보안 코드 인사이트

여러분이 지난 번 일을 했을 때를 생각해 보십시오. 아마도 소프트웨어 프로젝트 팀에서 불가능할 만큼 기한을 맞추기 위해 일했던 때를 생각해 보십시오.그러자 매니저가 다가와 몇 가지 필수 보안 교육을 받아야 한다고 말하며, 무엇보다 업무 시간에 집중해야 한다고 합니다.

그들은 알고 있고 여러분도 알고 있습니다.거대한 PITA이긴 하지만 규정 준수를 위해 백그라운드에서 지루한 교육 동영상을 재생하면서 코딩을 계속하고 두 작업 모두를 조정하고 어느 쪽에도 온전히 집중하게 될 것입니다.이는 일반적인 시나리오입니다. 운영 중단이 심하고 모두의 시간을 낭비하게 됩니다.대부분의 보안 교육은 너무 일반적이어서 실제 가치도 없이 업무 시간에 들어오고 나가는 내용을 간과하기 쉽습니다.

기업으로서 우리의 목표는 고객에게 더 효과적이고 효과적인 유형의 보안 교육을 제공하는 것입니다. 이는 각 우선 순위가 일치하지 않을 때 AppSec 팀이 중요하다고 말하는 내용에서 벗어나는 것이 어떤 느낌인지 정확히 아는 데서 비롯되었습니다.하지만 흥미로운 점은 필요할 때 교육을 받는 데 방해가 되는 장벽을 줄이기 위해 무엇을 할 수 있을지 생각하기 시작했다는 것입니다. 전체 플랫폼을 사용하더라도 여전히 도움이 필요하지만 교육 세션에 집중할 수 없는 순간에 업무에서 벗어날 수 있는 몇 가지 단계가 있습니다.

워크플로우, IDE 또는 이슈 트래커에서 마이크로 러닝을 보다 원활하게 구현할 수 있는 방법을 살펴보았습니다.그리고 우리가 생각해낸 것은 다음과 같습니다.

이는 Just-In-Time (Just-In-Time) 원칙에 기반합니다. Just-in-Time (Just-In-Time) 원칙은 올바른 지식을 적시에 제공하여 즉시 효과적이고 유용하게 사용할 수 있도록 합니다.이는 만약을 대비한 학습 방식과는 정반대입니다. 정보 과부하로 인해 기능 구축에 필요한 귀중한 시간과 헤드스페이스가 낭비되는 경우가 많습니다.

품질 코드는 안전한 코드이므로 가끔 협업할 수 있는 비침습적 보안 보조 도구가 필요한 경우 테스트 드라이브로 가져가는 것이 좋습니다.

장벽을 없애고 교육을 받으십시오.

일부 사용자에게는 사이버 보안이 관심사일 수 있지만 모든 사람은 그렇지 않습니다.개발자가 보안 전문가가 될 것이라고 기대하는 사람은 아무도 없습니다. 이는 여전히 전문 AppSec 팀의 임무입니다.하지만 보안을 잘 아는 개발자들은 코드 구축 단계부터 조직에 제공할 수 있는 기술과 보호 능력으로 높이 평가받고 있습니다.수요가 많은 분야이므로 상황에 맞는 마이크로 러닝을 통해 시간이 지남에 따라 기반을 구축할 수 있습니다.

이제 Clippy와 같은 통합 교육을 생각하고 있다면 (그가 평화롭게 쉬기를), Secure Code Warrior의 통합의 경우 개발자가 개발자를 위해 구축했기 때문에 자극 요인이 고려되어 제거되었다는 점에 유의하는 것이 중요합니다.

실제로 확인해 보겠습니다.

Github용 Secure Code Warrior는 레이블, 이슈 제목, 이슈 본문의 공통 약점 열거 (CWE) 또는 OWASP 참조에 대한 코드를 검사하여 상황에 맞는 적시 교육을 표시합니다.취약점 레퍼런스가 발견되면 해당 문제에 대한 코멘트가 게시되어 취약점의 재발을 신속하게 해결하고 방지하는 데 도움이 됩니다.프로세스를 중단하거나 해결책을 찾기 위해 여러 단계를 거칠 필요 없이 문제와 통합됩니다.

Jira를 사용하는 경우 프로세스는 비슷합니다.

보안에 대해 잘 알고 있는 현직 슈퍼스타라면 마법을 부리는 것이 여러분의 몫이 아니라는 점을 기억하는 것이 중요합니다.보안을 중요하게 여기고 자체 워크플로우에 적용해야 하는 지원, 교육, 그리고 이유가 필요합니다.다행스럽게도 이 모든 것이 제대로 작동하는 DevSecOps 프로세스의 일부이며 많은 조직에서 이미 이에 주목하고 있습니다.먼저 시작해보는 건 어떨까요?

지금 다운로드하세요, 어떻게 생각하는지 알려주세요.

에 처음 게시되었습니다. CSO 온라인

(반쯤 은퇴한) 윤리적 해커이자 보안 전문가이자 컴퓨터 전문가로서 저는 기술에 관심이 많다고 말할 수 있습니다.저는 이 기술이 어떻게 만들어졌는지, 어떤 역할을 하는지, 우리 삶의 어떤 면을 어떻게 더 좋거나 더 효율적으로 만들 수 있을지에 대해 관심이 있습니다.저는 항상 디바이스의 내부를 들여다보며 현존하는 최고의 (그리고 최악의) 코드 예제를 찾아봅니다.최근에 안드로이드 앱으로 에어컨 시스템을 원격으로 제어할 수 있는 방법을 알아보았습니다. WiFi 네트워크에 있는 누구라도 인증 없이도 에어컨 시스템을 제어할 수 있다는 사실을 알았을 때 얼마나 놀랐을지 상상해 보세요.

저는 소프트웨어 보안을 항상 최우선으로 생각합니다. 점점 더 디지털화되고 개인 정보를 공유하는 라이프스타일로 인해 초래되는 실제 위험도 마찬가지입니다.결국 우리는 거의 규제되지 않고 감독도 받지 않으며 홀가분하게 무시당하는 영역에 처해 있습니다.우린 와일드 웨스트에 있어요.

집단 사회로서 우리는 매일 사용하는 기술의 내부를 들여다보지 않습니다.Mr. Robot과 같이 인기 있고 높은 평가를 받는 TV 시리즈는 일반적인 인식을 높이는 데 도움이 되지만, 우리는 보안을 염두에 두지 않습니다. 사실 우리 대부분은 구매하고 사용하는 수많은 애플리케이션, 서비스, 점점 더 연결되고 있는 사물들 내에서 소프트웨어가 얼마나 안전한지 전혀 모릅니다.우리가 그 제품을 본질적으로 신뢰하는 것도 아니고, 아예 아예 생각하지 않는 것뿐입니다.

