방법론을 방해하지 않고 고객이 작성한 제품에 보안을 구울 수 있는 올바른 도구를 제공해야 합니다.

이러한 지침은 소프트웨어가 준수해야 하는 보안 표준에 대한 강력한 검증 체크리스트이지만 해당 상태로 소프트웨어를 제공하는 가장 좋은 프로세스는 논쟁의 여지가 있습니다.

우리는 스캐너가 부족하기 때문에 안전하지 않은 소프트웨어가 없으며 개발자가 사용하기 쉽고 이해하기 쉬운 보안 도구가 제공되지 않기 때문에 안전하지 않은 소프트웨어가 있습니다.

우리는 지금 진화의 시대에 있습니다. 일반적으로 소프트웨어 보안은 수년 동안 선택 사항이었습니다. 오늘날, 그것은 본질적으로 필수입니다 - 특히 민감한 정보 (금융, 의료, 사회 보장)의 수호자 ... 당신은 아이디어를 얻을).

PCI 보안 표준 위원회는 벤치 마크를 설정하는 데 도움이, 하지만 난 그들을보고 싶어요 - 모든 업계의 존경과 영향 - 개발자를위한 실용적인 지침을 포함하는 쪽으로 작업, 적절하고 긍정적 인 교육 및 도구에 중점을. 현재 조직은 개발 팀이 보안 에 대해 인식하고 준수하도록 보장해야 한다는 압박감이 없으며, 많은 개발자가 해를 끼치려는 팀에 의해 악용될 때 작고 쉽게 고정된 실수의 규모를 이해하지 못합니다.

인생에서 가치있는 어떤 것으로 예상되는 것처럼, 정말 진정으로 변화를 제정하는 마을을 않습니다. 그리고 공기의 변화는 (희망) 왼쪽에더 우리 모두를 휩쓸 것입니다 .

2019년에 는 1959년에 발명된 컴퓨터 언어로 작업하는 것에 대해 이야기해야 한다는 것은 거의 코믹한 것처럼 보입니다. 요즘클래식 싱어 재봉틀을 재실링하거나 시보레 파크우드나 승리의 헤럴드에서 오일 팬을 교체하는 예술에 전념하는 세미나나 컨벤션은 그리 많지 않습니다. 이러한 노화 도구의 대부분은 오랫동안 은퇴 한 후 새롭고 더 효율적인 모델로 업그레이드되었습니다. 그러나 다른 산업에 비해 최첨단으로 여겨지는 기술 토지에서 우리는 여전히 같은 시기에 출시 된 COBOL과 같은 언어로 작업하고 있습니다.

물론, 이것에 대한 아주 좋은 이유가 있습니다. 일반적인 비즈니스 지향 언어 (COBOL) 60 세 일 수 있습니다., 하지만 그것은 너무 잘 구성 되었습니다 그것은 여전히 관련 및 광범위 한 사용 오늘.

COBOL은 특정 문장과 구문으로 그룹화된 일반 언어를 사용하여 수학 및 공식 작업을 수행하기 위해 백엔드 시스템을 프로그래밍하는 비교적 간단한 방법으로 만들어졌습니다. 왜 오늘날에 살고 있습니까? 간단히 말해서, 그것은 그 일에 아주 좋습니다. 어떤 의미에서, 그것은 금융 부문과 제조와 같은 다양한 산업의 많은 메인 프레임 및 핵심 시스템에 대한 컴퓨팅 패브릭의 일부가되었다.

특히 2002년 새로운 응용 프로그램을 좀 더 유동적으로 만들기 위해 객체 지향 언어로 전환된 2002년에 는 COBOL에 대한 증분 업데이트가 있었습니다. 그러나 대부분의 경우, COBOL은 오늘날에도 그 당시의 모습입니다: unsung 영웅, 그리고 많은 현대 메인프레임 수준의 응용 프로그램을 뒷받침하기 위해 백 엔드에서 작동하는 프로그래밍 언어의 주력 종류.

COBOL은 얼마나 안전합니까?

불행히도, COBOL이 처음 만들어졌을 때 보안 고려 방법은 별로 없었습니다. 예를 들어, 많은 COBOL 응용 프로그램에는 암호를 보호하는 암호 프로그램이 있지만 균열을 방지하기 위해 무차별 암호 방지와 같은 것에 대해 거의 강화되지 않습니다. 네트워크 트래픽을 모니터링하는 많은 최신 보안 도구가 COBOL과 같은 비즈니스 언어로 작성된 프로그램 내에서 발생하는 기능을 처리하거나 평가하는 방법을 모르고 실제로 문제가 발생하기를 기다리는 사실과 결합합니다. 고전적인 컴퓨터 언어를 실행하는 시스템에 대한 보안 감독의 부족으로 인해 많은 현대 위반이 성공했습니다. 2015년, 400만 명 이상의 미국 연방 직원의 데이터가 해킹당했을 때 드러났으며, 이러한 고풍스러운 시스템에 대한 현대적 보안 조치를 구현할 수 없다는 이유로 코볼 사용에 대한 비난이 떨어졌습니다.

