보안 코드에 대한 통찰

이 문서의 원래 게재 위치는 보안 대로. 여기에서 업데이트 및 신디케이트되었습니다.

‍

우리의 집단 정신에 거의 뿌리 박혀 좋은 것이 더 좋은 것입니다. 당신이 정말로 좋아하는 것 중 하나를 가지고 있다면, 두세 개 또는 그 이상을 갖는 것은 아무런 문제가 없습니다. 결국, 당신은 좋은 것을 너무 많이 가질 수 없습니다, 그렇죠?

안타깝게도 이러한 논리는 몇 가지 상황에서는 효과가 있지만, 규모가 커지면 금방 무너지는 경우가 있습니다. 어떤 경우에는 수익이 감소하기 시작합니다. 13번째 초콜릿 케이크 한 조각이 실제로 얼마나 더 큰 가치나 기쁨을 가져다줄까요? 그리고 좋은 것을 너무 많이 추가하는 것이 개인이나 조직에 심각한 위험 요소가 될 수 있는 경우도 있습니다.

사이버 보안 도구가 너무 많습니다.

최근 몇 년 동안 대부분의 조직에서 통제 불능 상태에 빠진 사이버 보안 도구는 좋은 것이 너무 많으면 나쁜 것이 될 수 있는 중요한 영역입니다. 다크 리딩의 한 연구에 따르면 대부분의 최고 정보 보안 책임자는 네트워크를 보호하기 위해 평균 55~75개의 서로 다른 보안 제품 또는 애플리케이션에 의존하고 있는 것으로 나타났습니다. 그럼에도 불구하고 공격은 여전히 계속되고 있습니다. Verizon 2023 데이터 유출 조사 보고서에 따르면 성공적인 공격이 증가하고 있으며, 그 중 가장 복잡한 공격은 탐지하는 데 그 어느 때보다 오랜 시간이 걸리고 있습니다.

공격자는 어떻게 표면에있는 것처럼 보이는 75 개 이상의 사이버 보안 도구의 불가능한 건틀릿을 우회 할 수 있습니까? 사실 그들은 종종 여행 경보를하지만, 인간 수비수들은 방어 도구를 유지하거나 수천 개의 일일 경보에 응답하여 통지하기에는 너무 바쁩니다. 많은 보안 도구를 사용하면 실제로 공격자가 탐지되지 않은 상태로 유지하는 데 필요한 커버를 제공 할 수 있습니다.

TechRadar의 최근 보고서는 너무 많은 사이버 보안 도구를 사용하는 부정적인 결과를 강조했습니다. 설문 조사에 참여한 기업 중 71 %는 사이버 보안 팀이 성공적으로 관리 할 수있는 것보다 더 많은 도구가 있다고 느꼈습니다. 이로 인해 실제로 더 많은 도구가 추가됨에 따라 보안 태세가 악화되었습니다. 사실, 더 많은 도구가 더 많은 보안과 동일하다는 믿음과는 달리, 설문 조사에 참여한 사람들의 압도적 인 대다수는 환경 전체에 설치된 모든 사이버 보안 도구 때문에 훨씬 덜 안전하다고 느낀다고보고했습니다.

대부분의 조직에서 클라우드로의 대규모 이동으로 상황은 더욱 악화되었습니다. 가능한 모든 공격 경로를 다루기 위해 많은 사이버 보안 도구를 네트워크에 계층화하는 것이 인기를 얻은 이유 중 하나는 거의 전적으로 온프레미스 자산의 시대에 전략이 효과가 있었기 때문입니다. 또는 적어도 조직은 수익이 감소하고 부정적인 결과가 너무 빨리 발생하지 않았습니다. 그러나 클라우드 환경에서는 더 많은 도구를 추가할수록 더 많은 복잡성과 취약성이 발생합니다.

겹치는 도구를 유지 관리하는 작업 외에도 도구 중심 접근 방식의 또 다른 큰 문제는 더 많은 도구가 온라인 상태가 될 때 확실히 발생할 오탐의 바다입니다. 거짓 긍정을 쫓는 것은 조직에 실질적인 이익이되지 않기 위해 인적 보안 요원으로부터 항상 멀어질 수 있습니다. 그리고 그 사이에, 진짜 공격은 모든 거짓 경보 안에 쉽게 숨길 수 있습니다. 사이버 보안 전문가는 너무 늦을 때까지 실제 위협을 찾지 못할 수도 있습니다.

더 나은 방법

환경에서 모든 보안 도구를 제거하는 것은 재앙입니다. 그러나 당신은 또한 정말로 도움이 될 수있는 핵심 도구가 충분한주의를 기울이지 않을 정도로 많은 것을 갖고 싶지 않습니다. 올바른 도구 선택을 찾고 시간과 자원을 너무 많이 낭비하지 않도록하는 것이 중요합니다.

도구 통합 작업을 수행하는 핵심은 보안에 대한 인간 주도의 접근 방식에 동시에 투자하는 것입니다. 여기에는 전통적으로 해당 역할에 배포되지 않은 자산, 즉 공격자가 목표로 삼는 바로 그 앱과 소프트웨어를 코딩하는 임무를 맡은 개발자 팀을 사용하는 것이 포함되어야 합니다.

개발자는 전통적으로 보안 업무를 맡지 않았지만 이는 변화하고 있습니다. 실제로 개발자가 보안에 집중하도록 장려하는 것은 모든 사람이 보안 응용 프로그램 배포에 대한 책임을 지는 DevSecOps 운동의 핵심 측면입니다. 개발자가 갑자기 보안 전문가가 되거나 조직의 보안에 대한 주요 책임을 질 것으로 기대하는 사람은 아무도 없지만, 보안 코드를 작성하는 방법을 가르치고 잘 수행된 작업에 대해 보상을 주는 것은 겹치는 모든 보안 도구를 제거할 수 있는 무대를 마련하는 데 큰 도움이 될 수 있습니다.

좋은 보안 코드로 시작하면 일반적인 악용 및 취약성을 검색하도록 설계된 수백 가지 사이버 보안 도구 중 일부를 쉽게 제거 할 수 있습니다. 결국 개발자가 보안 코드를 만드는 환경을 조성하게 될 것이며, 몇 가지 선택된 사이버 보안 도구는 보안 팀이 너무 많은 좋은 일로 과부하되지 않고 쉽게 모니터링하고 유지 관리 할 수있는 추가 검사 역할을 할 수 있습니다.

이 문서의 버전은 TFIR에나타났습니다. 여기에 업데이트되고 신디케이트되었습니다.

그들은 변화가 인생에서 유일하게 일정하다고 말하지만, 2020년은 전 세계 많은 사람들에게 시험을 가져왔습니다. 글로벌 COVID-19 전염병은 우리가 연결하는 방법에 대해 깊은 수준에서 생각하게 했습니다. 자기 고립, 사회적 불변 - 이들은 우리가 물리적 인 세계에서 만든 적응의 일부되었습니다, 그리고 우리 중 많은 사람들이 온라인으로 너무 많은 시간을 보낸다는 사실에도 불구하고, 그것은 의사 소통에 올 때 다른 선택의 여지가없는 매우 다른 시나리오입니다, 가능하다면, 작업. 그것은 한 번에 비극, 그리고 각성입니다.

많은 기술 회사와 마찬가지로 유연한 근무는 우리에게 새로운 것이 아니며 집에서 일하는 것은 작업의 특권 중 하나입니다. 2009년 "초기"로도 저는 벨기에에서 실리콘 밸리의 회사에서 원격으로 일하고 있었습니다. 이 기술은 당시에는 그다지 진보적이지 않았지만 여전히 할 수 있었습니다. 그러나 지금도 모든 팀원이 추후 공지가 있을 때까지 집에서 일하는 것은 조정이었습니다. 원격 인력관리를 위해 다른 회사들만큼 준비되지 않은 많은 기업들을 포함하여 많은 기업들이 이 결정을 내리는 것을 보았습니다.

