보안 코드 인사이트

Secure Code Warrior는 고객 경험을 향상시키고 플랫폼을 통해 부가가치를 높이기 위해 끊임없이 혁신을 이어가고 있습니다.

이번 달에는 코스 관리자 경험, 대기 시간을 단축하고 새 기능에 조기 접근할 수 있는 기능, 그리고 SAP: ABAP 콘텐츠의 새로운 업데이트를 출시했습니다.

언어 및 취약점 범주 전체에 걸쳐 일괄 작업을 실행할 수 있는 강력한 표 형식 뷰 덕분에 관리자는 최종 사용자 경험이 향상되고 코스를 보다 쉽게 관리할 수 있게 되었습니다. 또한, 간단히 켜기/끄기만 전환하면 새로운 기능을 조기에 활용할 수 있게 되었습니다.

바로 알아봅시다!

새로운 코스 생성 기능을 통해 코스 생성 및 관리가 더욱 간편해졌습니다.

일괄 작업을 통해 여러 학습 경로와 언어를 아우르는 코스를 간편하게 설계하고 배포할 수 있게 되었습니다. 시간을 들여 프로세스를 재현하는 대신, 개발자가 더 효과적으로 학습할 수 있도록 콘텐츠와 전략에 더 집중할 수 있습니다.

현재 코스 생성 흐름 업데이트는 기업 관리자가 이용할 수 있습니다.

강력한 표 형식 뷰와 검색 기능으로 코스 설계에 소요되는 시간을 절약하세요

모든 언어와 취약성 범주의 코스 정보를 하나의 뷰에서 확인할 수 있게 되어, 다양한 개발 팀을 위한 코스를 빠르고 쉽게 생성할 수 있게 되었습니다.

새로운 표 형식 뷰를 통해 콘텐츠 개요를 한눈에 확인하거나 세부 정보를 쉽게 탐색할 수 있습니다. 또한 코스 콘텐츠는 언어 및 취약점 범주별로 그룹화되었으며, 각 그룹 수준에서 활동 유형, 난이도 등의 세부 정보가 추가되어 쉽게 탐색할 수 있게 되었습니다.

검색 기능을 사용하거나 필터를 적용하여 집중하고 싶은 세부 정보로 범위를 좁힐 수도 있습니다. 또한 테이블 데이터를 다른 애플리케이션으로 내보내거나, 모든 행 또는 필터링된 행을 CSV 파일로 내보내 추가 분석을 수행할 수도 있습니다.

‍

일괄 작업으로, 적은 클릭으로 더 많은 것을 실현하세요

모든 언어에 변경 사항을 적용하는 대신, 한 곳에서 코스를 일괄 변경할 수 있습니다. 일괄 작업으로 관리자는 시간을 절약할 수 있으며, 개발자는 적절한 코스 경험을 설계하는 중요한 업무에 집중할 수 있습니다.

새로운 일괄 작업에는 다음이 포함됩니다.

• OWASP Top 10 및 모든 언어의 특정 취약점 카테고리 등, 코스 포커스 추가
• 코스에 언어를 추가하여 콘텐츠를 빠르게 업데이트하세요
• 선택한 행 또는 모든 행의 모듈 복사, 잠금 또는 잠금 해제
• 코스에서 언어 또는 모듈을 삭제하기
• 모든 언어에 대한 환영 메시지와 과정 완료 메시지를 한 번에 설정할 수 있습니다.

‍

과정 종료 시 평가 경로

이로써, 코스 종료 시 평가를 각 언어에 맞게 조정하고 하나의 뷰에서 관리할 수 있게 되었습니다.

언어와 코스 유형에 따라 맞춤화된 평가 경로를 쉽게 생성하여 코스 수료 시 스킬을 측정하고 평가할 수 있습니다.

신기능에 대한 조기 접근

‍

이전에는 어떤 새로운 기능이 출시되는지 알고, 공개 전에 미리 사용해보고 싶다면 고객 성공 관리자에게 문의하여 저희 팀이 기능을 활성화할 때까지 기다려야 했습니다.

이제 관리 탭에서 전환하기만 하면 팀에서 언제, 어떤 기능을 활성화할지 제어할 수 있습니다. 더 이상 기다릴 필요가 없습니다.

그냥 가기만 하면 됩니다 관리 > 더 > 얼리 액세스 해보기 위해

이 기능은 더 많은 기능, 특히 사용자 경험에 상당한 변경을 수반하는 기능에 활용되어 경험을 보다 적절하게 제어할 수 있게 합니다.

얼리 액세스에는 어떤 기능이 있는지 알고 싶으신가요? 현재 제공되는 몇 가지 옵션을 확인해 보세요.

개선된 홈페이지에서 더 통일된 경험을 위한 뷰

> 코스 최신 정보:

1. 미리보기 상태 모드
2. 코스 콘텐츠 일괄 작업
3. 글로벌 웰컴 메시지
4. 과정 종료 시 활동 개선

현재 회사 관리자는 얼리 액세스 옵션을 사용할 수 있습니다.

새로 출시된 교육 콘텐츠로 ABAP 애플리케이션을 보호하세요

이제 ABAP으로 코딩하는 개발자들도 매우 매력적이고 관련성 높은 보안 코딩 교육의 즐거움에 참여할 수 있게 되었습니다. 이 새로운 교육은 개발자가 보안 코딩 기술을 향상시키고 ABAP 코드의 취약점을 줄이는 데 도움이 됩니다.

Secure Code Warrior의 코딩 챌린지와 미션(핸즈온 랩)에서는 아래 내용을 다루는 프로그램을 제공할 수 있습니다.

1. 개발자가 필요할 때 언제든지 수강할 수 있고, 자신의 속도에 맞춰 진행할 수 있는 교육
2. 컴플라이언스, 보안 프레임워크 또는 개발자의 기술 수준에 맞춰 대상이 정해진 학습 경로
3. 즐거운 코딩 대회
4. 보안 코딩 능력 평가

ABAP 교육 콘텐츠에 대한 자세한 내용은 여기를 참조하십시오.

------

시큐어 코드 워리어를 사용해 보고 싶지만 아직 계정이 없으신가요? 무료 체험 계정에 가입하세요. 오늘 바로 시작해 보세요.

이상으로 이번 달의 새로운 기능에 대한 요약입니다. Twitter의 보안 코드 전사(Secure Code Warrior )를 팔로우하여 최신 릴리스 및 개선 사항에 대한 최신 정보를 받아보세요.

소프트웨어 취약점을 대수롭지 않게 여기거나 혁신의 걸림돌로 취급하면 조직은 데이터 유출, 평판 손상, 값비싼 법적 책임에 노출될 수 있습니다. 사이버 공격은 종종 더 강력한 개발 관행으로 예방할 수 있는 코드의 약점을 악용합니다.

시큐어 코딩은 개발의 모든 단계에 보안 원칙을 포함시킴으로써 이러한 문제를 해결합니다. 취약점이 발견된 후 수정을 구현하는 대신 개발자는 인젝션 공격 및 크로스 사이트 스크립팅(XSS)과 같은 일반적인 위협에 대한 보호 기능이 내장된 코드를 작성합니다. 시큐어 코딩을 통해 회사가 위험을 줄이고, 사용자의 신뢰를 보호하고, 규제 요건을 준수하는 동시에 신뢰할 수 있는 고품질 소프트웨어를 제공하는 데 어떻게 도움이 되는지 자세히 살펴보세요.

보안 코딩이란 무엇입니까?

시큐어 코딩은 잠재적인 취약점을 해결하기 위해 소프트웨어를 작성할 때 보안 모범 사례를 따르는 원칙입니다. 보안 코딩은 보안을 개발의 별도 단계로 취급하는 대신 초기 단계부터 검증된 안전 장치를 통합하여 개발자가 코드 보안에 대한 주인의식을 갖고 이를 효과적으로 적용할 수 있는 기술을 갖출 수 있도록 합니다.

OWASP(오픈 월드와이드 애플리케이션 보안 프로젝트) 또는 소프트웨어 엔지니어링 연구소의 CERT 부서와 같은 조직에서 만든 공인된 보안 코딩 표준은 공격자가 악용하는 일반적인 함정을 피하고자 하는 개발자에게 북극성 역할을 할 수 있습니다. 이러한 전략을 기존 워크플로에 안전하게 구현하기 위해 기초적이고 실무적인 보안 코딩 기술을 지속적으로 구축하는 것은 오늘날의 사이버 보안 환경에서 타협할 수 없는 필수 요소입니다. 예를 들어, 가능한 한 많은 사용자 입력의 유효성을 검사하면 SQL 인젝션 공격을 방지할 수 있고, 출력 인코딩은 XSS를 차단하는 데 도움이 됩니다. 이러한 보안 코딩 관행과 기타 보안 코딩 관행은 침해 위험을 줄이고 진화하는 사이버 위협에 대응할 수 있는 보다 탄력적인 애플리케이션으로 이어집니다.

보안 코딩이 중요한 이유는 무엇인가요?

많은 성공적인 사이버 공격은 개발 과정에서 예방할 수 있었던 취약점을 악용하기 때문에 보안 코딩이 중요합니다. 처음부터 보안 관행을 우선시하면 공격자가 데이터를 손상시키거나 운영을 방해하는 데 사용할 수 있는 결함을 도입할 가능성을 줄일 수 있습니다. 소프트웨어 개발 수명 주기(SDLC)의 모든 단계에 보안을 구축하면 모든 기능, 업데이트 및 통합이 보호를 염두에 두고 설계됩니다.

개발 중에 위험을 사전에 해결하는 것이 배포 후 긴급 패치, 다운타임, 사고 대응 리소스가 필요할 수 있는 문제를 해결하는 것보다 훨씬 저렴합니다. 또한 데이터 보호 규정 준수도 향상되어 잠재적인 벌금과 법적 문제를 피할 수 있습니다. 또한 안전한 코딩 관행은 회사에 대한 소비자의 신뢰를 높이고 강력한 보안을 브랜드 평판의 일부로 만듭니다.

일반적인 코드 보안 취약점

시큐어 코딩은 공격자가 악용하는 가장 빈번하고 위험한 취약점뿐만 아니라 AI 코딩 도구 사용과 같은 새로운 위협 벡터를 방지하는 것을 목표로 합니다. 다음은 몇 가지 일반적인 취약점과 이로 인해 발생할 수 있는 피해, 시큐어 코딩을 통해 취약점을 완화할 수 있는 방법에 대한 개요입니다.