소니 플레이스테이션 네트워크 (PSN), 티켓마스터, 야후!, 페이스북, 타겟: 널리 사용되는 이러한 모든 회사가 데이터 유출의 피해자였습니다.그들의 소프트웨어 취약성 악용되었고 수백만 개의 고객 기록이 노출되었습니다.이러한 사례는 지난 10년간 발생한 글로벌 보안 침해 사례 중 일부에 불과합니다.악의적인 공격자가 우리의 소중한 정보를 훔칠 수 있는 취약한 소프트웨어 보안으로 인해 비용이 많이 드는 결과입니다.

대부분의 사람들은 데이터 침해를 생각할 때 정보 보안 침해를 떠올립니다. 정보 보안 침해는 회사에게는 악몽이고 개인 정보가 영향을 받은 사람들에게는 불편한 것으로 이해됩니다. 하지만 진지하게 말하자면, 무엇이 중요할까요?보안을 계속 무시할 경우 그 결과가 정말 그렇게 심각할까요?아무것도 없어요 그 지금까지 주요한 일이 발생했습니다. 데이터 침해는 관련 회사에 심각한 영향을 미치지만, 그게 그들의 문제죠, 그렇죠?그들은 비즈니스를 잃고 소비자의 신뢰를 잃습니다. 결국 문제를 해결하고 손해 배상하는 것이 그들의 임무입니다.

소프트웨어 보안은 모든 조직의 우선 순위여야 합니다.

개발팀이 있는 모든 조직에서 소프트웨어 보안이 최우선 관심사가 아닌 데에는 아주 간단한 이유가 있습니다. 아직 목숨을 잃은 사람이 많지 않고 위험에 대한 지식도 충분하지 않기 때문입니다.

병적?그럴지도 모르죠하지만 이건 정직한 진리입니다.다음과 같은 경우 규제, 표준 구축 및 법률 변경에 대한 관심을 기울입니다 (예: 정부 기관). 실제 인적 비용.

다리를 예로 들어 보겠습니다.토목 기술자들 (수백 년 전부터 이어져 온 직업) 은 안전을 교량 건설의 핵심 부분으로 간주합니다.그들의 접근 방식은 미학과 기본 기능을 훨씬 뛰어 넘습니다.건설되는 모든 교량은 엄격한 안전 규정을 준수해야 하며, 토목 공학 전문가와 사회 전체가 시간이 지남에 따라 높은 수준의 안전을 기대해야 한다는 것을 배우게 됩니다.오늘날 안전 요건을 충족하지 못하는 교량은 위험하여 사용할 수 없는 것으로 간주됩니다.이는 여전히 소프트웨어 엔지니어링 분야에서 발전해 나가야 할 발전입니다.

좀 더 현대적인 예를 들자면, 장난감 산업을 살펴보죠.1950년대에는 장난감 생산 및 판매의 급격한 증가 전후 베이비 붐 덕분입니다.흥미롭게도 이 기간 동안 장난감 관련 사고와 관련된 응급실 방문 횟수도 증가한 것으로 보고되었습니다.장난감 화살은 눈에 부상을 입혔고, 작은 장난감 (큰 장난감에서 분리할 수 있는 조각 포함) 은 섭취되고 있었으며, 어린 소녀들에게 판매되는 장난감 오븐 일반 가정용 오븐보다 더 높은 온도로 가열할 수 있었습니다.

그곳은 마치 “와일드 웨스트 (Wild West)” 같은 곳이었으며, 가장 심각한 상황에서 몇 가지 제한적인 금지 조치와 제품 리콜을 제외하고는 규제가 거의 없었습니다.장난감 제조업체는 기본적으로 원하는 장난감을 자유롭게 생산할 수 있었습니다. 안전에 대한 우려는 보통 몇 건의 사고가 이미 발생한 이후에 신고되었습니다.다음과 같은 법안이 나오기 전까지는 가능하지 않았습니다. 리처드 닉슨의 1969년 장난감 안전법 위험한 장난감에 대한 검사 및 후속 금지가 미국과 전 세계에서 표준이 된 법률로 통과되었습니다.사고는 여전히 발생하기 마련이지만, 오늘날 장난감 제조의 일반적인 공정에서는 “안전 우선” 정책을 채택하고 있기 때문에 우리 아이들은 잠재적 위험에 훨씬 덜 노출되어 있습니다.

현재 소프트웨어 보안 분야는 와일드 웨스트에 있습니다.개인 정보 보호 (특히 최근 GDPR) 와 고객 데이터 보호에 관한 명백한 법률 및 규정과 일부 국가의 필수 침해 신고 법률을 제외하면, 주류 비즈니스 또는 커뮤니티에서 소프트웨어에 내장된 보안 수준에 대해 언급하거나 하는 내용이 거의 없습니다.심지어 이러한 법률조차도 규제 대상인 실제 소프트웨어나 준수해야 할 필수 보안 기준보다는 회사의 책임과 더 관련이 있습니다.

우리는 그곳에 도착하겠지만, 먼저 파멸의 길이 필요할 수도 있습니다.

Gartner는 다음과 같은 결과가 있을 것으로 추정합니다. 2020년까지 84억 개의 인터넷 연결 장치 사용; 이는 2016년 이후 31% 증가한 수치입니다.여기에는 소비자 전자제품뿐만 아니라 의료 기기 및 산업별 장비도 포함됩니다.해커에게는 정말 많은 기회죠.

누군가의 맥박 조정기를 실행하는 소프트웨어가 안전하지 않다고 상상해 보십시오.해커가 침입하여 잠재적으로 피해자의 심장을 막을 수도 있습니다 (말도 안 된다고 생각하시나요?의사들은 WiFi를 비활성화했습니다. 딕 체니의 페이스메이커에서 해킹을 통한 잠재적 암살을 저지하기 위한 것이었죠)연결된 전자레인지 또는 주전자 원격으로 폭파될 수 있음 (가정에서 즐겨 사용하는 모든 종류의 사물 인터넷 장치와 함께), 커넥티드 전기 자동차의 브레이크가 작동하지 않을 수 있습니다.터무니없는 할리우드 액션 영화처럼 들릴 수도 있지만, 이러한 첨단 커넥티드 기술의 소프트웨어가 침해될 수 있다면 실제로 재앙이 닥칠 수 있습니다. 이미 다루었던 위협과 마찬가지로 말이죠. 석유 및 가스 산업 내 사이버 공격의 폭발적 파급 효과.

우리의 삶이 점점 더 디지털 의존도가 높아짐에 따라 악의적인 해킹으로 인한 심각한 결과를 미연에 방지할 수 있습니다.이 모든 것은 개발자들이 보안 코딩에 대해 더 흥미를 가지게 하고 개발 팀에 강력한 보안 사고방식과 문화를 키우는 데 진지하게 임하도록 하는 것에서 시작됩니다.

