개발자의 역량 강화, 생산성 향상, 위험 완화

끊임없이 진화하는 사이버 보안 환경에서 놀라운 한 해를 보냈습니다! Secure Code Warrior 는 개발자와 조직이 끊임없이 진화하는 보안 위협에 대처하는 데 필요한 기술을 갖추도록 하는 우리의 사명을 계속 이어갈 수 있어 자랑스럽습니다. 2023년에 600개 이상의 기업과 협력했으며, 약 75,000명의 개발자의 데이터를 분석한 결과 Secure Code Warrior 에 참여한 개발자는 취약성을 53%까지 줄인 것으로 나타났습니다. 이는 결과적으로 개발자의 생산성을 크게 향상시킬 뿐만 아니라 앱 보안 및 보안 팀이 위험을 헤지하고 조직의 보안 태세를 강화할 수 있도록 지원합니다.

2024년을 향해 나아가는 시점에서 올해 이루어진 주요 제품 개선 사항, 전략적 파트너십, 회사 업데이트에 대해 안내해 드리는 것이 도움이 되리라 생각했습니다. 

‍

제품 혁신

올해는 개발자 커뮤니티에서 보안 코드 학습에 있어 큰 성과를 거둔 한 해였습니다. 다음은 몇 가지 주요 내용입니다:

• 플랫폼에 Terraform:GCP와 Dart:Flutter라는 두 가지 새로운 언어를 추가하고 9가지 언어와 프레임워크로 코딩 랩을 출시했습니다. 
• Secure Code Warrior 2023년 820 Tournaments 호스팅.
• 개발자들은 평균적으로 코딩 랩에 2.3분을 투자하여 2023년에 100,000개 이상의 랩을 완료했습니다. 이는 Secure Code Warrior의 최신 학습 활동에 4,200시간 이상을 소비한 셈입니다! 
• 마지막으로, 플랫폼에서 활동 중인 학습자 수를 기준으로 개발자의 상위 10개 산업을 살펴봅니다. 

2023년, Secure Code Warrior 은 개발자 보안 교육의 수준을 높이기 위해 가장 진보된 대화형 학습 활동인 코딩 랩을 도입했습니다 . 이 기능은 상황에 맞는 실시간 피드백을 제공하며 현재 9개 이상의 언어와 프레임워크로 제공됩니다. 코딩 랩은 개인 트레이너의 역할을 하여 더 빠른 학습과 기술 향상을 촉진하고 개발자가 '학습'에서 '실행'으로 더 빠르게 전환할 수 있도록 지원합니다. 

Secure Code Warrior 는 두 가지 새로운 프로그래밍 언어인 Dart:Flutter와 TeraformGCP를 추가하여 업계를 선도하는 콘텐츠 라이브러리를 계속 확장하고 있습니다. 또한 가이드라인을 courses 및 SCW Jira 통합에 통합하여 개발자에게 워크플로 내에서 더 깊은 인사이트와 심도 있는 수정 조언을 제공하는 등 다양한 개선이 이루어졌습니다. 멀티 컴퍼니 ( Tournaments )의 도입은 다양한 회사 및 자회사의 개발자 간의 선의의 경쟁을 촉진하여 확장 가능한 안전한 코딩 문화를 보장합니다. 또한 SCIM의 출시로 프로그램 소유자와 회사 관리자는 Secure Code Warrior 라이선스를 프로그래밍 방식으로 관리할 수 있어 규모에 맞는 정확성과 규정 준수를 보장할 수 있습니다.

최신 제품 혁신에 대해 더 자세히 알고 싶으신가요? 고객 성공 관리자에게 문의하거나 리소스 라이브러리를 방문하여 다양한 제품 심층 분석 웨비나 중 하나를 시청하세요. 

‍

‍

전략적 파트너십 및 통합

주목할 만한 협업은 Synopsys 개발자 보안 교육 ( Secure Code Warrior)과의 협업입니다. 이 통합은 개발자 데스크톱에서 보안 위험을 예방하기 위한 폐쇄 루프 전략을 제공하여 소프트웨어 개발 수명 주기(SDLC) 및 CI/CD 파이프라인 전반에서 문제 해결을 가속화합니다. 이 파트너십은 정량화할 수 있는 위험 감소를 통해 안전한 개발을 위한 포괄적인 접근 방식을 구축하는 것을 목표로 합니다.

여기에서 파트너십에 대해 자세히 알아보세요. 

‍

데블린 올림픽 2023

데브옵스( Secure Code Warrior)가 주최하는 연례 글로벌 데브옵스( tournament )에는 2023년에 1,000명 이상의 개발자가 참가했습니다. 이 행사는 전 세계 보안 전문가들의 주목을 받았으며 압도적으로 긍정적인 피드백을 받았습니다:

• 94%가 tournament 에 즐겁게 참여했습니다.
• 90%가 내년 행사 참여에 관심을 표명했습니다.
• 62%는 SCW 플랫폼을 10점 만점에 10점으로 평가했으며, 91%는 동료에게 추천할 의향이 있다고 답했습니다.
• 조직에 상시 액세스 권한이 있다면 85% 이상이 SCW 플랫폼을 사용하겠다고 답했습니다.

여기에서 보고서 전문을 읽어보세요. 내년 데브옵스를 놓치고 싶지 않으신가요? 달력에 2024년 10월 15~16일을 표시하고 관심을 등록하여 최신 소식을 받아보세요. 

‍

동료들의 의견 듣기

고객과의 파트너십을 통해 Secure Code Warrior 은 고객사의 보안 생태계에 깊숙이 자리 잡았으며, 개발자 생산성과 위험 감소에 큰 영향을 미쳤습니다. 올해 여러 고객의 의견을 듣고 해당 분야 전문가로부터 주요 학습 내용과 인사이트를 수집하여 더 넓은 애플리케이션 보안 커뮤니티의 동료들과 공유했습니다.  

• Workday: 약 18개월 만에 4662건의 보안 문제를 0건으로 현저히 줄였습니다.
• 탈레스: 2년에 걸쳐 소스 코드 수준에서 재도입 없이 전반적인 취약성 감소를 달성했습니다.
• Envestnet: 개발자가 동종 업체보다 2.7배 더 많은 취약점을 수정하여 개발자당 4.5건의 문제를 해결했습니다.
• 넷스코프: 기존의 '틀에 박힌' 교육 없이도 규정 준수 목표를 달성하고 보안 코딩 프로그램에 대한 참여율을 높입니다.
• 콜게이트-팜올리브: 개발자를 보안 코드 전략의 핵심에 배치하고 Okta를 사용하여 Secure Code Warrior 를 워크플로에 원활하게 포함시켰습니다.
• Sage: 업계 최고의 보안 챔피언 커뮤니티를 구축하고 취약점 수정에 걸리는 평균 시간을 82% 단축했습니다.