역직렬화 결함

역직렬화 결함은 애플리케이션이 적절한 유효성 검사 없이 외부 소스에서 데이터를 받아 처리할 때 발생합니다. 직렬화는 개체를 저장하거나 전송할 수 있는 형식으로 변환하는 반면, 역직렬화는 해당 개체를 사용하기 위해 재구성합니다. 역직렬화 결함의 영향은 심각하여 임의 코드가 실행되거나 권한이 상승할 수 있습니다. 보안 코딩은 신뢰할 수 있고 검증된 데이터만 역직렬화하도록 하고 신뢰할 수 없는 입력의 기본 역직렬화를 가능한 한 완전히 피함으로써 이러한 문제를 해결합니다.

인젝션 공격

인젝션 공격은 공격자가 애플리케이션에서 명령 또는 쿼리의 일부로 해석되는 입력을 제공할 때 발생합니다. 가장 잘 알려진 유형은 SQL 인젝션으로, 데이터베이스 콘텐츠에 액세스하거나 변경하기 위해 쿼리에 악성 SQL 문을 삽입하는 것입니다. 다른 유형으로는 공격자가 임의의 명령을 실행하는 명령 인젝션과 경량 디렉토리 액세스 프로토콜(LDAP) 인젝션이 있으며, 인젝션 공격의 결과는 무단 데이터 액세스 및 삭제에서 전체 시스템 손상까지 광범위합니다. 민감한 개인, 금융 또는 독점 정보가 포함된 데이터베이스가 주요 공격 대상입니다. 보안 코딩은 매개변수화된 쿼리나 준비된 문을 사용하고, 신뢰할 수 없는 데이터가 처리되기 전에 이스케이프 처리하며, 엄격한 입력 유효성 검사를 시행함으로써 인젝션 취약성을 방지하는 데 도움이 됩니다. 이러한 방법과 기타 보안 코딩 관행은 공격자가 애플리케이션의 의도된 동작을 변경하는 것을 막을 수 있습니다.

교차 사이트 스크립팅(XSS)

크로스 사이트 스크립팅(XSS) 은 다른 사용자가 보는 페이지에 악성 스크립트를 삽입하여 웹 애플리케이션을 표적으로 삼는 인젝션 공격의 한 형태입니다. 이는 일반적으로 애플리케이션이 출력에 유효하지 않은 사용자 입력을 포함할 때 발생합니다. 다른 사용자의 브라우저가 해당 페이지를 렌더링하면 악성 스크립트가 실행되어 쿠키를 훔치거나 키 입력을 캡처하거나 악성 사이트로 리디렉션할 수 있습니다.

XSS의 영향에는 세션 하이재킹과 신원 도용이 포함될 수 있습니다. 기업의 경우, 민감한 데이터가 유출되면 고객 신뢰가 약화되고 규제 위반으로 이어질 수 있습니다. 보안 코딩은 표시되기 전에 사용자가 제공한 모든 입력을 살균 및 인코딩하고, 출력을 자동으로 이스케이프 처리하는 프레임워크를 사용하고, 실행 가능한 스크립트를 제한하는 CSP(콘텐츠 보안 정책)를 구현하여 XSS를 해결합니다.

액세스 제어

액세스 제어 취약점은 사용자가 보거나 수행할 수 있는 작업에 대한 규칙이 제대로 정의되거나 시행되지 않을 때 발생합니다. 액세스 제어가 손상되면 공격자는 의도된 사용자 역할 제한을 우회하여 민감한 데이터를 읽거나, 기록을 수정하거나, 권한 있는 사용자만 수행할 수 있는 작업을 수행할 수 있습니다.

접근 제어 문제는 중대한 도전 과제이며, 특히 AI 코딩 도구는 이 취약점 클래스를 효과적으로 해결하는 데 어려움을 겪고 있어 개발자의 기술과 인식의 필요성이 강조되고 있습니다. 접근 제어의 허점이 미치는 영향은 심각합니다. 예를 들어 공격자가 관리자 전용 기능에 액세스할 수 있는 경우 보안 설정을 비활성화하거나 개인 정보를 추출하거나 다른 사용자를 사칭할 수 있습니다.

보안 코딩 관행은 최소 권한 원칙에 따라 모든 요청에 대해 서버 측 권한 확인을 시행하고, 보안 조치로 링크 숨기기와 같은 모호성에만 의존하지 않음으로써 이러한 위험에 대응합니다. 또한 엄격한 액세스 제어 테스트를 수행하면 이러한 보호 기능이 장기적으로 강력하게 유지되는 데 도움이 됩니다.

사이트 간 요청 위조(CSRF)

크로스 사이트 요청 위조(CSRF) 공격은 사용자가 인증된 다른 사이트에서 원치 않는 작업을 수행하도록 강제합니다. 여기에는 자금 이체, 이메일 주소 변경, 계정 설정 수정 등이 포함될 수 있습니다. 이 공격은 브라우저가 쿠키와 같은 유효한 인증 토큰을 위조된 요청에 자동으로 포함하기 때문에 작동합니다.

보안 코딩은 각 사용자 세션에 고유한 CSRF 방지 토큰을 구현하고 상태 변경 요청 시마다 토큰의 유효성을 검사하여 CSRF를 방어합니다. 중요한 작업에 대해 재인증을 요구하고 쿠키가 사이트 간 요청과 함께 전송되는 것을 방지하기 위해 쿠키에 SameSite 속성을 설정하는 등의 추가 방어 기능이 있습니다. 이러한 보호 기능을 개발 라이프사이클에 포함하면 시스템이 합법적이고 의도적인 작업만 처리할 가능성을 훨씬 더 높일 수 있습니다.

안전하지 않은 인증

안전하지 않은 인증은 사용자의 신원을 확인하는 프로세스가 취약하거나 예측 가능하지 않거나 기타 결함이 있는 경우에 발생합니다. 이는 잘못된 비밀번호 정책, 안전하지 않은 자격증명 저장소 또는 MFA(다단계 인증) 부족으로 인해 발생할 수 있습니다. 공격자는 무차별 암호 대입 공격, 자격증명 스터핑, 전송 중인 암호화되지 않은 자격증명 가로채기 등 다양한 방법을 통해 이러한 취약점을 악용할 수 있습니다. 안전하지 않은 인증은 공격자가 사용자 계정, 관리 제어 및 민감한 데이터에 직접 액세스할 수 있기 때문에 그 영향이 심각합니다. 일단 내부에 침입하면 시스템을 추가로 손상시키거나 중요한 정보를 빼낼 수 있습니다.

보안 코딩은 강력한 비밀번호 요건을 적용하고, 저장된 자격 증명을 해시 및 솔트 처리하며, 모든 인증 교환에 HTTPS와 같은 보안 프로토콜을 사용하고, MFA를 통합하여 추가적인 인증 계층을 제공함으로써 이 취약점을 해결합니다. 또한 개발자는 실패한 시도를 제한하고 의심스러운 활동을 조기에 감지할 수 있도록 로그인 메커니즘을 설계하여 인증 시스템이 약점이 아닌 강력한 방어선 역할을 하도록 해야 합니다.

따라야 할 6가지 보안 코딩 관행

안전한 소프트웨어를 구축하려면 어떤 위협이 존재하는지 아는 것 이상의 것이 필요합니다. 검증된 보안 코딩 관행과 패턴을 학습하고 통합해야 합니다. 아래의 기술은 개발자가 모든 프로젝트에서 보안을 필수적인 부분으로 만들기 위해 취할 수 있는 실행 가능한 단계를 제공합니다.

1. 사용자 액세스 제어 구현

위에서 언급한 바와 같이 사용자 액세스 제어란 시스템의 각 사용자 역할에 대한 권한을 정의하고 적용하는 것을 의미합니다. 강력한 액세스 제어는 권한이 없는 사용자가 민감한 데이터를 보거나 기록을 수정하거나 관리 작업을 수행하지 못하도록 방지합니다. 또한 공격자는 해당 계정의 권한만 가지게 되므로 사용자 계정이 손상된 경우 피해를 제한할 수 있습니다. 

효과적인 사용자 접근 제어를 위해서는 신원을 확인하기 위한 강력한 인증과 인증된 사용자가 요청된 작업을 수행할 수 있는 권한이 있는지 확인하는 권한 확인이 필요합니다. 사용자에게 업무 수행에 필요한 최소한의 액세스 권한만 부여하는 최소 권한 원칙에 맞게 액세스 제어 관행을 정기적으로 검토해야 합니다. 또한 접근 제어는 정기적인 모니터링을 통해 시스템 내 정책과 사용자를 최신 상태로 유지하고 비정상적인 활동을 신속하게 신고하는 감사와 함께 이루어져야 합니다.

2. 데이터 유효성 검사 및 살균

데이터 유효성 검사 및 살균에는 처리하기 전에 모든 입력이 예상되는 형식, 유형 및 패턴을 충족하는지 확인한 다음 잠재적으로 위험한 콘텐츠를 제거하기 위해 데이터를 정리하는 작업이 포함됩니다. 이러한 관행은 모든 외부 소스에서 들어오는 데이터에 적용되어야 하며, 신뢰할 수 있는 소스도 손상될 수 있으므로 모든 입력은 확인될 때까지 신뢰할 수 없는 것으로 취급되어야 합니다. 개발 프로세스에 유효성 검사 및 살균 기능을 구축하면 인젝션 공격과 같은 일반적인 위협에 대해 애플리케이션의 복원력을 유지할 수 있습니다.

3. 현대 언어로 쓰기

안전한 코딩은 단순히 코드를 작성하는 방법에 관한 것이 아닙니다. 애초에 보안 결함을 쉽게 방지할 수 있는 도구와 환경을 선택하는 것이기도 합니다. 많은 기업에서 최신 언어로 완전히 전환하는 것은 현실적이거나 효율적인 옵션이 아닌 경우가 많지만, 최신 프로그래밍 언어를 일부라도 사용하고 선택한 모든 언어의 최신 버전을 사용하면 소프트웨어 보안을 향상시킬 수 있습니다. 최신 언어와 프레임워크는 일반적으로 더 나은 메모리 안전성, 더 강력한 타입 검사, 일반적인 취약성에 대한 기본 보호 기능을 제공합니다. 예를 들어, Rust 및 Go와 같은 언어는 안전을 염두에 두고 설계되어 오래된 언어에서 발생하기 쉬운 버퍼 오버플로우와 같은 문제를 방지하는 데 도움이 됩니다.

Java나 Python과 같은 기존 언어는 현대화 및 보안이 어려울 수 있지만, 최신 릴리스를 유지하면 최신 보안 기능과 성능 개선 사항을 이용할 수 있습니다. 많은 업데이트는 알려진 취약점을 패치하고, 안전하지 않은 기능을 더 이상 사용하지 않으며, 보다 안전한 기본 설정을 제공합니다. 

