Befähigung von Entwicklern, Steigerung der Produktivität und Minderung von Risiken

Was für ein erstaunliches Jahr in der sich ständig weiterentwickelnden Landschaft der Cybersicherheit! Secure Code Warrior ist stolz darauf, unsere Mission fortzusetzen, Entwickler und Organisationen mit den Fähigkeiten auszustatten, die sie benötigen, um die sich ständig weiterentwickelnden Sicherheitsbedrohungen zu bekämpfen. Im Jahr 2023 haben wir mit mehr als 600 Unternehmen zusammengearbeitet, und die Analyse der Daten von fast 75.000 Entwicklern zeigt, dass diejenigen, die mit Secure Code Warrior zusammenarbeiten, ihre Schwachstellen um bis zu 53 % reduzieren konnten. Dies wiederum führt zu massiven Produktivitätssteigerungen bei Entwicklern und unterstützt AppSec- und Sicherheitsteams bei der Absicherung gegen Risiken und der Stärkung der Sicherheitslage ihres Unternehmens.

Auf dem Weg ins Jahr 2024 möchten wir Ihnen einige der wichtigsten Produktentwicklungen, strategischen Partnerschaften und Unternehmensaktualisierungen vorstellen, die wir in diesem Jahr vorgenommen haben. 

‍

Produktinnovationen

Wir haben ein hervorragendes Jahr für das Lernen von sicherem Code in unserer Entwicklergemeinschaft hinter uns. Hier sind einige der Höhepunkte:

• Wir haben der Plattform 2 neue Sprachen hinzugefügt - Terraform:GCP und Dart:Flutter - und Coding Labs in 9 verschiedenen Sprachen und Frameworks ausgeliefert. 
• Secure Code Warrior beherbergte 820 Tournaments im Jahr 2023.
• Im Durchschnitt verbrachten die Entwickler 2,3 Minuten mit den Coding Labs und absolvierten 2023 über 100.000 Labs. Das sind über 4.200 Stunden, die mit der neuesten Lernaktivität von Secure Code Warriorverbracht wurden! 
• Zum Schluss noch ein Blick auf die 10 wichtigsten Branchen, aus denen unsere Entwickler kommen, gemessen an der Anzahl der aktiven Lernenden auf der Plattform. 

Im Jahr 2023 führteSecure Code Warrior Coding Labs ein - unsere fortschrittlichste und interaktivste Lernaktivität, die die Sicherheitsausbildung von Entwicklern verbessern soll. Diese Ergänzung bietet kontextbezogenes Feedback in Echtzeit und ist derzeit in mehr als 9 Sprachen und Frameworks verfügbar. Coding Labs fungiert als persönlicher Trainer, der ein schnelleres Lernen und eine schnellere Verbesserung der Fähigkeiten ermöglicht und es Entwicklern erleichtert, vom "Lernen" zum "Tun" überzugehen. 

Secure Code Warrior hat seine branchenführende Inhaltsbibliothek um zwei neue Programmiersprachen - Dart:Flutter und TeraformGCP - erweitert. Zu den weiteren Verbesserungen gehören die Integration von Richtlinien in courses und die SCW Jira-Integration, die Entwicklern tiefere Einblicke und ausführliche Ratschläge zur Problembehebung in ihren Arbeitsabläufen bietet. Die Einführung von Multi-company Tournaments fördert den freundschaftlichen Wettbewerb zwischen Entwicklern aus verschiedenen Unternehmen und Niederlassungen und gewährleistet eine skalierbare, sichere Programmierkultur. Darüber hinaus ermöglicht die Einführung von SCIM Programmeigentümern und Unternehmensadministratoren, Secure Code Warrior Lizenzen programmatisch zu verwalten und so Genauigkeit und Compliance im großen Maßstab zu gewährleisten.

Sind Sie neugierig, mehr über unsere neuesten Produktinnovationen zu erfahren? Wenden Sie sich an Ihren Customer Success Manager oder besuchen Sie unsere Ressourcenbibliothek, um eines der vielen verfügbaren Produkt-Webinare zu besuchen. 

‍

‍

Strategische Partnerschaften und Integrationen

Eine bemerkenswerte Zusammenarbeit entstand mit Synopsys Developer Security Training, powered by Secure Code Warrior. Diese Integration bietet eine geschlossene Strategie zur Vorbeugung von Sicherheitsrisiken auf dem Entwickler-Desktop und beschleunigt die Behebung von Problemen im gesamten Softwareentwicklungszyklus (SDLC) und in CI/CD-Pipelines. Ziel der Partnerschaft ist es, einen umfassenden Ansatz für eine sichere Entwicklung mit quantifizierbaren Risikominderungen zu schaffen.

Weitere Informationen über die Partnerschaft finden Sie hier. 

‍

Devlympiade 2023

An den Devlympics, einer jährlich stattfindenden globalen Veranstaltung tournament , die von Secure Code Warrior ausgerichtet wird, nahmen 2023 über 1000 Entwickler teil. Die Veranstaltung erregte die Aufmerksamkeit von Sicherheitsexperten auf der ganzen Welt und stieß auf ein überwältigend positives Feedback:

• 94% hatten Spaß an der Teilnahme an der tournament.
• 90 % bekundeten ihr Interesse an einer Teilnahme an der Veranstaltung im nächsten Jahr.
• 62 % bewerteten die SCW-Plattform mit 10/10, und 91 % würden sie ihren Kollegen weiterempfehlen.
• Über 85 % würden die SCW-Plattform nutzen, wenn ihre Organisation einen Vollzeitzugang hätte.

Lesen Sie den vollständigen Bericht hier. Sie wollen die Devlympics im nächsten Jahr nicht verpassen? Markieren Sie Ihren Kalender für den 15. und 16. Oktober 2024 und melden Sie sich an, um auf dem Laufenden zu bleiben. 

‍

Hören Sie von Gleichgesinnten

Im Laufe der Zusammenarbeit mit unseren Kunden hat sich Secure Code Warrior tief in ihr Sicherheits-Ökosystem eingebettet und die Produktivität ihrer Entwickler und die Verringerung von Risiken deutlich verbessert. Wir haben in diesem Jahr von mehreren Kunden gehört und die wichtigsten Erkenntnisse und Einsichten ihrer Fachexperten gesammelt, um sie mit unseren Kollegen in der breiteren Application Security Community zu teilen.  

• Workday: Eine bemerkenswerte Reduzierung von 4662 Sicherheitsproblemen auf Null in etwa 18 Monaten.
• Thales: Innerhalb von zwei Jahren konnten die Schwachstellen insgesamt reduziert werden, ohne dass es zu einer Wiedereinführung auf Quellcode-Ebene kam.
• Envestnet: Die Entwickler behoben 2,7 Mal mehr Schwachstellen als ihre Kollegen und schlossen 4,5 Probleme pro Entwickler.
• Netskope: Erreichen Sie Ihre Compliance-Ziele ohne herkömmliche "Check-the-Box"-Schulungen, mit höheren Engagement-Raten in ihrem Secure Coding-Programm.
• Colgate-Palmolive: Die Entwickler wurden in den Mittelpunkt der Strategie für sicheren Code gestellt, und Secure Code Warrior wurde mithilfe von Okta nahtlos in die Arbeitsabläufe integriert.
• Salbei: Aufbau einer erstklassigen Community von Sicherheitschampions und Verkürzung der durchschnittlichen Zeit zur Behebung von Schwachstellen um 82 %.