소프트웨어 혁명은 여기에서 시작됩니다.은행 업계는 기존 (읽기: 지루한) 교육을 완전히 탈피하는 진정으로 혁신적인 접근 방식을 통해 잘못된 코드를 퇴치하기 위해 게임화된 교육을 도입하는 데 앞장서고 있습니다.실제로 현재 호주의 상위 6개 은행 각각은 이러한 방식으로 개발자들을 참여시켜 보안 사고방식에 불을 붙이고 있습니다.우리의 고객인 IAG Group이 그들의 서비스를 어떻게 활용했는지 확인해 보세요. 넥스트 레벨 토너먼트.

이번 주 샌프란시스코에서 RSA에 참석하면서 CISOs와 많은 논의를 준비하고 있습니다. 그것은 당신을 놀라게 할 수 있습니다,하지만 요즘 많은 CISOs와의 대화는 행복한 일이 아니다.

보안 위험이 증가하고 있다는 것을 알고 있지만, 많은 사람들이 보안 개선의 기회를 볼 수 없으며, 대신 조직이 데이터 유출 이나 사이버 보안 공격의 피해를 받을 가능성이 더 높다고 믿습니다.

정기적인 CISO 대화에서 가장 일반적인 주제 중 하나는 사이버 보안 기술의 문제가 부족한 것에 대한 우려를 포함합니다.

"우리의 보안 팀은 엔지니어링 팀이나 회사의 규모에 충분하지 않습니다."

"우리의 보안 팀은 특별한 급여 패키지와 다른 대륙을 탐험 할 수있는 기회를 제공하는 해외 회사에 의해 밀렵되고 있습니다."

"우리의 보안 전문가들은 기술 개발을 유지하기 위해 화재와 싸우기에는 너무 바쁩니다."

이 주제는 2018 년 "유능한 사내 직원의 부족"이 CISO 사이버 보안 문제의 다른 모든 형태를 차지 한 2017 Ponemon 연구소 설문 조사를 포함하여 여러 연구 보고서에 의해 뒷받침됩니다.

이 중요한 보안 기술 격차는 곧 사라질 것 같지 않습니다, 특히 밝은 재능이 종종 역외 및 이민 법을 이동 호주와 같은 시장에서 는 국가에 외국 보안 전문가를 데려 점점 더 도전하게.

호주 의 기술 부족에 대한 흥미로운 점 중 하나는 숙련 된 전문가를 모집 할 수있는 능력의 부족이 국가 안보 기술 구축에 긍정적 인 초점을 주도하고있다는 것입니다. 벤자민 프랭클린이 말했듯이, "역경에서 기회가 온다." 호주 정부, 교육 기관, 기업 및 신생 기업은 현지에서 다양한 보안 기술을 구축하기 위한 프로그램을 개발하고 있습니다.

보안 기술 역경이 확실히 기회로 이어진 한 가지 영역은 내부 및 아웃소싱 개발 팀 내에서 안전한 코딩 기술을 개발하고 있습니다. 세계의 대부분의 주요 보안 위반코딩 오류와 평균 위반 비용 $US 360만 $US 감안할 때 소프트웨어 보안은 확실히 보안 문제의 중요한 부분입니다. 응용 프로그램 보안 예산 내에서 가장 큰 (그리고 증가하는) 지출 중 하나는 사후 응용 프로그램 보안 식별 및 수정에 있으며, 종종 매년 동일한 오래된 버그가 발생합니다.

개발자가 처음부터 보안 코드를 작성할 수 있도록 지원하는 것은 CIS가 보안 곤경에 서능적으로 통제할 수 있는 기회이며 보안 및 개발 팀 모두에게 빠르고 쉽고 측정 가능한 개선이 가능한 기회입니다.  

보안 전문가를 개발자로 대체하는 것은 아니지만 보안 문제에 대한 개발자의 참여를 유도하고 일상적인 사고 방식의 보안 부분을 만들고 재미있고 효과적이며 효율적인 방식으로 안전하게 코딩하도록 가르치는 것을 의미합니다. 그 결과, 보안 전문 지식이 부족한 것은 동일한 오래된 취약점을 다루기보다는 정말 어렵고 복잡한 버그를 찾고 해결하는 데 더 잘 사용될 수 있습니다.

일부 CISOs에, 이 모든 사실이 너무 좋은 소리 수 있습니다., 또는 구현 하기 너무 어려운, 하지만 진실은 그 것 들 중 어느 쪽도. 에 Secure Code Warrior 우리는 점점 더 많은 CISSo가 이 기회를 수용하고 그 과정에서 보안 및 개발 팀의 근무 생활을 변화시키는 것을 보았습니다.

소프트웨어 개발자들 사이에서 강력한 보안 사고 방식과 기술을 개발하기 위해 전 세계적으로 책임을 맡은 CIS의 한 그룹은 호주 은행입니다. 호주 은행은 2016년과 2017년에 이 접근법의 얼리 어답터였습니다. 이 나라의 상위 6개 은행은 현재 온라인, 자율 주행, 게임화된 학습 환경을 통해 안전한 코딩 기술을 구축하기 위해 개발자 팀을 적극적으로 장려하고 참여시다. 은행은 또한 정기적으로 실시간 메트릭을 검토하고 보고하여 개발자와 팀의 강점과 약점을 확인하고 있습니다.

일반적인 취약점 발생 감소, 개발자 보안 인식 강화, 보안 및 개발 팀 간의 관계 개선 등 접근 방식에서 실질적이고 긍정적인 결과가 유입되고 있습니다. 개발자에게 안전하게 코딩할 수 있도록 가르치는 데 투자하는 기업은 기존 보안 인재에 대한 압박을 줄이고 소프트웨어 불안을 통해 노출을 줄일 수 있습니다.

조직 내 보안 상황에 대해 우울하다고 느끼는 CISO(또는 아는 사람)인 경우 긍정적이고 실질적인 보안 개선 지점을 획득하는 간단한 방법을 생각해 보시기 좋습니다. 개발자가 관련성 있고 긍정적이며 재미있는 방식으로 안전하게 코딩하는 법을 배울 수 있도록 지원합니다. 보안 및 개발 팀은 감사할 것이며 제품 혁신 및 개발로 인해 비용과 지연을 제거할 것입니다. 내 내기는 많은 긍정적 인 보안 대화를위한 길을 열 것입니다 _....

개발자가 처음부터 보안 코드를 작성할 수 있도록 지원하는 것은 CIS가 보안 곤경에 서능적으로 통제할 수 있는 기회이며 보안 및 개발 팀 모두에게 빠르고 쉽고 측정 가능한 개선이 가능한 기회입니다.