4. 코드 난독화 연습

코드 난독화는 공격자가 소스 코드 또는 컴파일된 코드를 이해하거나 리버스 엔지니어링 또는 조작하기 어렵게 만드는 프로세스입니다. 다른 보안 조치를 대체할 수는 없지만 애플리케이션의 로직과 민감한 루틴을 눈에 띄지 않게 숨겨 또 다른 방어 계층을 추가합니다. 난독화에는 변수와 함수의 이름을 의미 없는 식별자로 바꾸거나 코드를 따라가기 어려운 방식으로 재구성하는 등의 기술이 포함될 수 있습니다.

공격자가 취약점을 찾아 악용하는 데 필요한 비용과 노력을 높이는 것이 목표입니다. 시큐어 코딩에서 난독화는 다른 강력한 보안 관행과 함께 작동하여 애플리케이션을 덜 매력적인 공격 대상으로 만듭니다.

5. 코드 스캔 및 모니터링

안전한 코딩 관행에는 코드를 적극적으로 스캔하고 모니터링하는 것도 포함됩니다. 정적 애플리케이션 보안 테스트(SAST) 도구는 배포 전에 알려진 취약점이 있는지 소스 코드를 분석하고, 동적 애플리케이션 보안 테스트(DAST) 도구는 실행 중인 애플리케이션에서 악용 가능한 결함이 있는지 실시간으로 테스트합니다. 두 가지 접근 방식을 결합하면 문제를 조기에 지속적으로 파악하는 데 도움이 됩니다.

개발 중 스캔 외에도 프로덕션 환경에서 지속적인 모니터링을 구현하는 것이 중요합니다. 여기에는 비정상적인 활동에 대한 경고를 설정하고 보안 이벤트를 로깅하며 런타임 애플리케이션 자가 보호(RASP) 도구를 활용하여 실시간으로 공격을 탐지하고 차단하는 것이 포함됩니다. 정기적인 스캔과 모니터링을 통해 개발 중에 취약점이 발견되더라도 심각한 피해가 발생하기 전에 신속하게 해결할 수 있는 가시성을 확보할 수 있습니다.

6. 보안 코딩 표준 문서화 및 구현

보안 코딩 표준을 문서화하려면 팀이 안전하고 유지관리 가능하며 규정을 준수하는 코드를 작성하는 방법을 정의하는 명확한 가이드라인을 만들어야 합니다. 이러한 표준에는 입력 유효성 검사, 오류 처리, 암호화 관행, 세션 관리와 같은 주제는 물론 기술 스택에 특정한 일반적인 취약성을 해결하는 방법도 포함되어야 합니다.

이러한 표준을 마련하면 주니어 엔지니어부터 선임 아키텍트까지 모든 개발자가 동일한 보안 원칙을 따르도록 보장할 수 있습니다. 이러한 표준을 교육 및 정기 업데이트와 함께 사용하면 개발 프로세스를 최신 보안 요구사항에 맞게 유지하는 데 도움이 되는 살아있는 리소스가 됩니다.

안전한 코딩 표준 및 프레임워크

자체 코딩 표준을 만드는 데 도움이 필요하다면 아래의 인기 있는 가이드라인이 도움이 될 수 있습니다. 이 가이드라인은 일반적인 취약점을 해결하는 다양한 사례를 다루고 있으며 코딩 노력을 업계 모범 사례에 맞추는 방법을 명확히 하는 데 도움이 될 수 있습니다.

OWASP 보안 코딩 관행

OWASP는 처음부터 끝까지 코드에 보안을 포함하고자 하는 개발자에게 가장 널리 알려진 소스 중 하나입니다. OWASP 개발자 가이드와 OWASP 톱 10과 같은 주요 보안 코딩 리소스를 생산합니다. OWASP의 접근 방식은 개발자가 개발 중에 적용할 수 있는 체크리스트와 코딩 팁을 제공하는 등 실행 가능성이 매우 높습니다.

OWASP 가이드라인을 따르면 프로젝트 전반에 걸쳐 보안 코딩을 위한 공통 기준을 만들 수 있어 팀에 도움이 됩니다. 새로운 위협 벡터와 공격 기법을 반영하기 위해 정기적으로 업데이트되므로 조직은 이를 사용하여 새로운 위험에 한발 앞서 대응할 수 있습니다. OWASP의 원칙을 워크플로에 구축하면 코드 품질을 개선하고 취약성을 줄이며 널리 받아들여지는 업계 가이드라인에 부합할 수 있습니다.

NIST 보안 소프트웨어 개발 프레임워크

미국 국립표준기술연구소(NIST)는 광범위한 사이버 보안 프레임워크와 함께 포괄적인 보안 코딩 지침을 발표합니다. NIST 보안 소프트웨어 개발 프레임워크(SSDF) 는 높은 수준의 보안 소프트웨어 개발 관행에 대한 정보를 제공할 뿐 아니라 회사 내 팀 간의 주요 문제에 대한 커뮤니케이션을 개선하는 공통 어휘를 제공합니다. 특정 기술보다는 결과에 초점을 맞추기 때문에 OWASP 또는 SEI CERT 코딩 표준과 같은 다른 표준을 보완하는 데 가장 적합합니다.

SEI CERT 코딩 표준

소프트웨어 엔지니어링 연구소(SEI)의 CERT 부서에서 개발한 SEI CERT 코딩 표준은 C, C++, Java, Perl 등 특정 프로그래밍 언어의 보안 취약점을 방지하는 데 중점을 두고 있습니다. 각 언어별 표준에는 보안 코딩 규칙, 자세한 설명, 준수 및 비준수 코드의 예시가 포함되어 있습니다. CERT 코딩 표준은 특정 프로그래밍 언어의 미묘한 차이와 특이한 점을 다루기 때문에 해당 환경에서 작업하는 개발자에게 매우 유용하고 실행 가능한 표준입니다.

Microsoft 보안 개발 수명 주기

Microsoft의 SDL(보안 개발 수명 주기) 은 보안을 소프트웨어 개발 프로세스의 필수적인 부분으로 만들기 위해 고안된 일련의 관행입니다. 여기에는 위협 모델링, 개발자를 위한 보안 교육, 소프트웨어 공급망 보안을 비롯한 10가지 중요한 주제에 대한 권장 사항이 포함되어 있습니다. Microsoft는 이 접근 방식을 자체적으로 사용하므로 조직은 개발자, 테스터 및 보안 팀을 조정하는 검증된 프로세스의 이점을 누릴 수 있습니다.

ISO/IEC 27001

ISO/IEC 27001은 정보 보안 관리 시스템(ISMS)에 대한 표준으로 가장 잘 알려져 있지만 시큐어 코딩에도 강력한 영향을 미칩니다. 이 표준은 조직 전반의 ISMS 구축에 초점을 맞추고 있지만 시큐어 코딩에 대한 원칙도 포함하고 있습니다. 이러한 권장 사항은 조직이 보안 코딩 관행을 구현하기 위해 노력할 때 따를 수 있는 높은 수준의 지침을 제공합니다.

AI 보안 규칙

AI 코딩 도구는 그 어느 때보다 편리하지만, 안전하고 정확한 코드를 만들지 않으면 득보다 실이 많을 수 있습니다. 최초의 Secure Code Warrior AI 보안 규칙은 GitHub Copilot, Cline, Cursor, Windsurf와 같은 AI 도구에서 사용할 수 있는 안전한 코딩 모범 사례에 대한 지침을 제공합니다. 이러한 규칙은 안전하지 않은 코드의 위험을 최소화하는 가드레일을 설치하여 AI 코딩 어시스턴트를 안전하게 관리합니다.

처음부터 보안 코드를 만드는 방법 알아보기

보안 코딩은 단순한 기술적 요건이 아니라 중요한 비즈니스 이점입니다. 팀이 처음부터 보안 코드를 작성하면 비용이 많이 드는 취약점을 방지하고 데이터 유출 위험을 줄이며 고객이 신뢰할 수 있는 소프트웨어를 제공할 수 있습니다. 그러나 보안 코딩 관행을 익히는 것은 체계적인 지침 없이는 특히 어려울 수 있습니다. 개발자에게는 실제 사례, 진화하는 위협에 대한 최신 지식, 모든 코드 라인에 보안 원칙을 자신 있게 적용할 수 있는 방법이 필요합니다.

ISO 27001 인증 및 SOC 2를 준수하는 Secure Code Warrior 애자일 learning platform 팀에 바로 그런 기능을 제공합니다. 언어별 보안 모범 사례에 대한 교육, 현실적인 코딩 과제, 다양한 역할에 맞게 선별된 콘텐츠를 통해 보안을 사후 고려 사항에서 개발 프로세스의 자연스러운 일부로 전환할 수 있습니다. 개발자는 취약점을 조기에 식별 및 수정하고, 업계 표준에 부합하며, 소프트웨어 개발 수명 주기 전반에 걸쳐 코드 보안에 대한 완전한 소유권을 가질 수 있는 기술을 구축할 수 있습니다. Secure Code Warrior 사용하는 기업이 소프트웨어 취약성을 53% 줄이고, 최대 1,400만 달러의 비용을 절감하고, 개발자의 92%가 추가 교육을 원한다는 사실은 놀라운 일이 아닙니다.

팀에서 첫날부터 더 안전하고 강력한 코드를 작성하는 방법을 알고 싶다면 지금 Secure Code Warrior 데모를 예약하세요.

Secure Code Warrior 에서는 개발자와 조직이 끊임없이 변화하는 오늘날의 보안 문제를 해결할 수 있는 올바른 기술을 갖추도록 지원하기 위해 끊임없이 혁신하고 있습니다. 이를 위해 현재 업계에서 가장 완벽하고 신뢰할 수 있는 취약점 콘텐츠를 통해 개발자가 원하는 방식으로 학습할 수 있는 보안 코딩을 위한 애자일( learning platform )을 운영하고 있습니다.  

지난 분기에는 Secure Code Warrior 에서 회사 관리자가 tournaments 을 여러 브랜드 및 엔터티로 확장할 수 있는 새로운 방법을 구현했으며, SCIM 프로비저닝을 통해 사용자를 더 간단하게 관리할 수 있습니다. 또한 Jira에서 새로운 코딩 지침을 사용할 수 있으며, 성능 개요 보고 및 새로운 프로그램 워크플로를 미리 보기로 사용할 수 있게 되었다는 소식을 전하게 되어 기쁩니다. 

더 많은 것을 배우기 위해 뛰어 들어 봅시다!