불편함은 새로운 업무 방식의 미지의 것, 약간의 불신, 또는 원격 작업에서 "믿지"않을 지 여부, 나는 그것에 저항하는 회사가 최고 인재를 유치하고, 글로벌 범위를 유지하고, 솔직히 시대를 따라 움직이는 측면에서 뒤처지는 경향이 있음을 알게됩니다. 이 현재의 위기는 혼란스러운 경제 환경 속에서 비즈니스의 완전한 폐쇄이기 때문에 원격 인력에 불을 붙일 수밖에 없는 많은 사람들에게 남았습니다.

이 비극에서 우리가 취할 수있는 하나의 긍정적 인 것이 있다면, 그것은 사람들이 디지털 인력의 혜택을 보았을 것이고, 팀이 물리적으로 함께하지 는 않았지만 연결할 수있는 수많은 방법을 보았을 것입니다. 그리고 사이버 보안 산업은 어디서나 항상 켜져 있는 작업 방식에서 진정으로 번창할 수 있는 산업입니다.

공격자는 잠금에 가지 않았다 - 그들은 풍부하게 활성화하고 의료 시설에 대한 사이버 공격을 수행하기 위해 전 세계적으로 공황과 불확실성을 활용, 이 위기를 활용하고있어. 이와 같은 상황에서 사이버 공격의 급증을 볼 수있는 것은 멀리 가져 오지 않습니다 - 특히 랜섬웨어. 결국, 불안정한 경제 시대에 살아남기 위해 훔치는 것입니다. 이것은 괜찮지 않으며, 사실은 우리가 여전히 인터넷 연결이있는 곳 어디에서나 사이버 공격에 맞서 일하고 훈련하고 싸울 수 있다는 것입니다.

미래는 유연하며, 이것이 우리 전체와 사이버 보안 산업이 현재와 미래에 작동할 수 있는 방법입니다.

어디서나 액세스 제품은 보편적이고 가치 있습니다.

어떤 종류의 강제 격리 상황이 발생하기 전에는 글로벌 팀이 필요할 때 협업할 방법을 찾아야 했습니다. 저렴한 컨퍼런스 콜은 롤링 스톤스 (1964, 즉)와 같은 해에 데뷔했으며, 의심의 여지없이 그 얼리 어답터는 "거기 있습니까"와 같은 것을 가지고 있었습니다. "아니, 당신은 진행"우리가 오늘 직면 문제, 비록 우리가 비디오에서 서로를 볼 수 있습니다.).

2020년 디지털 통신 기술은 클라우드 네이티브, 모바일 및 소셜 플랫폼을 지배하고 레거시 기술을 대체하는 수조 달러 규모의 ICT 산업의엄청난 부분을 차지합니다. 슬랙, 줌, 불화와 같은 혁신은 특히 직장에서 그 어느 때보다 도드라져 우리를 더욱 연결시켰습니다. 그리고 의사 소통은 이야기의 한 측면일 뿐입니다.

인터넷 연결, 온디맨드, 연결, 엔터테인먼트, 생산성 등 기본 요구 사항을 충족할 수 있는 디지털 서비스는 유연한 미래의 일부입니다. 고객으로서 우리는 하이퍼 개인화를 추구하고, 비즈니스로서, 우리는 어디에서 액세스하든 동일한 타협없는 품질의 개인, 디지털 경험을 제공하기 위해 노력합니다.

모든 산업에서 매일 웹 기반 애플리케이션이 만들어 프로세스를 간소화하고, 우리가 살고 일하는 기존 방식에 혁명을 일으키고, 우리가 실현하지 못했을 수 있는 문제를 해결하기 위해 만들어지고 있습니다. 우리는 비즈니스에 실질적인 이점을 가지고 사용자에게 매력적이고 유용한 방식으로 온디맨드에 액세스 할 수있는 사이버 보안 도구 및 교육의 절정에 가까운 곳이 없습니다.

개발자는 일상 업무의 유연성을 높이 평가하고, 실용적이고 재미있는 보안 코딩 교육과 워크플로 통합에 중점을 두고 이러한 최종 사용자를 염두에 두고 제작됩니다. 도구는 집안일로 보이지 않는 귀중한 훈련과 함께 쉽게 할 수 있도록 픽업 앤 플레이해야합니다. 사이버 보안 산업이 방대한 경기장으로 인해 DevSecOps와 같은 보안 우선 방법론이 모든 사람이 집에 있더라도 여전히 번창할 수 있는 여러 공격 및 방어 분야에서 혁신할 시간이 있습니다. 그것은 공동 작업에 관한 것이며, 팀의 각 구성원이 물리적 위치에 관계없이 효과적으로 업무를 수행할 수 있는 도구 모음입니다.

가장 필요할 때(또는 하루를 전환하려는 경우)

유연한 근무의 한 가지 장점은 사무실에서 업무를 수행하는 날에 사무실 출퇴근이 전멸된다는 것입니다. 어떤 사람들에게는 2시간 정도의 품질이 있을 수 있으며, 집중된 시간이 다시 원화될 수 있습니다. 이상적인 세상에서 모든 직원은 기술을 배우고 개발하는 데 정상적인 근무 시간을 가질 수 있으며 올바른 원격 환경에서 훨씬 쉽게 탐색 할 수 있습니다. 그것은 당신의 원격 슈퍼 스타에 게 도움이, 누가 도전 하 고 추가 학습에 의해 지원 느낄 수 있습니다.

사이버 보안 환경이 두 번째로 변화하기 때문에 빈번한 교육은 조직에 영향을 미칠 수 있는 잠재적 위협에 보조를 맞추기 위한 것입니다. 그리고 비즈니스의 요구에 맞게 사용자 정의 되는 포괄적 인 측정 가능한 교육은 올바른 방향으로 큰 단계입니다. 이들은 설계의 핵심 요소 중 일부였습니다. Secure Code Warrior 플랫폼; 우리는 사용자가 선택한 개발 언어와 프레임 워크에서 필요할 때 어디서나 액세스 할 수있는 교육을 원했습니다.

개발자는 보안과 내포된 관계를 가지고 있으며, 여러 가지 면에서 보안 모범 사례에 적절하게 참여할 수 있는 충분한 방법을 제공받지 못했습니다. 주문형, 게임화 교육은 그들이 어디에 있든 그들을 이길 도움이 될 수 있습니다; 이는 특히 조직의 소프트웨어에 대한 모든 종류의 땜질에 관여하는 경우 역외 팀과 공급업체가 적절한 보안 인식을 표시하도록 하는 데도 필수적입니다.

코호트를 참여시키고 조직에 도움이되는 교육을 능숙하게 유지하는 것은 (자신의 경력은 말할 것도없고) 최고의 가장 충성스러운 재능을 유지하는 데 있어 매우 효과적인 접착제입니다 ... 지속적인 사이버 보안 기술 부족에 직면하면서 절대적으로 필요합니다.

원격 인력은 역량을 강화하고 생산적이며 안전할 수 있습니다.

생산성을 높이기 위해서는 9일부터 5일까지 사무실에서 볼 수 있어야 한다는 것은 다소 구식의 입장입니다. 그럼에도 불구하고, 많은 회사 (심지어 새롭고 흥미 진진한 것들 중 일부)는 여전히이 개념을 염두에 두고 운영합니다. 집에서 일하는 단순한 제안은 자신의 일을하는 대신 자신의 속옷에 게임을 자신의 팀을 그려 것처럼, 자신의 인력에 대한 불신의 깊은 감각이있다.

그 중 하나 또는 그들은 단순히 실행 가능한 원격 작업으로 급락을 촬영하지 않은.

당연히 팀원들은 출력을 보여줌으로써 가정에서 생산성을 유지할 수 있다는 것을 증명해야 하지만, 코호트가 사무실에서 성공할 수 있는 최고의 기회를 제공해야 합니다. 자문해 보십시오.