고객이 어떻게 보안 코드 프로그램을 구축하고, 보안 우선 문화를 조성하고, 보안 태세를 개선했는지 고객으로부터 직접 들어보세요. 

‍

사이버 보안 취약성에 대한 SCW의 신속한 대응

Secure Code Warrior의 신속 대응 프로그램은 MOVEit 제로데이 익스플로잇, 심각도가 높은 libcurl/curl 취약점, mvcRequestMatcher Spring 등 현재 전 세계를 괴롭히는 중대한 취약점을 해결합니다. 이러한 사건은 사전 예방적 보안 조치와 엔지니어링 팀에 대한 지속적인 최신 취약점 교육이 얼마나 중요한지를 강조합니다. 아래에서 이러한 중요 취약점에 대해 자세히 알아보고, 각 취약점에는 직접 체험해 볼 수 있는 무료 미션이 함께 제공됩니다.

• 무브잇 제로데이 무료 미션
• 라이브러리 컬/컬 취약점 미션 
• mvcRequestMatcher 스프링 미션 

‍

주요 자금 지원 및 인정

호주 시드니와 멜버른, 미국 보스턴, 벨기에, 아이슬란드에 지사를 두고 있는 SCW는 다양한 산업과 지역을 대표하는 개발자 커뮤니티를 보유하고 있습니다. 

2023년 7월 13일, 팔라딘 캐피털 그룹이 주도한 시리즈 C 펀딩 라운드가 마감되어 5천만 달러의 자금을 확보하는 획기적인 성과를 달성했다고 Secure Code Warrior 이 발표했습니다. 이로써 총 투자금은 1억 달러가 넘었으며, 이는 회사 설립 이후 쌓아온 신뢰와 지지를 입증하는 결과입니다.

‍

성장하는 커뮤니티에 참여하세요 

Secure Code Warrior의 혁신, 전략적 파트너십, 고객 성공에 대한 헌신은 안전한 코딩 교육 및 구현의 선두주자로서의 성공을 축하하는 데 자부심을 갖게 합니다. 

더 자세히 알고 싶으신가요? X와 LinkedIn에서 팔로우하여 모든 공지사항을 최신 상태로 유지하세요. 

여기까지입니다, 2024년에 뵙겠습니다!

애자일 학습( Secure Code Warrior )을 통해 취약성을 줄이는 방법

보안 교육은 진화해야 합니다 

오늘날 보안 팀이 직면한 과제 중 하나는 개발 주기 초기에 보안 코딩을 통합할 시간이 충분하지 않다는 것입니다. 또한 보안 리더는 개발자가 보안 코드 학습 경험을 통해 얻을 수 있는 가치, 프로그램의 참여도를 높이고 가장 중요한 영향력을 높이는 방법에 대해 다시 생각해 보아야 합니다. 보안 교육 프로그램이 생산성을 저해하는 요소로 인식되는 것은 가장 바람직하지 않습니다. 대신 개발자 보안 교육에 접근하는 목표는 매력적인 경로, 워크플로와의 통합, 개념의 고착화에 도움이 되는 다양한 콘텐츠를 기반으로 구축되어야 하며, 그 결과 도입되는 취약성을 줄이는 데 도움이 됩니다. 

보안 코드 학습을 개발자의 워크플로와 통합하고 개발자의 시간 부담을 줄임으로써 개발자는 더 안전하게 코딩하고 생산성을 높일 수 있습니다. Secure Code Warrior 플랫폼을 사용하는 75,000명 이상의 개발자의 데이터를 조사한 결과, 애자일 학습이 개발자가 코드베이스에 취약점을 53% 더 적게 도입하는 데 도움이 된다는 사실을 발견했습니다. 

이를 위해서는 개발자가 더 많은 실습 학습을 통해 주제에 흥미를 느끼고 도구 및 환경과의 통합을 통해 더 깊은 참여와 큰 영향을 미치는 마이크로 학습의 순간을 유도할 수 있도록 접근 방식의 전환이 필요합니다. 

애플리케이션 보안 분야의 리더인 Derek Fisher는 "우리는 어느 조직에서나 매년 받는 규정 준수 교육에 대해 꽤 잘 알고 있습니다. 보통 제가 '파워포인트로 죽이는 교육'이라고 부르는데, 슬라이드만 잔뜩 나열하고 마지막에 assessment 이라고 적혀 있는, 정말 비효율적이고 시간만 낭비하는 교육이죠. 교육을 받았지만, 슬라이드와 오디오 녹음을 기반으로 한 보안 관련 교육에 기반한 일반적인 규정 준수 교육이었습니다. 개발자들이 자료를 통해 그다지 몰입하고 배우지 않는다는 것을 알게 되었고, 전략을 바꿔야 했습니다."

학습 경험을 개발자 워크플로와 통합하세요.

Secure Code Warrior의 플랫폼은 개발자의 일상적인 워크플로에 적시성 마이크로버스트 콘텐츠를 제공합니다. 이러한 보안 도구와의 통합은 컨텍스트 전환을 없애고 앱 보안 팀이 보다 규범적이고 매력적인 프로그램을 구축할 수 있도록 설계되었습니다. 

이러한 개발 도구와 보안 통합을 통해 개발자의 진행 상황을 추적하고 티켓에 대한 응답 시간을 측정하여 보안 코드 학습 프로그램이 어떻게 작동하는지 측정할 수 있을 뿐만 아니라 IAST/DAST/SAST 도구를 통해 시간 경과에 따른 취약성 감소를 관찰할 수 있습니다. 

다음은 Secure Code Warrior 을 도구 및 워크플로와 통합하여 취약성을 최대 53%까지 줄일 수 있는 세 가지 주요 방법입니다. 

1. 접근 방식 간소화 

Secure Code Warrior 를 스캔 및 펜 테스트 도구와 통합하세요. 이를 통해 특정 취약점을 자동으로 상호 연관시키고 개발자에게 수정에 필요한 신뢰할 수 있는 학습 콘텐츠를 노출할 수 있습니다. Secure Code Warrior 는 Synopsys, Snyk, Bugcrowd, Fortify, Contrast 등과 통합되어 있어 프로그램에 집중할 수 있도록 도와줍니다. 

2. 생산성 향상

개발 팀이 Jira, Gitlab, GitHub 및 Azure Board에 포함된 실습 과제, 코딩 랩 및 지침을 통해 실습을 통해 학습할 수 있도록 지원하세요. 개발자의 생산성을 저해하거나 흐름을 방해하지 않고 몇 시간이 아닌 몇 분 안에 학습이 이루어집니다. 