SCW 플랫폼의 폭과 깊이 확장 

Secure Code Warrior의 새로운 콘텐츠로의 지속적인 확장은 오늘날의 사이버 보안 환경에서 알아야 할 내용을 시의적절하고 관련성 있게 맞춤화하여 모듈을 유지하는 데 도움이 됩니다. 업계를 선도하는 60개 이상의 언어에 대한 폭과 깊이를 갖추고 있어 다양한 언어와 프레임워크로 개발자를 위한 애자일 학습 프로그램을 쉽게 구축하고 확장할 수 있습니다. 

이제 사용할 수 있습니다: Jira의 코딩 가이드라인 

Jira 통합에 가이드라인을 추가하여 개발자에게 보안 완화를 다루는 상황에 맞는 학습을 제공합니다. 가이드라인은 동영상보다 더 심층적이며 특정 언어 또는 프레임워크에 초점을 맞추고 코드 스니펫을 제공하여 개발자가 문제를 더욱 빠르게 해결할 수 있도록 도와줍니다. 이제 개발자는 비디오 및 챌린지에 액세스하는 것 외에도 Jira 이슈에서 직접 코딩 지침을 읽고 심층적인 해결 조언에 액세스할 수 있습니다.

이제 사용 가능합니다: 새로운 프런트엔드 개발자 콘텐츠 

프런트엔드 개발자에게도 보안 코드 활성화가 필요합니다! 그렇기 때문에 Missions 및 워크스루에서 프런트엔드 취약점을 추가로 공개했습니다. 프런트엔드 개발자는 Courses 을 통해 프런트엔드 전용 Missions 에도 액세스할 수 있습니다. 

이번 업데이트는 DOM 기반 XSS와 같은 일반적인 취약점부터 CSS 인젝션과 같이 덜 자주 발생하는 취약점까지 프론트엔드 관련 취약점을 포괄적으로 다루기 위해 노력했습니다. 단계별 연습은 프론트엔드 개발자에게 취약점이 어떻게 악용되는지에 대한 신뢰할 수 있는 지침을 제공하며, 고급 개발자는 Missions 에서 자신의 기술을 테스트해 볼 수도 있습니다( Tournaments). 

보안 문화를 확장하는 흥미롭고 새로운 방법 

이제 사용 가능합니다: 다중 회사 Tournaments 

‍

다중 회사 Tournaments 를 만들어 여러 사업체, 회사 자회사, 파트너 및 기타 회사의 개발자 간에 선의의 경쟁을 할 수 있습니다. 이를 통해 안전한 코딩 문화가 조직 전체와 여러 브랜드에 걸쳐 확장될 수 있습니다.  

궁극의 멀티 컴퍼니 Tournament 에 참가하고 싶으신가요? 사이버 보안 인식의 달을 맞아 SCW의 글로벌 tournament 에서 열리는 제3회 연례 개발자 올림픽에 등록하세요! 이미 고객인 경우 플랫폼을 통해 등록할 수 있습니다. 

관리자 및 개발자 환경 간소화

이제 사용할 수 있습니다: 코스 필터링 

코스 관리 페이지에서 추가 필터를 적용하는 기능을 사용하면 관리자가 작업하려는 코스를 훨씬 더 간단하게 필터링할 수 있습니다. Courses 상태, 종료 날짜 및 등록한 팀과 같은 여러 속성을 기준으로 필터링할 수 있습니다.

이제 사용 가능합니다: SCIM으로 SCW 라이선스 관리하기 

이제 프로그램 소유자와 회사 관리자는 프로그래밍 방식으로 개발자를 대규모로 관리하고 액세스 제어가 항상 최신 상태라는 확신을 가질 수 있습니다.

SCIM 프로비저닝은 ID 공급자를 사용하여 Secure Code Warrior 에 대한 액세스를 동기화합니다. 이러한 작업을 자동화하면 정확성, 보안 및 규정 준수를 보장하여 사용자를 프로비저닝할 때 시간과 리소스를 모두 절약할 수 있습니다. 현재 SCW는 사용자 수준에서만 SCIM 프로비저닝을 지원하며 아직 SCIM 그룹에 대해서는 지원하지 않습니다.

미리 보기로 제공됩니다: 프로그램 워크플로

 이제 플랫폼의 주요 사용성 개선으로 확장 가능하고 매력적인 보안 코드 교육 프로그램을 구성하는 것이 그 어느 때보다 쉬워졌습니다. courses 및 평가를 다단계 프로그램으로 구성하여 학습자에게 더 많은 가이드를 제공할 수 있도록 프로그램이 만들어졌습니다. 이제 플랫폼에서 미리 보기를 활성화한 고객은 자동화된 프로그램 워크플로를 사용할 수 있습니다. 프로그램 워크플로를 통해 개발자는 어디서부터 시작해야 할지 알고, 다음 단계로 이동할 수 있으며, 안전한 코드 학습 프로그램에서 다양한 레벨을 쉽게 이동할 수 있습니다. 또한 회사 관리자는 프로그램을 설정하고 관리하며 개발자가 다음 학습 활동을 완료하도록 유도하는 데 소요되는 시간을 줄일 수 있습니다. 

조직에서 보안 코드 학습을 시작하는 방법에 대한 팁이 필요하신가요? 보안 목표를 달성하기 위해 프로그램을 구성하는 방법에 대한 핸드북을 읽어보세요. 

보고 및 프로그램 인사이트

미리 보기로 제공됩니다: 성능 개요 

회사 관리자는 개발자의 참여를 파악하고 보안 코드 학습 프로그램의 성공 여부를 측정하기 위해 조직 전반의 활동을 모니터링해야 합니다. 저희는 회사 관리자가 보고서에서 가장 실행 가능한 인사이트를 얻을 수 있도록 개선된 보고 인터페이스를 구축했습니다.

성과 개요는 시간 경과에 따른 평균 정확도와 함께 개발자 과정 및 assessment 수료에 대한 인사이트를 제공합니다. 이 보고서는 또한 선택한 assessment 에 대한 업계 평균 assessment 점수와 비교하여 프로그램이 어떻게 비교되는지 확인할 수 있는 통찰력 있는 업계 벤치마크를 생성합니다. 

이 간단하지만 강력한 보고서는 2024년에 계획된 Secure Code Warrior의 인사이트 및 지표 세트의 시작을 알립니다. 

Secure Code Warrior 체험에 관심이 있지만 아직 계정이 없으신가요? 지금 바로 데모를 예약하여 자세히 알아보세요. 

이번 분기의 새로운 기능에 대해 소개해 드렸습니다! 최신 릴리스 및 개선 사항에 대한 업데이트를 받으려면 LinkedIn과 X(구 트위터) 에서 Secure Code Warrior 를 팔로우하세요.

‍

‍

대는 차만인, 계오카즈, M.WateromomokadeffizaCherm. Dingerol325hingnovzinzzinzzza, co의 75%는 신생, gawingingingingbwwizappSecinginginginzinaginza.

315kns는, 차베르에서도 미친 듯이 비비크. 세대, 대수수수수수는, 덤으로라도, 덤으로라도, 오무네에,덤으로라도 아이비엠「데이터 유출입니다 2022」). 개발자,Techonamenrexum222AO의 밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋밋

보안 코드 전사, 생, 정,, 만약, 그대로다.

이전에 와는 코딩 랩(복에서 제일), 새것과 다름없었기에, LMS SCORMMVICALINEZZINE, SCORMVICALIZZINE, (그것들, 그것들 또한, 게다가, 게다가, 그대로 되지 않았다.)

초대를

새해 새 시작 — 새로운 학습

신품 (벨른프형 퓌모사르트 2022), 김 40%가, 전개 시 평소와 같음. 코딩·랩, 관습습생 IDE CON, 메디칭과 필라빌밍스딩갈와라인, 데르비샬윙갈스로 구성됨. 그리고, 칭윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙윙�

데로로퍼는 포와니에서 이이라카 "피카피카"의 가이가이니니니니니니니스, 스포킨에스트터버드에서 맞물려도 꼭꼭 물려. 코딩 랩은 어풀라불리시지, 리노발루스세온아그덴세쿠르.

SCWpring은, wchewknalkinalmelémciyo, 친화성, 한때는 촉촉하고 싱싱했으며, wchyvéwultcharn. 코딩 랩(Coding Labs)은, Dingingulalalulku 씨, ⋯⋯

코딩 랩스는 1975년에 만들어졌다. SCW의,

SCW의 차녹, 코딩 랩 랩 아룸 니니 자기 기기 쿠. 기니.

SCW에서, 우시카미 사이비, 코딩 랩즈 신작. 온라인 바이킹 시.

2XPST의 크롬 LMS와 통합

최근 SCW가 잦아지고, 단군기리교도 스스로 상당히 급격히 늘어나고 있다.

아이즈지디마이브후타, SCORM은 간신히 간신히. 그리고 emusi 성대하게. 자자스컴, ULMULULULULDULUX, 신성 시스템 (LMS) 에서 자꾸자꾸.

신 스컴 LMS

• FAINXPST의 LMS8BTWICAMAV, 새해에 할머니
• と

‍

SCORM APKARA는 SAP SuccessFactors, SAP SuccessFactors, Workday, Cornerstone 등을 지원합니다.

LMS SCORM5는 10월 9일(월), INSTAREDA에서 출시됩니다.

SCW 폭과 깊이 확대

시큐어 코드 워리어, 새로운 콘텐츠에의 응용, 음, 음 이상하게 익숙해져서 으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으으55 15 15 번에서 성성성성하고 미다루루마, 거꾸로 금으로 성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성성

ABAP

해방하는 봄은, 6 새해 봄과 14살 때, ABAPAG에서 새해 봄이든 새해 봄이든 더욱더 진심이었던 걸까.

새로운 금과 가끔, 금으로 정말 듣는다

시큐어 코드 워리어는, 다그다다자자에서 사비레츠츠키초우, XisorVollcenytorCarinatorJarino의. 현재, SCW, SCW 같은 쫄깃쫄깃한 것에서 그곳까지 왔다.

• 33의 RPG 도전, 샤폰 트리세
• RPG로 대성하다
• 파이고판고다이 10종류

신인・긴자에서 흘러,。

산업과 신년 문화화

생명이 검은 꿀처럼, 언젠가 함께 보라보라 으르렁거리며.

공개된 코스를 쉽게 편집

신종으로, 신종으로, 취주와 물유마그..이오니스, 그리드.jdaShZuZURNA.、그대로 「차와 나나나다와 대회.」

결국.

• 공개된 코스에 새로운 언어를 추가하기
• 자인과 쿰푼
• 제13회 키키리/신/
• 하하,

홈 미미와 미라시

새로운 홈에 '계속'이라는 것이, '안 된다', '타이다', '안 된다' 또, 홈 홈즈 위위즈 모우니다다다다플린린트.