몇 년 전, 보안은 코볼과 당시의 다른 뜨거운 언어를 알고 프로그래머의 군대에 의해 제공되었다. 1960년대에 코볼은 요즘 자바나 .Net과 같았고, 그것에 대해 아는 사람들은 부서의 록스타였습니다. 2019년 현재, 그 사람들은 그들이 보호한 시스템이 없었음에도 불구하고 은퇴 한 지 오래되었을 것입니다.

코볼스 최전선 방어 확장

이른바 그레이비어드 중 상당수가 이전에 작업했던 것과 동일한 메인프레임을 방어하기 위해 계약업체로 조직으로 돌아왔습니다. 몇 개 이상의 장소에서, 그들은 이상한의 비트로 존재 : 사무실의 일부 뒷모서리에 노화 마법사의 비밀 카발, 자신의 이상한 드레스 (넓은 넥타이와 세 조각 정장) 이상한 정중 매너리즘은 스키니 청바지와 만두를 스포츠 모든 현대 힙스터에 꽤 적합하지 않습니다. 그러나 COBOL 및 기타 고대 언어에서 코드를 슬링하는 현대 프로그래머가 거의 없기 때문에 절대적으로 필요했습니다. 슬프게도, 이 마지막 마법사 파수꾼조차도 사라지고, 마침내 유령을 포기하고 보카 라톤으로 이사하고, 진정한 은퇴를 즐기고 있습니다.

따라서 오래된 언어를 이해하는 사람과 포함된 보안 취약점이 절실히 필요합니다. 젊은 사람들이 고전적인 언어로 코드를 작성하는 방법을 모르는 경우에도, 그들은 적어도 그들이 어떻게 작동하는지 와 잠재적 인 취약점을 이해해야합니다. COBOL 개발은 상대적으로 정적 상태였지만 네트워크에 대한 위협은 계속 진화하고 있기 때문입니다. 앞서 언급한 COBOL 암호 응용 프로그램과 같이 60 년 전에 프로그래밍 된 고대 사이버 보안 기술을 사용하여 현대 공격자에 대한 메인 프레임을 방어하려는 것은 할리우드 에스크 기적이 부족한 우주 해병대의 소대에 맞서 싸우기 위해 스피어맨의 지골을 배치하는 것과 유사합니다.

오래되든 새와 상관없이 보안이 유지되어야 합니다.

그렇기 때문에 우리는 프로그래밍 언어와 프레임워크의 광범위한 영역을 포괄하는 고급 교육 시스템의 중요성을 믿습니다. 많은 보안 교육 옵션의 눈부신 문제 중 하나는 정보가 단순히 너무 일반적이거나 더 나쁘다는 것입니다 - 개발자가 참여하는 일상적인 작업에서 완전히 관련이 없다는 것입니다. Java에만 적용되는 취약점에 대해 반나절 동안 학습하는 것은 COBOL 개발자가 시스템을 강화하는 데 도움이 되지 않으며 필수 과정이 완료되면 잊어버릴 수 있는 "보안'이라는 개념을 영속시합니다. Java 보안 버그에서 누군가를 교육하는 것이 Java Spring 개발자에게 항상 적용되는 것은 아니라고 추가할 수 있습니다. 보안 코딩은 프레임워크 수준까지도 모든 언어에서 간단하게 다릅니다.

모든 개발자가 보안 슈퍼 히어로가 될 수 있도록 하는 우리의 사명에서, 우리는 가장 타겟팅되고 중요한 시설의 일부에서 여전히 사용 중인 유효한 컴퓨터 언어를 간과하지 않을 것입니다. 우리의 플랫폼을 탐험, 당신은 현대찾을 수 있습니다, COBOL에 관한 교육은 오늘날 사용할 수있는 가장 현대적인 프로그래밍 도구의 일부와 함께 제공, 구글 골랑처럼. 이러한 유연성을 통해 교육은 개인 및 컨텍스트와 관련이 있으며 업무 환경을 모방하여 최대의 참여와 효율성을 보장합니다. 결국, 강력한 보안 문화를 구축하는 것은 사이버 위협과의 싸움에서 가장 중요하므로 교육은 실용적이어야합니다 (물론 재미!).