Erfahren Sie direkt von unseren Kunden, wie sie ihre Programme für sicheren Code aufgebaut, eine sicherheitsorientierte Kultur gefördert und ihre Sicherheitslage verbessert haben. 

‍

Schnelle Reaktion des SCW auf Sicherheitslücken im Internet

Secure Code WarriorDas Rapid-Response-Programm adressiert aktuelle kritische Schwachstellen, die unsere Welt plagen, wie die MOVEit-Zero-Day-Schwachstelle, hochgefährliche libcurl/curl-Schwachstellen und mvcRequestMatcher Spring. Diese Vorfälle unterstreichen, wie wichtig proaktive Sicherheitsmaßnahmen und die kontinuierliche Aufklärung der Entwicklungsteams über aktuelle Sicherheitslücken sind. Im Folgenden erfahren Sie mehr über diese kritischen Schwachstellen. Zu jeder dieser Schwachstellen gibt es eine kostenlose Mission, die Sie in der Praxis durchspielen können.

• MOVEit Zero-Day kostenlose Mission
• libcurl/ curl Schwachstelle Mission 
• mvcRequestMatcher Frühlingsaufgabe 

‍

Wichtige Finanzierung und Anerkennung

Mit Niederlassungen in Sydney und Melbourne (Australien), Boston (USA), Belgien und Island ist SCW stolz darauf, eine Gemeinschaft von Entwicklern zu beherbergen, die eine Vielzahl von Branchen und Regionen repräsentieren. 

Am 13. Juli 2023 gab Secure Code Warrior eine bahnbrechende Errungenschaft bekannt - den Abschluss der Serie-C-Finanzierungsrunde unter der Leitung der Paladin Capital Group, die beeindruckende 50 Millionen US-Dollar einbrachte. Damit steigt die Gesamtfinanzierung auf über 100 Mio. USD und unterstreicht das Vertrauen und die Unterstützung, die das Unternehmen seit seiner Gründung erhalten hat.

‍

Werden Sie Mitglied der wachsenden Gemeinschaft 

Secure Code WarriorDank unseres Engagements für Innovation, strategische Partnerschaften und den Erfolg unserer Kunden sind wir stolz darauf, unsere Erfolge als Marktführer im Bereich der Ausbildung und Implementierung von sicherem Coding zu feiern. 

Möchten Sie mehr erfahren? Folgen Sie uns auf X und LinkedIn, um über alle Ankündigungen auf dem Laufenden zu bleiben. 

Das war's für heute, wir sehen uns 2024!

Wie agiles Lernen mit Secure Code Warrior Schwachstellen reduziert

Die Sicherheitserziehung muss sich weiterentwickeln 

Eine der Herausforderungen, mit denen Sicherheitsteams heute konfrontiert sind, besteht darin, dass nicht genügend Zeit zur Verfügung steht, um die sichere Kodierung früher in den Entwicklungszyklus zu integrieren. Die Sicherheitsverantwortlichen müssen auch den Wert überdenken, den die Entwickler aus der Lernerfahrung mit sicherem Code ziehen, und überlegen, wie sie das Programm ansprechender und vor allem wirkungsvoller gestalten können. Das Letzte, was Sie wollen, ist, dass Ihr Sicherheitsschulungsprogramm als ein Hindernis für die Produktivität angesehen wird. Das Ziel der Sicherheitsschulung für Entwickler sollte stattdessen auf ansprechenden Pfaden, der Integration in Arbeitsabläufe und einem breiten Spektrum an Inhalten beruhen, die dazu beitragen, dass die Konzepte haften bleiben, was zu einer Verringerung der eingeführten Schwachstellen führt. 

Durch die Integration des Lernens von sicherem Code in den Arbeitsablauf Ihrer Entwickler und die Verringerung des Zeitaufwands können die Entwickler ihre Fähigkeit, sicherer zu programmieren und produktiver zu sein, erheblich steigern. Secure Code Warrior hat die Daten von über 75.000 Entwicklern, die unsere Plattform nutzen, untersucht und festgestellt, dass agiles Lernen den Entwicklern hilft, 53 % weniger Schwachstellen in die Codebasis einzubringen. 

Dies erfordert eine Änderung des Ansatzes, so dass Entwickler durch mehr praktisches Lernen und die Integration mit ihren Tools und ihrer Umgebung für das Thema begeistert werden, um ein tieferes Engagement und Momente des Mikro-Lernens mit großer Wirkung zu fördern. 

Derek Fisher, einer der führenden Experten für Anwendungssicherheit, meint : "Wir alle kennen die jährlichen Schulungen zur Einhaltung der Vorschriften, die wir in jedem Unternehmen absolvieren müssen. Normalerweise ist es das, was ich 'Tod durch Powerpoint' nenne, ein Haufen Folien und vielleicht eine assessment am Ende... wirklich ineffektiv und zeitraubend. Wir hatten Schulungen, aber es waren die üblichen Compliance-Schulungen mit einigen sicherheitsspezifischen Schulungen, die auf Folien/Audioaufnahmen basierten. Wir stellten fest, dass die Entwickler nicht sehr engagiert waren und nicht viel aus den Materialien lernten, also mussten wir unsere Strategie ändern."

Integrieren Sie die Lernerfahrung in die Arbeitsabläufe Ihrer Entwickler

Secure Code WarriorDie Plattform des Unternehmens liefert den Entwicklern just-in-time Microburst-Inhalte in ihren täglichen Arbeitsablauf. Diese Integration mit Sicherheitstools soll das Umschalten zwischen verschiedenen Kontexten verhindern und AppSec-Teams in die Lage versetzen, präskriptive und ansprechende Programme zu erstellen. 

Mit diesen Devtool- und Sicherheitsintegrationen können Sie messen, wie Ihr Programm zum Erlernen von sicherem Code funktioniert, indem Sie den Fortschritt der Entwickler verfolgen und die Reaktionszeiten auf Tickets messen sowie die Reduzierung von Schwachstellen im Laufe der Zeit durch IAST/DAST/SAST-Tools beobachten. 

Hier sind drei wichtige Möglichkeiten, wie Secure Code Warrior in Ihre Tools und Arbeitsabläufe integriert werden kann, um Schwachstellen um bis zu 53 % zu reduzieren 

1. Optimieren Sie Ihren Ansatz 

Integrieren Sie Secure Code Warrior mit Ihren Scan- und Pen-Testing-Tools. Auf diese Weise können Sie bestimmte Schwachstellen automatisch korrelieren und den Entwicklern vertrauenswürdige Lerninhalte zur Verfügung stellen, die für die Behebung erforderlich sind. Secure Code Warrior bietet Integrationen mit Synopsys, Snyk, Bugcrowd, Fortify, Contrast und vielen anderen, um Ihr Programm zielgerichtet zu halten. 