• 적절한 하드웨어가 있습니까?
• 당신은 실제로 우리가 전에 얘기 그 멋진 통신 도구 중 일부를 구현 했습니까?
• 모든 매니저가 정기적인 스탠드업을 통해 팀에 체크인하고 디지털 방식으로 참석하고 있는지 확인했습니까?
• 프로젝트를 추적하고 팀 방향, 목표 설정 및 성취감을 제공하는 데 도움이 되는 생산성 도구에 대해 생각해 보셨습니까?

현재의 기후에서 많은 기업들이 운영을 멀리하거나 완전히 종료하기로 결정했습니다. 원격 인력으로 이동하기로 선택한 일부 기업은 준비된 모든 것이 아니었을 수도 있으며, 다림질할 수 있는 몇 가지 꼬임이 있을 수 있습니다... 그러나 방에있는 코끼리는 이러한 기업들이 일부 보안 위험에 노출 될 가능성이 있다는 것입니다.

원격 작업 환경에서 보안 실수 방지

직원이 자신의 네트워크에 있을 가능성이 있고, 회사 계정에 액세스하기 위해 다양한 장치를 사용할 수 있으며, 각각 자신의 보안 요구 사항이 있거나 효력을 발휘하지 않을 수 있기 때문에 고려해야 할 여러 가지 위협 벡터가있습니다.

원격 작업 상황에서는 모든 사용자가 다양한 로그인, 시스템 및 설정을 정렬해야 하는 대신 이메일 증가를 받는 경향이 있습니다. 사회적으로 설계된 공격과 악성 코드가 사내 보안 범위에서 많은 장치의 균열을 통해 미끄러 너무 쉽습니다. 이것은 원격 작업을 포기하는 이유가 아니며,미래를 위해 가능한 한 강력하게 함으로써 배울 수있는 절호의 기회입니다. 보안 중심 조직에서는 모든 사람을 위한 보안 모범 사례에 대해 프로세스를 감사하고 "반려견 사료를 먹을 수 있는 좋은 기회"입니다.

실수에 대해 말하자면, 잠재적인 위협에 대해 원격 작업 영역을 평가하는 것도 중요합니다... 이 가난한 부부처럼,당신의 자부심에 주로 . 이야기의 도덕적 : 당신이 화상 통화에있다면 모두가 바지를 입고 있는지 확인합니다.

사이버 공격은 우리가 위기에 처한 이유만으로 멈추지 않습니다.

전 세계 COVID-19의 효과를 보는 것은 매우 화가 나 있으며, 이제는 그 어느 때보다도 이 글로벌 건강 위기에서 다른 사람들을 함께 모으고 고려할 때입니다. 문제는, 공격자는 적극적으로 이 광범위한 두려움과 판데모니움을 활용하고 있으며, 아마도 식탁에 음식을 놓는 절망에서 벗어날 수 있다는 것입니다. 우리 사회는 이 시기에 매우 취약합니다.

백신 테스트 센터를 포함한의료 기관은 랜섬웨어 및 DDoS 공격으로 인해 피싱 및 악성 코드 캠페인을 시작하여 산만하고 과로한 금융 및 정부 조직을 이용하려는 사람들은 말할 것도 없습니다. 또 다른 어렴풋한 위협은 백신 자체를 둘러싸고 있습니다. 트럼프 행정부가 미국 독점 사용을 위해 COVID-19 백신을 개발하기 위해독일 회사에 거액의 자금을 제공한 것으로 알려졌다. 백신 데이터는 아마도 현재 지구상에서 가장 가치있는 정보일 것이며, 이는 공격자에게 매우 매력적인 현상금이 될 것입니다.

이것은 우리가 물리적 인 바이러스의 실제 위협으로부터 자체 격리하는 동안 우리의 디지털 심장 박동도 공격을 받고 있다는 것을 모든 너무 시의별 알림입니다. 보안 인식은 모든 조직에서 가장 중요하며, 모든 수준에서 적절한 교육을 제공해야 합니다 - 암호 관리 도구 사용을 시행하고 피싱 이메일을 발견하는 방법을 배우는 것과 같은 조치도 도움이 됩니다.

그리고 개발자의 경우 비즈니스 내에서 적극적으로 생성된 코드를 보호하는 첫 번째 방어 선이며 일반적인 취약점으로 인해 생성된 뒷문을 닫음으로써 사이버 공격으로 인한 추가 통증을 피하기 위해 AppSec 팀과 함께 귀중한 자산이 될 수 있습니다.

디지털 방식으로 혁신적인 기업은 더 큰 폭풍우를 견딜 수 있습니다.

대량 폐쇄의 매우 불행한 부산물은 경제 침체로 인해 많은 사람들이 가장 큰 타격을 입은 부문에서 일자리를 창출했습니다. 이것은 모두 갑자기 복잡해졌으며, 우리 중 많은 사람들이 평생 동안 살지 못했던 경험입니다.

모든 디지털 네이티브 비즈니스가 자동 경기 침체-버스터(그것에서 멀리 떨어져 있는 것은 아니지만) 본질적으로 디지털 거래를 하는 기업은 가장 왼쪽 상황조차도 지나가면 훨씬 더 민첩하고 적응가능하며 지속 가능합니다.

우리 회사는 원격 인력으로 효율적이고 효과적으로 운영될 수 있으며, 이는 소중한 팀과 그들이 지원하는 고객을 위한 추가적인 보호 계층입니다. 우리는 실행 가능한 보안 코드 교육을 현대 비즈니스의 필수적인 부분으로 간주하고, 우리가 선택한 경우, 우리는 필요에 따라 전달하고 피벗 할 수 있습니다. 그들이 판매하는 제품이나 서비스의 본질적으로 많은 회사는 동일한 사치를 가지고 있지 않지만, 프로세스가 디지털화 될 수있는 곳을 조사하는 것이 긍정적 인 놀라움일 수 있습니다, 미래 지향적이며 심지어 가장 전통적인 공간에서 가능한 한 주문형으로 만들 수 있습니다.

새로운 연결 방법을 찾는 것은 장애물이 아니라 긍정적인 과제입니다.

그것은 조금 극적인, 하지만 난 이안 말콤 박사 가 말하는 쥬라기 공원에서 유명한 인용을 생각 나게 해요, "인생은 방법을 발견". 그것은 진정으로, 그리고 원격 작업에 우리의 전사적 전환에서 매우 명백하 게 되었습니다. 이전에는 많이 상호 작용하지 않았던 팀은 드롭 인 / 드롭 아웃 워터 쿨러 채팅, 온라인 사무실 게임 및 상호 글로벌 오피스 스포티 파이 재생 목록에서 공통의 관심을 발견하고 있습니다. 의미 있는 관계를 맺을 수 있는 방법은 항상 있으며, 제 조언은 팀이 이를 통해 유기적으로 탐구하고 성장할 수 있도록 하는 것입니다.

우리의 고객을 위해, 개발자 들 간의 안전한 코딩 기술을 연마하는 그들의 헌신이 원격 작업 딸꾹질을 초월했다는 것을 보는 것은 굉장했습니다. 그들은 우리의 활용하고있다 tournaments 기능, 그리고 이들은 일반적으로 팡파르의 비트와 직접 실행 하는 동안, 그들의 가상 버전은 건강 한 참여를 구동 하고있다, 친절 한 경쟁 과 우수한 (생산적인) 일반적으로 고독한 방식으로 완료 하는 일상적인 활동에서 산만. 비디오 게임이 예전보다 훨씬 더 사교적인 이벤트인 것처럼, 이러한 유형의 작업 교육은 코스 자료뿐만 아니라 서로연결됩니다. 그리고 어디서나 누구나 사용할 수 있습니다. 보안 괴짜로서 나는 확실히 편견을 가지고 있지만, 이봐, 이것은 개발자 들 사이에서 안전한 코딩의 사랑을 육성하는 데 도움이 어떤만큼 좋은 시간입니다. 그들은 대기에 있는 모든 보안 슈퍼 히어로, 그리고 그것은 가능한 가장 재미 있는 방법으로 최전선을 강화 하는 시간.