보안 및 데이터 보호와 관련해서는 최신 개발에 대한 신속한 대응이 매우 중요합니다.결국 해킹과 위협은 언제든지 발생할 수 있으므로 경계를 늦추지 않는 것이 중요합니다.여기 시큐어 코드 워리어, 당사는 최신 취약성, 위험 완화를 위해 취해야 할 조치 및 사용자 보호 방법에 대한 최신 정보를 제공하기 위해 노력하고 있습니다.도움이 될 수 있는 최근 발표와 마찬가지로 스프링 라이브러리 취약점, 여기서는 새로 발견된 두 가지 취약점에 대해 알아보려고 합니다.

현재 우리는 두 가지 새로운 취약점에 초점을 맞추고 있습니다. 첫 번째는 “Windows RPC RCE”로 알려진 마이크로소프트의 서버 메시지 블록이고 두 번째는 “LDAP 참조 구현”으로 알려진 NGINX입니다.

이 취약성에 대해 지금까지 파악한 내용과 위험을 완화하기 위해 취할 수 있는 조치에 대해 알아보려면 계속 읽어보세요.

마이크로소프트 윈도우 RPC RCE - CVE-2022-26809

마이크로소프트는 4월 패치 화요일에 취약점을 공개했습니다. SMB (서버 메시지 블록) 기능, 특히 부품 처리 RPC의 경우이 취약점은 CVE-2003-0352 공격과 비슷하기 때문에 익숙하게 들릴 수도 있습니다. 웜 블래스터 2003년으로 거슬러 올라갑니다!

착취의 위험 수준과 가능성은 어느 정도입니까?

Microsoft의 권고에 따르면 “공격 복잡성”은 “낮음”이며 평가되었습니다. 착취 위험 야생에서 착취가 입증되지 않은 경우 가장 높은 레벨인 “착취 가능성 증가”가 됩니다.

현재 알려진 악용 사례가 없지만 공격 복잡도가 낮고 악용 가능성이 높다는 평가로 인해 악의적인 행위자가 블래스터 공격을 통해 빠르고 쉽게 악용할 수 있다는 우려가 있습니다.

연구원들은 공용 인터넷에서 포트 139/445에 액세스할 수 있는 많은 호스트를 확인했습니다. 이는 대규모 탐사가 발생할 경우 상당히 걱정스러운 일입니다.

위험을 완화하기 위해 사용자는 어떤 조치를 취해야 할까요?

다행히도 이 취약점에 의해 악용될 위험을 완화하는 것은 비교적 쉽습니다.

1. 인터넷에서 포트 139 및 445에 대한 액세스를 차단하고 액세스가 필요한 경우 내부 액세스로만 제한하십시오.Microsoft 설명서에서 자세한 내용을 확인할 수 있습니다. 이리.
2. 마이크로소프트가 2022년 4월 12일에 릴리스한 패치를 적용하세요.

NGINX - LDAP 레퍼런스 구현 RCE

NGINX 공개되었습니다 2022년 4월 11일, 시스템에서 원격 코드 실행 (RCE) 을 허용하는 “LDAP 참조 구현 RCE”라는 새로운 취약점이 발생했습니다.

취약점은 무엇인가요?

이 취약점은 프로덕션 시스템이나 일반적으로 민감한 시스템에서 사용하기 위한 코드에는 영향을 주지 않기 때문에 고유합니다.그보다는 이름에 있는 “참조 구현”에서 알 수 있듯이 이 코드의 목적은 NGINX 설정에서 LDAP 통합이 어떻게 작동할 수 있는지 보여주는 것입니다.

누가 위험에 처해 있으며 코드를 보호하려면 어떻게 해야 할까요?

다행히 NGINX는 기본적으로 취약하지 않습니다.주요 위험은 LDAP 확장이 설치된 경우입니다.그렇더라도 취약점이 악용되려면 다른 여러 조건도 충족되어야 합니다.권장되는 조치 중 하나는 참조 구현을 사용하는 경우 프로덕션에 바로 사용할 수 있는 구현으로 전환하라는 것입니다.

자세한 내용은 다음을 참조하십시오. 엔지닉스 공시.

취약점으로 인해 노출된 느낌이 드시나요?저희가 도와드릴 수 있습니다.

오늘날의 윈도우 RPC RCE 및 NGINX - LDAP 레퍼런스 구현 RCE부터 지난 달의 스프링 취약점까지, 분명한 사실은 소프트웨어 취약성 항상 존재합니다.

대부분의 회사는 코드 및 고객에 대한 위험을 줄이기 위해 신속한 대응 전략에 초점을 맞추고 있지만, 여기에는 중요하지만 위험에 노출될 수 있는 사후 대응적 접근 방식이 있습니다.보안 코드 구축, 개발자 기술 향상, 보안 중심 문화 조성을 위한 사전 예방적 전략이 위협으로부터 자신을 보호하는 가장 좋은 방법이라고 생각합니다.

소프트웨어 개발 수명 주기 초기에 개발자 중심 보안을 강조하면 보호 기능이 향상되고 코드 배포 효율성이 향상되며 시간과 비용이 절약됩니다.

시큐어 코드 워리어가 저희 고유의 기능을 도와드리겠습니다. 교육 플랫폼 이는 교육 콘텐츠에서 팀이 배우고 있는 새로운 기술을 실제로 적용하는 데까지 이어집니다.

방법 알아보기 시큐어 코드 워리어 학습 플랫폼 개발자에게 보안 코딩 교육을 제공할 수 있습니다.

‍

‍

오늘은 우리의 일곱 번째 생일입니다. 진부한 말이긴 하지만 시간이 얼마나 빨리 갔는지 믿을 수 없어요.우리가 우리의 첫 번째 대기업 고객을 축하하거나 (제가 어떻게 행동해야 할지 전혀 모르는 50페이지에 달하는 법률 용어를 제시했습니다), 멋진 'S' 로고와 엉터리 스웨그를 들고 무역 박람회에 참가한 것은 그리 오래되지 않은 것 같습니다. Fatemah는 오늘날까지도 풍선 검이 잘못된 비즈니스 결정이었다고 말합니다 (참고로 저는 여전히 동의하지 않습니다).

고성장 벤처로 성장하기 위한 이 스타트업은 빠르게 배우고, 탄력성을 유지하고, 모방당한 사람들을 신경 쓰지 않고, 실험하고 스스로를 뒷받침하는 것을 두려워하지 않는 연습이었습니다.우리는 다른 모든 사람들과 마찬가지로 글로벌 도전의 힘을 느꼈고, 그것이 비즈니스의 인격을 구축하는 데 도움이 되었지만, 우리가 지속적으로 적응하고 고객이 보안 프로그램의 개발자 중심 요소를 형성하도록 돕는 방식에 자부심을 느낍니다.