2. 프로그램 확장 

엔터프라이즈용으로 구축된 SCORM 및 SCIM 기능으로 보안 프로그램에 대한 관리자의 부담을 줄이세요. Secure Code Warrior 을 LMS와 쉽게 통합하고 사용자 프로비저닝을 자동으로 관리하세요. Okta 통합으로 SSO를 사용하세요. 

SDLC 초기에 취약성의 53% 감소 

취약점을 수정하는 데 드는 비용이 훨씬 적을 때 처음부터 더 안전한 코드를 작성하는 데 초점을 맞추면 SDLC 초기에 취약점을 훨씬 더 일찍 수정할 수 있습니다. 많은 취약점의 원인, 즉 개발자가 프로덕션 환경에 배포하는 안전하지 않은 코드를 살펴봄으로써 도입되는 취약점을 줄이면 기술 부채를 완화하고 보안을 강화하는 데 도움이 될 수 있습니다. 

개발자 교육을 통해 취약성을 의미 있게 줄이려면 개발자의 흐름을 방해하는 지루하고 정적인 교육을 통해서는 불가능합니다. 업계에서 가장 유연한 애자일( learning platform )의 학습을 도구에 포함하면 보안 및 개발 도구에 대한 기존 투자의 가치가 높아져 잠재적으로 취약성을 53%까지 줄일 수 있습니다. 

다음에서 더 많은 팁을 확인하세요. Secure Code Warrior 

다음 블로그 게시물에서는 모든 것을 위험 감소로 연결하여 성공적인 보안 코딩 프로그램을 위한 실질적인 영향에 집중할 수 있는 참여도 높은 프로그램을 구축하는 방법을 살펴볼 것입니다.

Secure Code Warrior 는 전체 소프트웨어 개발 수명 주기에서 안전하게 코딩하고 사이버 보안을 최우선으로 생각하는 문화를 조성할 수 있도록 도와드립니다. 앱 보안 관리자, 개발자, CISO 등 보안과 관련된 모든 사람이 안전하지 않은 코드와 관련된 위험을 줄일 수 있도록 도와드릴 수 있습니다.

실습형 보안 교육으로 취약성을 53%까지 줄일 수 있는 방법 알아보기 

오늘날 개발 팀이 직면한 과제 

개발자는 그 어느 때보다 더 빠르게 빌드하고 생산 주기를 단축해야 한다는 엄청난 압박을 받고 있습니다. 이로 인해 조직에 더 많은 양의 코드가 도입되고 있으며, 그 중 일부는 오픈 소스, 인공지능 또는 기타 타사로부터 제공됩니다. 이는 생산성 향상에 도움이 될 수 있지만, 코드 베이스에 안전하지 않은 코드가 도입될 위험도 높아집니다.

더 빨리 출시해야 한다는 압박이 가중되고 있음에도 불구하고 소프트웨어 개발팀은 출시 전에 코드의 약 26%를 재작업합니다. 이는 개발자가 기술 부채에만 일주일에 최대 13.5시간을 소비할 수 있음을 의미합니다. 이는 과거의 실수를 수정하는 데 연간 700시간 이상을 소비하는 셈입니다. 생산성 손실로 인해 개발 주기가 느려질 수 있으며, 지름길과 타사 소스를 통해 코드에 새로운 위험이 발생할 수도 있습니다. 따라서 코드를 신속하면서도 안전하게 릴리스해야 한다는 압박감 사이에서 균형을 잡는 데 어려움이 있습니다. 

Secure Code Warrior의 조사에 따르면 개발자의 67%가 취약점이 있는 코드를 출시했다고 인정하고 있으며, 매일 새로운 코드가 작성될 때마다 점점 더 많은 취약점이 도입되고 있습니다. 이 문제에 접근하는 더 좋은 방법은 처음부터 보안을 임베드하는 것입니다. 이 블로그에서는 개발자가 애자일 학습을 통해 코드를 보호하고 코드의 취약성을 최대 53%까지 줄이는 첫 번째 방어선이 될 수 있는 방법을 살펴봅니다. 

취약점이 도입되는 것조차 차단 

Secure Code Warrior 는 600개 이상의 다양한 기업과 협력하여 코드 보안을 지원합니다. 저희 연구원들이 사용자 기반의 30%, 약 75,000명의 개발자로부터 얻은 데이터를 조사한 결과 Secure Code Warrior 를 통해 안전한 코딩 방법을 배우고 적용한 개발자는 그렇지 않은 개발자보다 조직에 취약점을 53% 더 적게 도입하는 것으로 나타났습니다. 개발자가 새로운 취약점 생성을 중단하면 생산성을 몇 시간이나 더 높일 수 있습니다. 이 시간은 기술 부채 백로그를 줄이거나 새롭고 혁신적인 솔루션 및 기능을 출시하는 데 사용할 수 있습니다. 취약점 도입이 과거의 일이 되고 소프트웨어 개발 수명 주기에 다양한 효율성 개선을 가져올 수 있다면 가능성은 무궁무진해집니다. 

개발자는 애자일 학습을 통해 어떤 이점을 얻을 수 있나요?  

Secure Code Warrior 는 애자일 원칙을 learning platform 의 디자인에 통합하여 개발자가 직접 해보면서 보안 코딩을 배울 수 있도록 장려합니다. 이를 통해 길고 지루했던 보안 교육을 대화형과 참여를 유도하는 소규모 학습으로 쪼개어 진행합니다. 

Secure Code Warrior 는 여러 마이크로버스트 학습 형식을 결합한 유일한 애자일 learning platform 으로, 개발자가 이미 수행 중인 실제 작업의 맥락에서 원하는 언어로 지식을 빠르게 학습, 테스트 및 적용할 수 있도록 지원합니다.

사용자 지정 가능한 프로그램, 매우 영향력 있는 실습 학습 활동, 개발자 도구 지원 통합을 갖춘 Secure Code Warrior 은 개발자가 SDLC를 시작할 때 취약점을 식별 및 수정하고 애초에 취약점이 도입되는 것을 방지하도록 교육하는 가장 효과적인 방법입니다.

왜 Secure Code Warrior

Secure Code Warrior 는 개발자에게 안전한 코드를 작성할 수 있는 기술을 제공합니다. 저희 learning platform 는 개발자가 소프트웨어 보안 원칙을 배우고, 적용하고, 유지할 수 있도록 애자일 학습 방법을 사용하기 때문에 가장 효과적인 보안 코딩 솔루션입니다. 600개 이상의 기업이 애자일 방법론으로 코드를 학습하고, 안전한 소프트웨어를 신속하게 제공하며, 개발자 중심의 보안 문화를 조성하기 위한 애자일 보안 교육 프로그램을 구현하기 위해 Secure Code Warrior 을 신뢰하고 있습니다. 자세히 알아볼 준비가 되셨나요? 데모를 요청하세요.

