AppSec 전문가로서 경력을 쌓으면서 업계에서 가장 놀라운 재능을 만나고 네트워크를 맺은 것은 운이 좋았으며, 각 인재들은 세계에서 끊임없이 증가하는 코드 웹을 확보하고 강화하는 데 도움을 주었습니다. 내 여행의이 단계에서 (조금 더 많은 지식과 훨씬 적은 머리!), 나는 종종 소프트웨어 보안의 미래 별에 이야기하도록 요청받고, 그것은 내가 사랑하는 공연이다. 그러나 저는 또한 높이 서서 자신의 역할로 성장하고자 하는 사람들에게 지도자이자 멘토로서 보이는 것이 얼마나 중요한지 잘 알고 있습니다.

최근에, 나는 런던에 있었고, 그 중 일부는 Secure Code Warrior 팀과 우리는 네트워킹, 통찰력 및 패스트리 한두 가지를 위해 AppSec 슈퍼 스타의 소수를 함께 얻기위한 목적으로 브런치 이벤트를 개최했습니다. 60명 이상의 초청자 들 앞에서 그들은 전문가 패널의 일원으로 풍부한 전문 지식을 부여하여 모든 사람들이 응용 프로그램 보안의 미래에 대해 흥분시켰습니다.

조직의 AppSec 예산을 최대한 활용할 수 있는 방법과 청중의 여러 곱슬한 질문과 같은 핫 버튼 문제를 해결한 패널은 의심할 여지 없이 보안 관리자, 전문가 및 개발자가 조직 내에서 실행 가능한 프로그램을 구축하는 데 도움이 되는 실제 아침 마법을 전달했습니다.

우리는 패널, 도구 대 다음 지도자를 호스팅 할 수있는 특권을 누렸다. 사람: AppSec 예산이 둘 다 적절히 다루고 있습니까?

• 빈센트 길버트, CISO, 소시에테 제네럴
• C̩dric 레비 B̩ncheton, 세토메 CEO
• Reena Shah, 보안 및 개인 정보 보호 문화 및 인식 책임자, M&G 프루덴셜
• 리 서로우, 글로벌 AppSec 디렉터, 피어슨
• 루이스 브람핏, 브람핏 랩전무 이사.

각 스피커는 AppSec 도구 풍경에 대한 자신의 생각을 공유 (스포일러 : 많은 조직이 너무 많은 소프트웨어를 생성, 그것은 당신이 필요로하는 모든 기능을 수행하는 지뢰밭 선택 도구가 될 수 있습니다. 결국, 어떤 단수 도구도 모두 커버 할 수 없습니다).

레나 샤도 흥미로운 포인트를 만들었다. 불과 몇 년 만에 대규모 조직 내에서 AppSec에 대한 인식이 긍정적으로 변화하여 중요한 요소가 구체화되기 시작할 수 있습니다 - 보안 모범 사례 및 문화를 유지하기 위한 사람들에 대한 투자:

"변화하고 있는 것 같아요. 4년 전에 이 것을 시작했을 때, 보안 문화와 인식에 관한 예산과 팀을 얻으려고 노력하는 것은 정말 어려웠습니다. 그리고 지금 내가 찾고있는 것은 더 이상 내 도전이 아니라는 것입니다. "이것은 내가 필요로하는 예산이며, 위험을 줄이기 위해 필요한 사람들입니다. 나는 엄청난 변화를 보고 있으며, 이사회와 C-Suite가 보안 사고를 줄이는 데 자금을 제공하는 것이 얼마나 중요한지 이해하고 있기 때문이라고 생각합니다." 그녀는 말했다.

지금 전체 패널을 볼 수 있습니다.

나를 위해, 그것은 매우 상쾌 AppSec의 미래를 참조 하는 오른쪽 교육 및 최전선에 개발자에 대 한 지식에 중점을 통합, 그들은 여전히 그들의 추한 머리를 후면 오래 된 취약점에 대 한 견고한 방어를 형성 할 수 있도록.

도구는 한 단계의 지원을 제공하지만 실제로는 사실에 직면할 때입니다. 우리는 단순히 같은 실수를 반복 중지해야합니다.

AppSec 오류 루프 닫기

AppSec 브런치의 리더의 일환으로, 나는 또한 우리가 반복해서 나타나는 동일한 보안 취약점의 비용이 많이 드는 지속적인 문제를 해결할 수있는 방법에 대한 프리젠 테이션을 제공했다. 도구는 찾을 수 있지만 이를 방지하기 위해 많은 일을 하지 는 않습니다. 개발자는 처음부터 소개를 중지할 수 있는 적절한 교육을 받아야 합니다.

그리고, 잘, 우리 개발자는 재미있는 무리입니다. 일부 교육은 참여와 유지에 관해서 다른 사람보다 훨씬 더 효과적이다. 여기에서 전체 프레젠테이션을 볼 수 있습니다.

보안 교육뿐만아니라 개발자와 AppSec 간의 긍정적 인 문화는 공격자에게 크립토나이트와 같습니다. 이러한 작은 백도어 개구부는 닫히고, 데이터를 쉽게 건조시킬 수 있는 방법, 보안 슈퍼 히어로들이 협력하여 소프트웨어 품질과 동의어로 보안을 강화하고 있습니다.

천천히, 하지만 확실히, 우리는 거기에 도착하고있다.

보안 업계의 많은 사람들처럼, 저와 몇몇 동료들은 3월에 샌프란시스코에서 열린 RSA 컨퍼런스에 참석했습니다. 일년 중 매우 바쁜 시기이지만, 정말 제가 가장 좋아하는 이벤트 중 하나입니다. 제가 특별히 기대하는 한 부분은 민트에서버그크라우드의 신체 상해로, 긴 컨퍼런스 일 후에 동료들과 친구들과 즐거운 시간을 보낼 수 있는 기회입니다.

하지만 올해는 조금 달랐습니다. 우리는 개인적으로 축하할 것이 많았습니다. 이벤트의 후원자로서, 우리는 밤에 우리 자신의 칵테일을 했다 (보안 코드 Sangria, 물론), 하지만 정말 내가 파티를 원하는 것은 Bugcrowd와우리의 새로운 파트너십이었다. 그것은 공식: 우리는 교육, 권한 부여 및 보안 코딩에 개발자를 계몽하기 위해 싸움에 힘을 합치고 있다.

나는이 발표, 특히 ITSPmagazine의기사와 팟 캐스트 에피소드에 대해 더 넓은 업계에서 표현 된 열정을 즐기고 감사했다. 버그크라우드의 케이시 엘리스와 제이슨 하딕스에게 말하면서, 편집자 숀 마틴은 우리가 하는 일의 본질을 진정으로 포착했습니다: 의미 있는 변화가 군중을 사로잡기 때문입니다. Bugcrowd는 오랫동안 이를 인식하고 있으며, 전 세계의 소프트웨어 엔지니어를 보안 슈퍼 히어로로 바꾸기 위해 함께 노력하는 것이 꿈입니다.

20년이 넘는 세월 동안 세상을 혼란에 빠뜨리고 취약점을 발견하고 해결한 후, 보안에 관한 대화가 바뀌어야 한다는 것이 그 어느 때보다 분명해졌습니다. "해커가 항상 나쁜 사람은 아닙니다. 그들의 고유 한 기술은 소프트웨어 강화 과정에서 매우 중요하며, 우리는 왼쪽으로 시작하기위해 공동의 노력을해야합니다. 언젠가 시도해 볼 수 있는 새로운 개념이 되어서는 안 되며, 소프트웨어 개발 수명 주기의 핵심이어야 합니다. 이를 위해 당사와 Bugcrowd는 많은 개발자가 보안에 대한 인식을 바꾸기 위해 최선을 다하고 있습니다: 이는 기능 및 기능을 구축하는 데 불편한 차단제라는 것입니다.

현재까지 보안 교육이 부적절했습니다. 너무 드물거나 일상적인 코딩 활동과 관련이 없거나 단순히 개발자의 마음과 마음을 참여시키지 않는 경우가 많습니다. Secure Code Warrior 보안 코딩에 대해 배우는 것이 재미있을 수 있으며 Bugcrowd의 지원으로 이 메시지는 우리가 너무 많이 신경쓰는 커뮤니티에서 널리 퍼질 수 있으며 격려하고자 합니다.