우리의 생일 기념일은 우리의 노력의 결실을 되돌아보고, 팀을 축하하고, 자신감을 가지고 다가오는 한 해를 맞이할 수 있는 좋은 기회입니다.창립한 지 7년이 지난 지금, 궁금증이 남습니다. 과연 우리가 해냈을까요?이 회사가 아직 진짜 회사가 아닌가요?물론 우리는 성숙기에 다다랐지만 처음부터 가졌던 호기심, 열정, 괴짜스러움을 결코 잃지 않기를 바랍니다.

자, 우리는 지난 한 해 동안 무엇을 했을까요?

300,000명의 개발자가 당사 플랫폼에 참여했습니다.

30만 명의 개발자들이 이 분야에 참여하고 있다는 생각 보안 코드 워리어 학습 플랫폼 이는 매우 동기 부여가 됩니다. 개발자 커뮤니티가 우리의 제품을 수용하는 것을 보는 것이 좋기 때문만이 아니라, 예방 보안에 대한 업계의 심리가 크게 바뀌고 있다는 것을 보여주기 때문입니다.

개발자의 역량 강화와 보안 참여는 일반적인 취약점과의 싸움에서 매우 중요하며, 조만간 해당 사용자 수가 0이 될 수 있기를 기대합니다.우리는 총체적인 서비스를 제공하기 위해 최선을 다했고 지금도 최선을 다하고 있습니다. 스캐폴드 학습 경험 이는 지속적인 기술과 인식을 구축하고 기업의 요구와 위협 환경에 유연하게 대응할 수 있을 만큼 역동적입니다.하지만 아직 갈 길이 멉니다... 2천만 명 이상의 개발자가 매년 빠르게 성장하고 있습니다.

우리는 JP모건 체이스 앤 컴퍼니의 2021년에 참여했습니다 홀 오브 이노베이션

오랜 고객인 JPMorgan Chase로부터 보안 코딩 분야에서 엔지니어링 팀에 미친 중대한 비즈니스 영향에 대해 인정을 받게 되어 기뻤습니다.이러한 대규모 조직이 고객과 투자자에게 고품질의 안전한 소프트웨어를 제공할 수 있도록 지원하는 것은 지난 한 해뿐만 아니라 고객 재직 기간 동안 가장 중요한 사항 중 하나였습니다.

우리의 첫 번째 연례 데블림픽은 큰 성공을 거두었습니다.

저희는 한동안 온라인 글로벌 시큐어 코딩 토너먼트에 대한 아이디어를 떠올렸으며, 사이버 보안 인식의 달 (Cyber Security Awareness Month) 을 맞아 첫 데블림픽 (Devlympics) 이라는 형태로 이를 실현했습니다.

보안 기술을 갖춘 개발자들이 엄청난 상을 놓고 경쟁하는 모습을 14시간 동안 기념하고 Allianz, Atlassian, Contrast Security, Datacom, Sonatype의 보안 전문가들이 해설과 프레젠테이션을 하는 이 행사는 커뮤니티의 참여를 유도하고 그 과정에서 많은 즐거움을 누릴 수 있는 훌륭한 방법이었습니다.내년은 더 크고 더 좋아질 것이므로 2022년 하반기에 등록될 예정이니 많은 관심 부탁드립니다.

450명의 기업 고객을 확보했습니다.

이것은 어떤 면에서든 놀라운 이정표이며, 광범위한 업종에 종사하는 많은 회사가 있다는 것을 보여줍니다. 금융 서비스 자동차 제조, 의류, 농업 분야에서 전략의 일환으로 예방적 사이버 보안 조치를 취하고 있으며, 보안 코딩에 대한 개발자 지원이 그 핵심 부분입니다.

우리를 새로운 차원으로 끌어올리기 위해 정말 훌륭한 리더들을 고용했습니다.

기술과 전략의 관점에서 우리를 발전시킬 뿐만 아니라 미래의 나머지 비즈니스를 이끌고 영감을 줄 수 있는 인재를 유치할 수 있다는 것은 저에게 큰 의미가 있습니다. 전 세계에 퍼져 있고 다양한 관리 팀이 이를 실현할 수 있다는 것을 보여주기 때문입니다.

2021년에는 주니 딘다를 최고 마케팅 책임자로 임명했습니다.Atlassian의 JIRA, Confluence 및 BitBucket 제품 마케팅 담당 부사장으로 재직한 그녀는 심층적인 기술 전문 지식과 글로벌 실적 덕분에 팀에 큰 도움이 됩니다.

또한 전 Zendesk Erica Wass를 새로운 제품 담당 부사장으로 맞이했습니다.그녀는 2018년 호주에서 제품 분야를 선도하는 여성으로 인정받은 것은 말할 것도 없고, 다양한 성공적인 기술 기업에서 리더십과 제품 전략을 주도한 폭넓은 경험을 바탕으로 기술과 혁신에 대한 전염성 있는 열정을 팀에 선사합니다.

엔지니어링 담당 부사장인 파비오 가빌론도 (Fabio Gavilondo) 는 우리가 환영하는 또 다른 훌륭한 리더이자 기술자입니다.DevOps에 대한 그의 전문 지식과 전 세계 기업에서 최고 수준의 소프트웨어를 시장에 출시하는 것은 우리가 업계의 기대를 뛰어넘는 것을 추구하는 데 있어 매우 중요한 자질입니다.

경영진의 새로운 활력 외에도 SCW 창립자 중 한 명인 Fatemah Beydoun이 최고 고객 책임자로 승진하고 Anneke Loubser가 현재 전 세계 People & Culture 팀을 성공적으로 이끌고 있다는 사실이 매우 자랑스럽습니다.

엄마

몇 년 전에 엄마가 제게 전화하셨던 게 기억나요. 엄청 들떠 계셨어요.이어서 아내가 말하길 브뤼헤에 있는 첫 번째 사무실이 있는 건물을 지나갔는데 창문에서 시큐어 코드 워리어 (Secure Code Warrior) 간판을 발견했다고 하더군요.“이제 진짜 회사가 되셨군요!”그녀가 말했죠.

드디어 그녀를 믿기 시작한 것 같아요. 다음 장을 여러분과 공유하고 싶습니다.

디지털 방식으로 주도하는 세상에서 우리는 데이터 도난의 위험이 계속 증가하고 있습니다. 대규모 조직이 우리의 귀중한 정보의 게이트키퍼 역할을 하고 있기 때문에 많은 사람들이 엄격한 보안 표준을 구현해야 할 필요성을 인식하고 있습니다.

"왼쪽으로 이동"에 대한 이니셔티브의 대부분, 즉, 개발 프로세스의 훨씬 일찍 보안을 도입, 단순히 충분히 바늘을 이동하지 않습니다. 우리는 여전히 프로세스를 잘못된 방식으로 시작하고 궁극적으로 더 안전한 소프트웨어의 결과를 달성하기 위해 백페달링된다는 의미가 있습니다. 우리는 개발 팀에 적극적으로 참여하고 현재 부족한 지식으로 무장하는 문화적 변화를 제정하면서 왼쪽으로 시작해야 합니다. 그러나 모든 교육 및 도구는 동일하지 않습니다.