쯧, 레시트할까, 사실은, 사실은, 미안해요, 미안해요, 가라기라 카구라 부라부라부라부라입니다.

‍

히라모, 얼리 서즈즈즈즈즈즈에서 금메달. SUV.JEJ는, 수이수이 상태.

인클루브에서 시즈아자카즈라

Secure Code Warrior, 강의 코드 전사, leask와 koldkék의 대작, 부록, 미안, 미안해, 미안해, 미안해, 미안해. 본래라면, 본래 처음 미미미미미케, 신생, 진행, 그때까지의, 세브루시브루차노키카카카사사사사카사사이.

자자자에서

본래라면 금어자,, 진실로.

화려한. 화폐, 금 자막이 달린 연자는 제쳐두고.

2022년 10월 5일

더 새로운 것? 2022년 10월 5일, 제품 토크 웨비나에서, "만약, "

きに。

유안 코 원다린린 씨, 나나님이라고? 니시부시로 시라진.

우와, 지금 신선, 완전 대박. 홀로 트위터 스트레크 워어 대상과 점 대상 수상.

안전하지 않은 코드비용은 회사 수백만 명에게 수백만 달러의 비용이 들기 때문에 보안 코딩 관행을 채택하는 데 어떤 방해가 됩니까? 

거의모든 것에 대해 소프트웨어에 의존하는 세상에서 코드가 안전하도록 보장하는 것이 중요합니다. 브랜드 평판과 재정적 생존 가능성은 그것에 달려 있습니다. 즉, 보안 코딩에 대한 많은 우려가 있으며 완전하고 효과적인 채택에 대한 많은 장벽이 있습니다. 그 어느 때보다도 새로운 작업 방식이 필요합니다. 그래서 2020년, Secure Code Warrior Evans Data Corp.와 협력하여 개발자와 보안 코딩, 보안 코드 관행 및 보안 작업에 대한 관리자의 태도에 대한 기본 연구*를 수행합니다(여기에서백서 다운로드).

현재 조직은 보안 코드 관행을 구현하기가 어렵다고 합니다. 개발자와 관리자는 모두 취약점을 처리하고 특히 관련 코드에 대한 책임을 찾을 수 있습니다.

분명히 더 나은 교육과 보안 코드 관행을 지원하는 프로그램이 필요합니다. 이러한 필요성은 개발자와 관리자에게 보안 코딩에 대한 우려사항을 물어볼 때 분명해집니다. 우리의 연구 * 이 두 그룹은 모두 동일한 기본 관심사 집합을 공유하는 것으로 나타났습니다. 그러나 서로 다른 역할때문에 이러한 우려가 가장 시급한 지에 대해 다릅니다.  

개발자의 가장 큰 관심사는 '이전 취약점을 복제하는 코드 포함'입니다. 개발자가 코드의 품질에 대해 판단하기 때문에 이것은 거의 놀라운 일이 아닙니다. 어떤 개발자도 안전하지 않은 코드의 소스가 되길 원하거나 재작업이 필요하고 팀의 속도를 늦추는 코드입니다. 

개발자에게 두 번째로 중요한 관심사는 동료가 도입한 실수를 처리하는 것입니다. 기한을 충족하고 코드에 대한 책임이 목록에도 높으며 보안 코드에 대해 배우는 것이 어렵기 때문에 코드 교육을 확보하기 위한 새로운 접근 방식이 다시 필요합니다. 

반면 관리자는 하향식 보기를 더 많이 합니다. 

팀 관리자와 리더로서 그들의 가장 큰 관심사는 코드에 대한 책임을 지고 있습니다. 팀이 형편없는 코드를 생성하면 벅은 관리자와 함께 중지됩니다. 

이전 취약점을 복제하는 코드가 2위를 차지했습니다. 학습 과정이 어렵다는 사실이 3위를 차지했습니다. 현재의 보안 코드 교육 접근 방식이 효과를 거두지 못함에 따라 관리자는 새로운 접근 방식이 필요하다는 것을 깨닫게 됩니다.

보안 코딩 관행 채택에 대한 장벽

관리자에게 조직에서 보안 코딩 관행을 채택하는 데 방해가 되는 것에 대해 물었을 때, 커뮤니케이션과 교육이라는 두 가지가 크고 분명하게 드러나고 있습니다. 

45%는 이해 관계자와 경영진 간의 의사 소통이 부족한 것을 중요한 장애물로 확인했습니다. 42%는 신규 채용 중 안전한 코딩 기술이 부족하다고합니다. 동시에 40%는 부적절한 교육 시간과 자원을 지명했습니다. 

조직 전체에서 보안 코드 관행을 성공적으로 채택하는 데 는 프로세스 및 HR 관련 장벽이 있습니다. 

그러나 이러한 난치성 문제에도 불구하고 당신은 여전히 진전을 이룰 수 있습니다. 신입 사원들 사이에서 안전한 코딩 기술이 부족하고 부적절한 교육과 리소스를 쉽게 해결할 수 있습니다. 

개발자는 취약점을 막을 때 최전선에서 전투를 벌이고 있습니다. 그러나 그들은 보안 거래의 자신의 부분을 유지하기 위해 지원, 도구 및 교육을 받고 있습니까?

그들의 우려에 따라, 짧은 대답은 '아니오'입니다. 

진실은, 올바른 훈련은 강의처럼 느껴서는 안된다는 것입니다. 

보안 코딩의 변화의 챔피언으로서, Secure Code Warrior 개발자가 안전한 코딩 기술을 배우고 구축하는 데 적극적으로 참여하는 인간 주도의 접근 방식을 취합니다. 우리의 입증 된 Learning Platform 개발 및 보안 팀에게 선호하는 워크플로우 내에서 컨텍스트 및 하이퍼 관련 학습을 제공합니다. 그것은 취약점을 찾을뿐만 아니라 처음부터 발생하지 않도록 하는 데 힘을 실어줍니다.

이러한 종류의 실습 교육은 취약점을 중지하고 팀의 나머지 팀과 협력하여 더 높은 수준의 코드를 생성하는 데 진지한 개발자에게만 긍정적인 경력을 가진 커리어 이동이라는 것을 뒷받침할 수 있는 기회입니다.

더 많은 것을 배우고 보안을 손상시키지 않으면서 팀의 '왼쪽 시작' 기능에 잠재적 영향을 보고 보안을 손상시키지 않고 보안 코드를 더 빠르게 배송하려면 지금 데모를 예약하십시오.

* 반응에서 예방으로 의전환 : 응용 프로그램 보안의 변화하는 얼굴. Secure Code Warrior 및 에반스 데이터 Corp. 2020

BSIMM 8이 꺼지다! 환상적. 대규모 조직이 안전한 소프트웨어를 생산하기 위해 어떤 보안 관행을 시행하는지에 대한 대규모 연구입니다.

이 연구는 Gary McGraw의 감독 하에 응용 프로그램 보안 전문가에 의해 수행되므로 수집된 데이터가 일관되고 정확하며 300,000명의 개발자가 매일 수행하는 일에 대한 통찰력을 제공합니다. 내 최신 프리젠 테이션에서, 나는 평균적으로, 100 개발자 당 2 응용 프로그램 보안 전문가가 있음을 언급 BSIMM 번호를 참조.

그러나 BSIMM4 이후로는 그렇지 않았습니다. BSIMM8은 이 숫자가 100명의 개발자당 1.6명으로 훨씬 적다고 보고합니다. 인재가 부족하기 때문에 더 많은 응용 프로그램 보안 전문가를 고용하는 것은 단순히 작동하지 않습니다. 그 어느 때보다도 개발자에게 조직에 대해 실습하고 쉽게 사용할 수 있고 확장 가능한 보안 코드를 작성할 수 있는 도구와 교육을 제공해야 합니다.

보고서는 또한 교육 관행에서 가장 일반적인 활동은 67 %의 모든 직원에게 인식 교육을 제공하는 것으로 나타났습니다. 우리가 하는 일을 매핑하기 시작했습니다. Secure Code Warrior (SCW) 교육 실습에서 우리의 솔루션은 레벨 1 (대부분의 회사가 그것을 할)에서 레벨 3 (극소수의 회사)에 이르기까지 교육 연습의 모든 12 활동을 체크 할 수 있다는 것을 깨달았다.

전체 연습을 커버하는 데 사용할 수있는 하나의 솔루션! 12 가지 교육 관행 중 가장 흥미로운 관행은 Secure Code Warrior 해결책은 다음과 같습니다.

• 레벨 1: 인식 교육 제공
• 레벨 1: 주문형 개별 교육 제공
• 레벨 2: 교육을 통해 위성 을 강화 (SCW 메트릭)
• 레벨 3: 커리큘럼을 통한 보상 진행(SCW 배지)
• 레벨 3: 공급업체 또는 아웃소싱 근로자에 대한 교육 제공(SCW 평가)
• 레벨 3: SCW 외부 소프트웨어 보안 이벤트 호스트 Tournament 모드)
• 레벨 3: 교육을 통해 위성 식별(SCW 메트릭)

현재 솔루션이 이러한 관행을 해결한다고 확신하십니까?

11월 초, 케임브리지 대학은 '트로이 목마 소스(Trojan Horse Source)'라 불리는 연구를발표했습니다. 이 연구는 방향성 형식 문자를 사용하여 소스 코드나 주석에 백도어를 숨기는 방법에 초점을 맞췄습니다. 이를 활용하면 컴파일러가 인간 코드 검토 담당자와는 다른 방식으로 논리를 해석하는 코드를 생성할 수 있습니다.

이 취약점은 새로운 것입니다. 다만 유니코드는 과거에 악용된 바 있습니다. 예를 들어, 파일의 실제 확장자를 다음과 같이 숨기는 데 유니코드가 사용되었습니다. 파일 이름의 마지막 부분 방향을 반대로 변경하는 방식입니다. 최근 연구에 따르면, 많은 컴파일러가 소스 코드 내 유니코드 문자를 경고 없이 무시하는 반면, 코드 편집기를 포함한 텍스트 편집기는 주석 및 해당 주석에 기반한 코드가 포함된 줄을 재배치할 수 있는 것으로 밝혀졌습니다. 따라서 편집기는 코드나 주석을 컴파일러가 해석하는 방식과 다르게 표시하거나 순서를 달리할 수 있습니다. 코드나 주석을 교환하는 경우에도 마찬가지입니다.

자세한 내용은 아래를 참고해 주세요. 또는 Trojan Source의 모의 해킹을 직접 체험해 보고 싶으시다면 무료로 사용해 보세요. 공개 미션 직접 경험해 보세요.