궁극적으로 소프트웨어 보안이 소프트웨어 품질과 동의어인 지점에 도달해야 합니다. 요즘에는 그렇지 않으면 제안하기에는 너무 많은 위험이 있습니다. 그리고 이 파트너십을 통해 개발자들이 실제로 안전한 개발에 대해 흥분할 수 있다고 생각합니다. 보안 인식과 긍정적인 문화의 번성환경이 핵심이며, 다른 회사가 우리를 더 완벽하게 볼 수 있을 거라고는 생각하지 못했습니다.

이 공간을 시청하세요: 보안 대화가 왼쪽으로 극적으로 이동하려고 합니다.

... 제3자에서 리포지토리에 액세스할 수 있는 권한이 있는 사용자 중 한 명의 경우 올바른 사용자 이름과 암호를 사용하여 리포지토리에 액세스했습니다. 다른 git 호스팅 서비스가 유사한 공격을 받고 있기 때문에 이러한 자격 증명이 다른 서비스를 통해 유출되었을 수 있다고 생각합니다.

웹 기반 서비스의 사용자로서 개인 데이터의 잠재적 침해에 대한 이메일을 받는 것은 결코 좋은 경험이 없습니다. 이제 데이터가 당신의 노력이나 소프트웨어의 영업 비밀을 나타내는 코드 리포지토리라고 상상해보십시오. 적어도 392 (지금까지) GitHub, 비트 버킷과 GitLab 사용자는 이번 주에 그 심장 정지 알림을받은, 그리고 더 많은 - 그들의 코드는 공격자에 의해 다운로드되었습니다, 리포지토리에서 닦아 몸값을 개최. 영향을 받는 사용자의 파일이 모두 사라지면 이 메시지가 포함된 텍스트 파일 은 하나뿐입니다.

대부분의 다른 뉴스 가치가 있는 회사 위반(그리고 GitHub에 대한 이전 공격과 달리)과는 달리 이 위반은 플랫폼에서 버그로 인한 것이 아닙니다. 오히려 계정 정보는 일반 텍스트에 안전하지 않게 저장되었으며 타사 리포지토리 관리 서비스에서 유출되었을 가능성이 큽분입니다. 개발자는 중요한 암호를 잘못 저장하고 여러 고부가가치 계정에 대해 동일한 자격 증명을 재사용하는 경우가 많았습니다.

그것은 사기가 프로그래밍 세계의 최고와 밝은 되지 않습니다 나타납니다., (쓰기의 시간에) 단일 사용자가 그들의 코드를 복구 하기 위해 몸값을 지불 했다, 그리고 일부 영리한 보안 지향 사람들 이미 삭제 된 코드를 복구하는 영향을 받는 사용자에 대 한 해결 방법을 발견 했다.

여전히, 이것은 우리가 보안 업계에서 오랫동안 알고 있는 문제를 강조 않습니다: 대부분의 개발자는 단순히 충분히 보안 인식 되지 않습니다., 그리고 중요 한 데이터는 언제 든 지 위험에 있을 수 있습니다... 심지어 천재를 해킹하지 않는 사람들에 의해.

왜 암호 관리가 여전히 그렇게 가난합니까?

인간은 물론 결함이 있으며, 우리는 스스로 삶을 더 쉽게 만들고 싶어하는 경향이 있습니다. 그것은 확실히 훨씬 덜 번거 로움은 반복해서 동일한 사용자 이름과 암호를 다시 사용 하 여, 그리고 첫 번째 강아지의 이름을 기억 하는 것은 입력 보다 훨씬 쉽게 "Z7b3#!q0HwXxv29!' 이메일에 액세스하기만 하면 됩니다. 그러나 대규모 사이버 공격이 지속적으로 이루어지고 있는 개발자들은 지금까지 더 잘 알고 있어야 합니다.

이 문제에 대한 GitHub의 자체 조언은 2 단계 인증이 마련되어 있고 보안 암호 관리자가 사용중이라면 이 몸값 공격이 일어나지 않았을 것이라고 평가하면서 간단했습니다. 이것은 절대적으로 사실이지만, 내가 계속 말했듯이 - 교육이 더 나아가야한다는 것은 분명합니다. 모든 개발자는 근본적인 수준에서 특정 행동이 계정에 공격에 취약해질 수 있는 이유를 이해해야 합니다.

교육: 마법의 알약?

보안에 정통한 코더는 간단한 보안 오구성이 치명적인 결과를 초래할 수 있다는 것을 이해하며,이 GitHub 공격의 경우 잘못 구성된 파일이 공격자가 악의적 인 스키머를 성공적으로 주입하여 성의 열쇠를 사냥할 수 있도록하는 데 중요한 역할을한 것으로 보입니다.

민감한 데이터 노출은 OWASP 상위 10위 안에 여전히 3위를 차지하고 있는 상황에서 극복해야 할 중요한 취약점이기도 합니다. 일반 텍스트에 암호를 저장하는 것은 많은 사람들이 그렇게의 위험을 이해하지 못하고, 무차별 암호 공격을 통해 시스템을 얼마나 쉽게 위반 할 수 있는지의 명확한 증거입니다.

암호화(특히 암호화 저장)를 이해하는 것은 철로 덮인 보안을 사용하여 코드 베이스에서 암호를 관리하는 데 필수적인 구성 요소입니다. 저장된 암호를 성공적으로 소금에 절이고 해시하여 고유성을 강요하면이 몸값 사건과 같은 상황이 훨씬 더 어려워질 것입니다.

보안에 대한 우리의 집단적 태도는 개발자를 위한 적절한 교육을 강조하고 사이버 위협을 심각하게 받아들이는 데 중점을 두고 변화해야 한다는 것을 이해하는 것이 중요합니다. 우리는 보안에 대해 긍정적이고 보람있는 경험을 만들어야하며, 모든 개발자가 자신의 작업을 스스로 평가하는 표준을 전반적으로 높이는 것이 근본적이라고 생각합니다.

여기에서 읽은 취약점을 물리 치고 싶으십니까? 관련 문제를 해결할 수 있습니다. Secure Code Warrior 바로 지금:

• 보안 구성 오류
• 안전하지 않은 암호화 스토리지
• 중요한 데이터 노출

원래 규제 아시아에게시.

사이버 공격이 증가함에 따라 "모든 수직의 모든 유형의 조직에 영향을 미치고" 비용이 많이 들고 당황스럽고 수익에 영향을 미치는 데이터 유출의 위협은 매우 현실적입니다. 문제는 점점 작아지고 있지 않고 종양처럼 성장하고 있습니다.

나는 종종 특정 기교와 숙달과 "사이버 보안 및 AppSec 모범 사례의 와일드 웨스트'를 탐색, 이 문제에 대처하는 조직의 예를 제공하도록 요청받고 있습니다. 나는 다른 사람보다 더 자주 한 답변으로 돌아오고 있습니다 : 그것은 대부분의 것보다 더 잘하고있는 금융 산업입니다.

규제: 금융 업계의 사이버 보안 리더십의 원동력

금융 부문이 AppSec 공간에서 잘 플레이하는 이유 중 하나는 (적어도 부분적으로) 성공적인 사이버 보안 공격이나 데이터 도난으로 인해 발생할 수있는 치명적인 "영향은 말할 것도없고 보편적 인 "글로벌, 지역 및 국가 규제 당국의 우려에 의해 구동된다는 것입니다.

BCBS (은행 감독에 바젤위원회)는 여러 관할권에 걸쳐 관찰 은행, 규제 및 감독 사이버 탄력성 관행의 범위를 자세히 보고서를 12 월에 발표했다. 주요 조사 결과 중에는 사이버 보안 기술 부족 과제였으며, 이는 특정 사이버 인증을 구현하여 소수의 관할권만이 직면한 요인이었습니다.

보고서는 "일부 관할권에는 IT 인력 및 정보 보안 기능의 책임을 다루는 IT 관련 표준을 가지고 있으며, 특히 사이버 보안 인력 교육 및 역량에 주의를 기울이고 있다"고 밝혔다. 그러나 대부분의 관할권은 은행의 사이버 인력 기술과 자원을 모니터링하기 위해 감독 관행을 구현하는 "초기 단계"에 있습니다.

