Am 13. Juli gaben wir den Abschluss unserer Serie-C-Finanzierungsrunde bekannt, bei der wir 50 Mio. USD für die nächste Phase unserer Mission aufgebracht haben: mehr Pionierorganisationen dabei zu helfen, die Kraft ihrer Entwicklungskohorte bei der Abwehr allgemeiner Schwachstellen zu nutzen. 

Unsere marktführende Suite agiler Lerntools wurde mit dem Ziel entwickelt, nicht nur die sicheren Programmierfähigkeiten von Entwicklern zu verbessern, sondern ihnen auch bei der Art und Weise, wie sie arbeiten, lernen und sich mit Weiterbildungsmöglichkeiten beschäftigen, entgegenzukommen. Mit dieser Finanzierung wird sichergestellt, dass die Arbeit unseres unglaublichen Teams fortgesetzt werden kann und wir aufregende neue Meilensteine in unserer Produkt-Roadmap erreichen können.

Angesichts staatlicher Vorschriften, die für die meisten Unternehmen einen grundlegenden Wandel in der Sicherheitskultur erforderlich machen, stellt sich die Frage, wie die Zukunft für Unternehmen aussieht, die ihre Entwickler eher früher als später weiterbilden.

Mit agilem Lernen bedrohungsflexibel bleiben

Eines der berühmtesten Zitate des legendären chinesischen Philosophen Konfuzius lautet: "Das grüne Schilfrohr, das sich im Wind biegt, ist stärker als die mächtige Eiche, die im Sturm bricht." In diesem modernen Zeitalter, in dem sich die Technologie in einem halsbrecherischen Tempo weiterentwickelt und heimtückische Cyber-Bedrohungen kaum einen Schritt hinterherkommen, können es sich Unternehmen nicht leisten, Zeit mit statischen Bildungslösungen zu verschwenden. Es ist nicht ungewöhnlich, dass Lehrbücher zur Cybersicherheit bereits veraltet sind, bevor sie gedruckt wurden, und starre, auf dem Unterricht basierende courses sind einfach nicht darauf ausgelegt, sich zu drehen, um die besten Techniken und Ansätze für Sicherheitsprobleme zu präsentieren, sobald sie ans Licht kommen. 

Secure Code Warrior ist nach wie vor marktführend im Bereich der Sicherheitsschulung für Entwickler und nutzt einen agilen Ansatz für die Befähigung von Entwicklern, um sie zu den Goldstandard-Ingenieuren von morgen auszubilden. Unsere learning platform und unsere auf Entwickler ausgerichteten Tools ermöglichen es uns, viel dynamischer zu sein und mit den aktuellen Bedrohungen und den effizientesten Lösungen für diese Probleme Schritt zu halten, sobald sie auftreten. Wenn die Wurzeln Ihrer Schulungslösung an einer Stelle verankert sind, ist es unwahrscheinlich, dass Sie sich bei der Schulung von Entwicklern "nach dem Wind richten" können, was zu Frustration sowohl bei den Ausbildern als auch bei den Schülern und zu weitaus weniger Erfolg bei der Behebung von Schwachstellen führt. 

Laut Gartner werden bis zum Jahr 2025 70 % der Großunternehmen agile Lernkonzepte anwenden. Diese Verlagerung hin zum Mikrolernen, zur kontinuierlichen Verbesserung und zum Aufbau von Schlüsselwissen, das für die wichtigsten Geschäftsziele und Sicherheitsergebnisse genutzt werden kann, birgt enorme Vorteile in sich. Allerdings muss dafür der Status quo in Frage gestellt werden. Unternehmen müssen sich dazu verpflichten, den Bildungsbedarf als Teil der täglichen Arbeitsaufgaben zu sehen und nicht als zusätzliche, monolithische Ergänzung, die den Stresspegel eher erhöht als die Fähigkeiten. 

Ausbau unserer Fähigkeiten und unserer Führungsrolle zur Bereitstellung von erstklassigem agilem Lernen

Als Teil unseres Bestrebens, die besten agilen Lernwerkzeuge für zukunftsorientierte Unternehmenskunden zu liefern, sind wir stolz darauf, unser kürzlich erweitertes Führungsteam bekannt zu geben. Wir haben den Chief Customer Officer von Imperva, Nanhi Singh, in unser Board of Directors berufen und Patrick Collins zu unserem neuen Chief Product and Technology Officer ernannt. 

Intelligente Unternehmen sind sich bewusst, dass es keine "Einheitsgröße" für praxisorientiertes Lernen im Bereich der Cybersicherheit gibt, und möchten ihren Entwicklungsteams mehrere Lernpfade anbieten. Wir ermöglichen dies jeden Tag durch unsere agile learning platform und einen konstanten Strom von Verbesserungen und Erfahrungen, einschließlich unserer Echtzeit-Feedback-Option mit Coding Labs, um die fesselndsten, umfangreichsten Lernumgebungen zu schaffen. Unsere Just-in-Time-Methode sorgt dafür, dass keine Zeit mit irrelevanten Modulen oder courses verschwendet wird, sondern die richtigen Informationen zum richtigen Zeitpunkt bereitgestellt werden. 

Diese Realität wäre ohne das unerschütterliche Engagement unserer Teammitglieder und das anhaltende Vertrauen unserer Investoren nicht möglich. Die Möglichkeiten des agilen Lernens sind endlos, und ich könnte nicht begeisterter sein, Nanhi und Patrick willkommen zu heißen, die in den kommenden Monaten zweifellos unschätzbare Beiträge leisten werden.

Eine Version dieses Artikels erschien in Dunkles Lesen. Er wurde aktualisiert und hier syndiziert.

‍

Seit dem ersten Hype um die neuesten, kulturverändernden KI-Tools haben Entwickler und Neugierige sie genutzt, um Code auf Knopfdruck zu erzeugen. Sicherheitsexperten wiesen schnell darauf hin, dass der erzeugte Code in vielen Fällen von schlechter Qualität und angreifbar war und in den Händen von Personen mit geringem Sicherheitsbewusstsein eine Lawine unsicherer Apps und Webentwicklungen auslösen konnte, die auf ahnungslose Verbraucher losgelassen wurde.

Und dann gibt es noch diejenigen, die über genügend Sicherheitswissen verfügen, um es für, nun ja, Böses zu nutzen. Für jede atemberaubende KI-Leistung scheint es einen Gegenschlag zu geben, bei dem die gleiche Technologie für ruchlose Zwecke eingesetzt wird. Phishing, gefälschte Betrugsvideos, die Erstellung von Malware, allgemeine Skript-Kinderspielereien ... diese störenden Aktivitäten sind viel schneller und mit niedrigeren Einstiegshürden zu erreichen.