지난 주, 그것은 Equifax 데이터 유출 뒤에 가능한 원인은 아파치 스트럿스 REST 플러그인의 취약점이었다보고되었다. 이전 버전의 플러그인은 XStream 처리기와 함께 XML 페이로드를 처리하는 데 사용할 때 원격 코드 실행 공격에 취약합니다. 원인은 잘 알려진 취약점 유형인 신뢰할 수 없는 데이터의 직렬화입니다. CVE-2017-9805로공식적으로 인정된 이 취약점은 9월 5일 스트럿스 버전 2.5.13에서 아파치에 의해 패치되었습니다. 그런 다음 아파치 스트럿스 문서에 발표되고 명확하게 문서화되었습니다.

단순히 최신 스트럿스 버전으로 업그레이드하면이 공격으로부터 응용 프로그램을 보호 할 수 있습니다, 그래서 왜 회사는 즉시 업그레이드하지 않습니다? 직렬화 취약점의 문제는 악용중인 루틴이 응용 프로그램 코드가 의존하는 루틴인 경우가 많다는 것입니다. 이 경우 새 스트럿 패치를 적용하면 취약점에 대한 설명서에 "사용 가능한 클래스에 적용된 기본 제한으로 인해 일부 REST 작업이 작동을 중지할 수 있습니다"라고 언급하는 경우 일부 부작용이 있을 수 있습니다. 응용 프로그램이 Struts의 최신 버전에서 계속 작업하는 데 시간이 걸릴 가능성이 높습니다.

그러나 해커는 게시된 취약점을 악용하기 시작하는 데 많은 시간이 필요하지 않으며 이미 일부 악용이 게시된것을 볼 수 있습니다. 메타스플로이트 모듈이 9월 8일에 추가되었으며, 아파치가 취약점을 패치한 지 3일 후입니다. 패치를 연기하는 것은 분명히 좋은 생각이 아닙니다!

해결책은 아파치가 제안한 해결 방법을 구현하는 것이며, 이는 짧은 시간 내에 이루어질 수 있습니다. 이 해결 방법을 적용하거나 자동으로 적용하는 구성 가능한 코딩 지침이 있는 보안 도구는 이 프로세스의 속도를 크게 높일 수 있습니다.

신뢰할 수 없는 데이터의 직렬화가 포함된 코드를 식별하고 보호하는 방법에 대해 자세히 알고 싶습니까? Secure Code Warrior 명확한 설명과 교육 도전에대한 포털 .

이 취약점은 스트럿스가 이러한 종류의 데이터를 구문 분석하고 Java 프로그래밍 언어로 해석할 수 있는 정보로 변환하는 방법과 관련이 있습니다. 취약점이 성공적으로 악용되면 이러한 데이터 내부에 악성 코드를 숨기고 스트럿스가 취약점을 변환하려고 할 때 실행할 수 있습니다.

https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/

本文的一个版本发表于 《信息安全》杂志。它已在此处更新和发布。

‍

过去两年对每个人来说都是一场激烈的洗礼，但是大多数组织的网络安全蓝图都经受了考验，因为我们中的许多人几乎在一夜之间就陷入了远程工作模式。作为一个行业，我们确实必须加大赌注并进行调整，尤其是在威胁行为者出现绝望的情况下 导致举报的网络犯罪激增300％ 自从大流行开始以来。

我们都吸取了一些教训，令我感到欣慰的是，不仅普遍的网络安全受到更加认真对待，代码级软件的安全性和质量也得到了更加认真的对待。 拜登的行政命令 关于保护软件供应链的关键问题暴露了出来，尤其是在SolarWinds大规模泄露之后。我们都需要更加关心安全的想法， 和 通过可衡量的安全意识努力减少漏洞无疑是对话的重要组成部分。

话虽如此，在打击网络犯罪分子时，我们需要尽可能与他们保持一致，以预防的心态抢占他们的游乐场。

我认为来年他们可能会开始掀起波澜：

元宇宙是一个新的攻击面

元宇宙可能是互联网的下一次演变，但大多数行业保护软件和数字环境的方式尚未实现类似的转变。

虽然网络钓鱼诈骗等普遍的网络安全陷阱将是不可避免的（而且在每个人都在元宇宙中站稳脚跟时可能会有很多陷阱），但使这个身临其境的虚拟世界成为可能的实际基础设施和设备必须是安全的。与智能手机帮助我们在线生活的方式类似，虚拟现实头戴式耳机等外围设备是通往大量用户数据的新门户。为了确保物联网设备的安全，需要越来越复杂的嵌入式系统安全性，主流虚拟现实/增强现实的全新世界也不例外。正如我们在Log4Shell漏洞中看到的那样，代码级别的简单错误可能会成为威胁参与者的后台通行证，而在模拟现实中，每一个动作都会产生可能被盗的数据。

尽管处于起步阶段，但成功的元宇宙将需要切实采用加密货币（而不仅仅是随机囤积最新的模因币）和NFT等有价值的物品，这意味着我们的现实生活中的财富、身份、数据和生计有可能向可能使人们处于危险之中的新的 “狂野西部” 敞开大门。在我们工程师开始疯狂使用史诗般的功能和增强功能之前，从头开始最大限度地减少这种新的庞大攻击面应该是当务之急。

Log4Shell 之后的立法

对于数十名陷入混乱、争先恐后地寻找广泛使用的Log4j日志工具的可利用版本是否存在任何实例或与之相关的依赖关系的开发人员来说，我认为假期不会是一个愉快的时光。

这种未修补的攻击是 是有记录以来最差的，将 Log4Shell 与毁灭性的 Heartbleed OpenSSL 漏洞进行了比较 六年多后仍被剥削。如果这个时间表有待遵守，我们将在未来很长一段时间内处理 Log4Shell 宿醉问题。很明显，即使吸取了 Heartbleed 的经验教训——至少在需要尽快推出和实施补丁方面是如此，但许多组织的行动速度仍然不够快，无法保护自己。根据公司的规模，补丁可能非常困难和官僚主义，需要跨部门的文档和实施。通常，IT 部门和开发人员对所有正在使用的库、组件和工具并不了解百科全书，并且受到严格的部署时间表的阻碍，以最大限度地减少中断和应用程序停机时间。这种方法起作用是有正当理由的（阅读：没有人愿意在工作中大放异彩然后破坏某些东西），但是补丁太慢就是坐视不管。

就像 SolarWinds 攻击 改变了软件供应链的游戏规则，我预计 Log4Shell 之后也会发生类似的情况。虽然中已经有补丁管理要求和建议 一些关键行业，广泛的立法则是另一回事。预防性软件安全永远是我们完全避免紧急安全补丁的最佳机会，但是安全最佳实践规定，修补是一项不可谈判的优先措施。我认为这将是一个热门话题，并提出了一些不太微妙的建议，可以快速且经常地进行补丁。

更加重视架构安全（而开发人员还没准备好）

新的 OWASP 2021 年前 10 名 有一些重要的新增内容，令人惊讶的是，注入漏洞从第一位下降到第三位。这些新增内容说明了开发人员在安全编码和安全最佳实践方面的历程的 “第二阶段”，遗憾的是，除非经过适当的培训，否则大多数人没有能力对降低风险产生积极影响。

一段时间以来，我们已经知道，如果我们要解决代码中常见的安全漏洞，开发人员必须具备安全技能，而且各组织在开发人员驱动的预防前提下做出了更好的回应。但是，随着 不安全的设计 在OWASP前10名中占有一席之地，并且是架构安全问题的一类而不是单一类型的安全漏洞，开发人员一旦掌握了基础知识，就需要超越基础知识。一旦开发人员成功提高技能，涵盖威胁建模的学习环境——最好是在安全团队的支持下——可以减轻巨大的压力，但就目前而言，对于大多数软件工程师来说，这是一个巨大的知识差距。