대부분의 경우 규제 제도는 규제 기관이 위험을 관리해야 하지만 이러한 위험을 성공적으로 완화하기위한 명확한 경로는 거의 없습니다. 사이버 보안 인력 기술과 리소스를 해결하기 위한 특정 요구 사항(또는 벤치마크)을 설정하지 않습니다. 대부분의 규제 기관은 현장 검사를 통해 기관의 사이버 보안 인력을 평가합니다. assessment 설문지는 일반적인 관행이며 교육 프로세스는 특히 면밀히 조사되지만 일부 관할권에서만 IT 직원의 역할과 책임을 구체적으로 다루고 있습니다. 간단히 말해서, 오류의 여백은 크고 올바른 교육 및 후속 교육에 중점을 둡트합니다. assessment 기술의 작은.

일본과 한국에서 는 공공 기관이 적절한 사이버 보안 인력 관리에 대한 지침을 설정했습니다. 그러나 대부분의 다른 관할권에서는 사이버 인력 관리에 대한 규제 요구 사항이 감독 기대치로 제한되며, 종종 assessment 규제 기관에서 사이버 보안 기술 및 직원 교육의 감독자에 의해.

홍콩, 싱가포르, 영국만이 사이버 인력 기술과 역량을 인증하기 위한 전용 프레임워크를 발표했습니다. "규정 준수"와 "인증"과 같은 단어는 훌륭한 소프트웨어 기능을 구축하는 임무를 맡은 평균 크리에이티브의 척추아래로 차가운 떨림을 보내는 경향이 있지만 (그들과 함께 보안은 종종 다른 사람의 문제로 간주됩니다, 즉 보안 팀), 많은 규제 기관이 보유하고있는 민감한 데이터의 엄청난 양은 단순히 기술이 제대로 확인되는 것보다 "가정"하는 사람들의 손에 맡기는 것이 너무 중요합니다.

다행히도 많은 은행 및 금융 기관은 반드시 명백한 규제 경로에 의존하지 않고 이를 인식합니다. 이 규정은 확실히 최종 결과 기대 (즉, 보안 소프트웨어)에 대한 개요를 제공하지만, 이를 위해서는 개발자를 교육하고 기존 AppSec 전문가와의 관계를 육성하고 책임과 소유권을 키우는 긍정적 인 보안 문화를 구축하여 사이버 보안 기술 부족을 우회해야 한다는 것을 확인했습니다.

금융 업계는 왜 사이버 보안이 'X-factor'를 가지고 있습니까?

은행, 금융 서비스 및 보험 업계의 기업에는 사이버 보안 환경에서 선도적인 위치를 차지할 수 있는 힘의 기둥으로 작용하는 몇 가지 요소가 있습니다.

당연히, 세계의 재정의 게이트 키퍼로 (매우 민감한 데이터 기록의 수백만은 말할 것도 없고), 그들은 일반적으로 매우 규정 준수 중심및 규제 조직 "업데이트 된 지침, 규정 및 요구 사항은 의미있는 방법으로 계획된다. 그 결과, 그들은 사이버 위험을 완화해야 하는 진화하는 요구와 함께 오리처럼 물을 가져갔고, 가장 엄격한 사이버 보안 모범 사례 정책뿐만 아니라 잠재적 인 공격에 대한 노출을 줄이기위한 종단 간 프로세스를 자랑했습니다.

그렇다면 금융기관은 다른 기관과 는 다르게 무엇을 하고 있을까요? 내 경험에 따르면, 그들은 다른 사람들보다 보안을 더 잘 인식할 수 있는 토대를 마련하여 AppSec 전문가및 침투 테스터뿐만 아니라 (일반적으로 매우 크고 전 세계적으로 흩어져 있는) 개발 팀을 위한 전체적인 교육 프로그램에 자원을 지원하고 헌신할 필요성을 파악했습니다.

대부분의 조직에서 상대적으로 새로운 사이버 보안을 통해 금융 기관은 안전하고 안전한 소프트웨어를 제공하기 위해 진정으로 개방적이고 혁신적이라는 것은 상쾌합니다. 많은 사람들이 개발 코호트를 교실밖으로 나가 문제를 해결하는 데 도움이 되는 실무적이고 관련성 있는 학습 경험으로 발전시키는 이점을 보았습니다.

결국 보안 코딩은 개발자와 AppSec 팀 간의 강력하고 기능적인 관계를 단조하고 비즈니스 내에서 강력한 보안 문화를 유지하는 데 핵심 적인 요소입니다. 성공적인 보안 프로그램을 추진하는 또 다른 핵심 요소는 주요 이해 관계자가 온보드로 보장하고 보안 전문가가 아니더라도 혜택을 보는 것입니다.

금융 기관은 경영진과 잘 소통하는 경향이 있어 최고 수준의 의사 결정자가 보안 프로세스가 "설정되고 잊어 버리는" 조치가 아니라는 것을 이해하도록 합니다. 사용 중인 기술만큼 빠르게 진화하고 가변 위험에 적응해야 합니다.

지금은 시간과 비용이 들 수 있지만 커밋된 코드에서 수정하는 데 30 배 더 많은 비용이 들 수 있지만, 지상에서 교육을 포함하는 잘 구성된 보안 프로그램 "은 보안 인식 개발자가 작성할 때 보안 문제가 해결될 때 훨씬 저렴합니다.

증가하는 위험에 맞춰 보안 표준이 가속화되기 시작했습니다.

금융 산업에 대한 사이버 컴플라이언스의 중요한 동인은 금융 기관이 실행 가능한 보안 정책을 구현하고 모든 분야에서 지침을 준수할 수 있도록 돕는 데 전념하고 있는 PCI 보안 표준 위원회에서비롯됩니다. 그들은 이 수직이 지불 소프트웨어에서 가장 높은 수준의 보안 중 에서 달성하도록 돕는 데 좋은 힘이되었습니다.

그러나 많은 금융 산업 고객이 실제로 현재의 PCI 보안 표준 위원회 지침을 능가했다고 할 수 있습니다. 이 지침은 개발자를 위한 교육을 권장하지만(이전에 설명한 바와 같이 규제 정보의 다른 예와 같이) 교육이 효과적이었음을 나타내기 위해 만날 특정 유형 이나 특정 벤치 마크를 지정하지 않습니다.

SQL 주입 및 교차 사이트 스크립팅(XSS)과 같은 많은 취약점이 20년 이상 걸려 있으며(2019년에 여전히 문제를 일으키고 있음) 모든 교육이 동등하거나 효과적인 것은 아닙니다. 실무, 게임화 된 보안 교육, 은행 및 기타 금융 서비스 회사는 악용될 경우 혼란을 야기 할 수있는 취약점의 훨씬 더 나은 결과와 실제 감소를보고있다.

좋은 예는 미국 은행 기관인 Capital One이 혁신적인 기술 대학 및 인증 시스템의 일환으로 게임화된 교육 기술을 어떻게 활용했는지입니다. 러셀 울프에 따르면, 최근 웨비나에서사이버 보안 및 클라우드 컴퓨팅 교육 이사, 자발적 교육 프로그램 및 코딩 tournaments 전례없는 수요와 동료의 유기적 동기 부여로 인증을 받고 다른 사람을 업스킬링하는 데 도움을 주면서 매우 빠르게 견인력을 얻었습니다.

규제 당국은 사이버 보안 인력을 적절하게 교육할 수 있도록 무엇을 할 수 있습니까?

전 세계의 규제 당국은 우리의 데이터를 보호하는 데 통제할 수 있는 사람들이 충족해야 하는 허용된 교육 방법론과 표준을 요약하여 기존의 사이버 규제 정책 및 지침에 대해 "더 잘 진행할 수 있습니다. 현재 대부분의 규제 정책에서 교육 요구 사항에 대한 일반적인 참조가 있는 것으로 보이지만, 규정 된 교육을 통해 이동하는 사람들이 사이버 위협과의 싸움을 실제로 지원하는 데 필요한 콘텐츠와 기술을 흡수하는 것을 보장하기 위해 후속 조치가 거의 없습니다.

MAS(싱가포르 통화 당국)가 최근 보안 인식 교육 프로그램의 채택과 기술 위험 지침의 최신 반복에서 소프트웨어 개발 모범 사례를 확보하려는 움직임은 고무적입니다. 가이드라인이 발효되면 금융 기관은 소프트웨어 개발자가 소프트웨어를 개발할 때 보안 코딩, 소스 코드 검토 및 AppSec 테스트 표준을 적용하도록 교육을 받을 수 있도록 해야 하며, 이는 버그와 취약점을 최소화하는 데 큰 도움이 됩니다.