Es gibt sicherlich eine Menge Clickbaits, die diese Werkzeuge als revolutionär anpreisen oder zumindest als überlegen, wenn sie mit "durchschnittlichen" menschlichen Fähigkeiten kombiniert werden. Auch wenn es unvermeidlich scheint, dass die KI-Technologie im Stil des LLM die Art und Weise, wie wir an viele Aspekte der Arbeit herangehen - nicht nur an die Softwareentwicklung - verändern wird, müssen wir einen Schritt zurücktreten und die Risiken jenseits der Schlagzeilen betrachten. 

Und als Programmierbegleiter sind seine Schwächen vielleicht sein "menschlichstes" Attribut.

Schlechte Kodierungsmuster dominieren die Lösungen

Da ChatGPT auf jahrzehntelang bestehendem Code und Wissensdatenbanken basiert, ist es nicht verwunderlich, dass es trotz all seiner Wunder und Geheimnisse auch unter denselben häufigen Fallstricken leidet, mit denen Menschen beim Navigieren durch Code konfrontiert werden. Schlechte Codierungsmuster sind an der Tagesordnung, und es bedarf immer noch eines sicherheitsbewussten Treibers, um sichere Codierungsbeispiele zu generieren, indem er die richtigen Fragen stellt und das richtige Prompt Engineering liefert. 

Selbst dann gibt es keine Garantie dafür, dass die angegebenen Codeschnipsel aus der Sicherheitsperspektive korrekt und funktionsfähig sind. Die Technologie neigt zu Halluzinationen und erfindet sogar nicht existierende Bibliotheken, wenn sie aufgefordert wird, bestimmte JSON-Operationen durchzuführen, wie Mike Shema herausgefunden hat. Dies könnte dazu führen, dass Bedrohungsakteure "Halluzinationen besetzen", die nur allzu gerne eine Malware entwickeln, die als die von ChatGPT vertrauensvoll empfohlene Bibliothek getarnt ist.

Letztendlich müssen wir der Realität ins Auge sehen, dass wir im Allgemeinen nicht erwartet haben, dass Entwickler ausreichend sicherheitsbewusst sind, noch haben wir sie als Industrie angemessen darauf vorbereitet, standardmäßig sicheren Code zu schreiben. Dies wird sich in der enormen Menge an Trainingsdaten zeigen, die in ChatGPT eingespeist werden, und wir können zumindest anfangs mit ähnlich glanzlosen Sicherheitsergebnissen rechnen. Die Entwickler müssten in der Lage sein, die Sicherheitslücken zu erkennen und sie entweder selbst zu beheben oder bessere Eingabeaufforderungen zu entwerfen, um ein stabileres Ergebnis zu erzielen.

Die erste groß angelegte Nutzerstudie, in der untersucht wurde, wie Nutzer mit einem KI-Codierassistenten interagieren, um verschiedene sicherheitsrelevante Aufgaben zu lösen, und die von Forschern der Stanford University durchgeführt wurde, stützt diesen Gedanken, wobei eine Beobachtung zum Schluss kommt:

"Wir konnten beobachten, dass Teilnehmer, die Zugang zum KI-Assistenten hatten, bei den meisten Programmieraufgaben eher Sicherheitslücken einbrachten, aber auch eher ihre unsicheren Antworten als sicher einstuften als die Teilnehmer unserer Kontrollgruppe."

Dies spricht für ein gewisses Standardvertrauen in die Ergebnisse von KI-Codierungstools, die einen Code produzieren, der immer von Natur aus sicher ist, obwohl dies nicht der Fall ist.

In Anbetracht dieser Tatsache und der unvermeidlichen, von KI ausgehenden Bedrohungen, die unsere Zukunft durchdringen werden, müssen Entwickler mehr denn je ihre Sicherheitsfähigkeiten verbessern und die Messlatte für die Qualität des Codes unabhängig von seiner Herkunft höher legen.

Der Weg zu einer Datenverletzungskatastrophe ist mit guten Absichten gepflastert

Es sollte nicht überraschen, dass KI-Coding-Begleiter beliebt sind, zumal Entwickler mit zunehmender Verantwortung, engeren Fristen und den Ambitionen der Innovation eines Unternehmens konfrontiert sind, die auf ihren Schultern ruhen. Doch selbst bei den besten Absichten führt ein mangelndes Sicherheitsbewusstsein beim Einsatz von KI für die Programmierung unweigerlich zu eklatanten Sicherheitsproblemen. Alle Entwickler, die KI/ML-Tools einsetzen, werden mehr Code generieren, und das Sicherheitsrisiko hängt von ihrem Kenntnisstand ab. Unternehmen müssen sich darüber im Klaren sein, dass ungeschulte Mitarbeiter sicherlich schneller Code generieren werden, aber auch die Geschwindigkeit der technischen Sicherheitsverschuldung erhöhen werden.

Schon unser erster Test (April 2023) mit ChatGPT hat gezeigt, dass es sehr einfache Fehler erzeugt, die verheerende Folgen haben können. Als wir es baten, eine Login-Routine in PHP mit einer MySQL-Datenbank zu erstellen, wurde schnell funktionierender Code erzeugt. Es speicherte jedoch standardmäßig Passwörter im Klartext in einer Datenbank, speicherte Datenbankverbindungsdaten im Code und verwendete ein Codierungsmuster, das zu SQL-Injection führen könnte (obwohl es die Eingabeparameter in gewissem Umfang filterte und Datenbankfehler ausspuckte). Alles Anfängerfehler nach allen Regeln der Kunst:
‍

‍
Weitere Aufforderungen sorgten dafür, dass die Fehler korrigiert wurden, aber es erfordert erhebliches Sicherheitswissen, um den Kurs zu korrigieren. Die unkontrollierte und weit verbreitete Nutzung dieser Tools ist nicht besser, als wenn man Nachwuchsentwickler auf seine Projekte loslässt, und wenn dieser Code sensible Infrastrukturen aufbaut oder personenbezogene Daten verarbeitet, dann haben wir es mit einer tickenden Zeitbombe zu tun.

Natürlich erwarten wir, dass sich die KI/ML-Fähigkeiten mit der Zeit verbessern, so wie Nachwuchsentwickler ihre Fähigkeiten zweifellos verbessern. In einem Jahr wird sie vielleicht keine so offensichtlichen und einfachen Sicherheitsfehler mehr machen. Dies wird jedoch zur Folge haben, dass die Sicherheitsfähigkeiten, die erforderlich sind, um die schwerwiegenderen, versteckten, nicht trivialen Sicherheitsfehler aufzuspüren, die noch immer auftreten können, drastisch zunehmen werden.

Wir sind nach wie vor schlecht darauf vorbereitet, Sicherheitsschwachstellen zu finden und zu beheben, und KI vergrößert die Lücke

Auch wenn seit vielen Jahren von einem "Linksruck" die Rede ist, bleibt die Tatsache bestehen, dass in den meisten Unternehmen ein erheblicher Mangel an praktischen Sicherheitskenntnissen unter den Entwicklern herrscht. Wir müssen härter daran arbeiten, die richtigen Tools und Schulungen bereitzustellen, um sie auf ihrem Weg zu unterstützen.