应对这种情况 “需要一个村庄”，该组织可以在为开发人员创造积极的安全文化方面发挥作用，在不对他们的工作流程造成重大干扰的情况下激发他们的好奇心。

对于网络安全专业人员来说，2018年是丰收的一年。尽管有人警告要更加认真地对待安全问题，但新闻界却持续不断 培育更多安防行业人才 再加上提高组织网络意识的普遍尝试，我们只能盯着数百次网络攻击留下的烟坑，这些攻击代表着大规模的数据泄露和消费者对一些家喻户晓的名字的不信任。仅在2018年的上半年， 45 亿条数据记录遭到泄露 在 945 起单独的事件中。

我之前已经说过很多次了：我们可以做得更好。但是，我们面临的真正战斗不是与剧本小子、危险的有组织网络犯罪集团或身穿连帽衫的神秘人物在笔记本电脑上打字，而是要让更多的人关心这些漏洞的发生。

GDPR 合规性是一个良好的开端，但不会产生巨大的短期影响。

欧盟的 《通用数据保护条例》 (GDPR) 法律现已全面实施；对于不认真对待数据保护的组织来说，这是一个迫在眉睫的威胁。由于被认定违规者将被处以巨额罚款，这本来是为了让公司加强安全措施，更加尊重客户数据，并制定缓解网络攻击的策略。

一些组织被警告将处以巨额罚款，但我们尚未看到因未能遵守GDPR而产生的真正后果。没有破产处罚，只有很多弹出窗口可供我们的网络用户点击。部分原因是法律程序需要花费大量时间，还有很多上诉机会——任何可能以此为例的公司都可能参与长达数月或数年的法律斗争。他们最近报告了另一起数据泄露事件：一个API漏洞使680万用户的私人照片暴露给了1500个未经授权的应用程序，从而结束了Facebook的噩梦之年。它在两周内被发现并修补，但数据保护机构和公众直到几个月后才得知违规行为。GDPR 法律要求在 72 小时内通知违规行为，因此 引发了很多关于这些法律的实际影响力和有效性的问题 目前。

当然，其他地方的违规行为并未停止：11月 万豪违约行为 透露高达5亿条数据记录遭到泄露，可能更令人担忧的是，攻击者在被发现之前已经访问了他们的系统四年。但是，应该指出的是，万豪似乎正在从事 一些 伤害控制：他们为受害者提供了 免费订阅 WebWatcher 12 个月，一种信用监控工具... 但是有5亿条记录可供黑客筛选，对于大多数人来说，一年是否足以监控任何有意义的事情还有待观察；毕竟，你的数据可能要过几年才能被突出显示以供不道德使用。

长期而言，像 GDPR 这样的法规 将 如果它们得到执行，则推动积极的变革。当公司遭受巨额罚款（或者实际上是数据泄露的客户提起的集体诉讼）或利润下滑的时间足够长时，我相信我们会看到大多数公司疯狂地专注于强化在线数据库。

金融机构将继续在短期积极变革中处于领先地位。

金融机构——作为世界来之不易的现金的看门人——拥有一些最严格的网络安全最佳实践政策以及降低风险的端到端流程，这可能不足为奇。

这种合规性的一个重要驱动因素来自 PCI 安全标准委员会，他们仍然致力于帮助金融组织实施可行的安全政策并遵守所有领域的指导方针。他们一直是向善的力量，帮助该垂直行业实现支付软件的最高安全标准。

那么，金融机构的所作所为与其他机构有何不同之处？根据我的经验，他们通常更具安全意识，他们将资源专门用于全面的培训计划，不仅面向 AppSec 专业人员和笔试人员，还包括他们（通常非常庞大且分散在全球的）开发团队。他们确保高层决策者明白，安全流程不是 “一劳永逸” 的措施；他们必须与所使用的技术一样迅速发展，并适应可变的风险。

更多的组织将改造其安全管道。

与其他IT部门相比，AppSec相对年轻。成为新孩子很难：你很容易被误解，可能还没有形成你需要的关键关系。但是，我相信，随着时间的流逝，即使是抵制变革的最过时的组织中，AppSec也越来越容易找到自己的位置。

越来越明显的是，公司无法将安全合规性作为其软件流程的最后一刻。必须进行点对点的检查和措施，更加注重汇总数据，提高企业管理层的可见性。否则，安全性将遥不可及，对大多数人来说是无意识的。在这种情况下，几乎不可能收集风险规划所需的资源。

好消息是，发现自己的网络攻击并努力修复这些攻击的组织比以往任何时候都多。坏消息？该过程的平均值为 八十五天。

在技术领域必须快速创新和功能制作的时代，笔试工具和手动代码审查既艰巨、昂贵又缓慢。安全意识必须从一开始就贯彻始终：从开发人员的那一刻起 首先写代码。

我们的行业将认识到主要问题：我们需要人们更多地关心。

问题是：我可以保守地算出我的网络中有二十个人在过去四年的某个时候曾住过万豪酒店。在此期间，有5亿条记录被盗，他们的数据很可能是盗窃的一部分。从当前的联系信息，仍然有效的信用卡号和护照信息，所有内容现在都可以在暗网上出售。但是，他们的护理因子基本为零。

而且，好吧，在如此大规模的数据盗窃中，你本质上是大海捞针，很容易沾沾自喜。

但是，真正的问题是什么？未能保护自己客户数据安全的公司几乎没有受到任何影响。事件发生后，他们的股价是否立即受到冲击？你打赌确实如此。塔吉特、Equifax和现在的万豪都可以证明这一点。但是，十二个月的概述显示，恢复正常的速度相当快。几年后，在经济上，一切都被原谅了。

在出现严重影响：巨额罚款、更严格的监管和重大业务损失之前，AppSec将是一个必须不断努力传达公司面临的日益严重的网络风险的严重性的行业。

我担心情况在好转之前会变得更糟，因此，我们必须努力在组织技术团队的第一线培养具有安全意识的开发人员和强大的安全文化。将其放在首位，并继续努力实现更高的软件安全标准。

《2018年Verizon数据泄露调查报告》再次成为一本很棒的读物，它使我们了解网络安全的最新情况，包括当前的网络犯罪趋势和事件驱动因素，可以帮助组织完善其安全计划的分析和见解。今年，Verizon的调查人员分析了超过53,000起事件和2,200多起违规事件，其中有许多关于需要注意和不该做什么的切实结论，以及有关安全工作重点的宝贵建议。2018年的报告感觉就像是与时俱进的，随着安全影响的扩散，它与更广泛的商业受众息息相关，并且越来越被视为主流业务问题。

在许多有趣的发现中，2018年的报告证实了大多数黑客攻击仍然是通过网络应用程序泄露而发生的（甚至还有一个 很酷的交互式图表显示了这一点）。

Web 应用程序攻击包括任何以 Web 应用程序为攻击载体的事件。这包括利用应用程序中的代码级漏洞以及阻碍身份验证机制。值得注意的是，由于使用从客户拥有的设备上窃取的凭据过滤了对Web应用程序的僵尸网络相关攻击，这种模式的漏洞数量减少了。在涉及 Web 应用程序的漏洞中，使用被盗凭据仍然是最常见的黑客攻击，其次是 SQLi（稍后会详细介绍 SQL...）。

今年报告中一个突出的主题是，“人为因素” 在安全方程式中至关重要，无论是作为问题还是解决方案的一部分。该报告涉及外部和内部行为者，报告称，错误是近五分之一（17％）违规行为的核心。当员工未能删除机密信息、向错误的人发送电子邮件以及 Web 服务器配置错误时，就会发生违规行为。报告指出，尽管这些都不是故意的恶意，但它们仍然可能付出高昂的代价。

但是，有一个经常被遗忘的人为因素导致了许多安全漏洞，那就是开发人员创建包含安全漏洞的代码的频率很高，这会导致 Web 应用程序漏洞，进而导致这些事件和漏洞。

过去5年的应用程序测试显示，发现的漏洞数量没有太大改善，同样的旧漏洞一次又一次地出现。一份基于40万次应用程序扫描的2017年Veracode报告显示，应用程序只有30％的时间通过了OWASP前十名政策。令人惊讶的是，在过去的5年中，包括去年，几乎有三分之一的新扫描应用程序出现了SQL注入。我之所以说令人惊讶，是因为SQL注入自1999年以来就已经存在。不断发现包括SQL注入在内的相同缺陷，这一事实证明开发人员中的这个 “人为因素” 问题没有得到充分解决。