얼마 전, curl 프로젝트의수석 개발자인 다니엘 스텐버그가 10월 11일 배포된 curl의 새 버전이 두 가지 중대한 보안 취약점을 해결하기 위해 배포되었다는 안타까운 소식을 전하며 보안 및 개발 커뮤니티를 주목하게 만들었습니다.

스텐버그의 블로그에 게시된 사후 조사에 따르면, 영향을 받는 curl 라이브러리 버전은 2002년부터 사용 중인 SOCKS5 프록시 프로토콜의 레거시 문제와 관련된 힙 기반 버퍼 오버플로 취약성에 노출되어 있다고 합니다.

1998년부터 명령줄 도구로 사용되어 온 curl은 인터넷의 기본 기둥으로 널리 알려져 있습니다. 이처럼 오랜 역사와 광범위한 사용으로 인해 취약점이 발견될 경우 일반적인 사이버 안전에 지속적인 영향을 미칠 수 있는 의존성입니다.

이 사건은 거의 2년이 지난 지금도 여전히 악용되고 있는 또 다른 취약한 종속성인 Log4j의 파괴적인 Log4Shell 공격과 유사합니다.
↪f_200D↩
>>> 컬 미션으로 지금 바로 지식을 테스트해 보세요!

취약점입니다: 버퍼 오버플로

이 익스플로잇은 CVE-2023-38545에 자세히 설명되어 있으며, curl 버전 7.69.0부터 8.3.0까지 영향을 미칩니다. 주요 버그는 힙 기반 버퍼 오버플로 취약점이며, 초기 보고서에 따르면 익스플로잇에 성공하면 더 치명적인 원격 코드 실행(RCE) 공격으로 이어질 수 있다고 합니다. 이는 위협 행위자가 사용할 수 있는 워크플로이긴 하지만, 일반적인 사용 사례라기보다는 드문 사용 사례입니다.

일부 위험을 완화할 수 있는 한 가지 다행스러운 점은 악의적인 통신이 SOCKS5 프록시를 거쳐야 한다는 점인데, 이는 비교적 흔하지 않은 배포 방식입니다.

컬 익스플로잇과 비교하여 버퍼 오버플로에 대한 설명서를 살펴보겠습니다:

curl이 SOCKS5 프록시를 사용하라는 지시를 받으면 호스트명을 전달하고 프록시가 이를 확인하도록 합니다. 그러나 호스트 이름이 255바이트 제한을 초과하는 경우 curl은 호스트 이름을 로컬에서 확인합니다(아래 코드 스니펫에서 볼 수 있듯이: source).

클라이언트와 프록시 간에 핸드셰이크가 느린 경우, (짧은) 확인된 주소 대신 긴 호스트 이름이 메모리 버퍼에 복사될 수 있습니다. 할당된 메모리 부분은 255바이트 값만 허용하므로 이 제한을 초과하는 값을 수신하면 데이터가 메모리 버퍼의 경계를 넘치게 됩니다.

>>> 이 플레이 미션에서 직접 체험해 보세요. 플레이 가능한 미션!

버퍼 오버플로는 강력한 공격 벡터이며, 많은 레거시 프로그래밍 언어에서 널리 퍼져 있는 공격 벡터입니다. 이 특정 사례의 경우, 익스플로잇을 통해 일부 상황에서는 RCE라는 더 심각하고 피해를 주는 공격으로 이어지기도 했지만, 이 경로는 아직 흔하지 않고 발생 가능성도 낮습니다.

버퍼 오버플로 위험을 어떻게 완화할 수 있나요?

이 단계에서 가장 우선적으로 해결해야 할 사항은 모든 취약한 인스턴스에 패치를 적용하는 것이며, 컬 사용이 매우 널리 퍼져 있기 때문에 시스템 구성 요소에 사용 중인 종속성이 포함되어 있다는 사실이 반드시 명확하거나 광고되지 않을 수 있다는 점을 유의해야 합니다. 이 경우 감사 및 후속 패치가 필요합니다. 

일반적으로 버퍼 오버플로 결함은 Rust와 같은 메모리 안전 언어를 사용하여 완화할 수 있지만, curl과 같이 규모가 큰 프로젝트의 경우 다른 언어로 포팅하거나 임의로 재작성하는 것은 실용적이지 않습니다. Stenberg는 메모리 안전 언어로 작성된 더 많은 종속성을 사용하고 지원할 수 있는 가능성 또는 curl의 일부를 점진적으로 대체하는 대안에 대해 논의하면서 "... 현재 개발은 빙하에 가까운 속도로 진행되고 있으며 관련된 어려움을 고통스럽게 명확하게 보여줍니다. curl은 당분간 C로 계속 작성될 것입니다."라고 언급합니다. 이는 결코 작은 작업이 아니며 보안에 미치는 영향은 엄청납니다.

보안 실수는 언제나 발생할 수 있으며, 가능한 모든 공격 벡터를 찾아내기 위해 스캐너와 테스트에 의존하는 것은 불가능합니다. 따라서 이러한 버그와의 싸움에서 가장 큰 무기는 지속적인 보안 인식과 기술 개발에 대한 노력입니다.
‍

보안 코드를 작성하고 위험을 완화하는 방법에 대해 자세히 알아보고 싶으신가요?

저희의 힙 오버플로 챌린지를 무료로.

더 많은 무료 코딩 가이드라인에 관심이 있다면 다음을 확인하세요. 보안 코드 코치 를 통해 보안 코딩 모범 사례를 파악할 수 있습니다.

Secure Code Warrior 에서는 개발자와 조직이 끊임없이 변화하는 오늘날의 보안 문제를 해결할 수 있는 올바른 기술을 갖추도록 지원하기 위해 끊임없이 혁신하고 있습니다. 이를 위해 현재 업계에서 가장 완벽하고 신뢰할 수 있는 취약점 콘텐츠를 통해 개발자가 원하는 방식으로 학습할 수 있는 보안 코딩을 위한 애자일( learning platform )을 운영하고 있습니다.  

지난 분기에는 Secure Code Warrior 에서 회사 관리자가 tournaments 을 여러 브랜드 및 엔터티로 확장할 수 있는 새로운 방법을 구현했으며, SCIM 프로비저닝을 통해 사용자를 더 간단하게 관리할 수 있습니다. 또한 Jira에서 새로운 코딩 지침을 사용할 수 있으며, 성능 개요 보고 및 새로운 프로그램 워크플로를 미리 보기로 사용할 수 있게 되었다는 소식을 전하게 되어 기쁩니다. 

더 많은 것을 배우기 위해 뛰어 들어 봅시다!