So wie es aussieht, sind wir nicht auf die Sicherheitsprobleme vorbereitet, an die wir gewöhnt sind, ganz zu schweigen von den neuen, durch KI verursachten Problemen wie Prompt Injection und Halluzination Squatting, die völlig neue Angriffsvektoren darstellen, die sich wie ein Lauffeuer verbreiten werden. KI-Codierungstools stellen die Zukunft des Codierungsarsenals eines Entwicklers dar, aber die Ausbildung zum sicheren Umgang mit diesen Produktivitätswaffen muss jetzt erfolgen.

‍

Es ist an der Zeit, die agilen Prinzipien auf die Schulung für sicheren Code anzuwenden

Der traditionelle Ansatz für die Schulung in sicherem Code wird in den meisten Unternehmen als punktuelle Übung mit einem diskreten Anfang und Ende behandelt. Da sich Unternehmen im digitalen Zeitalter immer schneller bewegen, ist dies nicht mehr ausreichend. Unternehmen aller Art müssen eine kontinuierliche Lernstrategie einführen, die in die tägliche Arbeit der Entwickler eingebettet ist. Die Einstellung neuer Sicherheitskräfte ist eine Lösung, aber diese Talente sind rar und der Ansatz ist nicht skalierbar. Genauso wie agile Praktiken den Wasserfall-Ansatz in der Softwareentwicklung überholt haben, revolutioniert Agile nun die Sicherheitsschulung für Entwickler. Der Vorteil agiler Methoden in der Softwareentwicklung besteht darin, dass die Arbeit in kleine Teile zerlegt wird und ein Sprint auf den nächsten folgt, um eine erfolgreiche Lieferung mit hoher Geschwindigkeit in einem kontinuierlichen, iterativen Zyklus zu gewährleisten. Auf die gleiche Weise wird agiles Lernen für sicheren Code in kleine, konsumierbare Teile zerlegt, schrittweise geschichtet und iterativ eng in den Arbeitsablauf der Entwickler integriert. Mit agilem Lernen lernen Entwickler effektiver, verinnerlichen Sicherheitsfähigkeiten schneller und schreiben fast sofort sichereren Code.  

Traditionelle Sicherheitsschulung vs. eine agile Learning Platform für sicheren Code

Agiles Lernen ist eine Reihe von Werten und Prinzipien, die festlegen, wie Menschen Wissen schneller und effektiver verinnerlichen können. In ihrem Agile Learning Manifesto (siehe Abbildung 1 unten) definiert Gartner vier Werte und acht Prinzipien.

Die vier Werte stehen für eine neue Denkweise in Bezug auf die Mitarbeiterschulung. Lernen als integrierter Bestandteil der Arbeit bedeutet Geschäftsergebnisse, Wachstumsdenken, in Echtzeit eingebettetes Training und Gemeinschaftsbildung. Diese Werte dienen als Nordstern für Lerninitiativen und als Rahmen für die acht Grundsätze, die wir hier kurz skizzieren.

1. Lernen, um Geld zu verdienen: Verbindet die finanziellen Ziele und den Bedarf des Unternehmens mit der Weiterentwicklung der Fähigkeiten des Entwicklers 
2. Motivationsmultiplikator: Der Zugang zu einer effektiven Plattform für den Aufbau von Sicherheitskompetenzen, die Entwickler für ihre berufliche Weiterentwicklung nutzen können, motiviert sie, mehr zu lernen
3. Just-in-time-Microbursts: Kleine Lerninhalte von 2 bis 25 Minuten Länge, die im richtigen Moment auftauchen und den Entwicklern helfen, relevante, nutzbare Fähigkeiten aufzubauen.
4. Dynamische Pfade: Sicherheitsinhalte können in verschiedenen Formaten bereitgestellt werden, und Entwickler können sich selbst in dem Modus bedienen, der ihrem Lernstil am besten entspricht.
5. Progressive Schichtung: Auf die Beherrschung der grundlegenden Konzepte für sicheren Code folgen fortgeschrittenere Kenntnisse und Übungen.
6. Fluss der Wertschöpfung: Konzepte für sicheren Code sind in die Tools und Bereiche eingebettet, in denen die Entwickler bereits tätig sind, so dass sie ihre Arbeit nicht verlassen müssen, um Zugang zu Schulungen zu erhalten.
7. Datengesteuert, KI-gestützt: Die Technologie passt die Lektionen dynamisch an und personalisiert das Lernen, um die Entwickler auf dem Laufenden zu halten und ihnen ein individuelles Erlebnis zu bieten, das sie in einem Klassenzimmer nie bekommen könnten 
8. Gesellschaftlich verstärkt: Der Aufbau einer Lernkultur, in der sichere Programmierfähigkeiten gefeiert werden und in der Entwickler an einem freundschaftlichen Wettbewerb teilnehmen sowie Wissen teilen, bringt Vorteile für das gesamte Unternehmen

Einführung in die agile learning platform für sicheren Code 

In den letzten zehn Jahren hat Secure Code Warrior agile Prinzipien in das Design unserer learning platform integriert. Wir haben die Form traditioneller Sicherheitsschulungen mit einer auf Entwickler ausgerichteten, flexiblen Lernerfahrung durchbrochen, die unseren Kunden in mehreren Dimensionen einen 2- bis 3-fachen geschäftlichen Nutzen gebracht hat, von reduzierten Risiken und Kosten bis hin zu erhöhter Entwicklerproduktivität. Doch was macht ein agiles learning platform aus? Wie genau führt ein agiles learning platform für sicheren Code dazu, dass Entwickler neue Fähigkeiten schnell verinnerlichen und sofort anwenden können? Was macht agiles Lernen für sicheren Code besser als traditionelles Sicherheitstraining? In diesem, dem ersten einer Reihe von Blog-Beiträgen, werden wir untersuchen, wie der SCW Agile Learning Platform mehrere der agilen Werte und Prinzipien veranschaulicht.

Dynamische Pfade und Just-in-Time-Mikroausbrüche, eingebettet in den Fluss der Wertlieferung 

Eine agile learning platform für sicheren Code bietet den Lernenden verschiedene Möglichkeiten, Inhalte zu konsumieren, ihr Wissen zu erweitern und neue Fähigkeiten zu verinnerlichen. Sie bietet Entwicklern dynamische Wege, um das zu finden, was am besten zu ihnen passt, und zwar in Form von kleinen, zeitlich begrenzten Mikroblöcken von Inhalten, die sie bei Bedarf konsumieren können. Die Nutzer können auf unserer Plattform die Lernform wählen, die ihnen am besten zusagt. Sie lernen Sicherheitskonzepte in Videos, Leitfäden und Komplettlösungen kennen, die in Form von Mikroblöcken zur Verfügung gestellt werden. Diese Funktionen vermitteln die grundlegenden Konzepte - das "Was" und "Wie" einer bestimmten Sicherheitslücke. Da diese Inhalte in den Entwicklungstools, die sie täglich verwenden, wie z. B. Jira, bereitgestellt werden, können die Konzepte besser verinnerlicht werden und ergeben mehr Sinn.