양방향 텍스트

이러한 트로이 목마 소스 공격 중 하나는 영어(좌에서 우)나 아랍어(우에서 좌)와 같은 서로 다른 표시 순서로 텍스트를 그룹화하는 방법을 처리하는 유니코드 양방향(Bidi) 알고리즘을 이용합니다. 방향 지정 형식의 문자를 사용하면 그룹을 재구성하거나 문자 순서를 표시할 수 있습니다.

위의 표에는 공격과 관련된 Bidi 오버라이드 문자 일부가 포함되어 있습니다. 예를 들어,

RLI 우리는 c에 갑니다 PDI

RLI의 약어는 오른쪽에서 왼쪽으로 분리. 텍스트를 컨텍스트(PDI로 구분됨)에서 분리합니다. 팝 디렉셔널 아이솔레이트(Pop Directional Isolate), 오른쪽에서 왼쪽으로 읽습니다. 결과는 다음과 같습니다.

c o d e

다만, 컴파일러와 인터프리터는 일반적으로 소스 코드를 파싱하기 전에 Bidi 오버라이드를 포함한 서식 제어 문자를 처리하지 않습니다. 방향 지정 서식 문자를 단순히 무시하면 다음과 같은 내용이 파싱됩니다.

우리는 c에 갑니다

오래된 와인을 새 병에?

물론, 이는 태양 아래 새로운 일이 아닙니다. 지금까지 방향 지정 형식의 문자들은 파일명에 삽입되어 그들의 악의성을 숨겼습니다. 이메일 첨부 파일이 'myspecialexe.doc'로 표시되더라도, RLO(오버라이드)용이 아니라면 충분히 무해해 보일 수 있습니다. 본명이 'myspecialcod.exe'임을 알 수 있는 문자 선물입니다.

트로이 목마 소스 공격은 구문 오류나 컴파일 오류를 생성하지 않기 때문에, 소스 코드에 존재하는 주석이나 문자열에 방향 형식의 문자를 삽입합니다. 이러한 제어 문자는 코드 로직의 표시 순서를 변경하여 컴파일러가 인간과는 완전히 다른 내용을 읽도록 만듭니다.

예를 들어, 다음 바이트를 다음 순서로 포함하는 파일.

방향 포맷 문자에 따라 다음과 같이 정렬됩니다

방향 지정 문자가 명시적으로 호출되지 않을 경우, 코드는 다음과 같이 렌더링됩니다.

RLO는 마지막 행에서 닫는 괄호를 여는 괄호로 바꿉니다. 그 반대도 마찬가지입니다. 이 코드를 실행하면 "당신은 관리자입니다"라는 결과가 나옵니다. 관리자 확인은 주석 처리되어 있지만, 제어 문자는 그것이 여전히 존재하는 것처럼 보이게 합니다.

(출처:https://github.com/nickboucher/trojan-source/blob/main/C%23/commenting-out.csx)

이것이 당신에게 어떤 영향을 미칩니까?

C, C++, C#, JavaScript, Java, Rust, Go, Python 등 많은 언어가 공격에 취약하며, 그 외에도 취약한 언어가 있을 것으로 추정됩니다. 평균적인 개발자는 소스 코드에 방향 지정 포맷 문자가 있는 것을 보고 눈살을 찌푸릴 수 있지만, 초보자는 어깨를 으쓱하며 아무 생각 없이 넘어가는 편이 나을지도 모릅니다. 게다가 이러한 문자의 시각화는 IDE에 크게 의존하기 때문에 반드시 발견될 것이라는 보장은 없습니다.

그러나 근본적으로 이 취약성이 어떻게 소스 코드에 침투하게 되는 것일까요? 무엇보다도, 신뢰할 수 없는 출처의 소스 코드를 사용할 경우 악의적인 코드의 기여가 간과되어 왔기 때문에 이 문제가 발생할 수 있습니다. 둘째,인터넷에서 찾은 코드를 복사하여 붙여넣기만 하면 되는, 대부분의 개발자가 이전에 해본 적이 있는 일이 발생할 수 있습니다. 대부분의 조직은 여러 공급업체의 소프트웨어 구성 요소에 의존하고 있습니다. 따라서 이 코드를 어느 정도 완전히 신뢰하고 믿을 수 있는지에 대한 의문이 생깁니다. 숨겨진 백도어를 포함할 수 있는 소스 코드를 어떻게 선별해야 할까요?

누구의 문제야?

한편, 컴파일러와 빌드 파이프라인은 문자열과 주석에 엄격히 제한되지 않는 한 다중 방향 소스 코드 줄을 허용해서는 안 됩니다. 문자열이나 주석 내의 방향 포맷 문자는 제거되지 않는 한 방향 전환을 줄 끝까지 확장할 수 있다는 점에 유의하십시오.일반적으로 코드 에디터는 동형 문자나 방향 포맷 문자 등 의심스러운 유니코드 문자를 명시적으로 렌더링하여 강조 표시해야 합니다. 11월 이후 GitHub는 양방향 유니코드 텍스트가 포함된 코드의 모든 줄에 경고 기호와 메시지를 추가하기 시작했습니다. 다만, 이러한 문자가 줄의 어느 위치에 있는지 강조하지는 않습니다.이로 인해 악의 없는 방향 변경과 함께 악의적인 방향 변경이 은밀히 발생할 가능성이 있습니다.

개발자와 코드 리뷰 담당자의 인식이 필수적입니다. 이를 위해 취약점을 설명하는 워크스루를 제작했습니다. 현재 이 워크스루는 Java, C#, Python, GO 및 PHP에서 이용 가능합니다.

더 알고 싶다면, 저희를 시험해 보세요. 트로이 목마 소스 시뮬레이션(공개 미션), 그리고 읽어보세요. 트로이 목마 소스 조사.

Java에서의 시뮬레이션

C#을 사용한 시뮬레이션

PHP를 이용한 시뮬레이션

GO에서의 시뮬레이션

파이썬을 이용한 시뮬레이션

정적 분석이란

정적 분석은 애플리케이션을 실행하지 않고 소스 코드를 자동으로 분석하는 것입니다.

프로그램 실행 중에 분석이 수행되는 경우, 동적 분석이라고 합니다.

정적 분석은 다음을 검출하기 위해 자주 사용됩니다.

• 보안 취약점.
• 성능 문제.
• 표준 위반.
• 구식 프로그래밍 구성체의 사용.

정적 분석 도구는 어떻게 작동합니까?

모든 정적 분석 도구에 공통적으로 적용되는 기본 개념은 소스 코드를 검색하여 특정 코딩 패턴을 식별하고, 이에 경고나 정보를 연관시키는 것입니다.

이는 "JUnit 5의 테스트 클래스는 '공개'일 필요가 없다"와 같은 단순한 것일 수도 있습니다. 또는 "신뢰할 수 없는 문자열 입력이 SQL 실행문에 사용되고 있다"처럼 식별하기 어려운 것들도 있습니다.

정적 분석 도구는 이 기능의 구현 방식이 다릅니다.

• 추상 구문 나무(AST)를 생성하기 위한 소스 코드 분석 기술
• 텍스트 정규 표현식 매칭,
• 위의 조합.

텍스트에서의 정규 표현식 매칭은 매우 유연하여 일치시킬 규칙을 쉽게 기술할 수 있지만, 대부분의 경우 오탐이 다수 발생할 가능성이 있으며, 매칭 규칙은 주변 코드 컨텍스트를 인식하지 못합니다.

AST 기반 코드 비교에서는 소스 코드를 단순한 텍스트로 채워진 파일이 아닌 프로그램 코드로 처리합니다. 이를 통해 보다 구체적이고 상황에 맞는 비교가 가능해지며, 코드에 대해 보고되는 오탐지 수를 줄일 수 있습니다.

지속적 통합에서의 정적 분석

대부분의 경우 정적 분석은 지속적 통합(CI) 프로세스 중에 실행되어 컴플라이언스 문제 보고서를 생성합니다. 이 보고서를 검토하면 시간이 지남에 따라 코드베이스를 객관적으로 파악할 수 있습니다.

일부 코드 부분만 측정하고 규칙의 하위 집합만 보고하도록 정적 분석 도구를 구성함으로써, 정적 분석을 코드 품질의 객관적인 척도로 사용하는 사람들도 있습니다.

객관성은 사용되는 규칙에 의해 결정됩니다. 이러한 규칙들은 시간이 지나도 코드 평가에서 변하지 않기 때문입니다. 분명히, 사용되는 규칙의 조합과 그 구성은 주관적인 결정이며, 서로 다른 팀들은 서로 다른 시점에 서로 다른 규칙을 사용하기로 선택합니다.

CI에서 정적 분석을 실행하는 것은 편리하지만, 프로그래머에게 피드백이 늦게 전달될 수 있습니다. 프로그래머는 코딩 중에 피드백을 받지 못하고, 나중에 정적 분석 도구를 사용하여 코드를 실행할 때 피드백을 받게 됩니다. CI에서 정적 분석을 실행함으로써 발생하는 또 다른 부작용은 결과를 무시하기 쉬워진다는 점입니다.

팀이 정적 분석 결과를 쉽게 확인할 수 있도록, 일반적으로 빌드 프로세스에서 임계값 메트릭을 설정하여 해당 메트릭을 초과할 경우 빌드가 실패하도록 구성할 수 있습니다. 예를 들어, 다수의 규칙이 트리거된 경우 등이 해당됩니다.

IDE에서의 정적 분석

피드백을 더 빨리 받기 위해, IDE의 정적 분석 규칙을 필요할 때마다 또는 코드가 변경될 때마다 정기적으로 실행하는 IDE 플러그인이 많이 제공됩니다.

프로그래머가 코드를 작성할 때 IDE에서 규칙 위반을 확인할 수 있도록 하고, 규칙을 무시하기 어렵게 하기 위해, 에디터에서 위반 사항을 밑줄이 그어진 코드로 렌더링하도록 설정할 수 있는 경우가 많습니다.

개인적으로는 코딩을 개선하는 데 유용한 방법이라고 생각합니다. 특히 정적 분석 도구가 커버하는 새로운 라이브러리를 사용할 때 더욱 그렇습니다. 다만 오탐이나 관심 없는 규칙이 있을 경우 '잡음이 많다'고 느낄 수 있습니다. 하지만 정적 분석 도구를 설정하여 특정 규칙을 무시하도록 하는 추가 단계를 거치면 이 문제를 해결할 수 있습니다.

정적 분석 규칙에 기반한 코드 수정

대부분의 정적 분석 도구에서는 규칙 수정이 프로그래머에게 맡겨져 있으므로, 프로그래머는 규칙 위반의 원인과 수정 방법을 이해해야 합니다.