正是在这个时候，我需要站出来大声疾呼我站在开发者一边。如果从来没有人教过安全代码为何重要、不安全代码的后果，以及最重要的是，如何防止在各自的编程框架中写入这些漏洞，那么开发人员应该如何编写安全代码？

这就是我们在 Secure Code Warrior 所做的事情，我们看到有力的证据表明，将安全代码实践培训融入开发人员日常生活的公司正在减少所产生的 Web 应用程序漏洞数量。为了让开发人员编写安全代码，他们需要定期获得动手学习，积极参与培养安全编码技能。他们需要了解最近发现的真实代码中的漏洞，特别是他们自己的语言/框架中的漏洞。这种学习经历应帮助他们了解如何定位、识别和修复已知漏洞。开发人员在流程中还需要一个高质量的工具集，该工具集可以简化安全性，不会减慢他们的速度，并实时指导他们了解好的和坏的编码模式。

通过这种方式，我们可以对网络应用程序泄露的数量产生切实而积极的改变。

我强烈同意威瑞森的观点，即有必要在全公司范围内加强安全意识培训。我对首席信息官和首席信息安全官的附言是 “别忘了你的开发人员！”。这些现代企业的架构师可以是一个重要的 “人为因素”，他们经常为黑客生成接入点，也可以成为你的第一道防线，你的安全英雄。

对开发人员进行有效的安全技能提升可能会对Verizon在未来报告中报告的结果产生真正的影响。很高兴看到2019年的报告将开发人员安全培训反映为公司可以采取的关键风险降低策略。我是一个乐观主义者，但我敢打赌，如果公司让他们的开发人员学习如何避免造成注入漏洞，这份报告中的网络应用程序漏洞数量将大幅下降。

看看我们的平台在运行中，看看开发人员如何在理想的游戏化训练环境中快速提升技能：

玩安全编码挑战赛

访问我们的免费学习资源

如果没有人教过开发人员为什么安全代码很重要，不安全代码的后果，最重要的是，如何防止在各自的编程框架中写入这些漏洞，那么开发人员应该如何编写安全代码？

有一些令人不安的事实被政府、大公司甚至一些行业领袖所掩盖：作为一个社会，我们一直在与网络威胁作斗争，而我们目前处于失败的一边。我们怎么知道的？这些统计数据讲述了一个发人深省的故事：

• 据估计，网络犯罪的全球成本为 到 2021 年，将达到 6 万亿美元
• 发生网络攻击 每 39 秒
• 24% 的数据泄露事件 是由人为错误造成的
• 令人震惊 77% 的组织 不要 制定网络安全事件响应计划 它可以扩展到整个企业，并且在各部门之间统一适用。

在网络安全专家方面，我们的人手严重不足；技能缺口不太可能被填补，也没有秘密的AppSec军队来救我们。我们已经知道这一点很多年了，我们必须改变我们的方法。就我们而言，最好的进攻是出色的防御，我们可以先制定一个好的计划。

这一切听起来有点令人沮丧，但并不像某些人想象的那么糟糕。我们有了一张王牌，网络安全环境为我们提供了千载难逢的机会。除了内部开发团队以外，您无需再寻找将来拯救组织的人员，但是您的安全计划必须支持他们成为具有安全意识的工程师，随时准备分担安全编码的责任。

任何旧的训练都无法完成这项工作 -当然，我们已经说得够多了-但是，即使是参与、积累情境知识和帮助开发人员热爱安全的正确培训，只要能根据业务需求、他们面临的威胁以及帮助企业保护我们所有数据安全的合规要求进行更有效的培训。

这就是我们的最新功能所在， 课程，开始发挥作用。顺便说一句，如果你在标题中有参考文献，那么你已经正式老了（或者只是欣赏经典作品）。

特定组织学习：建立防御能力，增强开发人员技能

我们有 各种各样的观点 关于为什么某些类型的开发人员培训比其他类型的培训更好（即，不要让他们厌烦数小时的普通视频讲道，然后期望对安全编码的热情会蓬勃发展）。但是，即使采用旨在吸引开发人员思维方式的竞争性学习，其内容仍可能比组织内部特定要求所需的内容要广泛一些。

精心策划的课程包含开发人员需要表现出熟练程度所需的确切模块，这将产生强大的影响，并使他们在日常工作中掌握安全最佳实践时能够从头开始。量身定制适合前端团队、云工程师等的程序，并能够使用与之相关的语言和框架深入研究最重要的漏洞。开发人员将通过持续的背景、接触点和经验来提高技能，而企业将受益于对风险最大的问题的精确认识。

为合规性定制课程

世界各地都在实施更严格的网络安全相关法规，软件安全合规性是建立积极、有效的安全文化的良好基础。它不应该很无聊，一个好的安全程序会激发开发人员的自豪感和责任感，而不是呻吟和面容。

首先，让所有人快速了解OWASP Top 10是个好主意，但要真正达到行业相关合规性的新高度，您可以围绕特定法规的要求设计定制课程。例如，金融组织可以根据其软件的合规性要求量身定制课程 PCI-DSS 指南 用于管理支付和信用卡处理应用程序。当你负责处理和存储信用卡号等敏感信息时，风险就很高，而在开发者学习中获得超具体的知识可以消除噪音，在正确的时间提供正确的教育，并使团队能力更容易监控。

通用电气（GE）就是这样在团队中使用课程的：

“对于我们的工程师来说，课程是一个很好的解决方案。有了这项新功能——它将学习路径、视频和检查点捆绑到一个可自定义的模块中——我们能够根据我们在任何给定时刻的需求来塑造内容。合规能力和灵活性为确保流程更加简化和灵活提供了更好的机会。这种能力帮助通用电气比以往任何时候都更快、更轻松地为每位工程师量身定制相关培训。”

请记住，这可能是精心策划的合规培训，但它仍然以小规模、情境化、引人入胜的学习体验形式提供，对开发人员更具吸引力。

建立在尊重和相关性的基础上的积极安全文化

教育是一个终身的过程，但在疯狂的 DevSecOps 世界中，有很多事情要做。应明智地使用留出的培训时间，并制定可行的学习路径，继续吸引人心和增加价值。

通过策划高度相关的自定义课程，您可以尊重开发人员的时间和工作流程，同时努力显著降低企业的漏洞和网络安全风险。

传统上，AppSec专家和工程师之间的关系充满误解和压力，但是通过课程进行结构化学习可以使双方在安全最佳实践方面达成共识。开发人员一定会喜欢 AppSec 团队提供的一些以解决方案为重点的支持，这可以最大限度地减少他们的负担，并帮助他们制定更高标准的代码。

消除弱点，扩大企业级安全卫生

我们都是人类，不幸的是，我们会犯错误。这些错误在数字世界中可能会付出极大的代价，但它们却非常普遍。赛门铁克的 2019 年《互联网安全威胁报告》 确认由于 S3 存储桶配置不当，有超过 7,000 万条记录被盗。安全配置错误是数据泄露的主要原因，人为错误是造成的 其中大约四分之一。

这些问题的发生有多种原因，但是缺乏安全意识和培训是为攻击者留出很小的机会之窗的巨大推动力。要想让可扩展的安全卫生产生影响，就必须通过为企业量身定制的课程让安全卫生发挥重要作用。对你的敌人毫不留情，关掉所有让他们造成你可能遇到的最大头痛的机会。

我们已经看到了客户的惊人影响，包括这家领先的基于云的会计SaaS提供商：

“课程量身定制的学习路径改变了游戏规则。编程语言和漏洞的特殊性提供了更多的控制和灵活性，可以根据个人和公司的需求为每位开发人员创造正确的学习体验。将课程与Secure Code Warrior更广泛的安全编码平台结合使用，改变了我们开发人员的参与度，因为他们现在对增强安全编码技能以编写更好、更安全的代码更感兴趣。”