Die SCW-Plattform ist ein Beispiel für das agile Prinzip der progressiven Schichtung. Nachdem sich die Entwickler zunächst mit den Konzepten des Sicherheitscodes vertraut gemacht haben, können sie zu praktischen interaktiven Modulen wie Herausforderungen übergehen, missionsund Coding Labs , in denen sie die zuvor eingeführten grundlegenden Konzepte üben können. Diese Module sind für unterschiedliche Qualifikationsniveaus und Lernstile geeignet, so dass die Entwickler die Wahl haben, wie sie lernen wollen - dynamische Pfade. 

‍

Wechseln Sie von Schulungen zu agilem Lernen

Die Umstellung Ihres Ansatzes von Sicherheitsschulungen auf agiles Lernen für sicheren Code ist ein wirkungsvoller Weg, um Ihre Entwickler zu befähigen, verschwendete Entwicklerstunden zurückzugewinnen und diese Zeit für produktivere Projekte zu nutzen. In diesem Beitrag haben wir nur einige der Funktionen der Plattform Secure Code Warriorvorgestellt und erläutert, wie sie die Prinzipien einer agilen Lernstrategie veranschaulichen. Im nächsten Beitrag werden wir den Business Case für sicheres Code-Lernen demonstrieren und weitere von der Agilität inspirierte Funktionen der Plattform vorstellen.

Über Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unsere learning platform ist die effektivste Lösung für sichere Programmierung, da sie agile Lernmethoden einsetzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Möchten Sie mehr erfahren? Fordern Sie eine Demo an.

Dieser Artikel erschien ursprünglich im Rahmen des Forbes Technology Council. Er wurde aktualisiert und hier syndiziert.

‍

Was glauben Sie, wie viele Datensätze im Jahr 2022 kompromittiert wurden? Sie wären auf der richtigen Spur, wenn Sie auf etwa eine halbe Milliarde tippen würden. Ausgehend von öffentlich zugänglichen Daten über Datenschutzverletzungen wurden allein im letzten Jahr etwa 480.014.323 Datensätze gestohlen, aber die Zahl ist wahrscheinlich noch viel höher. In jedem Fall ist dies eine ernüchternde Statistik für den Durchschnittsbürger und eine sehr besorgniserregende für jeden Sicherheitsexperten in Unternehmen.

Wir sind an einem Punkt angelangt, an dem die meisten Menschen in den Industriestaaten wahrscheinlich schon einmal erlebt haben, dass zumindest einige ihrer persönlichen Daten durch einen erfolgreichen Cyberangriff in die Hände von Kriminellen gefallen sind. Daher ist es nur natürlich, dass die Regierungen der Welt nach Lösungen suchen, um diesen störenden Strom von Online-Kriminalität einzudämmen. Die jüngste Maßnahme stammt von der Biden-Regierung in Form der Nationalen Cybersicherheitsstrategie, die ich mit großem Interesse verfolge. Diese Strategie enthält Richtlinien zu einem meiner Lieblingsthemen dieser Tage: die Rechenschaftspflicht im Bereich der Sicherheit.

Die Strategie, die nach einer bahnbrechenden Präsentation der CISA-Direktorin für Cybersicherheit und Infrastruktursicherheit, Jen Easterly, veröffentlicht wurde, hat verständlicherweise einige Spaltungen in der Sicherheitsgemeinschaft verursacht. Ich glaube jedoch, dass sie die beste Chance darstellt, die wir haben, um die Softwarestandards auf breiter Front anzuheben und endlich eine neue Ära sicherheitskompetenter Entwickler einzuläuten.

Die Anbieter hätten schon immer für unsichere Software zur Verantwortung gezogen werden müssen.

Seit Jahrzehnten ist es so, dass die Verantwortlichkeit für die Softwaresicherheit eine heiße Kartoffel ist, mit der kein Team jonglieren möchte. Führungskräfte und Teams neigen dazu, sich vehement darüber zu streiten, wer letztendlich für die Softwaresicherheit verantwortlich ist. Ein Bericht von Venafi zeigt, dass 97 % der leitenden IT-Führungskräfte der Meinung sind, dass die Softwareerstellungsprozesse nicht sicher genug sind. 61 % der Führungskräfte sind der Meinung, dass die IT-Sicherheitsteams die Verantwortung für die Softwaresicherheit übernehmen sollten, während 31 % der Meinung sind, dass das Entwicklungsteam die Verantwortung dafür tragen sollte. Und das ist nur ein Teil der Gleichung: Das Problem der Open-Source- und kommerziellen Komponenten von Drittanbietern in Software-Builds stellt eine ständige Erweiterung der Angriffsfläche dar. Selbst zwischen den AppSec- und Sicherheitsteams gibt es selten einen eindeutigen "Eigentümer", obwohl kontinuierliche Wachsamkeit bei der Aktualisierung, Überwachung und Prüfung erforderlich ist.

Dieselbe Umfrage ergab auch, dass - trotz interner Konflikte darüber, wer für die Sicherheit und Integrität von Software verantwortlich sein sollte - 94 % der Führungskräfte der Meinung sind, dass es Strafen für Softwareanbieter geben sollte, die ihre Build-Pipelines nicht vor Bedrohungsakteuren schützen und Kunden und Endbenutzer einem Risiko aussetzen. 

Mit der jüngsten strafrechtlichen Verfolgung des CISO von Uber im Zusammenhang mit dem Missmanagement eines verheerenden Cyberangriffs im Jahr 2016 sowie mit regulatorischen Initiativen wie der GDPR wird der Einsatz für Anbieter, die mit dem Feuer spielen und die Sicherheit vernachlässigen, langsam erhöht. Doch das reicht einfach nicht aus. Wir verlieren den Kampf gegen Cyberkriminelle, und auch wenn es schwer zu schlucken ist, so sind es doch die laxen Praktiken von Softwareanbietern, die ihnen grenzenlose Möglichkeiten bieten, zu gedeihen. 

Die Nationale Cybersicherheitsstrategie versucht, einen Schlussstrich zu ziehen und dem Kreislauf der Schuldzuweisungen ein Ende zu setzen, indem die volle Haftung für unsichere Software dem Anbieter zugewiesen wird.

Werfen wir einen Blick darauf:

Strategisches Ziel 3.3 - Verlagerung der Haftung für unsichere Softwareprodukte und -dienste:

"Zu viele Anbieter "ignorieren bewährte Verfahren für die sichere Entwicklung, liefern Produkte mit unsicheren Standardkonfigurationen oder bekannten Schwachstellen aus und integrieren Software von Drittanbietern ungeprüfter oder unbekannter Herkunft.

Wir müssen damit beginnen, die Haftung auf diejenigen Unternehmen zu verlagern, die keine angemessenen Vorkehrungen zur Sicherung ihrer Software treffen, und gleichzeitig anerkennen, dass selbst die fortschrittlichsten Software-Sicherheitsprogramme nicht alle Schwachstellen verhindern können."