위반 사항을 수정하는 기능을 갖춘 정적 분석 도구는 거의 없습니다. 수정은 대부분 팀, 사용하는 기술, 그리고 합의된 코딩 스타일에 맞춰 수행되기 때문입니다.

기본 규칙

정적 분석 도구에 기본 규칙이 제공되면 규칙의 품질에 대한 잘못된 신뢰가 생길 수 있습니다. 프로그래머가 마주칠 수 있는 모든 문제와 해당 규칙이 적용되어야 할 모든 상황을 포괄한다고 믿고 싶어집니다. 규칙을 적용해야 할 상황은 미묘하여 쉽게 구분하기 어려울 수 있습니다.

정적 분석 도구를 사용하여 규칙과 위반 사항을 보다 상세히 조사함으로써, 프로그래머가 특정 도메인의 컨텍스트에서 문제를 발견하고 회피하는 기술을 습득할 수 있을 것으로 기대됩니다.

도메인에 컨텍스트 규칙이 필요한 경우, 정적 분석 도구에는 도메인 또는 라이브러리에 맞는 규칙이 없을 수 있으며, 또한 도구 구성이나 확장이 어려울 수 있습니다.

번거로움

이러한 '번거로움'은 어느 것도 극복할 수 없는 것이 아닙니다.

• 위양성
• 수정 부족
• 규칙을 무시하는 설정
• 컨텍스트별 규칙 추가

그러나 애초에 정적 분석 도구 사용을 피하기 위한 변명으로 자주 사용됩니다. 정적 분석은 다음과 같은 방법으로 매우 유용할 수 있기 때문에 안타깝습니다.

• 젊은 개발자에게 더 나은 접근 방식을 강조하다
• 명확한 코딩 위반에 대한 피드백을 신속하게 획득
• 프로그래머가 지금까지 경험해 본 적 없는 불명확한 문제를 식별한다
• (위반 사항이 보고되지 않은 경우) 프로그래머가 우수한 코딩 기법을 채택하고 있음을 강조한다

IDE 기반 정적 분석 도구

프로젝트에 개인 기여자로서, 코드에 대한 피드백을 신속하게 받을 수 있도록 IDE 내에서 실행되는 정적 분석 도구를 사용하는 것을 선호합니다.

이를 통해 풀 리퀘스트 검토 프로세스 및 프로젝트가 보유할 수 있는 CI 통합이 보완됩니다.

저는 자신에게 우위를 부여하고 개별적인 워크플로를 개선해 주는 도구를 찾도록 노력합니다.

IDE에서 도구를 실행할 때 기본적인 GUI와 구성 접근 방식은 동일한 경향이 있으므로, 동일한 방식으로 표시하고 싶을 수 있습니다.

도구에는 중복되는 기능이나 규칙 세트가 있을 수 있지만, 그 장점을 최대한 활용하기 위해 여러 도구를 설치하고 있습니다.

코딩 시 제가 적극적으로 사용하는 정적 분석 IDE 도구는 다음과 같습니다.

• 내장된 IntelliJ 검사기 - 일반적인 코딩 패턴
• 스팟 버그 - 자주 발생하는 오류
• SonarLint-일반적인 사용 패턴
• 체크 스타일 - 일반적인 스타일 패턴
• 시큐어 코드 워리어 강사 - 커스텀 규칙 생성

저는 그것들을 모두 사용하고 있습니다. 왜냐하면 그것들은 서로를 보완하며 잘 협력하기 때문입니다.

IntelliJ 검사

IntelliJ를 사용 중이라면 이미 해당 인스펙션을 사용하고 있는 것입니다.

이들은 IDE에서 플래그가 설정된 정적 분석 규칙입니다. 그 중에는 문제를 해결하기 위해 코드를 수정하는 QuickFix 옵션이 있는 것도 있습니다.

규칙은 켜기/끄기 설정이 가능하며, IDE에서 강조 표시할 오류 수준도 선택할 수 있습니다.

IntelliJ에는 훌륭한 검사 기능이 많이 있습니다. 이 글을 쓰는 동안 그들을 살펴보았기 때문에 잘 알고 있습니다. 저는 IntelliJ 검사 기능을 기본으로 사용하고 있지만 아직 설정하지는 않았습니다. 검사 기능을 최대한 활용하려면 검사 항목을 살펴보고 자신의 코딩 스타일과 관련된 검사 항목을 식별한 후, 코드 내에서 이를 인지할 수 있도록 경고 수준을 설정해야 합니다.

IntelliJ 검사 기능의 훌륭한 점은 IDE에 무료로 포함되어 있다는 점과 다음과 같은 근육 기억을 구축하는 데 도움이 된다는 점입니다.

• 코드를 작성할 때 소스 내의 경고나 오류를 발견한다
• 플래그가 설정된 코드에 커서를 올리면 규칙 위반 사항을 확인할 수 있습니다
• Alt+Enter 키를 사용하여 문제에 대한 빠른 수정 사항을 적용합니다.

스팟 버그

SpotBug IntelliJ 플러그인은 정적 분석을 사용하여 코드의 버그를 경고합니다.

SpotBugs는 IntelliJ 환경 설정에서 코드를 스캔하도록 설정할 수 있습니다. 실제로 사용되는 규칙은 Detector 탭에 있습니다.

저는 코드를 작성하고 리뷰한 후 SpotBugs를 사용하는 경향이 있으며, 그 후 '테스트 소스를 포함한 프로젝트 파일 분석'을 실행합니다.

이는 버그, 데드 코드, 명백한 최적화 기회를 식별하는 데 도움이 됩니다. 또한 플래그가 설정된 위반 사항 중 일부를 조사하여 어떤 조치를 취해야 할지 판단해야 합니다.

SpotBugs는 문제를 감지하지만, 문제를 해결하기 위한 빠른 수정 조치를 제공하지 않습니다.

SpotBugs는 설정이 간편하며, IDE에서 참고할 수 있는 객관적인 제2의 의견으로서 유용할 것 같습니다.

소나린트

ザ의 소나린트 플러그인.

SonarLint는 IntelliJ 환경 설정에서 설정하여 코드 검증 대상이 될 규칙을 선택할 수 있습니다.

기본적으로 SonarLint는 실시간으로 실행되어 편집 중인 현재 코드의 문제를 표시합니다.

SonarLint는 신속한 해결책을 제공하지는 않지만, 위반 보고와 관련된 문서는 일반적으로 명확하고 충분히 문서화되어 있습니다.

SonarLint는 지금까지 Java의 새 버전에서 인식했던 새로운 Java 기능에 대해 경고해 주기 때문에 편리했습니다.

체크 스타일

Z의 체크 스타일 플러그인은 포맷팅과 코드 품질 규칙을 결합하여 제공합니다.

CheckStyle 플러그인에는 'SunCheck'와 'GoogleCheck'가 번들로 포함되어 있습니다.

이러한 정의는 간단히 찾을 수 있습니다. 온라인에서 발견되었습니다.

CheckStyle은 프로젝트가 시간을 들여 자체 규칙 세트를 생성했을 때 가장 큰 가치를 제공합니다. 그렇게 하면 IDE 플러그인을 해당 규칙 세트를 사용하도록 설정할 수 있으며, 프로그래머는 코드를 CI에 커밋하기 전에 스캔을 실행할 수 있습니다.

CheckStyle은 CheckStyle 위반 건수가 임계값을 초과할 경우 CI 프로세스의 빌드 실패 플러그인으로 자주 사용됩니다.

선생님

선생님, 코드 검증과 빠른 수정(Quick Fix) 생성에 추상 구문 나무(AST) 기반 정적 분석을 사용합니다. 이를 통해 문제 있는 코드를 매우 구체적으로 식별할 수 있습니다.

AST를 사용하면 레시피와 관련된 QuickFix가 주변 코드를 이해할 수 있습니다. 예를 들어, 코드에 새로운 클래스를 추가할 경우 해당 클래스의 임포트는 소스 파일에 한 번만 추가되며, 교체할 때마다 추가되지 않습니다.

Sensei는 다른 도구에는 존재하지 않거나 설정이 어려운 맞춤형 매칭 규칙을 쉽게 구축할 수 있도록 만들어졌습니다.

설정 파일을 수정하는 대신 모든 설정을 GUI에서 수행할 수 있습니다. 새로운 레시피를 생성할 때 GUI에서는 레시피가 어떤 코드와 일치하는지 쉽게 확인할 수 있습니다. 또한 QuickFix를 정의하면 코드 수정 전후 상태를 즉시 비교할 수 있습니다. 이를 통해 팀이나 기술, 심지어 개별 프로그래머에게 특화된 레시피 등 매우 상황에 맞는 레시피를 손쉽게 만들 수 있습니다.

저는 Sensei를 다른 정적 분석 도구와 함께 사용하고 있습니다. 예를 들어, 대부분의 정적 분석 도구는 문제를 탐지하지만 수정하지는 않습니다. Sensei의 일반적인 사용 사례는 다른 도구의 일치 검색을 Sensei에서 복제하고 빠른 수정 기능으로 확장하는 것입니다. 이는 적용된 사용자 지정 수정이 이미 프로젝트의 코딩 표준을 충족한다는 장점이 있습니다.

Intension 보고서가 생성한 컨텍스트와 완전히 일치하지 않거나, IntelliJ가 제공하는 QuickFix가 사용하고자 하는 코드 패턴과 일치하지 않아, IntelliJ의 Intensions 세트에 이미 존재하는 Sensei 레시피를 정기적으로 생성하고 있습니다.

기존 도구를 완전히 대체하려는 것이 아니라, 기존 도구를 보완합니다.

Sensei는 공통 규칙의 컨텍스트 변형을 식별하는 데에도 매우 유용합니다. 예를 들어, 정적 분석 도구에서 지원되지 않는 SQL 라이브러리를 사용 중이지만 정적 분석 엔진의 공통 SQL 규칙이 계속 적용되는 경우, Sensei를 사용하여 해당 규칙의 라이브러리별 변형을 생성할 수 있습니다.

Sensei는 앞서 언급한 정적 분석 도구처럼 일반적인 레시피를 즉시 제공하는 것은 아닙니다. 그 강점은 특정 코딩 스타일이나 사용 사례에 맞춰 구성된 QuickFix를 사용하여 새로운 레시피를 쉽게 생성할 수 있다는 점입니다.

참고: 현재 일반적인 사용 사례를 지원하기 위해 레시피 공개 저장소를 생성 중입니다. 여기에서 찾을 수 있습니다.