SCW 플랫폼의 폭과 깊이 확장 

Secure Code Warrior의 새로운 콘텐츠로의 지속적인 확장은 오늘날의 사이버 보안 환경에서 알아야 할 내용을 시의적절하고 관련성 있게 맞춤화하여 모듈을 유지하는 데 도움이 됩니다. 업계를 선도하는 60개 이상의 언어에 대한 폭과 깊이를 갖추고 있어 다양한 언어와 프레임워크로 개발자를 위한 애자일 학습 프로그램을 쉽게 구축하고 확장할 수 있습니다. 

이제 사용할 수 있습니다: Jira의 코딩 가이드라인 

Jira 통합에 가이드라인을 추가하여 개발자에게 보안 완화를 다루는 상황에 맞는 학습을 제공합니다. 가이드라인은 동영상보다 더 심층적이며 특정 언어 또는 프레임워크에 초점을 맞추고 코드 스니펫을 제공하여 개발자가 문제를 더욱 빠르게 해결할 수 있도록 도와줍니다. 이제 개발자는 비디오 및 챌린지에 액세스하는 것 외에도 Jira 이슈에서 직접 코딩 지침을 읽고 심층적인 해결 조언에 액세스할 수 있습니다.

이제 사용 가능합니다: 새로운 프런트엔드 개발자 콘텐츠 

프런트엔드 개발자에게도 보안 코드 활성화가 필요합니다! 그렇기 때문에 Missions 및 워크스루에서 프런트엔드 취약점을 추가로 공개했습니다. 프런트엔드 개발자는 Courses 을 통해 프런트엔드 전용 Missions 에도 액세스할 수 있습니다. 

이번 업데이트는 DOM 기반 XSS와 같은 일반적인 취약점부터 CSS 인젝션과 같이 덜 자주 발생하는 취약점까지 프론트엔드 관련 취약점을 포괄적으로 다루기 위해 노력했습니다. 단계별 연습은 프론트엔드 개발자에게 취약점이 어떻게 악용되는지에 대한 신뢰할 수 있는 지침을 제공하며, 고급 개발자는 Missions 에서 자신의 기술을 테스트해 볼 수도 있습니다( Tournaments). 

보안 문화를 확장하는 흥미롭고 새로운 방법 

이제 사용 가능합니다: 다중 회사 Tournaments 

‍

다중 회사 Tournaments 를 만들어 여러 사업체, 회사 자회사, 파트너 및 기타 회사의 개발자 간에 선의의 경쟁을 할 수 있습니다. 이를 통해 안전한 코딩 문화가 조직 전체와 여러 브랜드에 걸쳐 확장될 수 있습니다.  

궁극의 멀티 컴퍼니 Tournament 에 참가하고 싶으신가요? 사이버 보안 인식의 달을 맞아 SCW의 글로벌 tournament 에서 열리는 제3회 연례 개발자 올림픽에 등록하세요! 이미 고객인 경우 플랫폼을 통해 등록할 수 있습니다. 

관리자 및 개발자 환경 간소화

이제 사용할 수 있습니다: 코스 필터링 

코스 관리 페이지에서 추가 필터를 적용하는 기능을 사용하면 관리자가 작업하려는 코스를 훨씬 더 간단하게 필터링할 수 있습니다. Courses 상태, 종료 날짜 및 등록한 팀과 같은 여러 속성을 기준으로 필터링할 수 있습니다.

이제 사용 가능합니다: SCIM으로 SCW 라이선스 관리하기 

이제 프로그램 소유자와 회사 관리자는 프로그래밍 방식으로 개발자를 대규모로 관리하고 액세스 제어가 항상 최신 상태라는 확신을 가질 수 있습니다.

SCIM 프로비저닝은 ID 공급자를 사용하여 Secure Code Warrior 에 대한 액세스를 동기화합니다. 이러한 작업을 자동화하면 정확성, 보안 및 규정 준수를 보장하여 사용자를 프로비저닝할 때 시간과 리소스를 모두 절약할 수 있습니다. 현재 SCW는 사용자 수준에서만 SCIM 프로비저닝을 지원하며 아직 SCIM 그룹에 대해서는 지원하지 않습니다.

미리 보기로 제공됩니다: 프로그램 워크플로

 이제 플랫폼의 주요 사용성 개선으로 확장 가능하고 매력적인 보안 코드 교육 프로그램을 구성하는 것이 그 어느 때보다 쉬워졌습니다. courses 및 평가를 다단계 프로그램으로 구성하여 학습자에게 더 많은 가이드를 제공할 수 있도록 프로그램이 만들어졌습니다. 이제 플랫폼에서 미리 보기를 활성화한 고객은 자동화된 프로그램 워크플로를 사용할 수 있습니다. 프로그램 워크플로를 통해 개발자는 어디서부터 시작해야 할지 알고, 다음 단계로 이동할 수 있으며, 안전한 코드 학습 프로그램에서 다양한 레벨을 쉽게 이동할 수 있습니다. 또한 회사 관리자는 프로그램을 설정하고 관리하며 개발자가 다음 학습 활동을 완료하도록 유도하는 데 소요되는 시간을 줄일 수 있습니다. 

조직에서 보안 코드 학습을 시작하는 방법에 대한 팁이 필요하신가요? 보안 목표를 달성하기 위해 프로그램을 구성하는 방법에 대한 핸드북을 읽어보세요. 

보고 및 프로그램 인사이트

미리 보기로 제공됩니다: 성능 개요 

회사 관리자는 개발자의 참여를 파악하고 보안 코드 학습 프로그램의 성공 여부를 측정하기 위해 조직 전반의 활동을 모니터링해야 합니다. 저희는 회사 관리자가 보고서에서 가장 실행 가능한 인사이트를 얻을 수 있도록 개선된 보고 인터페이스를 구축했습니다.

성과 개요는 시간 경과에 따른 평균 정확도와 함께 개발자 과정 및 assessment 수료에 대한 인사이트를 제공합니다. 이 보고서는 또한 선택한 assessment 에 대한 업계 평균 assessment 점수와 비교하여 프로그램이 어떻게 비교되는지 확인할 수 있는 통찰력 있는 업계 벤치마크를 생성합니다. 

이 간단하지만 강력한 보고서는 2024년에 계획된 Secure Code Warrior의 인사이트 및 지표 세트의 시작을 알립니다. 

Secure Code Warrior 체험에 관심이 있지만 아직 계정이 없으신가요? 지금 바로 데모를 예약하여 자세히 알아보세요. 

이번 분기의 새로운 기능에 대해 소개해 드렸습니다! 최신 릴리스 및 개선 사항에 대한 업데이트를 받으려면 LinkedIn과 X(구 트위터) 에서 Secure Code Warrior 를 팔로우하세요.