Dies hat verständlicherweise einige Gemüter erregt. Aber wie bei anderen entscheidenden Momenten in der Entwicklung von Normen und Vorschriften in den meisten Branchen sind es mittelfristige Schmerzen, die ein besseres langfristiges Ergebnis gewährleisten. Als Softwareanbieter ist es nur logisch, dass wir in Sachen Sicherheit den Kopf hinhalten müssen. Es ist unsere Build-Pipeline, unsere Prozesse und unsere Qualitätskontrolle, und wenn wir einen Fehler machen, sind wir dafür verantwortlich, ihn zu beheben.

Außerdem sollten wir danach streben, Software von höchstmöglicher Qualität zu erstellen, und sichere Programmierung muss Teil der Messgrößen sein, die ein erfolgreiches Ergebnis definieren. In einer Welt, die sich auf Geschwindigkeit um jeden Preis konzentriert, ist dies eine große Aufgabe, aber es liegt an den Sicherheitsverantwortlichen, die unsere Zukunft leiten, sicherzustellen, dass alle am Softwareentwicklungsprozess Beteiligten angemessen geschult sind, um die besten Sicherheitsverfahren im Kontext ihrer Rolle zu vermitteln, insbesondere die Entwickler. 

Es fehlt uns noch immer eine Orientierung für langfristige Best Practices.

Das strategische Ziel 3.3 bezieht sich auf das etablierte NIST Secure Software Development Framework als Grundlage für seine allgemeinen Best Practices, und diese sind umfassende, allumfassende Richtlinien. Es wird zwar darauf hingewiesen, dass "sichergestellt werden muss, dass die Mitarbeiter, Prozesse und Technologien des Unternehmens auf die Durchführung einer sicheren Softwareentwicklung auf Unternehmensebene vorbereitet sind", aber es werden keine besonderen Vorschriften zu den Faktoren gemacht, die beispielsweise ein Manager für Sicherheitsbewusstsein bei der Auswahl von Befähigungslösungen beachten sollte.

Damit der Ansatz wirklich transformativ ist, sollten Entwickler als integraler Bestandteil des Sicherheitsprogramms betrachtet werden und jede Gelegenheit erhalten, ihre Fähigkeiten zu verbessern und die Verantwortung für die Erkennung und Beseitigung von Schwachstellen zu teilen. Sie können dies nicht auf eine Art und Weise erreichen, die ohne hyperrelevante, kontextbezogene Lernprogramme und Tools messbar ist, und auch nicht, wenn dies als jährliche Compliance-Übung statt als kontinuierlicher Weg zur Entwicklung von Fähigkeiten betrachtet wird. 

Entwickler sind ein wichtiger Teil des Puzzles, wenn es darum geht, das Sicherheitsrätsel zu knacken, und ein Team von sicherheitskompetenten Entwicklern ist in den meisten Unternehmen die fehlende Zutat. Sie ermöglichen eine schnelle Sicherheit, aber nur, wenn Zeit und Ressourcen aufgewendet werden, um diese im Team freizusetzen. Bis dahin werden alle allgemeinen Best-Practice-Richtlinien der Welt nichts bewirken können.

Der lange Weg ins Nirwana der Software-Sicherheit.

Die Biden-Administration hat 3 Milliarden Dollar für das CISA-Programm bereitgestellt, um eine schnelle Resilienz kritischer Infrastrukturen zu erreichen. Auch wenn die Finanzierung und Unterstützung durch die höchsten Regierungsebenen von entscheidender Bedeutung sind, haben wir nur dann eine Chance, die Bedrohungsakteure in die Schranken zu weisen, wenn wir einen globalen Vorstoß unternehmen, um die Sicherheitskultur neu zu gestalten.

Es liegt noch ein langer Weg vor uns, aber er beginnt damit, dass jeder Softwarehersteller den ersten mutigen Schritt in Richtung Sicherheitsverantwortung auf Unternehmensebene macht.

Am 20. März 2023 veröffentlichte Spring Security Advisories einen Blogbeitrag, der sich auf eine intern entdeckte Sicherheitslücke CVE-2023-20860 bezog. Es wurden keine detaillierten Informationen bekannt gegeben, außer dass es sich um ein Problem der Zugriffskontrolle bei der Verwendung von mvcMatchers handelt. Die Spring-Entwickler haben das Problem behoben, und es wird ein Versionsupdate empfohlen.

Möchten Sie eine Erfahrung aus erster Hand machen? Probieren Sie die Mission hier aus.

Da Sicherheit unser Hauptaugenmerk bei Secure Code Warriorist, haben wir uns entschlossen, diese mvcRequestMatchers-Schwachstelle genauer zu untersuchen und herauszufinden, wo das Kernproblem liegt.

Spring bietet die RequestMatcher-Schnittstelle, um festzustellen, ob eine Anfrage mit einem Pfadmuster übereinstimmt. Schauen Sie sich den folgenden Codeausschnitt an, in dem die Hilfsmethode mvcMatchers verwendet wird, um die Endpunkte zusammen mit ihren Authentifizierungs- und Autorisierungsanforderungen zu registrieren. Zum Beispiel können wir sehen, dass nur Benutzer mit der Rolle ADMIN auf den Endpunkt /logs/audit zugreifen können. 

MvcMisMatchers?

In Spring ist ** ein Muster, das mit einer beliebigen Anzahl von Verzeichnissen und Unterverzeichnissen in einer URL übereinstimmt. Zum Beispiel würde /bankaccount/** allen URLs entsprechen, die mit /bankaccount/ beginnen, einschließlich Unterverzeichnissen wie /bankaccount/dashboard/settings. 

Das *-Muster ist ein Muster, das mit jeder URL übereinstimmt und genau eine Ebene eines Unterverzeichnisses hat. Zum Beispiel würde /bankaccount/* auf bankaccount/dashboard passen .

Bei der Konfiguration der Matcher mit * stellt Spring fest, dass "eine Fehlanpassung beim Pattern-Matching zwischen Spring Security und Spr ing MVC" stattgefunden hat, wodurch die Schwachstelle entstand.

Da dem doppelten Platzhalter kein Trennzeichen vorangestellt ist, passt der Pfad nicht zu einer eingehenden Anfrage, da allen eingehenden Anfragen ein Schrägstrich vorangestellt wird. Dies bedeutet, dass die Zugriffskontrollregeln nicht angewendet werden und jeder nicht authentifizierte Benutzer auf die Ressourcen zugreifen kann.

Werfen wir einen Blick auf den Commit, der das Problem behoben hat.

Die auffälligste und wichtigste Änderung ist die Hinzufügung von Zeile 315, mit der die Umgehung der Autorisierungs- und Authentifizierungsregeln behoben wird. Sie stellt sicher, dass jedem Pfadmuster, das übermittelt wird, ein Schrägstrich (/) vorangestellt wird. 