2. Verbesserung der Produktivität

Ermöglichen Sie es Entwicklungsteams, durch praktische Herausforderungen, Coding Labs und in Jira, Gitlab, GitHub und Azure Boards eingebettete Richtlinien zu lernen. Das Lernen erfolgt in Minuten, nicht in Stunden, ohne die Produktivität der Entwickler zu beeinträchtigen oder ihren Arbeitsfluss zu unterbrechen. 

2. Skalieren Sie Ihr Programm 

Reduzieren Sie den Verwaltungsaufwand für ein Sicherheitsprogramm mit SCORM- und SCIM-Funktionen, die für Unternehmen entwickelt wurden. Integrieren Sie Secure Code Warrior ganz einfach in Ihr LMS und verwalten Sie die Benutzerbereitstellung automatisch. Aktivieren Sie SSO mit der Okta-Integration. 

Reduzierung von 53 % der Schwachstellen zu einem früheren Zeitpunkt im SDLC 

Es ist möglich, Schwachstellen viel früher im SDLC zu beheben, indem man sich darauf konzentriert, von Anfang an sichereren Code zu schreiben, wenn es deutlich weniger kostet, sie zu beheben. Wenn man die Quelle vieler Schwachstellen, nämlich den unsicheren Code, der von den Entwicklern in die Produktion eingespeist wird, in den Blick nimmt, kann die Reduzierung der eingeführten Schwachstellen dazu beitragen, die technischen Schulden zu verringern und die Sicherheit zu erhöhen. 

Eine sinnvolle Reduzierung von Schwachstellen durch Entwicklerschulung erfolgt nicht durch langweilige, statische Schulungen, die den Arbeitsablauf der Entwickler unterbrechen. Indem Sie das Lernen aus dem flexibelsten agilen learning platform auf dem Markt in Ihre Tools einbetten, werden Ihre bestehenden Investitionen in Sicherheit und Entwicklungswerkzeuge wertvoller, was zu einer erheblichen Verringerung der Schwachstellen um 53 % führen kann. 

Weitere Tipps erhalten Sie von Secure Code Warrior 

In unserem nächsten Blog-Beitrag werden wir untersuchen, wie Sie ein hochgradig ansprechendes Programm aufbauen können, das alles mit der Risikominderung verbindet und es Ihnen ermöglicht, sich auf die wesentlichen Auswirkungen eines erfolgreichen Programms für sichere Codierung zu konzentrieren.

Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen dabei zu helfen, während des gesamten Lebenszyklus der Softwareentwicklung sicher zu programmieren und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.

Erfahren Sie, wie durch praktische Sicherheitsschulungen Schwachstellen um 53 % reduziert werden können 

Die Herausforderung für Entwicklungsteams heute 

Entwickler stehen unter enormem Druck, schneller zu entwickeln und die Produktionszyklen zu beschleunigen als je zuvor. Dies führt dazu, dass immer mehr Code in Unternehmen eingeführt wird, der zum Teil aus Open-Source, KI oder von Dritten stammt. Dies kann zwar zur Produktivitätssteigerung beitragen, birgt aber auch das Risiko, unsicheren Code in die Codebasis einzubringen.

Trotz des zunehmenden Drucks, schneller zu liefern, überarbeitet ein Softwareentwicklungsteam etwa 26 % seines Codes vor der Veröffentlichung. Das bedeutet, dass ein Entwickler bis zu 13,5 Stunden pro Woche allein für technische Fehler aufwenden kann. Das sind über 700 Stunden pro Jahr, die mit der Behebung vergangener Fehler verbracht werden. Die verlorene Produktivität kann die Entwicklungszyklen verlangsamen und, was noch schlimmer ist, durch Abkürzungen und Drittquellen neue Risiken in den Code bringen. Dies stellt eine Herausforderung dar, wenn es darum geht, den Druck auszugleichen, den Code schnell, aber auch sicher zu veröffentlichen. 

Nach einer Untersuchung von Secure Code Warriorgeben 67 % der Entwickler zu, dass sie Code mit Schwachstellen ausliefern, und mit jeder neuen Codezeile, die täglich geschrieben wird, werden immer mehr Schwachstellen eingeführt. Es gibt einen besseren Weg, dieses Problem anzugehen - die Sicherheit von Anfang an einzubinden. In diesem Blog werden wir untersuchen, wie Entwickler die erste Verteidigungslinie bei der Absicherung von Code sein und bis zu 53 % der Schwachstellen in ihrem Code durch agiles Lernen reduzieren können. 

Schwachstellen gar nicht erst entstehen lassen 

Secure Code Warrior arbeitet mit über 600 verschiedenen Unternehmen zusammen, um sie bei der Sicherung ihres Codes zu unterstützen. Unsere Forscher untersuchten die Daten von 30 % unserer Nutzer - fast 75.000 Entwickler - und stellten fest, dass Entwickler, die mit Secure Code Warrior sichere Kodierungspraktiken erlernen und anwenden, 53 % weniger Schwachstellen in ihr Unternehmen einbringen als ihre Kollegen. Wenn Entwickler keine neuen Schwachstellen mehr schaffen, können sie viele Stunden an Produktivität gewinnen. Diese Zeit kann für den Abbau des technischen Rückstands oder sogar für die Bereitstellung neuer, innovativer Lösungen und Funktionen genutzt werden. Die Möglichkeiten sind endlos, wenn das Einschleusen von Schwachstellen der Vergangenheit angehört und zu einer Reihe von Effizienzsteigerungen im Softwareentwicklungszyklus führen kann. 

Wie können Entwickler von agilem Lernen profitieren?  

Secure Code Warrior hat agile Prinzipien in das Design unserer learning platform integriert, um Entwickler zu ermutigen , sicheres Programmieren durch Handeln zu lernen. Dies geschieht durch die Aufteilung von langwierigen, langweiligen Sicherheitsschulungen in kleine, interaktive und ansprechende Lerneinheiten. 

Secure Code Warrior ist die einzige agile learning platform , die mehrere Microburst-Lernformate kombiniert, so dass Entwickler ihr Wissen schnell lernen, testen und anwenden können, und zwar im Kontext der realen Arbeit, die sie bereits erledigen - in der Sprache ihrer Wahl.

Mit anpassbaren Programmen, äußerst effektiven praktischen Lernaktivitäten und der Integration von Entwickler-Tools ist Secure Code Warrior der effektivste Weg, um Entwicklern beizubringen, wie sie Schwachstellen zu Beginn des SDLC erkennen und beheben können und wie sie verhindern können, dass Schwachstellen überhaupt erst eingeführt werden.

Warum Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unser learning platform ist die effektivste Lösung für sicheres Coding, da es agile Lernmethoden nutzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior , um agile Sicherheitstrainingsprogramme für das Erlernen von Code mit agilen Methoden zu implementieren, sichere Software schnell zu liefern und eine Kultur der entwicklergesteuerten Sicherheit zu schaffen. Möchten Sie mehr erfahren? Fordern Sie eine Demo an.