저에게 는 개발 코호트를 실습, 실제 기술로 교육하는 것은 지금까지 가장 매력적이고 업무와 관련이 있으며, 모든 조직이 너무 늦기 전에 만들어야 하는 강력한 보안 문화의 토대를 마련하는 것입니다.

원래 DevOps.com에 게시.

사이버 보안에서 우리는 종종 사냥꾼과 같습니다. 우리의 눈은 수평선에 단단히 붙어, 다음 브레이크 아웃 취약점을 스캔 (그것을 막을 수있는 올바른 디자인 도구, 기술 및 전술과 함께). 그러나 이러한 미래 지향적 인 초점은 전체 보안 인식을 약화시키고 주변에 존재하는 깊은 위험에 눈을 멀게하고 공격자가 모두 악용하기에 너무 행복할 수있는 놀라운 효과를 가져올 수 있습니다.

저는 종종 현대 사이버 보안을 케블라 갑옷과 비교합니다. 케블라의 미묘한 특성은 고속 탄환과 모든 종류의 현대적이고 강력한 무기를 차단할 수 있습니다. 심지어 착용자가 다소 무적의 느낌을 만들 수 있습니다. 그러나, 비교적 고대 활과 화살 무기 시스템, 처음 약 1000 B.C., 종종 그 보호를 관통 할 수 있습니다. 바위 뒤에서 세계에서 두 번째로 오래된 무기인 날카로운 칼은 케블라가 면 스웨트셔츠를 파쇄하는 것처럼 쉽게 슬라이스할 수 있습니다. 그리고 케블라의 작은 문제는 인간의 신체의 모든 단일 밀리미터를 보호 할 수 없습니다. 공격자가 피해를 입힐 수 있는 틈새를 찾을 수 있다면 소프트웨어에서 작고 악용 가능한 영역과 비슷합니다.

사이버 보안에서 많은 조직은 8세 또는 10세 시스템의 결함에 유사하게 취약하며, 현대 컴퓨팅 용어로 는 골드 시계와 연금을 받을 자격이 있습니다. 그러나 이러한 노인 시스템에 결함이 무해하다고 생각한다면 미래에 한두 번의 죽음의 파란색 화면이 있을 것입니다.

베테랑에 대한 취약점

가장 오래되고 가장 많이 사용되는 JavaScript 라이브러리 중 하나는 이벤트 처리에서 DOM 트리 트래버스 및 조작, 애니메이션 생성에 이르기까지 모든 것을 지원하는 오픈 소스 리소스인 jQuery입니다. 그것은 꽤 주력, 그리고 몇 년 동안 사용 되었습니다. 사람들은 이 시점에서 라이브러리가 너무 확립되어 있으므로 취약점이 제거된 채 완전히 심사되어야 한다고 가정합니다.

슬프게도, 이것은 사실이 아닙니다. 기본적으로 jQuery에 의존하는 대부분의 응용 프로그램은 내부 라이브러리의 인증 지침을 사용합니다. 예를 들어 아파치 서버에서는 .htaccess 파일을 확인하는 것을 의미합니다. 아파치 서버 업데이트에 .htaccess가 포함되어 있는지 확인하기 위해 확인하려는 Pache를 사용하는 프로그램을 디자인하는 개발자는 거의 없습니다. 어쨌든 아파치는 수년 동안 보안의 기반이 되어 온 중요한 구성 요소를 제거한 이유는 무엇입니까?

이상하게 보일 수 있듯이, 아파치가 버전 2.3.9에서 했던 것과 정확히 같습니다. 분명히, 프로그램을 실행하는 데 필요한 때마다 .htaccess 구성 파일을 확인하는 데 너무 많은 일을 둔화했다. 제거하면 전반적인 아파치 성능이 향상되었지만 대부분의 사람들이 알지 못하는 취약점도 발생했습니다. 개발자가 앱이 여전히 .htaccess 파일에 도달 할 수 있는지 확인하는 것을 귀찮게하지 않으면 대부분의 요청은 면밀한 조사없이 허용됩니다.

최근 전문가들은 결함을 발견하고 이를 사용하면 권한이 없는 사용자가 쉘 또는 거의 모든 유형의 코드를 안전한 시스템에서 업로드하고 실행할 수 있다고 지적했습니다. 이로 인해 10월에 CVE-2018-9206으로 지정된 취약점 경보가 생성되었습니다. 그러나 보안 연구원이 결함을 발견 할 수있는 용이성은 전문 해커가 이와 같은 취약점을 검색하는 것이 유일한 목표임을 의미합니다. 결국, 홍보에도 불구하고, 패치와 여파에 초래 된 수정, 비슷한 높은 영향 공격은 몇 주 후 일어났다, 있는 비트 코인 도둑 악성 코드는 매주 수백만에 의해 다운로드 인기있는 NPM lib에 해방되었다.

집사 않았다

jQuery와 마찬가지로 젠킨스는 오픈 소스 제공이며, 그 종류의 가장 인기있는 중 하나입니다. 도움이 되는 하인과 같은 이름으로 Jenkins는 많은 업계의 개발 팀이 자동화 서버로 사용하는 것이 합리적입니다. 젠킨스가 제대로 작동 할 때, 그것은 매우 유용한 도구입니다. 그러나 새로 발견 된 결함, 그리고 하나는 최근에 대규모 정말 대규모 암호화 마이닝 작업을 발견, 젠킨스는 또한 나쁜 사람을 위해 많은 일을하고 있음을 시사.

가장 위험한 젠킨스 취약점 중 하나는 CVE-2017-1000353으로 지정된 Java 직렬화라고 합니다. 그것은 복잡한 공격이지만, 잠시 동안 주변에 있었던 공격입니다. 공격자는 두 개의 요청을 제출해야 합니다. 첫 번째 채널은 처음에 서버에서 거부되는 다운로드를 위한 양방향 채널을 시작합니다. 그러나 두 번째 요청에서는 공격자가 원하는 명령이 포함된 페이로드가 포함된 업로드 채널을 추가하고 페이로드.jar 스크립트를 활용합니다. 두 번째 요청이 전송되면 패치되지 않은 Jenkins 서버에서 통신이 허용됩니다.

패치된 서버에서도 악용이 존재합니다. 예를 들어 Windows 환경에서 Jenkins를 실행할 때 기본적으로 NT AUTHORITY\SYSTEM 계정을 사용하여 사용자에게 권한을 부여합니다. SYSTEM에 Windows 서버에 대한 전체 권한이 부여되므로 위험합니다. 개발자는 권한 계정을 변경할 수 있지만 종종 그렇지 않습니다. 젠킨스가 영원히 주변에 있었다는 사실에 근거하지 않는 그들의 논리는, 그래서 사람들은 어떤 취약점이 오래 전에 패치 된 것으로 파악.

가장 최근에 는 해커가 이러한 노화 젠킨스 취약점을 사용하여 여러 서버를 손상시지정했습니다. 목표는 그들이 찾을 수있는 모든 취약한 젠킨스 인스턴스에 암호 광부 프로그램을 추가하는 것이었습니다. 광부들은 암호화폐에 대한 끊임없는 검색에서 귀중한 컴퓨팅 리소스를 확보했습니다. 지금까지, 그들은 약 발견 10,800 Monero 암호화 동전, 거의의 가치 $3.5 백만.

오래된 것은 다시 새로운 것입니다

이 두 예에서 많은 사람들이 안전하다고 생각하는 플랫폼에서 기회 공격자에 의해 취약점이 악용되고 있습니다. 방어 측면에서, 보안 인식 개발의 부족은 이러한 해커가 오래된 트릭에 새로운 생명을 호흡 할 수 있도록. 그리고 노후화된 취약점을 사용하여 새로운 성공을 거두었음에도 불구하고 많은 조직에서 이러한 악순환을 막을 계획이 없습니다.

뭔가 오래되어 있다고 해서 무해하다는 뜻은 아닙니다. 그리고 일반적인 라이브러리와 리소스가 수년 동안 주변에 있었다고 해서 완전히 안전하다는 것을 의미하지는 않습니다(예: 현재 OWASP 상위 10위 권의 No. 9 항목은 알려진 취약점을 가진 구성 요소 사용에 전념함). 부지런하고 지속적인 보안 교육을 통해서만 우리는 지평선 너머로 들어오는 위험한 위협뿐만 아니라 이미 우리 자신의 뒷마당에 교활하게 정착한 위협으로부터 자신을 보호할 수 있습니다.