404 Treffer nicht gefunden

Beim Senden einer Webanforderung an /bankaccounts/view wird die Match-Methode die im Sicherheitsfilter definierten Muster analysieren und mit dem angeforderten Pfad vergleichen. Der Parser wandelt das angegebene Muster in einen Baum von Pfadelementen um.

Der Parser liest das erste Zeichen als SeparatorPathElement. Er setzt dann das Lesen der Zeichenfolgen bis zum nächsten Trennzeichen fort und erstellt ein neues LiteralPathElement.

Was läuft also schief, wenn ** als Muster verwendet wird? 

Es gibt zwar eine Vielzahl von Pfadelementtypen, aber die interessantesten sind das WildcardPathElementund das WildcardTheRestPathElement mit ihren jeweiligen Zeichenkettendarstellungen: * und /**. 

Ein WildcardPathElement stimmt mit null oder mehr Zeichen innerhalb eines einzelnen Pfadsegments überein, während ein WildcardTheRestPathElement mit null oder mehr Pfadsegmenten allein übereinstimmt (einschließlich der Trennzeichen).

Letzteres gibt uns einen Hinweis darauf, was falsch läuft, wenn ** als Muster eingegeben wird. Beim Parsen wird nach Mustern gesucht, aber ** beginnt nicht mit dem erwarteten Schrägstrich. Anstatt also ein WildcardTheRestPathElement zu werden, wird es zu zwei aufeinanderfolgenden WildcardPathElementen.

Anschließend wird das geparste Muster zum Abgleich mit der angeforderten URL verwendet. Es wird erwartet, dass Pfade mit einem Schrägstrich beginnen, aber ein Platzhalter passt nicht auf Trennzeichen.

Dies bedeutet, dass anstelle eines RequestMatchResult ein Nullwert zurückgegeben wird. Folglich werden die Zugriffskontrollregeln, die diesem Abgleicher zugewiesen wurden, nicht auf die angeforderte URL angewendet.

Spring hat das Problem behoben, indem ein Schrägstrich vorangestellt wurde. Mit anderen Worten: Jedes **-Muster wird zu /**, d. h. es kann als WildcardTheRestPathElement geparst werden, und es wird ein RequestMatchResult zurückgegeben, da das Muster nun mit der angeforderten URL übereinstimmt.

Schwachstelle oder API-Missbrauch?

Es ist fraglich, ob dies als Schwachstelle betrachtet werden sollte, da der Code wie vorgesehen funktioniert. Das Problem liegt im Wesentlichen darin, dass in der Spring-Dokumentation nicht ausdrücklich erwähnt wird, dass Pfade mit einem Trennzeichen beginnen sollten. Daher könnte es eher als ein Fall von API-Missbrauch und nicht als ein Fehler oder eine Schwachstelle angesehen werden.

Dieses Interview erschien ursprünglich in CyberNews.

‍

Trotz der weiten Verbreitung von Sicherheitstools und -diensten haben Unternehmen immer noch Mühe, mit der sich ständig weiterentwickelnden Bedrohungslandschaft Schritt zu halten.

Dies ist auf das mangelnde Sicherheitsbewusstsein und die mangelnde Schulung der Entwickler zurückzuführen, was dazu führen kann, dass riskanter Code veröffentlicht und von böswilligen Akteuren ausgenutzt wird. Während Sicherheitsmaßnahmen wie Antivirensoftware oder starke Lösungen zum Scannen von Sicherheitslücken eine zusätzliche Sicherheitsebene schaffen können, erklärt unser heutiger Gast, dass alles mit einem sicherheitsorientierten Entwicklungsteam beginnt.

Um zu erörtern, wie Entwickler darin geschult werden können, Sicherheitsbedrohungen zu erkennen und zu entschärfen, hat sich das Team von CyberNews mit Pieter Danhieux, CEO und Mitbegründer von Secure Code Warrioreinem Unternehmen, das eine learning platform und eine Reihe von Tools für Entwickler anbietet, die Entwicklungsteams bei der Erkennung von Sicherheitslücken unterstützen.

Wie hat sich Ihre Reise gestaltet? Wie kam es zu der Idee von Secure Code Warrior ?

Als junger Nerd war ich fasziniert davon, Technik auseinanderzunehmen, um herauszufinden, was in ihr steckt und wie sie funktioniert. Sehr zur Erleichterung meiner Familie und unserer gemeinsamen Geräte ging ich schließlich dazu über, den gleichen Ansatz mit Hardware und Software zu verfolgen und nach Möglichkeiten zu suchen, sie zu knacken und zu zerstören. Damit war eine lebenslange Leidenschaft für die Sicherheit geboren, und viele Jahre lang konzentrierte ich mich darauf, meine Fähigkeiten zum "Brechen" mit Studenten, Kollegen und der Sicherheitsgemeinschaft zu teilen, indem ich zeigte, wie man Fehler in Software findet, nutzt und missbraucht. Später konzentrierte ich mich darauf, die Verteidiger weiterzubilden, indem ich Entwicklern gute, sichere Programmiermuster im Unterricht beibrachte und ihnen half, häufige Schwachstellen zu verstehen und sie zu vermeiden. Ich arbeitete auch in der Beratung, wo ich große Unternehmen beriet, wie sie ihre Sicherheitsprogramme verbessern konnten, insbesondere was die Einbeziehung von Entwicklern betraf. In dieser Zeit lernte ich mein heutiges Gründungsteam bei Secure Code Warrior kennen. Gemeinsam erkannten wir die Probleme, mit denen sowohl Sicherheits- als auch Entwicklungsteams konfrontiert waren, wenn es um Schwachstellen auf Code-Ebene ging, sowie die Probleme, die mit den meisten Schulungslösungen zur Verbesserung der Sicherheitskompetenz von Entwicklern bestanden. Wir begannen mit der Arbeit an unserer Vision einer learning platform , die auf Unternehmensebene skaliert werden kann und gleichzeitig für Entwickler unterhaltsam und ansprechend ist. Letztendlich wollten wir eine Reihe von Tools entwickeln, die auf die Arbeitsumgebung des Entwicklers zugeschnitten sind, ihn weniger stören und ihm helfen, eine sicherheitsorientierte Denkweise zu entwickeln. Und wir wollten dies so sprachflexibel und inhaltsreich wie möglich gestalten.

Können Sie uns vorstellen, was Sie tun? Was sind die größten Herausforderungen, bei deren Bewältigung Sie helfen?