이 문서에서는 보안 인식 및 개발 관리자와 같은 주요 리더가 개발자 집단에 진정으로 권한을 부여하여 비용이 많이 드는 사이버 공격에 대한 방어 최전선으로 전환할 수 있는 방법을 살펴봅니다.

왼쪽으로 이동 vs. 왼쪽 시작: 중요한 구별.

세계에서 가장 신뢰할 수 있는 일부 조직에 영향을 미치는 빈번한 데이터 유출 시대에 회사 리더들은 보안 업계를 통해 성공적인 공격인 금융, 평판 및 쇼스톱 재해를 방지하는 지침을 제공했습니다.

꽤 잠시 동안, AppSec 전문가 (나 자신을 포함)는 우리가 실제로 "왼쪽으로 이동"해야한다고 조언했다. DevOps 모범 사례와 더 나은 소프트웨어 보안 결과에 따라 많은 사람들이 소프트웨어 빌드의 보안 부분이 소프트웨어 개발 수명 주기(SDLC)에서 더 빨리 제공되어야 한다고 조언했습니다. 소프트웨어 프로젝트가 시작되면 AppSec 팀이 조기에 참여하면서 프로세스시작에 더 가까워야 합니다.

이것은 나쁜 조언이 아니며, 그것은 일을하는 오래된 방법보다 확실히 낫다 (도난당한 데이터의 양과 강도에 사용되는 취약점의 나이가 어쨌든 작동하지 않는 경우). 그러나 실제로 떠나기 시작하면 보안 결과는 훨씬 더 긍정적일 것입니다.

왼쪽으로 이동, 왼쪽 시작 ... 차이점은 뭔가요? 차이점은 개발 팀에 참여하는 방식에 있습니다. 진정으로, 그들은 더 안전한 소프트웨어를 제공 하는 열쇠, 나중에 주기 도구 체인 및 수동 코드 검토 관리할 수 있는 보다 훨씬 저렴. 이상적인 세상에서 소프트웨어를 작성하는 모든 개발자는 처음부터 안전하게 코딩할 수 있는 지식과 도구를 갖게 됩니다. 그들은 잠재적 인 결함을 발견 할 것, 그들은 최선을 다하고 전에 그들을 완화 (그리고 지금까지 잡초를 잡초와 수정하는 데 훨씬 더 비싼). 수십 년 동안 우리가 보았던 보안 버그가 급격히 감소할 것입니다 - 여전히 공격자가 뒷문을 통해 들어오도록 허용할 책임이 있습니다. SQL 주입, 사이트 간 스크립팅 및 깨진 인증 의 형태로 이러한 영업 창이 닫힙을 닫습니다.

그러나, 지금, 단순히 직업 수준에서 보안에 충분히 강조되지 않습니다, 그리고 작업 보안 코딩 교육은 격렬하게 다릅니다. 따라서 개발자는 조직이 왼쪽으로 시작할 수 있도록 하는 데 필요한 것이 거의 없습니다. 리더십 직책에 있는 사람들이 함께 일하고 더 광범위한 보안 인식을 옹호할 때, 직접 지식과 개발자와의 접촉은 작동하는 프로그램을 운전하는 데 필수적입니다. 결국, 개발 관리자는 한 때 자신의 위치에 앉아 있었다, 도구에 및 보안 공간은 시간의 가장 좋은 탐색하기 어려운.

개발자는 보안을 사랑하지 않습니다 (아직)... 하지만 대화를 변경할 수 있습니다.

당신은 어떻게 되는지 알고 있습니다 : 일반적인 개발자에게 "보안"을 언급하고, 당신은 기껏해야 눈롤또는 최악의 경우 당황할 가능성이 높습니다. 일반적으로 전체 보안 문제는 다른 사람의 문제로 간주됩니다.

개발자는 기능적이고 혁신적인 기능으로 가득하며 촉박한 프로젝트 타임라인 내에서 제공되는 소프트웨어를 구축하는 데 있어 주요 책임이 있습니다. 보안은 코딩 수준에서 거의 우선 순위가 없으며 신속한 전달과 창의력을 얻기 위한 지루한 차단기로 볼 수도 있습니다. AppSec은 코드, 펜 테스트 및 나쁜 소식을 꼼꼼하게 검사한 다음 나쁜 소식을 보고하는 임무를 맡고 있습니다: 코드에 보안 취약점이 존재하여 종종 이미 커밋된 코드에 존재하고, 그렇지 않으면 매우 잘 작동합니다. 리소스와 시간을 위해 늘어나는 환경에서는 비용이 많이 드는 프로세스로, 설정은 궁극적으로 동일한 목표를 가지고 있지만 완전히 다른 언어를 말하는 두 팀 간의 균열을 야기할 수밖에 없습니다.

지금, 이 기후에서, 필수 보안 교육에 리셉션은 매우 쌀쌀한 될 가능성이 높습니다. 그러나 모든 개발자의 보안 사고 방식을 촉발할 수 있는 힘은 파이프꿈이 아닙니다. 적절한 종류의 교육과 지원을 통해 소프트웨어에 보안을 적용하고 제어할 수 있는 보안 결과에 대한 책임을 지도록 시작할 수 있습니다. 개발자 가 일반적인 버그를 돌볼 수 있다면, 그것은 진정으로 복잡한 문제를 다듬기 위해 고가의 전문가를 확보합니다. 개발 팀을 관리하는 위치에 있다면 이 격차를 해소하고 팀이 이점을 볼 수 있도록 돕는 데 중요한 역할을 할 수 있습니다.

모든 훈련은 동일하지 않습니다.

새로운 것을 배우는 것에 대해 정말 흥분한 마지막 때는 언제인가요? 당신이 했던 시대에, "필수", "준수" 또는 "비디오의 17 시간"과 같은 단어는 아마 마음에 오지 않을 것입니다.

개발자도 마찬가지입니다. 그들은 영리하고 창의적이며 문제를 해결하는 것을 좋아합니다. 보안 취약점에 대한 끝없는 비디오를 시청하는 것은 참여를 유도하거나, 콘텐츠를 기억에 남게 유지하거나, 일상적인 역할과 책임에 따라 다될 가능성은 거의 없습니다. SANS 강사로 내 시간에, 최고의 훈련은 실습, 참가자가 분석하고 지적 적으로 도전하도록 강요, 자신의 두뇌를 테스트하고 사전 학습에 구축 실제 예제를 사용하여 매우 일찍 명백하게되었다. 게임화와 친근한 경쟁은 또한 응용 분야에서 유용하고 실용적인 유지하면서, 새로운 개념으로 모든 사람을 얻을 수있는 강력한 도구입니다.