Erst vor kurzem wurden die Sicherheits- und Entwicklergemeinschaften durch eine Mitteilung des leitenden Entwicklers des curl-Projekts, Daniel Stenberg, darauf aufmerksam gemacht , dass eine neue Version von curl - die am 11. Oktober veröffentlicht wurde - zwei schwerwiegende Sicherheitslücken behebt, von denen er eine als "wahrscheinlich die schlimmste curl-Sicherheitslücke seit langem" bezeichnet.

In einem Postmortem in Stenbergs Blog wird darauf hingewiesen, dass die betroffenen Versionen der curl-Bibliothek für einen Heap-basierten Pufferüberlauf anfällig sind, der mit einem alten Problem im Zusammenhang mit dem seit 2002 verwendeten SOCKS5-Proxy-Protokoll steht.

Mit seiner Verwendung als Befehlszeilentool, die bis ins Jahr 1998 zurückreicht, wird curl weithin als Grundpfeiler des Internets angesehen. Mit einer so langen Geschichte und weitverbreiteten Nutzung ist es eine Abhängigkeit, die, wenn sie anfällig ist, anhaltende Auswirkungen auf die allgemeine Cybersicherheit haben könnte.

Dieser Vorfall weist Ähnlichkeiten mit dem verheerenden Log4Shell-Angriff in Log4j auf, einer weiteren verwundbaren Abhängigkeit, die fast zwei Jahre später immer noch ausgenutzt wird.
‍
>>> Testen Sie jetzt Ihr Wissen mit unserer curl-Mission!‍

Die Sicherheitslücke: Pufferüberlauf

Die Schwachstelle ist unter CVE-2023-38545 aufgeführt und betrifft die Curl-Versionen 7.69.0 bis einschließlich 8.3.0. Bei dem primären Fehler handelt es sich um eine Heap-basierte Pufferüberlauf-Schwachstelle. Ersten Berichten zufolge könnte eine erfolgreiche Ausnutzung zu einem noch verheerenderen Angriff mit Remote-Code-Ausführung (RCE) führen. Dies ist zwar ein möglicher Arbeitsablauf für einen Bedrohungsakteur, aber eher ein seltener Anwendungsfall als eine Selbstverständlichkeit.

Die einzige Rettung, um einige der Risiken zu mindern, ist vielleicht, dass die bösartige Kommunikation über einen SOCKS5-Proxy laufen muss, was eine relativ seltene Anwendung ist.

Vergleichbar mit dem Curl-Exploit, werfen wir einen Blick auf diesen Buffer Overflow-Explainer:

Wenn curl angewiesen wird, einen SOCKS5-Proxy zu verwenden, wird der Hostname weitergegeben und vom Proxy aufgelöst. Wenn der Hostname jedoch die 255-Byte-Grenze überschreitet, löst curl den Hostnamen lokal auf (wie im folgenden Codeschnipsel zu sehen: Quelle).

Bei einem langsamen Handshake zwischen Client und Proxy ist es möglich, dass der lange Hostname anstelle der (kürzeren) aufgelösten Adresse in den Speicherpuffer kopiert wird. Der zugewiesene Speicherbereich lässt nur einen 255-Byte-Wert zu. Wenn er also einen Wert empfängt, der diese Grenze überschreitet, laufen die Daten über die Grenzen des Speicherpuffers hinaus.

>>> Probieren Sie es selbst aus in dieser spielbaren Mission!

Pufferüberlauf ist ein mächtiger Angriffsvektor, der in vielen älteren Programmiersprachen vorkommt. In diesem speziellen Fall machte die Ausnutzung den Weg frei für einen ernsteren und schädlicheren Angriff in Form von RCE in einigen Kontexten, obwohl dieser Weg ungewöhnlich und unwahrscheinlich bleibt.

Wie können Sie das Risiko eines Pufferüberlaufs mindern?

In diesem Stadium besteht die höchste Priorität darin, die Patches auf alle anfälligen Instanzen anzuwenden, wobei darauf hinzuweisen ist, dass die Verwendung von curl so weit verbreitet ist, dass es nicht unbedingt offensichtlich ist oder angekündigt wird, dass Komponenten Ihres Systems die verwendete Abhängigkeit enthalten. In diesem Fall sind Überprüfungen und anschließende Patches erforderlich. 

Im Allgemeinen können Pufferüberlauf-Fehler durch die Verwendung einer speichersicheren Sprache wie Rust entschärft werden, jedoch ist es bei einem ausufernden Projekt wie curl nicht praktikabel, es auf eine andere Sprache zu portieren oder es aus einer Laune heraus umzuschreiben. Wie Stenberg bemerkt, während er das Potenzial diskutiert, mehr Abhängigkeiten zu nutzen und zu unterstützen, die in speichersicheren Sprachen geschrieben sind - oder die Alternative, Teile von curl nach und nach zu ersetzen - "... die Entwicklung geschieht ... derzeit in einer fast eisigen Geschwindigkeit und zeigt mit schmerzlicher Klarheit die damit verbundenen Herausforderungen. curl wird für die absehbare Zukunft in C geschrieben bleiben." Es ist kein kleines Unterfangen, und die Auswirkungen auf die Sicherheit sind immens.

Sicherheitsfehler können und werden passieren, und es ist nicht immer möglich, sich darauf zu verlassen, dass Scanner und Tests jeden möglichen Angriffsvektor aufspüren. Daher ist unsere größte Waffe im Kampf gegen diese Bugs das Engagement für ein kontinuierliches Sicherheitsbewusstsein und den Aufbau von Fähigkeiten.
‍

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und Risiken minimieren können?

Probieren Sie unsere Heap Overflow Herausforderung kostenlos.

Wenn Sie an weiteren kostenlosen Codierungsrichtlinien interessiert sind, besuchen Sie Sicherer Code Coach damit Sie immer auf dem neuesten Stand der besten Praktiken für die sichere Programmierung sind.

Hier bei Secure Code Warrior sind wir ständig auf der Suche nach Innovationen, um Entwicklern und Unternehmen die richtigen Fähigkeiten zu vermitteln, um die sich ständig ändernden Sicherheitsherausforderungen zu meistern. Wir tun dies durch unsere agile learning platform für sichere Programmierung, die es Entwicklern ermöglicht, so zu lernen, wie sie wollen, mit dem vollständigsten und zuverlässigsten Inhalt für Schwachstellen in der Branche heute.  

Im vergangenen Quartal hat Secure Code Warrior neue Möglichkeiten für Unternehmensadministratoren implementiert, tournaments auf mehrere Marken und Einheiten zu erweitern und ihre Benutzer durch SCIM-Bereitstellung einfacher zu verwalten. Wir freuen uns außerdem, dass neue Kodierungsrichtlinien in Jira verfügbar sind, sowie Leistungsübersichtsberichte und neue Programm-Workflows in der Vorschau. 

Lassen Sie uns eintauchen und mehr erfahren!