우리는 노후화된 언어를 실행하는 시스템이나 가장 현대적인 모빌리티 앱에 대해 보안 위협이 이루어지는지 여부에 관계없이 업계가 중요하지 않은 단계에 도착하기를 바랍니다. 우리는 모든 개발자가 이러한 취약점, 공격자가 악용하는 데 사용하는 도구 및 기술과 차가운 것을 막는 방법에 대한 최상의 정보로 무장하기를 원합니다. 우리는 사이버 보안 위협에 직면하여 결코 항복하거나 포기하지 않을 것입니다. 얼마나 현대적이든 얼마나 오래 전에 위협이나 취약점이 만들어졌는지에 관계없이 언제든지 Secure Code Warrior 그들을 물리 칠 하는 방법을 배울 려면, 매번.

PS : 고대 언어가 SQL 주입에 대한 감수성을 탈출한다고 생각하십니까? 다시 생각해 보십시오. 지금 COBOL에서 하나를 찾아 고칠 수 있는지 확인하십시오.

원래 정보 시대에게시. 이것은 윈드 리버 시스템 주변의 위치 지정을 수정하는 업데이트 된 버전입니다.

영국의 화웨이 사이버 보안 평가 센터의 최근 보고서는 화웨이의 소프트웨어 엔지니어링 프로세스 내에서 주요 보안 문제를 확인했습니다. 이 중요한 보고서에 대한 뉴스의 대부분은 전년도의 해결되지 않은 문제에 초점을 맞추고 있지만, 더 위험하고 간과 문제는 화웨이에 의해 사용되는 보안 코딩 지침과 관행의 명확한 부족이다. 그러나 그것은 해결할 수있는 문제입니다.

중국 통신 거대 화웨이의 소식은 점점 더 악화되고 있습니다. 미국은 미래의 정부 업무에서 회사를 완전히 금지했지만, 영국은 화웨이의 장치와 코드의 많은 근본적인 결함이 고칠 수 있다는 사실을 더 받아들이고 있습니다. 영국은 2010년 화웨이 제품의 보안 문제를 평가하고 해결하기 위해 화웨이 사이버 보안 평가 센터(HCSEC)를 설립하고 이에 대한 연례 보고서를 작성했습니다. 그러나, 올해 보고서는 특히 저주했다.

뉴스의 2019 HCSEC 보고서에 초점의 대부분은 전년도의 거의 보안 결함이 해결되지 않은 사실과 관련이있다. 여기에는 윈드 리버의 이전 버전의 VxWorks 실시간 운영 체제를 사용하여 곧 수명이 다될 것입니다. Huawei는 이러한 문제를 해결하겠다고 약속했지만 (그리고 윈드 리버 시스템즈로부터 지속적인 지원을 받을 것)이지만 영국의 통신 인프라 의 상당 부분의 핵심 구성 요소로 남아 있습니다.

대부분의 주류 언론이 간과한 것으로 보이는 중요한 요소는 회사의 새로운 소프트웨어 및 하드웨어 개발 및 배포 에 존재하는 근본적으로 깨진 프로세스가 될 수 있는 것에 해당합니다. 보고서는 화웨이가 내부 엔지니어링 방법을 처리하는 방식에 대해 "중요한 기술적 문제"라고 지적했다.

보고서에 설명된 기술 적 문제의 몇 가지 예를 살펴보겠습니다. Huawei가 한 가장 좋은 일 중 하나는 엔지니어와 프로그래머가 새로운 코드를 배포할 수 있도록 안전한 코딩 지침을 만드는 것이었습니다. 이러한 지침은 신뢰할 수 있는 라이브러리의 알려진 안전한 버전의 시스템 기능 및 프로세스를 사용하는 것과 같이 알려진 취약점이 있는 변형이 아닌 광범위한 모범 사례를 다룹니다. 그것은 이론적으로 좋은 일이지만, 영국의 화웨이 생산 시스템의 실제 평가는 이러한 지침이 프로그래머에게 전달되지 않았거나, 그들에 의해 무시되거나 단순히 시행되지 않는다는 것을 발견했습니다.