Letztlich unterstützen wir Unternehmen dabei, ihre Softwareentwicklung zu beschleunigen, indem wir die Sicherheitsprobleme und Verzögerungen beseitigen, die häufig durch die Verwendung schlechter Sicherheitsmuster im Code entstehen. Wir haben eine learning platform und eine Reihe von Tools für Entwickler entwickelt, die Entwicklungsteams bei der Behebung gängiger Sicherheitsschwachstellen unterstützen, von denen viele schon seit Jahrzehnten bestehen und die Unternehmen auch heute noch Cyberrisiken aussetzen. Der Grund für das Fortbestehen dieser Schwachstellen ist, dass die Entwickler nicht über die erforderlichen Schulungen und Fähigkeiten verfügen, um diese Probleme auf Code-Ebene zu beheben, und dass sie diese Schwachstellen häufig durch die fortgesetzte Verwendung schlechter Codierungsmuster und -techniken überhaupt erst verursachen; sie werden nicht auf Hochschulniveau in sicherer Codierung unterrichtet, und die meisten Schulungsprogramme am Arbeitsplatz sind nicht in der Lage, Inhalte zu vermitteln, die für ihre tägliche Arbeit relevant sind, und werden zudem zu selten durchgeführt, um sich wirklich auf die Code-Qualität und die Sicherheit im Laufe der Zeit auszuwirken. Unsere Lösungen zielen darauf ab, eine ansprechende, relevante Kompetenzentwicklung zu bieten, die das Verhalten der Programmierer verändert und ihnen hilft, die Sicherheit in der realen Welt in den Vordergrund zu stellen. Wir integrieren uns zunehmend in die Umgebungen, mit denen Entwickler am meisten vertraut sind, und unser Fokus auf kontextbezogenes Lernen gibt den Benutzern die besten Chancen, die wichtigsten Schulungsergebnisse zu behalten.

Da das Erlernen von sicherem Kodieren für manche langweilig klingen mag, wie schaffen Sie es, Ihre Schulungen effektiv und dennoch unterhaltsam zu gestalten?

Unser Flaggschiff learning platform ist so konzipiert, dass die Beteiligung der Entwickler im Vordergrund steht. Eine der beliebtesten Funktionen ist der Tournament Modus, in dem die Teilnehmer ihr Wissen, das sie während der Schulung erworben haben, gegen ihre Kollegen testen können. Für jede richtige Antwort gibt es Punkte und eine Live-Rangliste, die während der gesamten tournament Sitzung aktualisiert wird. Wir haben dies bei Community-Veranstaltungen und Konferenzen durchgeführt, und einige unserer Kunden haben unglaublich komplizierte Themen erstellt, bei denen jeder in einem Kostüm kam. Es ist eine großartige Erfahrung für die Teambildung und der perfekte Zeitpunkt, um das Engagement für die Weiterbildung mit Pizza, Preisen und einer Pause von der normalen Routine zu feiern. Es ist viel einfacher, sich zu engagieren, wenn die Inhalte relevant sind und bei der Lösung echter Probleme helfen, als wenn man sich Videos oder eine jährliche Prüfung zur Einhaltung von Vorschriften ansieht.

Was sind Ihrer Meinung nach die größten Herausforderungen, denen sich Entwickler heutzutage stellen müssen?

Ich denke, es ist wichtig festzustellen, dass Entwickler zwar gut arbeiten wollen, aber in ihrer Ausbildung oder in ihrer Laufbahn nicht ausreichend für das Thema Sicherheit sensibilisiert worden sind. Sie neigen auch dazu, die Sicherheit als außerhalb ihres Verantwortungsbereichs liegend zu betrachten, und in der großen Mehrheit der Unternehmen beinhalten ihre KPIs nichts, was mit sicheren Kodierungsergebnissen zu tun hat.Wenn wir eine Veränderung im Umfang der Schwachstellen auf Code-Ebene sehen wollen, muss dieser Status quo durchbrochen werden. Entwickler brauchen jedoch die richtige Unterstützung und die richtigen Tools, um die gewünschte Veränderung herbeizuführen. Die Herausforderung besteht darin, sie effektiv zu befähigen, ihnen Zeit für die Schulung zu geben und jetzt in diese Weiterbildung zu investieren, um später eine schnelle Sicherheit zu erreichen.

Wie haben sich die jüngsten globalen Ereignisse auf Ihren Arbeitsbereich ausgewirkt?

Während jedes Unternehmen zweifellos einige Auswirkungen des aktuellen globalen Klimas auf seine Ziele, Prognosen und Budgets zu spüren bekam, hatten wir bisher das Glück, den Sturm zu überstehen. Cybersicherheit ist für die meisten Unternehmen ein nicht verhandelbares Element, und wir arbeiten hart daran, Teil dieses Gesprächs mit Kunden und Interessenten zu bleiben.

Welche bewährten Verfahren sollten Unternehmen bei der Entwicklung von Software oder Anwendungen anwenden?

Jedes Unternehmen hat seine eigenen Nuancen, aber im Allgemeinen sind die Unternehmen, die mit den besten Sicherheitspraktiken arbeiten, bereit, über den Tellerrand hinauszuschauen und verschiedene Ansätze auszuprobieren. Sie vergessen nicht, dass die Menschen einen positiven Einfluss auf die Sicherheitsergebnisse haben können. Angesichts der weltweiten Lücke bei den Sicherheitskompetenzen, die wahrscheinlich in absehbarer Zeit nicht geschlossen werden kann, können sicherheitsfähige Entwickler jedoch dazu beitragen, Risiken zu verringern und die Einhaltung von Vorschriften bei der Softwareerstellung zu gewährleisten. Sie können in der frühestmöglichen und kostengünstigsten Phase des Prozesses einen Beitrag leisten.

Welche anderen Maßnahmen oder Praktiken können Ihrer Meinung nach neben sicheren Kodierungswerkzeugen den Geschäftsbetrieb nicht nur verbessern, sondern auch sichern?

Jedes Unternehmen sollte eine Art von rollenbasierter Sicherheitsschulung durchführen. Es gibt eine Fülle von Bedrohungen, die nicht nur auf Code-Ebene bestehen, sondern auch von Bedrohungsakteuren ausgenutzt werden können. Daher muss jede einzelne Person im Unternehmen regelmäßig mit den Sicherheitsgrundsätzen vertraut gemacht werden, die für ihre Arbeit relevant sind - vom Büroleiter bis zum Buchhaltungsteam.

In Anbetracht des derzeitigen Wirtschaftsklimas stehen CISOs unter großem Druck, die Sicherheit von Unternehmen zu den geringsten Kosten zu gewährleisten. Was würden Sie ihnen raten?

CISOs müssen in diesem Klima ein gewisses Maß an Kreativität an den Tag legen, zumal die Gesetzgebung zur Cybersicherheit immer anspruchsvoller wird und in einigen Fällen dazu führt, dass CISOs im Falle eines Verstoßes persönlich zur Verantwortung gezogen werden. Wenn dann noch Entlassungen hinzukommen, wird von weniger Ingenieuren erwartet, dass sie mehr Verantwortung übernehmen und gleichzeitig die gleiche Menge an Software schreiben. CISOs können dem Unternehmen helfen, erfolgreich zu sein, indem sie eines der größten Hindernisse aus dem Weg räumen, das sie bremst: die Sicherheit.