Erweiterung des Umfangs und der Tiefe der SCW-Plattform 

Secure Code WarriorDie kontinuierliche Erweiterung um neue Inhalte trägt dazu bei, dass unsere Module relevant, aktuell und auf das zugeschnitten bleiben, was Sie in der heutigen Cybersicherheitslandschaft wissen müssen. Mit der branchenführenden Breite und Tiefe von über 60 Sprachen ist es einfach, ein agiles Lernprogramm für Entwickler in einer großen Anzahl von Sprachen und Frameworks zu erstellen und zu skalieren. 

Jetzt verfügbar: Kodierungsrichtlinien in Jira 

Die Ergänzung unserer Jira-Integration durch Guidelines bietet Entwicklern kontextbezogenes Lernen, das sich auf Sicherheitsminderung bezieht. Richtlinien sind ausführlicher als Videos, konzentrieren sich auf eine bestimmte Sprache oder ein bestimmtes Framework und bieten Codeschnipsel, mit denen Entwickler ein Problem noch schneller lösen können. Zusätzlich zum Zugriff auf Videos und Herausforderungen können Entwickler jetzt auch direkt in einem Jira-Problem die Codierungsrichtlinien lesen, um ausführliche Ratschläge zur Problembehebung zu erhalten.

Jetzt verfügbar: Neue Inhalte für Front-End-Entwickler 

Auch Front-End-Entwickler müssen sicheren Code ermöglichen! Aus diesem Grund haben wir zusätzliche Front-End-Schwachstellen in Missions und Walkthroughs veröffentlicht. Front-End-Entwickler können über Courses auch auf Front-End-spezifische Missions zugreifen. 

Diese Updates bemühen sich um eine umfassende Abdeckung von Frontend-spezifischen Schwachstellen - von häufig auftretenden wie DOM-basiertem XSS bis hin zu weniger häufig auftretenden Schwachstellen wie CSS Injection. Schritt-für-Schritt-Walkthroughs bieten Frontend-Entwicklern eine verlässliche Anleitung, wie Schwachstellen ausgenutzt werden, während fortgeschrittene Entwickler auch ihre Fähigkeiten im Frontend Missions in Tournaments testen können. 

Spannende neue Wege zur Skalierung Ihrer Sicherheitskultur 

Jetzt verfügbar: Unternehmensübergreifend Tournaments 

‍

Unter Tournaments können mehrere Unternehmen zusammenarbeiten, um einen freundschaftlichen Wettbewerb zwischen Entwicklern aus verschiedenen Geschäftseinheiten, Tochtergesellschaften, Partnern und anderen Unternehmen zu ermöglichen. Dadurch wird sichergestellt, dass eine sichere Programmierkultur über ein ganzes Unternehmen und seine verschiedenen Marken hinweg skaliert werden kann.  

Möchten Sie an der ultimativen unternehmensübergreifenden Tournament teilnehmen? Melden Sie sich für die 3. jährlichen Devlympics an - SCWs globale tournament für den Cybersecurity Awareness Monat! Wenn Sie bereits ein Kunde sind, können Sie sich über die Plattform anmelden. 

Vereinfachung der Arbeit von Administratoren und Entwicklern

Jetzt verfügbar: Kursfilterung 

Die Möglichkeit, zusätzliche Filter auf der Kursverwaltungsseite anzuwenden, macht es für Administratoren viel einfacher, den gewünschten Kurs herauszufiltern. Courses kann nach verschiedenen Attributen wie Status, Enddatum und eingeschriebene Teams gefiltert werden.

Jetzt verfügbar: Verwalten Sie Ihre SCW-Lizenzen mit SCIM 

Programmverantwortliche und Unternehmensadministratoren können nun Entwickler in großem Umfang programmatisch verwalten und haben die Gewissheit, dass die Zugriffskontrollen immer auf dem neuesten Stand sind.

Die SCIM-Bereitstellung nutzt Ihren Identitätsanbieter, um den Zugriff auf Secure Code Warrior zu synchronisieren. Die Automatisierung dieser Aufgaben gewährleistet Genauigkeit, Sicherheit und Compliance und spart Zeit und Ressourcen bei der Bereitstellung von Benutzern. Derzeit unterstützt SCW die SCIM-Bereitstellung nur auf der Benutzerebene und noch nicht für SCIM-Gruppen.

In der Vorschau verfügbar: Arbeitsabläufe programmieren

 Die Konfiguration eines skalierbaren und fesselnden Programms für die sichere Codeschulung ist jetzt einfacher denn je, da die Benutzerfreundlichkeit der Plattform erheblich verbessert wurde. Die Programme wurden so gestaltet, dass sie den Lernenden durch die Abfolge von courses und Bewertungen in mehrstufigen Programmen mehr Orientierung bieten. Automatisierte Programmabläufe sind jetzt für Kunden verfügbar, die die Vorschau auf der Plattform aktiviert haben. Programm-Workflows stellen sicher, dass die Entwickler wissen, wo sie beginnen müssen, zu den nächsten Schritten navigieren können und sich problemlos durch die verschiedenen Stufen eines sicheren Code-Lernprogramms bewegen können. Außerdem müssen Unternehmensadministratoren weniger Zeit aufwenden, um ihr Programm einzurichten, zu verwalten und die Entwickler zum Abschluss ihrer nächsten Lernaktivität anzuhalten. 

Benötigen Sie Tipps, wie Sie das Lernen von sicherem Code in Ihrer Organisation in Gang bringen können? Lesen Sie unser Handbuch darüber, wie Sie Ihr Programm strukturieren können, um Ihre Sicherheitsziele zu erreichen. 

Berichterstattung und Programmeinblicke

In der Vorschau verfügbar: Leistungsübersicht 

Als Unternehmensadministrator müssen Sie die Aktivitäten in Ihrem Unternehmen überwachen, um die Beteiligung der Entwickler zu verstehen und den Erfolg Ihres Programms für sicheres Codelernen zu messen. Wir haben eine verbesserte Berichtsschnittstelle entwickelt, die sicherstellt, dass Unternehmensadministratoren die besten Erkenntnisse aus ihren Berichten ziehen können.

Der Leistungsüberblick bietet einen Einblick in den Abschluss von Entwicklerkursen und assessment sowie in die durchschnittliche Genauigkeit im Laufe der Zeit. Der Bericht generiert auch einen aufschlussreichen Branchenvergleich, um zu sehen, wie Ihr Programm im Vergleich zum Durchschnittswert Ihrer Branche assessment für Ihr ausgewähltes assessment abschneidet. 

Dieser einfache, aber aussagekräftige Bericht bildet den Auftakt zu einer Reihe von Erkenntnissen und Messgrößen, die Secure Code Warriorfür das Jahr 2024 plant. 

Sind Sie daran interessiert, Secure Code Warrior auszuprobieren, haben aber noch kein Konto? Buchen Sie noch heute eine Demo, um mehr zu erfahren. 

Das war's mit den neuen Funktionen in diesem Quartal! Folgen Sie Secure Code Warrior auf LinkedIn und X (früher Twitter), um über die neuesten Versionen und Verbesserungen informiert zu werden.