또 다른 무서운 요인은 많은 보안 교육이 모니터링되지 않는 다는 것입니다. 아무도 빅 브라더가보고있는 것처럼 느끼는 것을 좋아하지 않지만, 아무도 관련이 있는지 여부를 확인하지 않으면 교육에 시간과 돈 및 노력을 소비하는 요점은 무엇입니까?

올바른 솔루션은 안전한 코딩을 재미있고 관련성이 높고 매력적이며 측정할 수 있도록 만들 수 있습니다. 개발자에게 도전하고, 잘 대우하고, 특별한 이벤트로 만드세요. 게임화된 교육은 뇌의 보상 센터를 밝히고 학습을 계속하고 지식 의 경계를 밀어 붙이며 더 높은 수준의 소프트웨어를 구축하는 인센티브를 제공하는 것은 윈 - 윈입니다.

보안 문화 건강 검사: 당신은 인생 suppor t에있습니까?

보안 문화가 열악한 환경에서 안전한 소프트웨어를 만드는 것은 발목에 연결된 바위가 있는 마라톤에서 승리하는 것과 같습니다: 사실상 불가능하고 불필요하게 어렵습니다.

가시교육, 일대일 훈련 tournaments AppSec 및 개발 팀이 서로의 일상 업무에 대한 훨씬 더 많은 통찰력을 얻으면서 개발자가 보안 성장을 지원함으로써 긍정적인 보안 문화를 이끄는 데 엄청난 도움이 됩니다. 더 나은 관계는 성장하고 번성하고, (종종 제한된) 보안 예산은 같은 작고 성가신 버그시간과 시간의 "Groundhog Day'시나리오를 수정에 불타지 않습니다.

또 다른 강력한 부산물도 있습니다: 당신이 알지 못했던 보안 챔피언의 발굴. 모든 사람이 참여하도록 하는 적절한 교육, 또한 철저한 교육 assessment 보안에 대한 적성을 가지고 있을 뿐만 아니라 적극적으로 열정을 드러내는 사람들을 발견할 수 있습니다. 이 챔피언들은 기세를 유지하고 팀 간의 접촉 지점역할을 하고, 동료를 감독하며 모범 사례 정책을 유지하는 데 매우 중요합니다. 인정과 임원 지원을 포함하는 견고한 챔피언 프로그램을 구현하는 것은 조직의 상한선에 깃털뿐만 아니라 개인의 이력서에 강력한 인상을 보고 미래의 경력을 강화하는 것입니다.

긍정적인 보안 문화에 투입할 때 책임은 공유되며 더 많은 수준의 보안 소프트웨어 우수성을 달성할 수 있습니다. 궁극적으로 소프트웨어 개발 수명 주기의 모든 사람은 보안 소프트웨어가 아닌 경우 좋은 소프트웨어가 아닙니다.

단어를 전파합니다.

AI 지원 코딩은 앞으로 다가올 것이 아니라 이미 우리 곁에 와 있습니다. 전 세계 모든 개발팀이 GitHub Copilot과 같은 도구를 채택하여 배포를 가속화하고 있으며, 이러한 변화는 빠르게 진행되고 있습니다. 2024년 초에는 14%에 불과했던 엔터프라이즈 소프트웨어 엔지니어의 90%가 2028년에는 AI 코딩 어시스턴트를 정기적으로 사용할 것으로 Gartner는 예측하고 있습니다.

AI 도구는 코드 작성 속도를 높여주지만, 개발자의 작업 방식에도 변화를 가져옵니다. AI가 코드 작성의 더 많은 부분을 담당함에 따라 개발자는 기계가 생성한 코드를 검토, 분석, 수정하는 데 더 많은 시간을 할애하고 있습니다. 하지만 많은 개발자가 이러한 검토를 효과적으로 수행하는 데 필요한 구체적인 보안 기술이 부족합니다. 이러한 지식 격차는 새로운 위험을 초래하며, 최신 코드 리뷰의 핵심 부분으로서 보안 숙련도를 구축해야 할 시급한 필요성을 강조합니다. 

안전한 검토 능력을 키우는 실습 방법

그래서 저희는 개발자가 실제 워크플로에서 보안 검토 기술을 연습하고 강화할 수 있는 새로운 코파일럿 스타일의 경험으로 AI 챌린지를 재설계했습니다. 이러한 대화형 챌린지는 개발자가 이미 IDE에서 사용하고 있는 실제 워크플로우와 AI 도구를 반영하여 개발자가 상황에 맞는 보안 검토 기술을 연습할 수 있도록 도와줍니다.

이제 학습자는 풀 리퀘스트를 검토하는 데 그치지 않고 실제 세계에서 코딩하는 것처럼 검토, 분석 및 수정할 수 있는 코드를 생성하는 Obi라는 시뮬레이션된 AI 코딩 도우미와 상호 작용합니다.
↪f_200D↩

새로운 AI 챌린지의 달라진 점은 다음과 같습니다:

• 간소화되고 직관적인 UI - 시뮬레이션된 AI 코딩 도우미인 Obi는 개발자가 보안에 대해 비판적으로 생각하도록 유도하는 사실적인 코드 스니펫을 생성하여 경험을 안내합니다.
• 구조화된 단계별 학습 - 찾기 → 영향력 → 수정으로 이동하여 반복 가능한 기술을 쌓을 수 있습니다.
• 내장된 학습 피드백 - 숨겨진 답이 없습니다. 학습자는 항상 전체 맥락과 명확한 요점을 파악하고 떠납니다.
• 집중력 있는 도전 과제 - 잡음은 줄이고 학습은 늘리세요. 각 활동을 해결하는 데 필요한 코드와 정보만 표시됩니다.

AI 지원 코딩은 소프트웨어 개발을 혁신하고 있으며, 보안 코드 검토는 개발자에게 가장 중요한 기술 중 하나로 빠르게 자리 잡고 있습니다. 코드가 빠르게 생성될수록 보안 문제를 조기에 발견하고, 이해하고, 수정할 수 있는 역량을 갖춘 팀이 없다면 취약점이 프로덕션 환경에 더 빨리 침투할 수 있습니다.

오비가 안내하는 코파일럿 스타일의 AI 챌린지는 이러한 기술을 자연스럽게 익힐 수 있도록 설계되었습니다. 이는 개발자가 보안 코딩의 미래에 대비할 수 있는 현대적이고 인터랙티브하며 효과적인 방법입니다.

지금 새로운 부조종사 스타일의 AI 챌린지에 도전 하거나 여기에서 자세히 알아보세요: AI 챌린지 플레이 방법

최근 신제품 혁신의 세계에서 우리가 무엇을 하고 있는지 궁금하신가요?최근에 개최한 제품 토크 세션 여기서 우리는 다양한 세부 사항을 다루었습니다.꼭 확인해 보세요. 관심을 끌기 위해 간략한 개요를 알려드리겠습니다.여기서는 최신 릴리스에 대한 개요와 2025년의 비전 로드맵을 제공합니다.