为 DevSec 做好准备。了解有关 Secure Code Warriors 全新课程功能的更多信息 这里。

当你在商业环境中看到 “增长” 时，它几乎总是与指标、收入、资金、员工人数有关... 所有这些是我十年前没有考虑过的。

我本可以用所有这些事实和数据开始这篇文章；不可否认，它们给人留下了深刻的印象，而且我们持续的公司发展轨迹也很强劲。但是，对我来说，这些数字并不能反映我在2019年最引以为豪的事情。现实情况是，我们已经建立了一支真正出色的团队，他们关心的不只是基本的财务指标。我们经历了 “快速增长”，它塑造了这家公司现在和未来的巨大心脏。

亲爱的读者，请允许我演示一下：

‍

我们建立了 Warriors Give Back 计划，这是一项全球性的全员慈善计划，在 12 个月内在悉尼、波士顿、伦敦和布鲁日举办了 10 多场活动：

• 50 位勇士用自行车制造了自行车 泰克斯自行车 组织，将其捐赠给悉尼的弱势儿童
• 波士顿的 9 位勇士队自愿参加 从摇篮到蜡笔捐赠工厂，为当地有需要的儿童整理和捆绑捐款
• 团队成员为无家可归者提供了支持，同时也经历了手头只有十美元、没有暖气或制冷设备购买一周饭菜的感觉的一小部分
• 在布鲁日，勇士帮助了 100 名孩子们 CyberSkool 活动，包括建造机器人、黑客攻击和开锁
• 勇士们为圣诞礼篮购买了物品，还为有需要的孩子购买了玩具 韦斯利城市连接
• 我们在伦敦的勇士队赞助了一所配备设备的当地小学，并加入了学校的环境小组，清理了他们的运动场
• 我们已经与之合作 科技女士 + WING，提供免费简历帮助和一对一的职业指导
• 作为年终庆祝活动的一部分，我们与当地有需要的家庭一起购买了节日礼物 ABCD 采用家庭计划。他们的服务将有需要的家庭与希望在假日季或全年为家庭提供帮助的个人、非营利组织和公司配对。

而且，这是澳大利亚有记录以来最严重的丛林大火季节之一，我们齐心协力向 农村消防局 和 电线 就在这一年接近尾声之前。这是一场持续的危机，感觉还不够，但是我们全球团队表现出的同理心让我感动。

这些 Warriors Give Back 活动经常提醒我们，生活中存在的不仅仅是衡量标准，我们都更有基础，可以努力追随其他不幸的人的立场。人性和谦卑是维持积极文化的关键，我们的团队抓住每一个机会都倡导这一点。

还来看数字吗？

就我们的产品而言，我们在 2019 年针对十个新的语言框架创建了 1727 个新的安全编码挑战。对于我们的工程团队来说，这是一项巨大的成就，平均每月提出144项新挑战，比往年迄今为止的任何时候都要多。就我们的用户而言，一些有趣的数字也浮出水面：

• 最受欢迎的语言/框架是 Java: Spring，共完成了 455,973 个安全编码挑战
• 伪代码是一位出人意料的超级巨星，共玩了 295,763 个挑战
• 最受欢迎的漏洞类别是注入缺陷，这并不奇怪。它在世界中排名第一 OWASP 前 10 名，对我们来说排名第一。

我们的员工人数。

当我第一次创办这家公司时，我明确表示，多元化将对我们未来的成功起到重要作用。我不想像我一样被困在人们的回声室里；观点、文化、性别、饮食和种族的差异是全球创业公司魔力的一部分。截至目前，我们的团队代表：

• 17 个不同的国籍
• 53% 为男性，47% 为女性员工
• 至少 9 种不同的饮食要求（有时候我们唯一能安全吃的就是爆米花）
• 全球各地都有多种信仰。

我为我们充满活力的团队感到非常自豪，这体现在我们所做的一切中。

哦，是的，我们的收入增长了100％以上， 完成了我们的 B 轮融资 （这是美国有史以来对澳大利亚网络安全企业的最大投资），迅速扩大到由120人组成的团队，并在波特兰和新加坡开设了新的办事处。

这是我们的五岁生日，尽管公司的年龄和我女儿的年龄相同，但他们之间的相似之处已经结束。值得庆幸的是，我还有几年时间可以看着她成为一个快乐、健康的成年人。有了孩子，这些年转眼就过去了，但是 Secure Code Warrior 不再是那个厚脸皮的幼儿。比我五年前想象的要快，我们必须成年，自己搬出去。我们已经准备好走前进的高速增长之路，但我还是习惯了大人掌权是我的想法。

2020년 원격 작업의 엄청난 급증과지속적인 대규모 데이터 유출, 온라인 개인 정보 침해의 결과에 대한 관심이 증가함에 따라 사이버 보안에 대한 대중의 관심이 더욱 뚜렷한 것은 없었습니다. 그 결과, 전 세계 정부는 가장 귀중한 디지털 리소스를 처리할 때 기업이 따라야 하는 전략과 규정을 포함하여 사이버 보안 계획과 인프라를 재구성하고 업데이트하기 위해 나섰습니다.

사이버 보안에 대한 전략적 보호 지침은 새로운 개념이 아니며 NIST와 같은 조직은 수년 동안 글로벌 정부 부처의 정책을 통보했습니다. 디지털 발전을 거치면서 많은 사람들이 끊임없이 변화하는 환경의 일부인 위협, 공격 벡터 및 규정 준수 요구 사항을 따라잡기가 어려워졌습니다.

타사 서버에서 쉽게 액세스하고 잘못 구성된 S3 버킷으로 인해 54,000 명의 뉴 사우스 웨일즈 운전 면허증이 최근 위반되면서 수천 명의 개인이 손상되었으며, 보안 연구원은 데이터가 이미 어두운 웹에서 판매되었을 수 있음을 인정했습니다. 슬픈 것은, 이것은 쉬운 수정이며 캐시를 구성하는 사람들을 위해 보안이 마음의 전면이었다면 전혀 일어나지 않았을 것입니다.

호주 정부는 최근 호주 사이버 보안 전략 2020을발표하여 새로운 이니셔티브와 향후 10년 동안 사용할 1.67B 자금 조달 부스트를 강조하면서 "호주인, 그들의 비즈니스 및 우리 모두가 의존하는 필수 서비스를 위한 보다 안전한 온라인 세계를 만들겠다는 비전"을 달성했습니다. 이것은 분명히 매우 환영 검토 및 업데이트 된 계획, 특히 주요 목표 중 하나는 있기 때문에:

"기업의조치는 제품과 서비스를 보호하고 알려진 사이버 취약점으로부터 고객을 보호하기 위한조치"입니다.

정부 기관은 치명적인 조직 공격을 위해 잘 익은 국가의 중요한 인프라에 관한 보안 조치에 초점을 맞추는 경향이 있지만 과거에 부족했던 것은 매일 데이터를 수집하고 사용하는 회사에 대한 지침이었습니다.

지금, 이 같은 공식 전략에 관해서, 그것은 항상 맥주와 Skittles. 세부 사항을 해석하기가 약간 어렵고 세부 사항에 모호할 수 있으므로 조직의 보안 팀이 비특정 지침에 따라 계획을 수립할 수 있습니다. 이 문제는 호주 정부에만 국한되지 않고 새로운 릴리스를 분석해 보겠습니다.

예방이 아닌 반응에 초점을 맞춥니다.

업데이트된 호주 사이버 보안 전략은 2016년 마지막 릴리스와 관련성이 높으며, 기업, 특히 중소기업에 대한 매우 포괄적인 계획을 수립합니다. 전략은 다음과 같은 개요를 제시합니다.

"정부와대기업은 중소기업(중소기업)이 사이버 보안 인식과 역량을 키우고 강화할 수 있도록 지원할 것입니다. 호주 정부는 대기업 및 서비스 제공업체와 협력하여 중소기업에 사이버 보안 정보 및 도구를 제공하여 "위협 차단, 바이러스 백신 및 사이버 보안 인식 교육과 같은 보안 서비스 번들"의 일환으로 제공할 것입니다.