‍

‍

Cyberangriffe auf die Software-Lieferkette werden immer häufiger, was zu einer Reihe von Gesetzesänderungen auf US-Regierungsebene geführt hat, während sich Unternehmen bemühen, ihr umfangreiches Risikoprofil zu mindern und die Softwarequalität rasch zu verbessern. Allein in diesem Jahr gab es drei Zero-Day-Schwachstellen im Zusammenhang mit File-Sharing-Diensten, wobei die größte und zerstörerischste in Form des Massenangriffs MOVEit auftrat.

Der MOVEit-Vorfall, der von der CL0P-Ransomware-Gruppe angeführt wird, beherrscht seit einiger Zeit die Cybersecurity-Nachrichten, da mehr als 1.000 Unternehmen betroffen sind. Diese Zahl wird weiter steigen, was diesen Vorfall zu einem der stärksten Angriffe auf die Software-Lieferkette seit Solarwinds im Jahr 2021 macht.

Der Auslöser für diese weit verbreitete Sicherheitslücke war eine Reihe von SQL-Injection-Schwachstellen, die von MITRE mit 9,8 von 10 Punkten bewertet wurden. SQL-Injection ist seit den späten 90er Jahren das Schreckgespenst der Sicherheitsexperten, und obwohl es relativ einfach zu beheben ist, findet es weiterhin seinen Weg in moderne Software und bietet Bedrohungsakteuren einen roten Teppich zu sensiblen Daten. 

Das MOVEit-Szenario unterscheidet sich ein wenig von dem, was viele Entwickler und AppSec-Profis bisher erlebt haben, und Sie können Ihre SQLi-Slaying-Fähigkeiten in einer Live-Simulation gleich hier testen:

>>> PLAY THE MOVEit MISSION

Die Sicherheitslücke: SQL-Einschleusung

Wie genau wurde die SQL-Injektion verwendet, um die MOVEit-Dateiübertragungsanwendung von Progress Software auszunutzen?

Die CL0P-Ransomware-Gruppe konnte die SQL-Injection-Schwachstelle CVE-2023-34362 ausnutzen, die ihnen uneingeschränkten und unbefugten Zugriff auf die MOVEit-Datenbank ermöglichte. Von dort aus konnten sie LEMURLOOT installieren, eine Web-Shell, die es ihnen schließlich ermöglichte, mehrere hochriskante, kritische Prozesse auszuführen, wie z. B. das Abrufen von Systemeinstellungen, das Aufzählen der SQL-Datenbank, das Abrufen von Dateien aus dem MOVEit-Transfersystem und das Erstellen eines neuen Kontos mit vollen Verwaltungsrechten.

Natürlich mag dieser Angriffsvektor das Ergebnis eines relativ einfachen Fehlers sein - eines Fehlers, den man auf die ständige Verwendung schlechter Codierungsmuster zurückführen könnte -, aber sein Potenzial, anhaltende Probleme auf Unternehmensebene zu verursachen, ist immens. 

Vergleichbar mit dem MOVEit-Exploit, sehen wir uns diesen SQLi-Explainer an, der die Methode der Injektion und Ausführung von schädlichem SQL simuliert:
‍

Diese Abfragezeichenfolge und Variable:
‍

string emailAddress ="contact@scw.com";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";

ergibt die folgende Abfrage:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'";
‍

... und mit bösartig gestalteten Eingaben:
‍

string emailAddress = "contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";
‍

wird es:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--'";
‍

Wie sieht das im Flug aus?

Beachten Sie, dass die Eingabe aufgrund der String-Verkettung als SQL-Syntax interpretiert wird. Zunächst wird ein einfaches Anführungszeichen hinzugefügt, um sicherzustellen, dass die SELECT-Anweisung eine gültige SQL-Syntax ist. Anschließend wird ein Semikolon hinzugefügt, um die erste Anweisung zu beenden. 

Danach wird eine gültige DELETE-Anweisung eingefügt, gefolgt von zwei Bindestrichen, um alle nachgestellten Zeichen (das einfache Anführungszeichen) auszukommentieren. Eine UPDATE-Anweisung könnte genauso gut hinzugefügt werden, wenn das bösartige SQL beispielsweise die Rollen oder Passwörter der Benutzer aktualisieren soll.
‍

Probieren Sie es in dieser spielbaren Mission selbst aus:
‍

>>> SPIELEN SIE DIE MOVEit-MISSION
‍

Obwohl SQLi relativ einfach ist, bleibt es ein mächtiger Angriffsvektor, der nur allzu häufig vorkommt. Im Fall von MOVEit machte diese Schwachstelle den Weg frei für eine schädliche Backdoor-Installation und eine Reihe weiterer Angriffe mit ähnlichem Schweregrad.

Wie können Sie das Risiko einer SQL-Injektion mindern?

Unternehmen, die MOVEit im Rahmen ihrer Geschäftstätigkeit einsetzen, müssen unbedingt die empfohlenen Abhilfemaßnahmen von Progress Software befolgen. Dazu gehört unter anderem das Einspielen von Sicherheits-Patches, die in Notfällen Priorität haben.

Zum Thema SQL-Injection im Allgemeinen lesen Sie bitte unseren umfassenden Leitfaden.

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und das Risiko minimieren können? Probieren Sie unsere kostenlose SQL-Injection-Challenge aus.

Wenn Sie an weiteren kostenlosen Codierungsrichtlinien interessiert sind, schauen Sie sich den Secure Code Coach an, der Ihnen hilft, mit den Best Practices für sichere Codierung Schritt zu halten.

Frisch nach der Bekanntgabe unserer Serie-C-Finanzierung freue ich mich, einen weiteren Schritt auf dem Weg unseres Unternehmens bekannt geben zu können. Der Branchenführer im Bereich Sicherheit, Synopsys, hat eine aufregende neue Ergänzung zu seiner Produktpalette vorgestellt: Synopsys Developer Security Training, powered by Secure Code Warrior. Die vollständige Pressemitteilung können Sie hier lesen.

Diese Erweiterung des branchenführenden Portfolios an Lösungen für die Anwendungssicherheit ist ein positiver Schritt in die richtige Richtung für die Sicherheitsprogramme von Unternehmen und ermöglicht es ihnen, Best-Practice-Methoden für DevSecOps zu übernehmen - insbesondere solche, die sich auf die gemeinsame Verantwortung für die Sicherheit beziehen. Einfach ausgedrückt, wird diese Integration die globale Basis von sicherheitskompetenten Entwicklern vergrößern, und dies ist eine wunderbare Gelegenheit für jede Organisation, die Verringerung von Schwachstellen auf Code-Ebene durch die Befähigung von Entwicklern zu sicherem Coding zu unterstützen. 

Nach einigen der schlimmsten Cyberangriffe aller Zeiten nehmen die Regierungen weltweit die Softwareanbieter immer stärker unter die Lupe. Die CISA in den Vereinigten Staaten hat in diesem Jahr ihre Security-by-Design- und -Default-Richtlinien veröffentlicht, in denen sie empfiehlt, dass die Verantwortung für die Ergebnisse der Cybersicherheit letztlich beim Anbieter und nicht beim Endnutzer liegt. Für viele Softwareanbieter bedeutet dies, dass sie ihre internen Sicherheitspraktiken grundlegend überarbeiten müssen, andernfalls drohen saftige Geldstrafen. Dies wird schnell zu einer weltweit nicht verhandelbaren Forderung werden, und alle Ausreden, die sich auf einen Mangel an Cybersecurity-Fachkräften beziehen, werden nicht gelten: Wir brauchen sicherheitsbewusste Entwickler, die ihre wichtige Rolle bei der Erstellung sicherer Software spielen, und wir brauchen sie jetzt.