원래 CSO 온라인에 게시

(반 은퇴) 윤리적 해커로, 보안 전문가 및 만능 컴퓨터 괴짜로, 당신은 내가 기술에 대해 많이 관심 말할 수 있습니다. 나는 그것이 어떻게 만들어졌는지, 그것이 무엇을하는지, 그리고 우리 삶의 어떤 측면을 더 좋거나 효율적으로 만들 수 있는지에 대해 걱정합니다. 나는 "항상 장치의 후드 아래'를 보고, 거기 밖으로 코드의 최고의 (그리고 최악의) 예제의 일부를 보고. 최근에, 나는 내 에어컨 시스템이 안드로이드 응용 프로그램과 원격으로 제어 할 수있는 방법을 보았다 (나는 WiFi 네트워크에있는 사람이 어떤 인증없이 그 일을 제어 할 수 있다는 것을 발견했을 때 내 놀라움을 상상).

소프트웨어 보안은 디지털, 개인 정보 공유 라이프스타일에 의해 야기되는 매우 현실적인 위험과 마찬가지로 항상 저에게 는 최우선입니다. 결국, 우리는 크게 규제되지 않은, 감독되지 않고 행복하게 무시 된 영토에 있습니다. 우리는 와일드 웨스트에 있습니다.

집단 사회로서, 우리는 우리가 매일 사용하는 기술의 후드 아래를 찾고 있지 않습니다. 미스터 로봇과 같은 인기 있고 높은 평가를 받은 TV 시리즈는 일반적인 인식에 도움이 되지만, 우리는 보안에 신경쓰지 않습니다... 사실, 우리 대부분은 소프트웨어가 우리가 구입하고 사용하는 응용 프로그램, 서비스 및 점점 더 연결된 것들의 무수한 내에 얼마나 안전한지 전혀 모른다. 우리가 본질적으로 그들을 신뢰하는 것도 아닙니다 - 우리는 단순히 그것에 대해 전혀 생각하지 않습니다.

소니 플레이스테이션 네트워크(PSN), 티켓마스터, 야후, 페이스북, 타겟 등 널리 사용되는 이 기업들은 모두 데이터 유출 사고의 피해자였습니다. 소프트웨어 취약점이 악용되어 수백만 명의 고객 기록이 노출되었습니다. 이러한 사례는 지난 10년간 발생한 전 세계 침해 사고의 일부에 불과합니다. 이러한 침해 사고는 소프트웨어 보안이 취약하여 해커들이 우리의 소중한 정보를 훔쳐갈 수 있도록 허용한 값비싼 결과입니다.

대부분의 사람들이 데이터 유출을 고려할 때, 그들은 정보 보안 위반에 대해 생각할 때, 그들은 회사가 위반하고 개인 정보가 영향을받은 사람들에게 불편한 사람들에게 악몽으로 이해되지만 심각하게, 큰 문제는 무엇입니까? 보안이 계속 무시된다면 그 결과는 정말 그렇게 큰것입니까? 지금까지 중요한 일이 없었던 것은 데이터 유출이 그들을 담당하는 회사에 심각한 영향을 미치지만, 그들의 문제입니다. 그들은 사업을 잃고, 소비자 신뢰를 잃게됩니다. 그것은 궁극적으로 그것을 밖으로 정렬 하 고 피해에 대 한 지불 그들의 일.

소프트웨어 보안은 모든 조직의 우선 순위가 되어야 합니다.

소프트웨어 보안이 개발 팀과 함께 모든 조직에 가장 큰 문제가 되지 않는 이유에 대해서는 매우 간단한 이유가 있습니다: 아직 목숨을 잃은 사람은 충분하지 않으며 위험에 대한 지식이 충분하지 않습니다.

병 적인? 아마. 그러나 그것은 정직한 진실입니다. 규제, 표준 구축 및 법률 변경 주의는 실제 인적 비용이있을때 (예 : 정부 기관)에서 지불됩니다.

예를 들어 다리를 가져 가라. 토목 엔지니어(수백 년 된 작업 라인)는 안전을 교량 건설의 핵심 부분으로 간주합니다. 그들의 접근 방식은 미학과 기본 기능을 훨씬 뛰어 넘습니다. 건설된 모든 교량은 엄격한 안전 규정을 준수할 것으로 예상되며, 토목 직업과 사회 전체가 시간이 지남에 따라 높은 수준의 안전을 기대할 수 있습니다. 오늘날 안전 요구 사항을 충족하지 않는 다리는 위험하고 사용할 수없는 것으로 간주됩니다. 이것은 여전히 소프트웨어 엔지니어링 내에서 우리가 얻을 필요가 진화입니다.

좀 더 현대적인 예를 들어 장난감 산업을 살펴보겠습니다. 1950년대는 전후 베이비 붐으로 장난감 생산과 판매가 크게 급증했습니다. 흥미롭게도, 장난감 관련 사건과 관련된 응급실 방문의 양도이 시간 동안 증가한 것으로 보고되었습니다. 장난감 화살은 눈 부상을 일으키고 있었고, 작은 장난감 (그리고 큰 장난감에서 분리 할 수있는 조각)이 섭취되고 있었고, 어린 소녀에게 판매되는 장난감 오븐은 일반 가정용 오븐보다 더 높은 온도로 가열 할 수있었습니다.

그것은 다소 "와일드 웨스트 아웃', 몇 가지 고립 된 금지 및 가장 무서운 상황에서 제품 리콜을 제외 하 고 작은 규제. 장난감 제조업체는 본질적으로 그들이 원하는 장난감을 자유롭게 생산할 수 있었으며, 여러 건의 보고 된 사건이 이미 발생한 후 안전에 대한 우려가 일반적으로 표시되었습니다. 리처드 닉슨의 1969 년 장난감 안전 법과 같은 법안이 법안으로 통과될 때까지는 미국과 전 세계에서 유해 장난감의 테스트 및 후속 금지가 표준이되었습니다. 사고는 여전히 일어날 것이지만, 오늘날 장난감 제조의 일반적인 과정은 "안전 우선"정책을 채택하고, 우리의 아이들은 훨씬 덜 잠재적 인 위험에 있습니다.

소프트웨어 보안에서 지금, 우리는 와일드 웨스트에있어. 개인 정보 보호와 관련된 명백한 법률 및 규정 (특히 최근 GDPR)과 고객 데이터의 보호및 일부 국가에서 필수 위반 보고 법규를 제외하고는 주류 비즈니스 또는 지역 사회에서 소프트웨어에 내장 된 보안 수준에 대해 거의 말하고 수행되지 않습니다. 이러한 법률조차도 규제되는 실제 소프트웨어보다 회사의 책임에 더 관련이 있거나 의무적인 보안 표준을 충족해야 합니다.

우리는 거기에 도착할 것이지만, 먼저 파괴의 경로가 필요할 수 있습니다.

Gartner는 2020년까지 84억 개의 인터넷 연결 장치가 사용될 것으로 예상합니다. 2016년 이후 31% 증가한 수치입니다. 여기에는 가전 제품뿐만 아니라 의료 기기 및 산업별 장비와 같은 것들이 포함됩니다. 그것은 해커에게 많은 기회의 지옥입니다.

누군가의 페이스 메이커를 실행하는 소프트웨어가 안전하지 않은 다고 상상해보십시오. 해커가 침입하여 잠재적으로 피해자의 마음을 멈출 수 있습니다 (말도 안된다고 생각하십니까? 의사는 해킹을 통해 잠재적 인 암살을 저지하기 위해 딕 체니의 맥박 조정기에서 와이파이를 비활성화). 연결된 전자레인지 나 주전자는 원격으로 날려 버릴 수 있습니다 (우리가 가정에서 즐기는 모든 종류의 사물 인터넷 장치와 함께), 또는 연결된 전기 자동차가 브레이크를 비활성화 할 수 있습니다. 이것은 멀리 가져온 할리우드 액션 영화처럼 들릴 지 모르지만, 연결된 기술의 이러한 고급 조각 중 하나라도 침해 될 수 있다면, 우리는 석유 및 가스 산업에서 사이버 공격의 폭발적인 파급 효과로이미 덮여있는 위협과 마찬가지로 우리 손에 잠재적 인 재앙을 초래할 수 있습니다.