이것은 중소기업에게 사이버 위협으로부터 비즈니스를 보호하는 괜찮은 기본 기반을 제공 할 것이지만, 주로 사후 대응 적 접근이며사이버 보안 환경의 상대적으로 작은 부분인 탐지 툴링에 중점을 둡니다.

대기업이 스스로를 보호하고 공격 경로를 줄일 수 있는 방법에 대한 정보도 의외로 거의 없습니다. 통신, 교통과 같은 중요 인프라를 보호하려는 계획에 많은 기업이 포함되어 있을 수 있지만, 금융 서비스, 소매업 및 기타 많은 업종은 성공적인 사이버 공격으로 인해 많은 것을 잃을 수 있습니다. 향후 법안에 이러한 내용이 포함될 수도 있지만, 그렇다 하더라도 기업 차원에서 세심한 사이버 보안 모범 사례의 중요성을 강조하는 것은 중요한 변화를 가져오고 유출된 데이터와 사이버 범죄를 감소시키는 데 기본이 됩니다.

전반적으로 전략을 전체적으로 고려할 때 사후 대응 방식을 중심으로 구축됩니다. 사이버 공격에 대응하고, 적극적인 사이버 범죄자를 방해하고, 기소를 보장하고, 국제 동맹국들과의 정보 공유가 모두 중요한 요소이지만, 국가 차원의 보호 기준이 예방에 초점을 맞춘다면 상상해 보십시오. 중요한 인프라에 대한 보호 조치와 함께 모든 비즈니스에서 보안이 최우선이며 디지털 세계를 만드는 코드를 만지는 모든 사람이 공격을 차단하기 전에 적절하게 장착된 경우 피해자에 대한 시간, 돈 및 마음의 고통을 헤아릴 수 없습니다.

복원력이 가능하지만 계획해야 합니다.

호주 정부가 사이버 보안에 대해 진지하게 생각하려는 압박에서 국가 차원의 주요 위험 지역으로 확인된 것은 분명합니다. 우리의 삶의 방식을 방해할 수 있는 능력을 가진 다른 악의적인 공격과 마찬가지로, 탄력성은 절대적으로 중요합니다 - 그러한 시도를 견딜 뿐만 아니라, 그 일을 전혀 억제하는 역할을 하는 것이 아닙니다. 하루의 끝에서, 심지어 위협 행위자는 게으른 수 있습니다,그들은 너무 많은 장벽이 성공의 길에 넣어경우 목표를 달성하기 위해 쉽게 대상으로 이동합니다.

현재 우리는 글로벌 사이버 보안 기술 부족에 직면하고있으며, 이는 전 세계 CISSo가 밤에 깨어 있게 하는 것입니다. 수십억 줄의 코드, 지속적인 대규모 데이터 유출 및 더 많은 페널티 위험 (메리어트만은 2018 년 데이터 유출에 대해 미화 123M GDPR 벌금을 받았습니다... 그리고 그들은 올해 또 다른 위반을 했다)그 어느 때보 다 보안 전문가에 대 한 수요 섀도 만들었습니다., 현실적으로, 폐쇄 될 가능성이. 단순히 너무 많은 코드, 그리고 너무 작은 리소스 모든 각도에서 강화 되도록.

그래서, 우리는 우리가 사이버 위협에 직면하여 진정으로 높이 서있을 것이라는 생각을 포기해야 합니까? 안 돼. 복원력은 사용 가능한 모든 리소스를 사용하고 한 단계 앞서 생각해야 합니다. 그리고 많은 회사에서 개발자는 코드가 작성될 때 강력한 강화 방법의 잠금을 해제할 수 있습니다. 비즈니스 전반에 걸쳐 눈에 잘 띄는 긍정적인 보안 문화와 결합하면 많은 공격자가 흔들리고 중단하기 어려운 안전한 기반을 제공합니다. 그러나 이 방법은 호주 사이버 보안 전략의 제안을 예로 들어 야 하며 비즈니스와 관련된 효과적인 변화를 지원하기 위해 사용자 정의할 수 있는 방법을 자세히 설명해야 합니다.

이를 위해 몇 가지 팁을 세분화하는 것이 중요합니다.

• 보안 인식 교육: 이것은 특히 중소기업에 대 한 호출, 그리고 전체 보고서의 맥락에서, 주로 모든 직원 기본 보안 위생을 가르치는 겨냥 (예: 피싱 이메일 발견, 알 수 없는 링크를 클릭 하지, 등). 현실적으로, 그것은 그 보다 훨씬 더 가서 역할 특정, 특히 개발자 처럼 코드를 터치 하는 사람들을 위해 해야 합니다. 보안 인식 교육은 예방 조치 및 구축 탄력성의 구성 요소입니다.
• 교육: 상쾌한 변화 속에서, 초등학교와 중등학교의 사이버 보안 교육을 중점을 두어 고등 교육에 이르기까지 향후 10년 동안 사이버 보안 기술 부족을 해결하기 위한 심층적인 계획이 있습니다. 미래의 보안 슈퍼스타를 구축하는 경우 매우 필요하지만, 현재 비즈니스 요구를 해결하는 관점에서 개발 코호트에 대한 보안 코딩에 대한 실습 교육은 일반적인 취약점을 줄이기 시작해야 하며 기능적 보안 프로그램의 일부가 되어야 합니다.

보안 전문가로서 우리는 전 세계 기업들이 단순한 기본 인식 조치를 넘어서는 내부 보안 프로그램을 구축하는 것의 중요성을 이해하도록 돕기 위해 더 많은 일을 해야 합니다. 개발자에게 시간을 할애하면 과로된 AppSec 전문가가 압박을 받고 있으며, 전체 조직이 역할의 맥락에서 가능한 한 보안을 인식하도록 보장하는 것은 소프트웨어의 위협 표면 공격 영역을 줄이는 데 매우 중요합니다.

개발자 의 업스킬링은 시간이 잘 소요됩니다, 그래서 왜 그렇게 많은 회사가 그것을 무시하고 있습니까?

DDLS의 최근 설문 조사에 따르면 호주 조직의 사이버 보안 교육과 관련하여 우선 순위가 거의 없다고 결론을 내렸습니다. 실제로 응답자의 77%가 사이버 보안 인식을 비즈니스에서 "매우" 또는 "매우 중요"로 꼽고 있음에도 불구하고 상위 3대 교육 우선 순위도 만들지 못했습니다.

호주가 확대되는 기술 격차를 해소하기 위해 고군분투하고 있으며 필수 서비스에서 소매업, 그리고 그 사이의 모든 것을 보다 탄력적인 인프라를 만들기 위해 해야 할 일이 있다는 것은 놀라운 일이 아닙니다.

정부가 보안 기술 기준 인증 또는 규정을 만들 수 있는 엄청난 기회가 있으며, 이 전략은 한정된 자원으로 작업할 수 있는 방법으로 이를 암시하고 있습니다. 그러나 다시 한 번 말하지만, 이는 미래 국가의 제안으로 보이며, 영향력이 큰 영역을 먼저 목표로 삼는다면 훨씬 더 빨리 시작할 수 있는 도구가 있습니다. 제가 보기에 희망의 불빛은 각 조직의 개발 팀에 있으며, 성공할 수 있는 도구와 지식만 있다면 일반적인 취약점을 사전에 차단하고 조직 내 데이터 유출 위험을 크게 줄일 수 있습니다.

2019년, 모든 데이터 유출의 24%는 보안 오류(즉 보안 잘못된 구성)로 인해 발생했으며, 이는 일반적으로 비교적 간단하며 코드 수준 수정입니다. 여기에 교육이 우선 순위가 된다면, 회사 차원의 보안 인식 구축과 함께 수천 명의 손상된 고객에게 위반 알림에 서명하는 CISSo가 적을 것이라고 베팅하고 있습니다.