Flexible, anpassbare agile Lernlösungen sind ein wirksames Gegenmittel gegen schlechte Codierungsmuster und die negativen Erfahrungen, die viele Entwickler bisher mit AppSec-Initiativen gemacht haben. Sie müssen überzeugt werden, man muss ihnen entgegenkommen und ihnen Lernpfade anbieten, die sich in ihren Arbeitsablauf einfügen, um die richtigen Informationen zur richtigen Zeit zu liefern. Die Integration von Synopsys in unsere Plattform ist eine praktikable, marktführende Lösung für dieses Problem und kann die Beziehung der Entwickler zur Sicherheit grundlegend zum Besseren verändern.

Cyberkriminalität wird Unternehmen weltweit bis 2025 schätzungsweise 10,5 Billionen Dollar jährlich kosten, ein stetiger Anstieg gegenüber 3 Billionen Dollar im Jahr 2015. Cybersecurity Ventures berichtet außerdem, dass Cyberkriminalität den "größten Transfer von wirtschaftlichem Wohlstand in der Geschichte" darstellt. Dies ist keine Übung; wir als kollektive Branche müssen damit beginnen, die Ausbildung jedes Einzelnen, der Code schreibt, in sicherer Codierung zu priorisieren und einen neuen Maßstab für Sicherheit als Maßstab für Softwarequalität zu setzen. Mit der umfassenden Tool-Suite von Synopsys, die jetzt auch ansprechende, äußerst relevante praktische agile Lernprogramme für Entwickler enthält, gab es nie einen besseren Zeitpunkt, um einen sinnvollen Wechsel zu entwicklergesteuerten, präventiven Sicherheitsprogrammen vorzunehmen.

Agiles Lernen für sicheren Code im SDLC zahlt sich aus 

Dies ist der dritte Teil einer dreiteiligen Blogserie über die Eigenschaften und Vorteile einer agilen Learning Platform für sicheren Code. In Teil 1 haben wir das Konzept des agilen Lernens vorgestellt und gezeigt, wie die Plattform Secure Code Warriorverschiedene agile Prinzipien veranschaulicht. In Teil 2 haben wir untersucht, wie eine agile learning platform die traditionelle, an der Einhaltung von Vorschriften orientierte Sicherheitsschulung ersetzt.  

Eine agile learning platform bietet eine Lernerfahrung, die es dem Lernenden ermöglicht, neue Fähigkeiten effektiver zu verinnerlichen und anzuwenden, und zwar durch eine Kombination aus praktischer, kontextbezogener Ausbildung, die wirklich in den Arbeitsalltag integriert ist, als Teil der Arbeit. Dieser Lernansatz, wie ihn SCW auf Entwickler angewandt hat, die sich sichere Programmierkenntnisse aneignen wollen, unterscheidet SCW von traditionellen Lernmodalitäten und macht uns einzigartig. In diesem dritten und letzten Blog der Reihe erläutern wir Ihnen, welchen ROI Unternehmen von einer agilen learning platform für sicheren Code erwarten können und wie Sie die Zahlen für Ihr Unternehmen modellieren können.

Auswirkungen auf die Wirtschaft

Unternehmen, die einen agilen Ansatz für sicheres Code-Lernen anwenden, sehen eine 2- bis 3-fache Auswirkung auf ihr Geschäft durch zwei Hebel: die Fähigkeit, Schwachstellen schneller zu beheben und die Vermeidung von Nachbearbeitungskosten. 

‍

‍

Je früher im SDLC Schwachstellen behoben werden, desto weniger Schaden können sie anrichten und desto weniger kostspielig ist ihre Behebung. Nach Angaben des Sicherheitsexperten Jim Routh, der zuvor Chief Security Officer bei Aetna und CISO bei MassMutual war, steigen die Kosten pro Fehler in den Phasen des SDLC auf über 14.000 Dollar, wenn er während des Wartungsmodus nach der Freigabe der Software für die Produktion behoben wird. Die Kosten können halbiert werden, wenn sie während der Testphase behoben werden, und sie können 14-mal niedriger sein, wenn sie während der Kodierungsphase behoben werden.  

‍

‍

Je besser die Entwickler in der Lage sind, Schwachstellen schneller zu beheben oder ganz zu vermeiden, desto weniger Kosten und Risiken muss ein Unternehmen für seine Softwareprodukte und internen Anwendungen in Kauf nehmen. Unternehmen, die in Schwachstellenprävention und Softwarequalität investieren wollen, bieten ihren Entwicklern eine agile learning platform , die ihnen flexible Erfahrungen und mehrere Lernwege bietet, die speziell auf unmittelbare geschäftliche Auswirkungen ausgerichtet sind.

‍

Untersuchungen des NIST zeigen, dass der Zeitaufwand für die Behebung einer Schwachstelle variiert, aber die Schätzungen in der folgenden Tabelle wurden in realen Szenarien mit großen Unternehmenskunden ermittelt.

‍

‍

Nachdem Teams neue Fähigkeiten zur sicheren Programmierung entwickelt haben, haben SCW-Kunden festgestellt, dass ihre Entwickler Schwachstellen um 50 bis 60 % schneller beheben und 50 % weniger risikobehaftete Schwachstellen im Produktionscode produzieren. Die Erfahrungen in jedem Unternehmen sind unterschiedlich, aber diese Ergebnisse wurden in großen Unternehmen mit mehr als 5.000 Entwicklern beobachtet. Die Steigerung der Entwicklerproduktivität hat sich auf das Endergebnis ausgewirkt.

Senkung der Betriebskosten: Schwachstellen schneller beheben

Um die finanziellen Auswirkungen eines sichereren Softwareentwicklungsprozesses zu verstehen und um zu sehen, wie eine Investition in eine agile learning platform den Entwicklern hilft, Schwachstellen schneller zu beheben, verwenden Sie das folgende Modell und ersetzen Sie die blauen Variablen durch Ihre eigenen Zahlen:

 Ausgangssituation:

‍

Angenommener Nutzen von agilem learning platform auf MTTR (Mean Time To Remediate)

‍

Präventionswert: Vermeidung von Nacharbeitskosten

Eine agile learning platform hilft den Entwicklern, von Anfang an sicheren Code zu schreiben. Das Modell zur Ermittlung dieser finanziellen Auswirkungen wird im Folgenden vorgestellt.