‍

‍

소프트웨어 공급망 사이버 공격이 점점 더 일반화되면서 미국 정부 차원의 법 개정이 잇따르고 있으며, 기업들은 광범위한 위험 프로필을 완화하고 소프트웨어 품질을 빠르게 개선하기 위해 분주히 움직이고 있습니다. 올해에만 파일 공유 서비스와 관련된 제로데이 취약점이 세 건이나 발견되었으며, 그 중 가장 규모가 크고 파괴력이 큰 것은 MOVEit 대량 익스플로잇입니다.

CL0P 랜섬웨어 그룹이 주도한 MOVEit 사건은 한동안 사이버 보안 뉴스를 지배했으며, 1,000개 이상의 조직이 영향을 받았습니다. 이 숫자는 계속 증가할 것으로 예상되며, 2021년 솔라윈즈 이후 가장 강력한 소프트웨어 공급망 공격 중 하나가 될 것입니다.

이 광범위한 침해의 촉매제는 SQL 인젝션 취약점 클러스터였으며, 결국 MITRE로부터 10점 만점에 9.8점의 심각도 점수를 받았습니다. SQL 인젝션은 90년대 후반부터 보안 전문가들의 골칫거리였으며, 상당히 간단한 수정 방법임에도 불구하고 최신 소프트웨어에 계속 침투하여 위협 행위자에게 민감한 데이터에 대한 레드카펫을 제공하고 있습니다. 

MOVEit 시나리오는 많은 개발자와 앱보안 전문가가 이전에 경험했던 것과는 조금 다르며, 여기에서 실시간 시뮬레이션을 통해 SQLi 공격 기술을 테스트해 볼 수 있습니다:

>>>MOVEit 미션 플레이하기

취약점: SQL 인젝션

프로그레스 소프트웨어의 MOVEit 파일 전송 애플리케이션을 익스플로잇하는 데 정확히 어떻게 SQL 인젝션이 사용되었나요?

CL0P 랜섬웨어 그룹은 SQL 인젝션 취약점 CVE-2023-34362를 악용하여 MOVEit의 데이터베이스에 제한 없이 무단으로 액세스할 수 있었습니다. 이를 통해 시스템 설정 검색, SQL 데이터베이스 열거, MOVEit 전송 시스템에서 파일 검색, 전체 관리 권한이 있는 새 계정 생성 등 여러 가지 고위험하고 중요한 프로세스를 실행할 수 있는 웹 셸인 LEMURLOOT를 설치할 수 있었습니다.

이 공격 벡터는 잘못된 코딩 패턴의 지속적인 사용으로 인한 비교적 단순한 오류의 결과일 수 있지만, 기업 차원에서 지속적인 문제를 야기할 수 있는 잠재력은 엄청납니다. 

MOVEit 익스플로잇과 비교하여 악성 SQL을 삽입하고 실행하는 방법을 시뮬레이션하는 이 SQLi 설명서를 살펴봅시다:
↪CF_200D↩

이 쿼리 문자열 및 변수:
↪CF_200D↩

문자열 이메일주소 ="contact@scw.com";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";

을 입력하면 다음과 같은 쿼리가 표시됩니다:
↪CF_200D↩

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'";
↪f_200D↩

... 그리고 악의적으로 조작된 입력:
↪CF_200D↩

문자열 emailAddress = "contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";
‍

↪CF_200D↩가 됩니다.

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--'";
↪f_200D↩

비행 중에는 어떻게 보이나요?

문자열 연결로 인해 입력이 SQL 구문으로 해석되고 있습니다. 먼저 작은따옴표가 추가되어 SELECT 문이 유효한 SQL 구문인지 확인합니다. 다음으로 세미콜론이 추가되어 첫 번째 문을 종료합니다. 

이 작업이 완료되면 유효한 DELETE 문이 추가되고 그 뒤에 하이픈 두 개를 추가하여 후행 문자(작은따옴표)를 주석 처리합니다. 예를 들어 악성 SQL이 사용자의 역할이나 비밀번호를 업데이트하는 경우 UPDATE 문을 쉽게 추가할 수 있습니다.
‍

이 플레이 가능한 미션에서 직접 체험해 보세요:
↪CF_200D↩

>>> 플레이 더 무브잇 미션
↪CF_200D↩

비교적 간단하지만 SQLi는 여전히 강력한 공격 벡터이며 너무 흔한 공격 벡터입니다. MOVEit의 경우, 이 익스플로잇을 통해 백도어를 설치하여 피해를 입혔으며, 비슷한 심각도의 추가 공격이 이어졌습니다.

SQL 인젝션 위험을 어떻게 완화할 수 있을까요?

비즈니스 운영의 일부로 무브잇을 사용하는 모든 기업은 프로그레스 소프트웨어에서 권장하는 해결 방법을 반드시 따라야 합니다. 여기에는 긴급 수준의 우선 순위로 보안 패치를 적용하는 것이 포함되지만 이에 국한되지는 않습니다.

SQL 인젝션에 대한 전반적인 내용은 종합 가이드를 참조하세요.

안전한 코드를 작성하고 위험을 완화하는 방법에 대해 자세히 알아보고 싶으신가요?

더 많은 무료 코딩 가이드라인에 관심이 있으시다면 보안 코딩 모범 사례를 파악하는 데 도움이 되는 Secure Code Coach를 확인해 보세요.

시리즈 C 펀딩을 발표한 지 얼마 지나지 않아 회사 여정의 또 다른 단계를 발표하게 되어 기쁘게 생각합니다. 보안 업계의 리더인 Synopsys가 제품군에 흥미로운 새 기능을 추가했습니다: Synopsys 개발자 보안 교육, Secure Code Warrior. 전체 보도 자료는 여기에서 확인할 수 있습니다.

업계를 선도하는 애플리케이션 보안 솔루션 포트폴리오의 확장은 기업 보안 프로그램이 올바른 방향으로 나아가는 긍정적인 단계이며, 특히 보안에 대한 공동 책임과 관련된 모범 사례 DevSecOps 방법론을 수용할 수 있게 해줍니다. 간단히 말해, 이번 통합은 보안에 능숙한 개발자의 글로벌 기반을 확대할 것이며, 모든 조직이 개발자의 안전한 코딩을 통해 코드 수준의 취약성 감소를 지원할 수 있는 좋은 기회입니다. 

사상 최악의 사이버 공격이 발생한 이후 각국 정부는 소프트웨어 공급업체를 더욱 면밀히 조사하고 있으며, 미국의 CISA는 올해 사이버 보안 결과에 대한 최종 책임은 최종 사용자가 아닌 공급업체에 있음을 권고하는 보안 설계 및 기본 지침을 발표했습니다. 많은 소프트웨어 공급업체는 이를 위해 내부 보안 관행을 대대적으로 점검해야 하며, 그렇지 않을 경우 막대한 벌금을 물어야 할 위험에 처하게 됩니다. 이는 전 세계적으로 타협할 수 없는 문제가 될 것이며, 사이버 보안 기술 부족이라는 변명은 통하지 않을 것입니다. 더 안전한 소프트웨어를 만드는 데 중요한 역할을 하려면 보안에 대한 인식이 있는 개발자가 필요하며, 지금 당장 개발자가 필요합니다.