우리는 우리의 삶이 점점 더 디지털 의존이됨에 따라 악의적 인 해킹의 끔찍한 결과를 선점 할 수 있습니다. 이 모든 것은 개발자가 보안 코딩에 대해 더 흥분하고 개발 팀에서 강력한 보안 사고 방식과 문화를 성장시키는 데 있어 시작됩니다.

소프트웨어 혁명은 여기에서 시작됩니다. 은행 업계는 기존의 (읽기 : 지루한) 교육을 머리에 돌리는 진정으로 혁신적인 접근 방식으로 나쁜 코드와의 싸움에서 게임 교육을 수용하는 데 앞장서고 있습니다. 사실, 호주의 상위 6개 은행은 현재 개발자들에게 이런 식으로 참여하여 보안 마인드를 불태우고 있습니다. 고객, IAG 그룹이 고객과 함께 한 일을 확인하십시오. 다음 단계 tournament .

호주의 날에는 매년 대부분의 호주인들이 새우, 바비큐, 양고기, 해변에서 햇살을 받으며 시간을 보냈습니다. 매년 그 날, 저는 지난 12개월동안 개인적으로나 전문적으로 생각합니다. 내 딸과 회사가 나이가 들수록 스타트업 여행과 "처음"부모 여행 사이에 많은 유사점이 있다는 것을 더 많이 깨닫게됩니다. 나는 지금 둘 다 내 4 년째입니다.

"자녀가 자라나고 있습니다. 네 살짜리 아이가 더 독립적이고 자신감이 되는 것을 눈치챘습니까? 대부분의 아이들은이 나이 더 큰 독립, 자제력, 창의력을 개발하기 시작합니다. 그들은 오랜 시간 동안 장난감을 가지고 노는 것에 만족하고, 새로운 것을 시도하고 싶어하며, 좌절할 때 감정을 더 잘 표현할 수 있습니다."

때때로, 나는 질문을 얻을 ... 솔직히 많은 사람들에게 답을 알 수 없습니다.

그것은 결코 나를 놀라게 하는 것을 멈추지 않는다. 나는 누군가가 자라는 것을 너무 사소하게 보이는 질문을 받았지만, 그들은 나를 위해 너무 복잡합니다, 성인, 현명하게 대답: "아빠, 우리의 입과 혀는 우리가 말할 수 있도록 어떻게 합니까?", "왜 지금 벨기에에서 호주와 밤에 일광입니까?" 당신은 갑자기 그들이 당신이 생각하는 것보다 훨씬 똑똑하고 호기심을 깨닫게됩니다. 그리고 우리의 신생 기업이있다, 같은 실존적 질문을 "왜 않습니다 Secure Code Warrior 존재?", "어떻게 내가 기업의 성공에 기여하고 있는가?", "5년 만에 자랄 때 어떻게 되고 싶은가?" 투자자와 기존 직원 외에도 많은 구직자가 이러한 유형의 질문에 대해 확실한 답변을 하도록 강요했습니다.

"우리의 비전은 보안을 매우 눈에 띄게 하고 처음부터 보안 코드를 작성할 수 있는 기술과 도구를 제공함으로써 개발자가 조직의 첫 번째 방어선이 될 수 있도록 하는 것입니다."

지난 12개월 동안 우리는 직원을 세 배 이상 늘리고, 매출을 두 배 이상 늘리고, 21개 국가의 고객을 추가하고, 10개 이상의 다른 프로그래밍 프레임워크를 추가하여 이 사명을 계속 수행했습니다. Secure Code Warrior 플랫폼.  

실수를 하는 것은 성장의 일부입니다.

우리 모두는 항상 옳은 일을 하려고 노력하지만 때로는 실수가 만들어지며 이것을 허용하는 것이 편안해야 합니다. 네 살짜리 아이는 "자유로운 정신이 없는 아이"로, "완고한 똑똑한 바지"에 대한 완곡한 말이라고 생각합니다. 그러나, 심지어 그녀는 그녀가 항상 옳지 않다는 것을 깨닫고 다른 사람을 듣는 것이 유용 할 수 있다는 것을 깨닫습니다. 나는 실수를하는 것은 결정이 실제로 이루어지고 있음을 보여줍니다, 그리고 그것은 좋은 일이라는 견해를 가지고. 그것은 분명히 내가 이전에 이야기 한 독립성과 자신감을 보여줍니다. 직장에서 저는 제 결정에 동의하지 않는 사람들에게 내 결정을 지지하고 실수를 할 수 있도록 부탁드립니다. 난 당신이 하지 않은 뭔가 후회 하는 것이 좋습니다 것 같아요 (인용 부끄러운 궤도에서 도난).

경계를 넓이고 뒤틀기 레벨을 푸시합니다.

그녀가 걸을 수 있기 때문에, 나는 아빠가 놀이터에서 2m 벽을 올라가고, 돌아서서 의심할 여지없이 뛰어 내리라고 격려했습니다. 슬라이드에서 머리를 먼저 내려가 그레이트 배리어 리프에서 스노클링을 한 후 제대로 수영을 할 수 있었습니다. 네... 나는 다른 부모와 그녀의 엄마에서 꽤 많은 악한 모습을 얻었다 .-). 나는 어렸을 때 큰 무모한 아니었다 ... 하지만 스물다섯 살에 자신의 본능을 신뢰하기 시작하면, 내 자신의 경계를 밀어 더 빨리 갈 수 있다는 것을 알고 있다. 나는 그녀가 나이가 있을 때 그녀가 나에게 감사할 것이라고 확신합니다.

스타트업 CEO로서, 나는 똑같이 느낀다... 위험을 감수하고, 경계를 넓고, 장벽을 깨고, 왜곡 수준을 깨도록 우리 팀을 지도하십시오. "우리는 아마도 이러한 목표에 도달 할 수 없습니다!", "우리는 규칙과 정책 등이 필요합니다.". 나는 위험 감수와 위험에 반대하는 사람들 (당신이 누구인지 알고) 모두 자신을 둘러싸고 있었고, 나는 그들의 의견을 고려하는 것이 내 일이라고 생각합니다 ... 그리고 도약하고 내 본능을 신뢰.  

나는 내년이 또 다른 롤러 코스터가 될 것이라고 확신합니다. 처음으로 독서와 계산, 학교에서 전체 일을 보내는 첫 번째 시간 ... 그리고 아마 내가 대답 할 수없는 더 많은 질문. 와 Secure Code Warrior 앞으로 몇 달 동안 100명의 직원의 장벽을 허물고, 첫 번째 고객은 플랫폼에서 3년 이상 을 보냈을 것이며, 중국에서 첫 번째 고객을 영입할 것입니다.

앞으로 많은 도전이 있을 거라고 확신하지만, 우리는 멋진 팀이고, 우리는 그것을 준비하고 있습니다.

처음부터 무언가를 만들고, 기술과 숙련된 경험을 사용하여 작고, 특별한 마크를 세상에 표시하는 것을 상상해 보십시오. 혼자 든 팀의 일부이든, 당신은 아무것도에서 뭔가를 구축에 당신의 마음과 영혼을 배치합니다. 당신은 수백 - 어쩌면 수천 - 그것에 시간의, 당신의 아기가 될 수있는 최고 있는지 확인. 완공되면 그 성취의 물결은 그 자체로 보상처럼 느껴질 수 있습니다.

지금, 전리품 스포츠가 함께 와서 그렇게 큰 아니에요 당신을 말한다 상상해보십시오. 아마도 그들은 한 걸음 더 나아가 여러분이 희생한 에너지, 시간, 사랑에도 불구하고 실제로는 사용할 수 없다고 말합니다. 그들은 본질적으로 아기가 못생겼다고 말했습니다.