‍

Agiler Lernansatz macht den Unterschied

Das agile SCW learning platform für sicheren Code ist alternativen Ansätzen für die Sicherheitsschulung von Entwicklern überlegen. SCW-Kunden haben hervorragende Ergebnisse erzielt, die natürlich von den individuellen Kosten und Schwachstellenmetriken ihrer jeweiligen Situation abhängen. Ein großes Finanzdienstleistungsunternehmen, Envestnet, stellte fest, dass durch SCW geschulte Entwickler 2,7 Mal mehr Schwachstellen behoben haben als ihre Kollegen. Darüber hinaus konnte eine Gruppe von 1.200 SCW-geschulten Entwicklern die Behebungsrate in ihrer Warteschlange um 120 % steigern.   

Wie bei jeder Investition in eine Unternehmenslösung ist es wichtig, Ihre individuellen Umstände zu bewerten. Unser Team kann gemeinsam mit Ihnen eine assessment Ihres aktuellen Zustands erstellen und einen maßgeschneiderten Business Case entwickeln. Wenn Sie die Auswirkungen für sich selbst bewerten möchten, verwenden Sie die in diesem Blog beschriebenen Modelle und werfen Sie einen Blick auf ein kürzlich stattgefundenes Kunden-Webinar mit Sage, dem in Großbritannien ansässigen Unternehmen für Buchhaltungs- und ERP-Software mit einem Umsatz von 2 Mrd. USD, das eine Reduzierung der MTTR für Schwachstellen um 82 % als Teil eines robusten Programms zum Aufbau einer Sicherheitskultur diskutiert.

Über Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unsere learning platform ist die effektivste Lösung für sichere Programmierung, da sie agile Lernmethoden einsetzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Möchten Sie mehr erfahren? Fordern Sie eine Demo an. 

Eingebettetes, agiles Lernen ist die Zukunft 

In einem früheren Blog haben wir das Konzept des agilen Lernens vorgestellt und gezeigt, wie die Plattform für sicheren Code von Secure Code Warriormehrere agile Prinzipien veranschaulicht. In diesem zweiten Teil einer dreiteiligen Blogserie setzen wir die Untersuchung fort, wie eine agile learning platform für sicheren Code die traditionelle, auf die Einhaltung von Vorschriften ausgerichtete Sicherheitsschulung ersetzen kann, an die die meisten Unternehmen gewöhnt sind.

Der traditionelle, auf die Einhaltung von Vorschriften ausgerichtete Ansatz zum Erlernen von sicherem Code ist eine statische, punktuelle Schulung, die vierteljährlich oder jährlich durchgeführt wird. Das Problem bei diesem Format ist, dass es weder einen Anreiz für Entwickler schafft, sich mit sicherem Code zu befassen, noch hilft es ihnen, neue Fähigkeiten zu erwerben und sie bei ihrer Arbeit einzusetzen. Niemand verbringt gerne Stunden damit, eine Schulung zur Einhaltung von Vorschriften zu pauken, wenn man dadurch von wertvoller Arbeit abgehalten wird und Stunden verlorener Produktivität nachholen muss. 

Laut Gartner erkennt der Ansatz des agilen Lernens an, dass Menschen im Moment des Bedarfs am meisten lernen, wenn die Ausbildung in kleinen Einheiten, so genannten Microbursts, eingebettet in alltägliche Arbeitstätigkeiten erfolgt^.1

Secure Code Warrior ist die einzige agile learning platform , die mehrere Microburst-Lernformate kombiniert, so dass Entwickler ihr Wissen schnell lernen, testen und anwenden können, und zwar im Kontext der realen Arbeit, die sie bereits in dem Format ihrer Wahl erledigen. Agiles Lernen für sicheren Code bewahrt nicht nur stundenlange Produktivität, sondern bietet Entwicklern einen Weg, auf einfache Weise vom Lernen zum Handeln zu gelangen.   

‍

¹ Quelle: Das Manifest für agiles Lernen Gartner

Fluss der Wertschöpfung und des Lernens zum Ertrag

Agile Lernsysteme sind effektiv, weil sie Lernmöglichkeiten in den Fluss der Wertschöpfung einbinden , wo die Mitarbeiter direkte Auswirkungen auf ihre Arbeit sehen können, und weil sie das Lernen mit dem Verdienst verbinden (wie Gartner es ausdrückt). Punktuelle Compliance-Schulungen bleiben bei den Entwicklern nicht über einen längeren Zeitraum bestehen und bauen keine Fähigkeiten auf - noch schaffen sie einen Anreiz für sie, als Teil ihrer Arbeit zu lernen. Agiles Lernen macht das Lernen zu einem Teil der Arbeit und nicht zu einer Auszeit von der Arbeit.

Secure Code WarriorDie Plattform von GitLab liefert den Entwicklern zeitnahe Microburst-Inhalte in ihren täglichen Arbeitsablauf, so dass sie nicht mehr den Kontext wechseln müssen und die Inhalte bequem in den Entwicklungswerkzeugen nutzen können, die sie täglich verwenden, wie GitLab, GitHub, AzureBoards und Jira. Auf diese Weise bleiben sie mit ihrer Arbeit verbunden und lernen gleichzeitig dazu.

‍SozialeVerstärkung und Zusammenschluss von Gemeinschaften

Entwickler haben einen ausgeprägten Sinn für Gemeinschaft - das sehen wir an Plattformen wie GitHub, wo Wissen von Millionen von Entwicklern auf der ganzen Welt geteilt und genutzt wird. Die Grundsätze des agilen Lernens erkennen an, dass Menschen in einer Gruppe mehr lernen als im Alleingang. Soziale Gemeinschaften sind ein nützliches Mittel, um neue Fähigkeiten zu festigen und die Vorteile der Vermittlung von sicherem Code durch soziale Verstärkung zu verstärken.

Da die Sicherheitsinhalte von Secure Code Warriorleicht zugänglich und konsumierbar sind, mit sozialer Verstärkung durch tournaments und ein internes Punktesystem, wirkt die SCW-Plattform wie ein Motivationsmultiplikator , der das Vertrauen der einzelnen Entwickler von stärkt und sie zum Lernen motiviert. Tournaments Die SCW-Plattform erhöht den Bekanntheitsgrad von sicheren Programmierkenntnissen im Unternehmen und bietet einen starken Anreiz für Entwickler, sichere Programmierkenntnisse zu erwerben.

‍Machen Sieden Wechsel von der Ausbildung zum agilen Lernen

Die Umstellung Ihres Ansatzes von Sicherheitsschulungen auf agiles Lernen für sicheren Code ist ein wirksamer Weg, Ihre Entwickler zu befähigen, verschwendete Entwicklerstunden zurückzugewinnen und diese Zeit für produktivere Projekte zu nutzen. Beginnen Sie Ihre Reise mit einer Lernlösung, die auf agilen Prinzipien basiert. Die SCW Agile Learning Platform ist die effektivste Lernlösung für sicheren Code, weil sie Entwicklern die Wahl lässt, wie sie neue Fähigkeiten aufbauen. Durch die Einbeziehung agiler Lernmethoden wird die Fähigkeit der Entwickler, neue Fähigkeiten zu erlernen, zu verinnerlichen und bei ihrer Arbeit anzuwenden, erheblich verbessert. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Sind Sie bereit, ein agiles learning platform in Aktion zu sehen? Fordern Sie eine Demo an.