유연하고 사용자 지정 가능한 애자일 학습 솔루션은 지금까지 많은 개발자가 앱 보안 이니셔티브에서 겪었던 부정적인 경험뿐만 아니라 잘못된 코딩 패턴에 대한 강력한 해독제입니다. 적시에 올바른 정보를 제공하기 위해서는 개발자의 마음을 사로잡고, 수용하며, 워크플로에 맞는 학습 경로를 제공해야 합니다. Synopsys와 저희 플랫폼의 통합은 이 문제에 대한 실행 가능하고 시장을 선도하는 솔루션이며, 개발자와 보안의 관계를 근본적으로 개선할 수 있습니다.

사이버 범죄로 인해 2025년까지 전 세계 기업이 연간 약 10조 5,000억 달러의 손실을 입을 것으로 예상되며, 이는 2015년의 3조 달러에서 지속적으로 증가하는 추세입니다. 사이버보안 벤처스(Cybersecurity Ventures)는 사이버 범죄가 "역사상 가장 큰 경제적 부의 이전"을 의미한다고 보고했습니다. 업계 전체가 코드를 작성하는 모든 개인에게 안전한 코딩 교육을 우선시하고 소프트웨어 품질의 척도로서 보안에 대한 새로운 기준을 설정해야 합니다. 이제 개발자를 위한 관련성이 높은 실습형 애자일 학습을 포함하는 Synopsys의 포괄적인 도구 제품군을 통해 개발자 중심의 예방적 보안 프로그램으로 의미 있게 전환하기에 이보다 더 좋은 시기는 없었습니다.

SDLC에서 보안 코드를 위한 애자일 학습의 성과 

이 글은 보안 코드를 위한 애자일( Learning Platform )의 특성과 이점에 대해 설명하는 3부작 블로그 시리즈 중 세 번째 글입니다. 1부에서는 애자일 학습의 개념과 Secure Code Warrior의 플랫폼이 몇 가지 애자일 원칙을 어떻게 구현하는지 소개했습니다. 2부에서는 애자일 learning platform 이 기존의 규정 준수 중심의 보안 교육을 어떻게 대체하는지 살펴보았습니다.  

애자일( learning platform )은 학습자가 일상 업무에 진정으로 통합된 실습과 상황별 교육을 결합하여 새로운 기술을 보다 효과적으로 내재화하고 사용할 수 있는 학습 경험을 제공합니다. 이러한 학습 접근 방식은 SCW가 보안 코딩 기술을 습득하는 개발자에게 적용한 것으로, SCW를 기존 학습 방식과 구분하고 차별화합니다. 이 시리즈의 세 번째이자 마지막 블로그에서는 보안 코드에 대한 애자일( learning platform )을 통해 조직이 기대할 수 있는 ROI와 조직에 맞는 수치를 모델링하는 방법을 안내합니다.

비즈니스 영향

보안 코드 학습을 위해 애자일 접근 방식을 채택한 조직은 취약점을 더 빠르게 수정하고 재작업 비용을 피할 수 있다는 두 가지 이점을 통해 비즈니스에 2~3배의 영향을 미칩니다. 

‍

‍

SDLC 초기에 취약점을 해결할수록 취약점으로 인해 발생할 수 있는 피해가 줄어들고 수정하는 데 드는 비용도 줄어듭니다. Aetna의 최고 보안 책임자이자 MassMutual의 CISO를 역임한 보안 전문가 짐 루스에 따르면, 소프트웨어가 프로덕션에 배포된 후 유지 관리 모드에서 결함을 수정할 경우 SDLC 단계의 결함당 비용이 14,000달러 이상으로 증가한다고 합니다. 테스트 중에 결함을 해결하면 비용이 절반으로 줄어들고 코딩 단계에서 해결하면 14배나 저렴해질 수 있습니다.  

‍

‍

개발자가 취약점을 더 빨리 수정하거나 완전히 방지할 수 있는 역량을 갖출수록 조직은 소프트웨어 제품 및 내부 애플리케이션에서 감수해야 하는 비용과 위험을 줄일 수 있습니다. 취약성 예방 및 소프트웨어 품질에 투자하려는 조직은 개발자에게 즉각적인 비즈니스 효과를 위해 특별히 설계된 유연한 환경과 다양한 학습 경로를 제공하는 애자일( learning platform )을 제공합니다.

‍

NIST의 연구에 따르면 취약점을 수정하는 데 필요한 시간은 다양하지만, 아래 표의 추정치는 대기업 고객과의 실제 시나리오에서 확인된 것입니다.

‍

‍

SCW 고객은 팀이 새로운 보안 코딩 기술을 개발한 후 개발자가 취약점을 50~60% 더 빠르게 수정하고 프로덕션 코드에서 고위험 취약점을 50% 더 적게 생성하는 것으로 나타났습니다. 조직마다 경험은 다르지만 이러한 결과는 개발자가 5,000명 이상인 대기업에서 관찰되었습니다. 개발자 생산성 향상은 수익에도 영향을 미쳤습니다.

운영 비용 절감: 더 빠르게 취약점 수정

보다 안전한 소프트웨어 개발 프로세스의 재정적 영향과 애자일( learning platform )에 대한 투자가 개발자가 취약점을 더 빨리 수정하는 데 어떻게 도움이 되는지 이해하려면 아래 모델을 사용하여 파란색의 변수에 자신의 숫자를 대입해 보세요:

 기준선:

‍

애자일 learning platform 이 MTTR(평균 해결 시간)에 미치는 영향 추정치

‍

예방 가치: 재작업 비용 방지

애자일( learning platform )은 개발자가 처음부터 안전한 코드를 작성할 수 있도록 도와줍니다. 이러한 재정적 영향을 결정하는 모델은 아래에 제시되어 있습니다.

‍

차이를 만드는 애자일 학습 접근 방식

보안 코드를 위한 SCW 애자일( learning platform )은 다른 개발자 보안 교육 접근 방식보다 우수합니다. SCW 고객들은 뛰어난 성과를 거두었으며, 물론 개별적인 비용과 고유한 상황의 취약성 지표에 따라 차이가 있습니다. 한 대형 금융 서비스 회사인 En베스트넷의 조사에 따르면 SCW 교육을 받은 개발자는 그렇지 않은 개발자보다 2.7배 더 많은 취약점을 수정한 것으로 나타났습니다. 또한 SCW 교육을 받은 1,200명의 개발자로 구성된 그룹은 대기열에서 취약점 수정률이 120% 증가했습니다.   