보고서는 공개 응용 프로그램 내에서 특정 메모리 처리 기능을 살펴보았는데, 이 경우 사용자가 프로그램의 함수로 초대된 메시지 보드 집합이 입력을 추가했습니다. 사용자 입력 영역을 "신뢰할 수 있는" 것으로 취급해서는 안 된다는 점을 감안할 때, Huawei 내부 지침에 따라 해당 영역에는 보안 코드만 포함될 것으로 예상되었습니다. 특히 테스터는 1988년부터 버퍼 오버플로와 같은 심각한 보안 문제로 인해 발생할 수 있는 것으로 알려진 생산 시스템 내에서 메모리 처리 기능 memcpy(), strcpy() 및 스프린트(sprintf)를 직접 호출하는 것을 살펴보았습니다.

놀랍게도, 알려진 17개의 안전한 memcpy() 기능의 5,000건의 직접 호출이 있었지만, 12개의 안전하지 않은 변종의 600가지 사용도 있었습니다. 그것은 다른 함수와 거의 동일한 비율이었다. 1,400개의 안전한 strcpy() 호출이 있었지만 알려진 취약점이 있는 400개의 나쁜 작업도 있었습니다. 그리고 2,000개의 안전한 스프린트 사용()이 200개의 안전하지 않은 것과 비교하여 발견되었습니다. 이러한 함수의 사용 대부분이 안전하다는 것은 좋지만 전체 코드의 약 20%가 알려진 공격에 취약합니다. 이는 거대한 위협 표면 공격 영역이며 기능 포인터를 통해 간접적으로 사용하는 인스턴스가 아니라 세 가지 메모리 처리 함수를 직접 호출하는 것만 고려합니다. 감사원은 이러한 특정 기능만 보았지만 선택한 세 가지 메모리 처리 함수가 문제가 있는 유일한 함수는 거의 없습니다.

Huawei가 프로그래머를 위한 모범 사례 가이드를 만든 것은 좋지만 더 많은 작업을 수행해야 한다는 것은 분명합니다. 보안 기대치를 설명하는 한 단계이지만 이러한 지침을 적극적으로 따르고 개발 코호트에 익숙한 경우에만 효과적입니다. Huawei는 프로그래머를 효과적으로 교육하기 위해 노력함으로써 보안을 개선하는 데 상당한 진전을 이룰 수 있으며 내부 화웨이 지침을 따르는 방법에 대한 기본 을 건너 뛰는 것이 아닙니다. 일반적으로 보다 안전하게 코딩하는 방법을 입증하는 데 추가적인 도약을 해야 합니다. 코더는 좋은 (보안) 및 나쁜 (안전하지 않은) 코딩 패턴에 충분히 훈련되어야하며 회사가 설교하는 것을 연습 할 책임이 있습니다.

HCSEC 보고서에 설명된 많은 특정 코딩 문제가 해결되고 적용됩니다. Secure Code Warrior 프로그래머와 사이버 보안 팀이 항상 보안 코드를 배포하고 유지 관리하도록 훈련하는 플랫폼입니다. 사용자 입력을 신뢰하지 않고, 항상 기존 라이브러리에서 기능을 가져오고, 모든 입력을 서버로 전달하기 전에 모든 입력을 삭제하고, 다른 많은 안전 코딩 관행과 같은 개념은 플랫폼 내에서 지속적으로 입증됩니다. 또한 매우 구체적인 취약점과 쇼를 단계별로 살펴보고 이를 방지하고 완화하는 방법을 살펴봅니다.

숙련된 교육 외에도 화웨이와 같은 기업들은 DevSecOps 솔루션을 활용할 수 있습니다.  IDE에서 직접 실시간 코칭을 추가하여 회사의 보안 지침에 맞게 사용자 정의 된 보안 코딩 레시피를 활용하여 코드를 작성할 때 "주방"이라는 코딩에서 개발자의 수 셰프 역할을합니다. 이러한 접근 방식은 모든 기술 수준의 화웨이 프로그래머가 더 나은 코드를 작성하고 잠재적인 취약점을 인식하는 동시에 화웨이의 보안 전문가가 정책을 준수하고 명령을 실행하는 데 도움이되는 "요리 책'을 만들 수 있도록 도울 수 있습니다.

Huawei의 문제에서 핵심 교훈은 프로그래머가 그들에 대해 알지 못하거나 단순히 좋은 코딩 관행을 따르는 방법을 모르는 경우 보안 코딩 지침을 만드는 것은 의미가 없다는 것입니다. 이 경우 내부 모범 사례 지침은 화웨이의 zhilaohu로 밝혀졌습니다. 서방이"종이 호랑이"라고부르는 것. 그것은 스타일이 많은 문서였지만 물질은 없었습니다. 실제 치아를 제공하려면 올바른 실용적인 도구와 실제 교육 프로그램이 필요하며, 이는 실습 적인 접근 방식을 취하고 지속적인 지식과 기술을 구축합니다.