위의 시나리오는 약간의 긴장을 유발할 수밖에 없습니다. 결국, 누가 그들의 노력이 따로 따로 뽑고 부적절하다고 비난하기를 원합니까? 슬프게도, 많은 개발자에 대 한, 이것은 AppSec 팀과 그들의 관계의 현실이 될 수 있습니다. 개발자는 기능적이고 기능이 풍부하며 엄격한 프로젝트 기한 내에 제공되는 소프트웨어를 빌드하는 데 중요한 책임이 있습니다. 보안은 거의 우선 순위가 되며 신속한 납품과 혁신을 위한 차단제로 볼 수도 있습니다. AppSec은 코드, 펜 테스트 및 잘못된 소식을 꼼꼼하게 검사한 다음 잘못된 소식을 보고하는 부러운 작업을 수행합니다: 코드에 보안 취약점이 있는 경우 종종 이미 커밋된 코드입니다. 리소스와 시간을 위해 늘어나는 환경에서는 비용이 많이 드는 프로세스이며, 설정은 동일한 목표를 가지고 있지만 로거헤드에서 보이는 다른 언어를 말하는 두 팀 간의 균열을 야기할 수밖에 없습니다.

보안에 변화를 준 시간이라고 생각하지 않습니까? 대화를 바꾸고 모든 것을 좀 더 긍정적으로 만드는 것만큼 간단합니다 (재미는 말할 것도 없고!) 양측, 특히 개발 팀에 대해.

교실 밖으로, 게임 경기장으로

많은 개발자가 안전하게 코딩에 대해 많은 것을 배우지 않고 직업 교육을 완료하기 때문에 보안 교육과 함께 첫 번째 터치 포인트가 인력에 진입하는 경우가 많습니다. 교실 기반 교육은 사용되지 않는 솔루션 중 하나이지만 기능 전달에서 귀중한 시간을 빼앗습니다 (그리고, 그것을 직면하자 : 교사와 콘텐츠가 자극이 부족한 경우, 그것은 쉽게 모든 사람에게 시간 낭비가 될 수 있습니다). 비디오도 있습니다. courses , 제지 기반 시험 및 제네릭 회사 보안 정책 교육... 이 모든 것은 일반 개발자의 일상 적인 근무 생활에서 쓸모가 없을 정도로 비특정일 수 있습니다.

너무 자주, 그것은 "상자를 체크하고 컴플라이언스 연습에 이동, 너무 자주 반대의 효과가있다 : 그것은 단지 AppSec와 개발자 팀 사이의 더 넓은 균열을 구동. 결국, 기존의 교육이 보안 문화와 규정 준수에 긍정적인 영향을 미치고 있는 것으로 보이지 는 않습니다. 우리는 같은 실수를 계속합니다.

일반적인 약점 열거(CWE)커뮤니티에 따르면, 700 개 이상의 일반적인 소프트웨어 보안 약점에 맞서 싸울 수 있습니다. SQL 주입과 같은 일부 사람들은 20 년 이상 존재했음에도 불구하고 찌그러지지 않은 바퀴벌레와 같습니다. 우리는 그것을 해결하는 방법을 알고; 이 교육은 개발자가 이를 막을 수 있도록 권한을 부여하지만 펜 테스트 및 수동 코드 검토 프로세스는 이러한 위반사항을 지속적으로 식별합니다.

아마도 우리는 모든 잘못을 보고 있었고, 업계로서 우리는 다른 각도에서 실행 가능한 교육을 해결해야합니다... 개발자에게 매우 가치 있는 놀라운 기술을 활용하는 기술입니다. 그들은 도전을 사랑하는 창의적이고 호기심 많은 문제 해결사입니다. 보안 교육을 게임화하는 것은 자신의 언어를 말하고, 그들이 수행하여 연습 할 수 있도록하는 것입니다 - 누가 알고, 그들은 단지 길을 따라 보안과 사랑에 빠질 수 있습니다.

조금 건강한 경쟁

(오히려 부정확한) 도구, 고가의 펜 테스트 및 부족한 AppSec 전문가에 대한 핵심 의존은 보안 블랙홀에 더 깊이 우리를 급락 할 것입니다. 우리의 삶과 프라이버시의 너무 많은 사람들이 온라인에서 존재하여 기업이 데이터를 보호하는 가상 요새와 함께 바람에 주의를 기울이기 위해 계속 합니다. 세상의 디지털 혁신이 소프트웨어에 대한 의존도를 높아짐에 따라, 우리는 사무실에 앉아 있던 슈퍼 히어로, 즉 개발 팀으로 전환해야 합니다.

관련 언어 및 프레임워크에서 게임화된 교육은 AppSec 관리자가 비즈니스 내에서 보안 문화를 변화시키기 위한 강력한 도구입니다. 교육에서 개발자는 새로 지어진 보안 근육을 재미있게 구부릴 수 있습니다. tournament 당신의 상상력이 연상 할 수있는 만큼 흥미 진진한 될 수있는 설정 : 그냥 IAG의 "코드의 게임'은 모든 사람들이 자신의 조직 내에서 보안에 대해 얘기있어 방법을 살펴.

Secure Code Warrior 's tournament 모듈은 측정 된 교육 노력에 단지 좋은 작은 모자 이상을 제공합니다 : 그것은 각 개발자가 자신의 능력을 검증 할 수있는 플랫폼입니다, 교육이 시작된 이후 얼마나 멀리 진행했는지 확인, 뿐만 아니라 개선이 필요할 수 있습니다 영역을 식별. 경쟁 측면은 실제로 보상과 인식을 사용하여 팀 내의 강력한 보안 문화 성장과 더 넓은 비즈니스의 성장을 지원하기 위해 보안에 적극적으로 참여할 동기부여가 됩니다.

힘들게 보일 수 있는 것에 약간의 재미를 불어넣는 것은 어려운 일이지만, 작업은 부정적인 사고 방식을 바꾸고 지속적인 참여를 유도하는 데 먼 길을 갈 수 있습니다. 결국, 누가 (건강한) 경쟁 환경에서 동료들보다 더 많은 점수를 득점하는 영광을 좋아하지 않습니까?

챔피언은 당신 사이 를 걸어

게임화된 교육 및 후속 교육 tournaments AppSec 및 개발 팀이 서로의 일상 업무에 대한 훨씬 더 많은 통찰력을 얻으면서 긍정적인 보안 문화를 이끄는 데 대단히 도움이 됩니다. 보안 개발자는 공통의 취약점을 해결하고 부족한 AppSec 전문가에게 복잡한 문제를 해결하는 자산입니다. 더 나은 관계는 성장하고 번성하고, 귀중한 보안 예산은 같은 오류의 "Groundhog Day'시나리오를 반복해서 해결하는 것을 좋아하지 않습니다.

또 다른 강력한 부산물이 있다, 그러나: 보안 챔피언의 계시는 당신이 결코 몰랐다. Tournaments 보안에 대한 적성을 가질 뿐만 아니라 적극적으로 그것에 대한 열정을 표시하는 사람들을 발견 할 수 있습니다. 이 챔피언들은 기세를 유지하고 팀 간의 접촉 지점역할을 하고, 동료를 감독하며 모범 사례 정책을 유지하는 데 매우 중요합니다. 인정 과 임원 지원을 포함하는 견고한 챔피언 프로그램을 구현하는 것은 조직의 상한선에 깃털뿐만 아니라 개인의 이력서와 미래의 경력에 대한 강력한 포함입니다.

결론? 우리는 보안 테스트에서 더 나은 결과를 요구해야 합니다. 덜 일반적인 오류, 최전선에있는 사람들을 위해 더 많은 지원. 개발자가 어떻게 보이지 않는지 알 수 없는 이유 tournament 당신이 생각하는 것보다 빨리 당신을 얻을 수 있습니까?

2018년은 사이버 보안 전문가를 위한 매머드해왔습니다. 보안을 더욱 심각하게 받아들일 경고에도 불구하고, 더 많은 보안 산업 인재를 양성하고 조직을 사이버 인식으로 만들기 위한 일반적인 시도를 둘러싼 끊임없는 언론, 우리는 수백 건의 사이버 공격으로 남겨진 흡연 분화구를 바라보며, 이는 매우 잘 알려진 일부 가계 이름에 대한 대규모 데이터 유출 및 소비자 불신을 대표합니다. 2018년 상반기에만 945건의 별도 사건에서 45억 건의 데이터 기록이 손상되었습니다.

나는 전에 그것을 여러 번 말했습니다 : 우리는 더 잘 할 수 있습니다. 그러나 우리가 직면하는 실제 전투는 스크립트 어린이, 위험한 조직 사이버 범죄 신디케이트 또는 노트북에 멀리 입력 신비한 후드 입은 인물에 대한 것이 아닙니다 - 싸움은 이러한 위반이 전혀 일어나고 있다는 것을 걱정하는 더 많은 사람들을 얻는 데 있습니다.