모든 비즈니스 솔루션 투자와 마찬가지로 고유한 상황을 평가하는 것이 중요합니다. 저희 팀은 귀사의 현재 상태를 assessment 에서 파악하여 맞춤형 비즈니스 사례를 개발할 수 있습니다. 자체적으로 영향을 평가하고 싶다면 이 블로그에 설명된 모델을 사용하고, 보안 문화를 구축하기 위한 강력한 프로그램의 일환으로 취약성에 대한 MTTR을 82% 단축한 영국에 본사를 둔 2조원 규모의 회계 및 ERP 소프트웨어 회사인 Sage의 최근 고객 웨비나를 살펴보세요.

약 Secure Code Warrior

Secure Code Warrior 는 개발자에게 안전한 코드를 작성할 수 있는 기술을 제공합니다. learning platform 은 개발자가 소프트웨어 보안 원칙을 배우고, 적용하고, 유지할 수 있도록 애자일 학습 방법을 사용하기 때문에 가장 효과적인 보안 코딩 솔루션입니다. 600개 이상의 기업이 애자일 학습 보안 프로그램을 구현하고, 안전한 소프트웨어를 신속하게 제공하며, 개발자 중심의 보안 문화를 조성하기 위해 Secure Code Warrior 을 신뢰하고 있습니다. 자세히 알아볼 준비가 되셨나요? 데모를 요청하세요. 

임베디드 애자일 학습은 미래입니다 

이전 블로그에서 애자일 학습의 개념과 Secure Code Warrior의 보안 코드용 플랫폼이 몇 가지 애자일 원칙을 어떻게 예시하는지 소개했습니다. 3부로 구성된 블로그 시리즈 중 두 번째 블로그에서는 보안 코드를 위한 애자일 learning platform 이 대부분의 조직이 익숙한 기존의 규정 준수 중심의 보안 교육을 대체할 수 있는 방법을 계속 살펴봅니다.

보안 코드 학습에 대한 기존의 규정 준수 중심 접근 방식은 분기별 또는 연간 단위로 시행되는 정적, 특정 시점 교육입니다. 이 형식의 문제점은 개발자가 보안 코딩에 대해 학습할 동기를 부여하지 않고 새로운 기술을 습득하여 업무에 사용하는 데 도움이 되지 않는다는 것입니다. 중요한 업무에 시간을 빼앗기고 생산성 저하를 감수하면서까지 규정 준수 교육에 몇 시간을 투자하고 싶어 하는 사람은 아무도 없습니다. 

Gartner에 따르면 애자일 학습 접근 방식은 사람들이 가장 필요한 순간에, 그리고 일상적인 업무 활동 속에 포함된 마이크로버스트라고 하는 작은 단위로 교육이 이루어질 때 가장 많이 학습한다는 사실을 인식합니다^.1

Secure Code Warrior 는 여러 마이크로버스트 학습 형식을 결합한 유일한 애자일 learning platform 으로, 개발자가 원하는 형식으로 이미 수행 중인 실제 작업의 맥락에서 지식을 빠르게 학습, 테스트 및 적용할 수 있습니다. 안전한 코드를 위한 애자일 학습은 생산성을 보존할 뿐만 아니라 개발자가 학습에서 실행으로 쉽게 이동할 수 있는 경로를 제공합니다.   

‍

¹ 출처: 애자일 학습 선언문 Gartner

가치 전달 및 학습에서 수익 창출로 이어지는 흐름

애자일 학습 시스템은 업무에 직접적인 영향을 미칠 수 있는 가치 전달의 흐름 안에 학습 기회를 엮어 학습을 수익과 연결하기 때문에 효과적입니다(Gartner의 말처럼). 특정 시점의 규정 준수 교육은 개발자에게 시간이 지나도 지속되지 않고 기술을 쌓지 못하며, 업무의 일부로 학습할 동기를 부여하지도 않습니다. 애자일 학습은 학습을 업무의 시간이 아닌 업무의 일부로 만듭니다.

Secure Code Warrior의 플랫폼은 개발자의 일상적인 워크플로에 적시에 마이크로버스트 콘텐츠를 제공하여 컨텍스트 전환을 없애고 개발자가 매일 사용하는 개발 도구(예: GitLab, GitHub, AzureBoards, Jira)에서 편리하게 이용할 수 있도록 합니다. 이를 통해 업무와 연결성을 유지하면서 동시에 학습할 수 있습니다.

↪CF_200D↩소셜증폭 및 커뮤니티 복합화

개발자는 강한 공동체 의식을 가지고 있습니다. 전 세계 수백만 명의 개발자가 지식을 공유하고 소비하는 GitHub와 같은 공간에서 이를 확인할 수 있습니다. 애자일 학습 원칙은 사람들이 혼자보다는 그룹 내에서 더 많은 것을 배운다는 사실을 인정합니다. 소셜 커뮤니티는 새로운 기술을 강화하고 사회적 증폭을 통해 보안 코드를 가르치는 것의 이점을 복합적으로 누릴 수 있는 유용한 수단입니다.

Secure Code Warrior의 보안 콘텐츠는 소셜 증폭 기능이 내장되어 있어 쉽게 액세스하고 소비할 수 있습니다. tournaments 및 내부 포인트 시스템을 통해 SCW의 플랫폼은 개별 개발자의 자신감을 키우고 배우고 싶게 만드는 동기 부여의 역할을 합니다. Tournaments 기업에서 공개적으로 보안 코딩 기술의 프로필을 높이고 개발자가 보안 코딩 기술을 구축할 수 있는 강력한 인센티브를 제공합니다.

교육에서 애자일 학습으로 전환하기

보안 교육에서 보안 코드에 대한 애자일 학습으로 접근 방식을 전환하면 개발자 인력을 활성화하고 낭비되는 개발자 시간을 회수하여 보다 생산적인 프로젝트에 적용할 수 있는 강력한 방법이 됩니다. 애자일 원칙에 기반한 학습 솔루션으로 여정을 시작하세요. SCW 애자일 ( Learning Platform )은 개발자에게 새로운 기술을 구축하는 방법에 대한 선택권을 제공하기 때문에 보안 코드를 위한 가장 효과적인 학습 솔루션입니다. 애자일 학습 방법을 통합하면 개발자가 새로운 기술을 습득하고 내재화하여 업무에 적용할 수 있는 능력이 크게 향상됩니다. 600개 이상의 기업이 애자일 학습 보안 프로그램을 구현하고, 안전한 소프트웨어를 신속하게 제공하며, 개발자 중심의 보안 문화를 조성하기 위해 Secure Code Warrior 을 신뢰하고 있습니다. 애자일( learning platform )이 실제로 작동하는 모습을 볼 준비가 되셨나요? 데모를 요청하세요.