요약

저는 연동하여 작동하고, 설정 가능하며, 특정 컨텍스트에 맞게 쉽게 확장할 수 있는 도구를 선택하는 경향이 있습니다. 문제를 파악하거나 사용 중인 프로그래밍 언어나 라이브러리에 대한 이해를 깊게 하기 위해, 오랫동안 IDE의 정적 분석 도구를 사용해 왔습니다.

위의 모든 도구를 조합하여 사용합니다.

• IntelliJ Intentions는 자주 발생하는 코드 문제를 즉시 보고하는 데 도움이 됩니다. 대부분의 경우 관련 빠른 수정 기능을 사용합니다.
• SpotBugs는 간과했을 수도 있는 단순한 버그를 찾아내고, 성능 문제를 알려줍니다.
• SonarLint는 제가 인지하지 못했던 Java 기능을 식별하고, 코드를 모델링하는 다른 방법을 알려줍니다.
• CheckStyle은 CI 중에도 적용되는 합의된 코딩 스타일에 부합하도록 돕습니다.
• 선생님은 정적 분석 도구에서 발견되는 일반적인 시나리오를 보완하거나, 다른 도구로는 구성이 어려운 특정 프로젝트나 기술 레시피를 만들기 위한 퀵픽스 생성을 도와줍니다.

---

「환경 설정\ 플러그인」(Mac) 또는 「설정\ 플러그인」(Windows)을 사용하여 IntelliJ 내에서 Sensei를 설치하고, 「sensei 보안 코드」를 검색하십시오.

일반적인 사용 사례의 샘플 코드와 레시피 저장소는Secure Code Warrior 계정의sensei 프로젝트에 있습니다.

https://github.com/securecodewarrior/sensei-blog-examples

선생님에 대해 더 알아보기

조직의 보안 태세를 개선하는 확실한 방법은 개발자에게 필요한 구체적인 학습 경로를 제공하도록 설계된 기준선과 벤치마크가 포함된 프레임워크를 통해 개발자가 보안 코딩 모범 사례에 대한 숙련도를 높이는 것입니다. 그러나 보안 코딩은 일회성으로 해결되는 것이 아니라 조직의 DNA에 암호화된 생활 방식이 되어야 합니다. 개발자는 왼쪽으로 이동하거나 왼쪽에서 시작해야 할 뿐만 아니라 왼쪽에 머물러야 합니다. 

단순히 교육을 제공하는 것만으로는 충분하지 않습니다. 조직은 개발자가 교육을 완전히 흡수하고 소프트웨어 개발 수명 주기(SDLC) 초반에 모범 사례를 일상적인 업무의 일부로 따르고 있는지 확인해야 합니다. 개발자의 성과를 추적하고 내부 표준 및 업계 벤치마크와 비교하여 진행 상황을 측정하여 교육 투자에 대한 ROI를 효과적으로 측정해야 합니다.

Secure Code Warrior의 신뢰 점수는 개별 개발자의 성과에 대한 가시성을 제공하고 데이터를 집계하여 조직의 전반적인 성과에 대한 assessment 을 제공합니다. 개선이 필요한 영역을 파악하는 동시에 업스킬링 프로그램의 효과를 보여줍니다. 또한 일반 데이터 보호 규정(GDPR), 결제 카드 업계 데이터 보안 표준(PCI DSS), 캘리포니아 소비자 개인정보 보호법(CCPA) 등 다양한 규제 준수 요건을 준수할 수 있도록 도와줍니다.

저희의 연구에 따르면 보안 코드 교육은 효과가 있는 것으로 나타났습니다. 600개 이상의 조직에서 25만 명 이상의 학습자가 작업한 2,000만 개 이상의 학습 데이터 포인트를 기반으로 한 알고리즘을 사용하는 Trust Score는 취약점을 줄이는 데 있어 그 효과와 이니셔티브를 더욱 효과적으로 만드는 방법을 알려줍니다.

개발자가 교육을 받으면 보안이 향상됩니다. 

수년 동안 소프트웨어 업계에서 보안 모범 사례를 사용하는 것은 언젠가 실현하면 좋겠지만 현재로서는 우선순위가 아닌 선망의 대상에 불과했습니다. 하지만 소프트웨어 개발 속도가 점점 빨라지고, 소프트웨어 취약점을 노리는 정교하고 파괴적인 사이버 위협의 속도가 빨라지면서 보안 코딩이 필수적인 요소가 되었습니다. 사이버 보안 및 인프라 보안 기관(CISA)은 국제적인 운동으로 성장하고 있는 보안 설계 이 니셔티브를 통해 보안 코드를 전면에 내세우고 있습니다. 

보안 설계 접근 방식과 소프트웨어 취약성 감소 사이의 상관관계가 명확하다는 점이 연구를 통해 입증되었습니다. SCW 고객 기반 중 26%의 취약성 감소 데이터를 분석한 결과, 개발자 교육을 통해 소프트웨어 취약성이 22%에서 84%까지 감소한 것으로 나타났습니다. 이러한 범위는 관련 기업의 규모(상대적으로 개발자가 적은 소규모 기업일수록 더 극적인 결과를 보임), 학습 그룹이 특정 문제에 집중하여 더 많은 비율의 결함을 제거했는지 여부 등의 변수에 따라 달라졌습니다.

대기업의 결과는 다소 일관적이었습니다. 개발자가 7,000명 이상인 기업은 개발자의 보안 역량 강화의 결과로 취약성이 47%에서 53%까지 감소할 것으로 예상할 수 있습니다. 예를 들어, 개발자가 10,000명 이상인 통계적으로 평균적인 한 기업(플랫폼에서 최고 성과를 낸 기업도 아니고 벤치마크가 가장 높은 기업도 아님)은 취약점이 53% 감소했습니다. 

물론 가장 효과적인 교육은 일률적인 접근 방식을 취하는 것이 아닙니다. 개발자의 업무 환경과 개발 유형에 맞게 조정되어야 합니다.

기업은 개발자가 단순히 코드를 작성하는 것만큼이나 자연스럽게 보안 코드를 작성할 수 있도록 개발자가 갖춰야 할 기본 기술을 확립하는 것부터 시작해야 합니다. 업스킬링 프로그램은 개발자가 수행하는 업무 유형과 사용하는 언어에 맞는 실제 시나리오의 실습 위주의 민첩한 교육으로 구성되어야 합니다. 또한 교육 세션을 업무 일정에 맞출 수 있을 만큼 유연해야 합니다. 

개발자에게는 코드 작성 이상의 기술이 필요합니다. 개발자는 오픈 소스 리포지토리와 같은 타사 및 인공지능 어시스턴트가 만든 소프트웨어를 확인할 수 있어야 합니다. 개발자들은 제너레이티브 AI 모델을 적극 활용해 왔으며, 일반적으로 더 많은 코드를 더 빠르게 작성할 수 있다는 이점을 높이 평가했습니다. 그러나 스닉 설문조사 응답자의 76%는 AI가 생성한 코드가 사람이 만든 코드보다 더 안전하다고 답했지만, 56.4%는 여전히 AI가 가끔 또는 자주 오류를 일으킨다고 답했습니다. 또한 같은 설문조사에 따르면 개발자의 80%가 AI 코드 보안 정책을 적용하지 않는 것으로 나타나 AI 코드의 코드 문제가 해결되지 않고 있는 것으로 나타났습니다.

보안 설계 접근 방식에서는 개발자가 보안 팀과 별도로 작업하는 것이 아니라 보안 팀과 협력하여 SDLC 초기에 이러한 문제를 해결하고 코드가 프로덕션에 적용되기 전에 결함을 식별하고 수정합니다.

개인 및 기업 성과를 측정하는 신뢰 점수

또한 지속적인 교육도 중요합니다. 기업은 회사의 최고위층부터 하위 직급에 이르기까지 모든 곳에 적용되는 보안 우선 문화를 채택해야 합니다. 지속적인 개선과 SDLC 전반에 걸친 모범 보안 사례 적용에 초점을 맞춰야 합니다. 기술과 사이버 범죄자는 진화를 멈추지 않으며, 사이버 보안도 마찬가지입니다. 소프트웨어를 제작하는 조직의 경우 보안 교육을 받은 개발자가 기본입니다.

그렇기 때문에 교육이 효과적으로 이루어지고 있음을 입증하는 것이 교육 자체만큼이나 중요합니다. Trust Score는 개발자 개인과 조직 전체의 성과에 대한 가시성을 제공할 뿐만 아니라 성과 데이터를 드릴다운하여 특정 언어, 개발자 팀 또는 소프트웨어 범주에 집중할 수 있도록 지원합니다. 또한 개별 및 집계된 성과 결과의 데이터는 교육이 개발자의 일상적인 성과에 원하는 효과를 내지 못하는 경우와 같이 개선이 필요한 영역을 파악하는 데 도움이 됩니다.

Trust Score를 통해 조직은 개발자의 성과를 평가하고 필요한 보안 기술을 습득하고 사용하고 있는지 확인하여 개발자가 코딩 라이선스를 획득했는지 확인할 수 있습니다. 이를 통해 조직은 자격을 갖춘 개발자에게 가장 민감한 데이터와 중요한 소프트웨어 프로젝트에 대한 액세스 권한을 자신 있게 부여하고, 아직 준비가 되지 않은 도구에 대한 액세스는 거부할 수 있습니다.

변화하는 보안 문화의 증거

사이버 보안은 더 이상 단순한 보안 문제가 아닙니다. 사이버 보안은 많은 조직의 가장 소중한 자산인 데이터의 무결성에 영향을 미치는 비즈니스 문제입니다. 심각한 보안 침해는 조직의 운영, 평판, 그리고 잠재적으로 조직의 생존에 영향을 미칩니다. 사이버 보안의 중요성은 규제 기관에서도 놓치지 않고 있으며, 규제 기관은 점점 더 엄격한 규정을 시행하고 있으며, Uber와 SolarWinds의 사례처럼 CISO와 다른 고위 경영진에 대해 형사 고발까지 할 수 있다는 의지를 보이고 있습니다. 

오늘날의 환경에서는 전사적인 보안 문화를 채택하는 것이 필수적입니다. 기업의 가치 중 많은 부분이 데이터, 애플리케이션, 서비스에 있기 때문에 보안 코딩은 이러한 문화의 핵심 요소입니다. 문화적 사고방식의 일부로서 목표 교육 및 스킬 향상과 함께 교육이 문화를 변화시키는 데 도움이 되었다는 증거를 확보하면 조직은 보안 태세를 강화하는 길로 나아갈 수 있습니다. 

개발자가 주도하는 보안 프로그램에는 가치가 있습니다. 그 증거는 신뢰 점수에 있습니다.