교육 과정을 맞춤화할 수 있는 더 많은 방법

우리는 당신의 말을 듣고 들었습니다.개발자 경험에 초점을 맞춰 개선하여 사용자가 교육 과정을 맞춤화할 수 있는 방식을 혁신했습니다.접근성 표준을 준수하면서 문제 해결 단계를 원활하게 진행할 수 있도록 과제를 정비했습니다. Explore 메뉴는 다양한 활동을 제공하여 자기 주도형 및 대화형 학습을 촉진합니다.

엔터프라이즈 경험 강화

또한 보고, 분석, SCIM 통합 및 향상된 관리 기능을 강조하는 엔터프라이즈 중심의 개선 사항도 자세히 살펴봅니다.간소화된 보고 기능은 관리자에게 포괄적인 통찰력을 제공하고, SCIM은 사용자 프로비저닝을 자동화하여 온보딩 및 오프보딩을 간소화합니다.이메일과 Microsoft Teams를 통한 “넛지” 기능이 추가되어 전반적인 관리 경험이 한층 더 개선됩니다.

지평선 위에는 무엇이 있을까요?

마지막으로, 시큐어 코드 워리어의 2024년 비전을 확인해 보세요. 여기서 6가지 중추적인 이니셔티브를 공개합니다.

• 경영진 가치 벤치마크 보고 및 종합 프로그램 보고는 회사 성과에 대한 심층적인 통찰력을 제공합니다.
• 개발자 권한 부여는 자체 주도 학습 경험을 향상시키는 데 중점을 둡니다.
• 콘텐츠 개발 투자를 늘리면 강력한 콘텐츠 라이브러리가 보장됩니다.
• 코드 리포지토리와의 긴밀한 통합은 개발자 활동에 대한 타의 추종을 불허하는 통찰력을 제공합니다.
• 관리자 생산성 향상은 커뮤니케이션 채널을 간소화합니다.

이러한 흥미로운 발전에 대해 더 자세히 알아보려면 전체 녹음 듣기 Secure Code Warrior의 미래 혁신의 미래를 만드는 데 참여하는 방법을 알아보십시오.

‍

이번 주에는 Zip 라이브러리의 기본 동작에 대해 이야기하겠습니다.응용 프로그램 개발자라면 이전에 이 기능을 사용해 보셨을 가능성이 큽니다.인터넷을 통해 다운로드되는 대부분의 리소스는 zip 형식이므로 의미가 있습니다. 압축된 데이터는 크기가 작기 때문에 다운로드 속도가 빠르고 대역폭을 적게 소비합니다.

좀 더 구체적인 예를 원한다면 게임용 텍스처, 키보드 자동 완성을 위한 언어 팩,...많은 리소스가 애플리케이션과 함께 자동으로 번들로 제공되지 않고 나중에 다운로드됩니다.

그러나 이 기능을 사용할 때는 주의해야 합니다. zip 아카이브의 파일 이름에 경로 탐색 정보가 포함될 수 있습니다.압축을 풀면 의도한 디렉토리 외부에 파일이 생성될 수 있습니다.이는 주로 기존 파일을 덮어쓰기 위한 목적으로 수행됩니다.

다음 두 파일이 들어 있는 zip 아카이브가 있다고 가정해 보겠습니다.

파일 1
../파일2

이 아카이브를 추출하면 unzip 디렉터리에서 우리가 예상한 위치인 file1이 추출됩니다.하지만 file2는 zip 라이브러리에 아카이브의 압축을 풀도록 요청한 위치보다 한 디렉토리 위에 기록되었습니다.

따라서 zip 라이브러리가 이 문제를 제대로 처리하지 못하면 공격자가 시스템에 임의의 파일을 쓸 수 있으므로 주의하십시오.라이브러리가 안전한지 항상 확인하십시오. 이 규칙은 모든 라이브러리에 적용되지만, 특히 이러한 유형의 파일에 대해서는 zip 라이브러리의 기본 동작을 확인하는 것이 좋습니다.

Android에서 이 케이스가 제대로 처리되지 않을 때 어떤 결과가 발생하는지 설명해 보겠습니다.Android에서는 자바 Zip 라이브러리 (java.util.zip) 가 사용되며, 라이브러리는 기본적으로 위에서 설명한 대로 경로 탐사를 허용합니다.

Android Dalvik 실행 가능 형식 (.dex) 에는 단일 파일에 포함할 수 있는 클래스 수에 제한이 있습니다.클래스가 더 필요한 앱은 API 레벨 21 (Android 5.0 Lollipop) 이후 추가된 MultiDex 지원 라이브러리를 사용할 수 있습니다.이 라이브러리는 애플리케이션의 데이터 디렉터리에 보조.dex 파일을 저장합니다. 이 디렉터리는 앱 사용자가 쓸 수 있으며.dex 파일이 필요할 때 이 코드가 로드되어 실행됩니다.

즉, 공격자는 악의적인 zip 아카이브를 사용하여.dex 파일을 덮어써서 수정할 수 있으며, 심지어 이 파일이 로드되고 실행되어 원격 코드 실행에 취약해질 수 있습니다.이는 단순한 이론적인 예가 아니라 앱 스토어에서 1억 건 이상의 다운로드를 기록한 My Talking Tom 앱에서도 입증되었습니다.다음은 Black Hat에서 선보인 익스플로잇의 동영상입니다.

항상 zip 라이브러리의 동작을 확인하여 안전하지 않은지 확인하십시오.zip 라이브러리에서 경로 탐색을 비활성화할 수 없는 경우 추출하기 전에 각 항목의 이름을 확인해야 합니다.이름은 정규화해야 하며 결과 경로는 아카이브를 추출하려는 디렉터리에 있어야 합니다.이 작업을 진행하는 동안 압축 폭탄이 발생하지 않도록 압축을 푼 아카이브의 전체 크기도 확인해야 합니다. 하지만 이 글은 앞으로 일주일 동안 게시할 예정입니다.

원하신다면 패스 트래버설에서 몇 가지 챌린지를 플레이하세요 또는 보안 코딩 기술을 테스트하고 싶다면 당사 플랫폼을 확인하세요.

다음에 만나요. 보안 코드 또는 노 코드 기억하세요!

- 이름 앞에 임의의 숫자가 "../“인 파일을 삽입할 수 있습니다.
- zip 라이브러리가 이 경우를 제대로 처리하지 않으면 의도한 추출 디렉토리 외부에서 쓸 수 있습니다.
- zip 파일을 신뢰할 수 없는 경우 공격자에게 임의 쓰기 취약점이 생깁니다.

https://www.blackhat.com/docs/ldn-15/materials/london-15-Welton-Abusing-Android-Apps-And-Gaining-Remote-Code-Execution.pdf