GDPR 규정 준수는 좋은 시작이지만 단기적인 효과는 크지 않습니다.

유럽 연합 (EU)의 일반 데이터 보호 규정 (GDPR) 법률이 한창입니다; 데이터 보호를 심각하게 받아들이지 않는 조직에 대한 위협이 커지고 있습니다. 규정을 준수하지 않는 것으로 밝혀진 사람들에게 는 엄청난 벌금이 부과됨에 따라, 이는 기업이 보안 관행을 강화하고, 고객 데이터를 더 존중하며, 사이버 공격을 완화하기 위한 전략을 마련하기 위한 것입니다.

일부 조직은 앞으로 엄청난 벌금의 경고를 하고있다, 하지만 우리는 GDPR을 준수하지 못했기 때문에 진정한 낙진을 볼 아직. 아니 파산 처벌, 우리의 웹 사용자를 통해 클릭 팝업의 단지 전체 많은. 법적 절차가 많은 시간이 걸리기 때문에 부분적으로 는 많은 시간이 걸리며, 항소 할 기회가 많기 때문에 예를 들었던 회사가 몇 달 또는 수년 동안 법적 싸움에 종사할 가능성이 있습니다. 페이스 북에 대한 악몽 의 해를 종료, 그들은 최근 또 다른 데이터 유출을보고 : 1500 무단 응용 프로그램에 680 만 사용자의 개인 사진을 노출 API 버그. 그것은 발견 및 2 주 이내에 패치, 아직 데이터 보호 기관과 대중은 몇 달 후 위반을 인식했다. GDPR 법은 72 시간 위반의 통지를 필요로하므로, 이 법이 실제로 얼마나 영향력있고 효과적인지에 대한 많은 질문을 제기합니다.

물론, 다른 곳에서의 위반은 멈추지 않았습니다 : 11 월의 메리어트 위반은 무려 5 억 개의 데이터 기록이 손상되었으며 공격자가 발견되기 전에 4 년 동안 시스템에 액세스했다는 것을 알 수 있습니다. 그것은 주목해야한다, 그러나, 메리어트는 일부 손상 제어에 종사하는 것 같다 : 그들은 피해자에게 WebWatcher에 무료 12 개월 구독을제공했습니다, 신용 모니터링 도구 ... 그러나 해커가 선별할 수 있는 5억 개의 레코드를 가지고 있기 때문에 1년이 대부분의 사람들에게 의미 있는 것을 모니터링하기에 충분한 시간이 될지는 아직 미지수입니다. 결국 파렴치한 사용을 위해 데이터가 강조 표시되기까지는 몇 년이 지나서야 할 수 있습니다.

GDPR과 같은 장기적인 규제는 시행될 경우 긍정적인 변화를 주도할 것입니다. 기업이 상당한 재정적 처벌 (또는 실제로 데이터가 손상된 고객의 집단 소송)이나 상당한 규모의 이익 침체에 타격을 입을 때, 나는 우리가 대부분의 회사에서 온라인 데이터베이스를 강화하는 데 열광적 인 초점을 볼 것이라고 믿습니다.

금융기관은 단기적인 긍정적인 변화속에서 도래할 것입니다.

세계에서 힘들게 번 현금의 게이트키퍼로서 금융 기관이 가장 엄격한 사이버 보안 모범 사례 정책과 위험을 줄이기 위한 종단 간 프로세스를 가지고 있다는 사실은 그리 놀랄 일이 아닙니다.

이러한 규정 준수의 중요한 원동력은 금융 기관이 모든 분야에서 실행 가능한 보안 정책을 구현하고 지침을 준수하도록 돕는 데 전념하는 PCI 보안 표준 위원회에서비롯됩니다. 그들은 이 수직이 지불 소프트웨어에서 가장 높은 수준의 보안 중 에서 달성하도록 돕는 데 좋은 힘이되었습니다.

그렇다면 금융기관은 다른 기관과 는 다르게 무엇을 하고 있을까요? 내 경험에 따르면, 그들은 일반적으로 더 많은 보안 인식, AppSec 전문가 와 펜 테스터뿐만 아니라 전체적인 교육 프로그램에 자원을 헌신, 뿐만 아니라 그들의 (일반적으로 매우 크고 전 세계적으로 흩어져) 개발 팀. 그들은 최상위 의사 결정자가 보안 프로세스가 "설정되고 잊어 버린"조치가 아니라는 것을 이해하도록 보장합니다. 사용 중인 기술만큼 빠르게 진화하고 가변 위험에 적응해야 합니다.

더 많은 조직이 보안 파이프라인을 혁신할 것입니다.

IT 의 다른 지점에 비해 AppSec은 상대적으로 젊습니다. 그것은 새로운 아이가되는 것은 어렵다 : 당신은 쉽게 오해하고 아직 필요한 주요 관계를 형성하지 않았을 수 있습니다. 그러나, 나는 매년 마다 믿고, AppSec도 변화에 저항하는 가장 오래된 조직에서 그 자리를 찾는 것이 더 쉬워지고 있다.

기업이 보안 준수를 소프트웨어 프로세스의 마지막 막판 단계로 만들 수 없다는 것이 더욱 분명해졌습니다. 데이터 집계와 비즈니스 경영진 수준에 대한 가시성 향상에 더 집중하여 시점부터 지점간 점검 및 조치가 있어야 합니다. 이없이, 보안은 대부분의 마음에 보이지 않는 남아있을 것입니다. 그리고 이 시나리오에서는 위험을 계획하는 데 필요한 리소스를 수집하는 것은 사실상 불가능합니다.

좋은 소식은, 그 어느 때보 다 더 많은 조직이 자신의 사이버 공격을 발견하고 이를 해결하기 위해 노력하고 있다는 것입니다. 나쁜 소식? 이 과정은 평균 85일이 걸리고 있습니다.

펜 테스트 도구와 수동 코드 검토는 기술 분야에서 신속한 혁신과 기능 생산이 필수인 시대에 힘들고 비용이 많이 들며 느립니다. 개발자가 처음에 코드를 작성하는 순간부터 보안 인식은처음부터 수행해야 합니다.

우리 업계는 주요 문제를 인식할 것입니다: 우리는 사람들이 더 신경을 써야 합니다.

여기에 일이있다 : 나는 보수적으로 지난 4 년 동안 어떤 시점에서 메리어트 호텔에 머물렀던 내 네트워크에서 20 명을 계산 할 수 있습니다. 그 기간 동안 5억 건의 레코드가 도난당했기 때문에 데이터가 도난의 일부였을 가능성이 큽습니다. 현재 연락처 정보, 여전히 유효한 신용 카드 번호 및 여권 정보의 모든 것이 어두운 웹에서 지금 판매 될 수 있습니다. 그러나, 그들의 배려 요인은 기본적으로 0이었습니다.

그리고, 음, 이러한 대규모 데이터 heist에서 때 만족하기 쉽습니다, 당신은 본질적으로 건초 더미에 바늘입니다.

진짜 문제, 그래도? 고객의 데이터를 안전하게 지키지 못한 회사는 파급 효과에 거의 영향을 미치지 않습니다. 그들의 주가는 사건 직후 타격을 입었습니까? 당신은 그것을 내기. 대상, 에퀴팩스와 이제 메리어트는 모두 이를 증명할 수 있습니다. 그러나 12개월 간의 개요는 바운스가 정상으로 돌아가는 것이 상당히 빠르다는 것을 보여줍니다. 몇 년 후, 재정적으로 모든 것이 용서받습니다.

심각한 영향이 있을 때까지: 엄청난 벌금, 엄격한 규정 및 비즈니스의 상당한 손실, AppSec지속적으로 회사가 노출되는 성장 사이버 위험의 심각성을 전달하기 위해 싸워야 하는 산업이 될 것입니다.

나는 그것이 나아지기 전에 훨씬 더 악화 될 것이라는 점을 두려워하기 때문에 조직의 기술 팀의 최전선에 보안 인식 개발자와 강력한 보안 문화를 구축하기 위해 노력하는 것이 가장 중요합니다. 이를 미리 염두에 두고 더 높은 수준의 소프트웨어 보안을 위해 계속 노력하십시오.