Es ist bei weitem am günstigsten, Sicherheitslücken und Fehlkonfigurationen auf Code-Ebene zu beheben, bevor die Software ausgeliefert wird, was den Entwickler natürlich in die beste Position bringt, dieses Risiko zu verringern. Dazu brauchen sie jedoch maßgeschneiderte Unterstützung. Sicherheit in kürzester Zeit ist möglich, wenn die Entwickler mit Tools versorgt werden, die auf den Entwickler ausgerichtet sind und seine aktuellen Arbeitsabläufe und technischen Möglichkeiten berücksichtigen. Sie müssen in die Lage versetzt werden, Sicherheit mit hoher Geschwindigkeit zu erreichen, und das geht am besten, indem man ihnen zeigt, wie sie sichere Codierungsmuster verwenden und Dinge schneller beheben können.

Für die Kosten einer umfassenden Entwicklerschulung können Sie im Wesentlichen auf die Beseitigung von Schwachstellen an der Quelle hinarbeiten und so später im Lebenszyklus der Softwareentwicklung (SDLC) Zeit und Geld sparen. Angesichts der Häufigkeit groß angelegter Angriffe und der Tatsache, dass CISOs mehr Verantwortung tragen müssen als je zuvor in der Geschichte, müssen wir aufhören, den Mangel an Cybersecurity-Kenntnissen für den Rückstand verantwortlich zu machen. Setzen Sie Prioritäten bei defensiven Sicherheitspraktiken und fördern Sie das Personal, das Sie bereits vor sich haben.

Wie sieht die Zukunft von Secure Code Warrior aus?

Wir wollen weiterhin innovativ sein und bei den Lösungen, die wir auf den Markt bringen, den Entwickler in den Vordergrund stellen. Wir konzentrieren uns darauf, sie in die Lage zu versetzen, Sicherheit zu bieten, ohne die Geschwindigkeit der Funktionsbereitstellung zu beeinträchtigen oder ihre Vernunft beim Jonglieren mit mehreren Prioritäten zu verlieren.

Unser Ziel ist es, Unternehmen bei der Revolutionierung ihrer defensiven Sicherheitsprogramme zu unterstützen, und wir möchten, dass sicherheitsfähige Entwickler die Helden dieser Geschichte sind. Beobachten Sie diesen Raum.

Dieser Artikel erschien zuerst in SC-Magazin. Er wurde hier aktualisiert und zusammengefasst.


CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapper werdenden finanziellen Mitteln. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.

CISOs von Weltrang stellen sich der Herausforderung und leiten ganzheitliche Sicherheitsprogramme, die das Vertrauen der Kunden und den Ruf der Marke stärken und alle ihnen zur Verfügung stehenden Tools nutzen, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz, um häufige Sicherheitsfallen zu vermeiden und die Mentalität hinter sich zu lassen, dass es nie genug Zeit, Ressourcen oder Personal gibt, um die Sicherheit auf höchstem Niveau zu halten.

Ändern Sie die Diskussion im Sitzungssaal.

In der aktuellen Wirtschaftslage entgehen nur wenige Unternehmen und Abteilungen der Überprüfung ihrer Ausgaben, ihrer Einstellungen und ihrer strategischen Auswirkungen auf die Geschäftsziele. Obwohl es offensichtlich ist, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt es für die Organisation erhebliche Kosten dar, die sich nicht ohne Weiteres in Bezug auf die Investitionsrendite rechtfertigen lassen.

Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse der Cybersecurity-Initiativen klar verstehen, und zwar in Begriffen, die über die Zahlen in einer Tabelle hinausgehen. Sie verfügen über ein unterschiedliches Maß an technischem Wissen und Verständnis, und CISOs müssen sich bemühen, ihre Argumente mit verständlichen Botschaften zu präsentieren. Erläutern Sie den Umfang des Programms, was geschützt werden muss und wer dazu befähigt werden muss, um ein Best-in-Class-Beispiel zu liefern. Die Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für das Gute beginnt mit einer verbalen Kampagne, um seine Vorteile zu rechtfertigen.

Es wird seit langem gesagt, dass jedes Unternehmen, unabhängig von der Branche, schnell zu einem Technologieunternehmen wird. Da ein digitaler Ansatz in den meisten Unternehmen die Norm ist, stellt dies eine enorme Angriffsfläche dar, die den besten Schutz erfordert, den man sich zu diesem Zeitpunkt leisten kann. Sicherheitsverantwortliche tragen viele Hüte, aber einer, der oft übersehen wird (bis es zu spät ist), ist, dass sie im Wesentlichen die Hüter des Kundenvertrauens sind. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie die Vertriebs- und Marketingziele. 

Beweisen Sie den Wert eines präventiven Ansatzes für die Sicherheit.

Die aktuellen Cybersicherheitsstatistiken sind haarsträubend, aber auf FUD und Panikmache zu setzen, ist in der Regel eine vergebliche Taktik, wenn es darum geht, mehr Budget zu erhalten. Nur wenige Mitglieder des Führungsteams eines Unternehmens würden behaupten, dass die Cybersicherheit keine Priorität hat, aber sie sind weitaus wahrscheinlicher für Budgeterhöhungen empfänglich, wenn eine unternehmungslustige Strategie vorgeschlagen wird, die die vorhandenen Ressourcen für bessere Ergebnisse nutzt. 

Laut einer aktuellen Studie des Neustar International Security Council haben nur 50 % der Unternehmen das Gefühl, dass sie über ein angemessenes Budget verfügen, um ihre bekannten Cybersicherheitsprobleme zu bewältigen. Und da die weltweiten Cyberangriffe zwischen 2021 und 2022 um 38 % zun ehmen werden, dürfte dies für den durchschnittlichen CISO ein noch schwierigerer Weg sein. Wirklich erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, sich über diese Probleme hinwegzusetzen und trotz aller Widrigkeiten innovativ zu sein.

In vielen Szenarien ist Vorbeugung einfacher und unkomplizierter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen, und da das Schwachstellenmanagement für viele CISOs zu den drei wichtigsten Anliegen gehört, ist es sinnvoll, dass Entwickler ein wesentlicher Bestandteil dieser Bewegung sind. Sie brauchen eine praktische Ausbildung, um häufige Sicherheitslücken direkt anzugehen, damit sie diese Probleme an der Quelle beseitigen und sicherstellen können, dass sie gar nicht erst in die Produktion gelangen. Wir sind jetzt an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können, und die Weiterbildung der Entwickler ist bei weitem das kosteneffektivste und wirksamste Mittel gegen Sicherheitslücken auf Code-Ebene. 

Es ist von entscheidender Bedeutung, dass CISOs um die Beibehaltung des bestehenden Budgets kämpfen, und die Vorteile einer rollenbasierten Sicherheitsschulung, insbesondere für Entwickler, zu erläutern, ist ein schnellerer Erfolg als das Hinzufügen der nächsten "Silberkugel" zu einem unhandlichen Sicherheitstechnologiepaket.

Sicherheit sollte zu den Grundlagen der Marke gehören.

Die meisten CISOs sind nicht in ihre Rolle hineingewachsen, um eine Leidenschaft für Marketing auszuüben, aber dies ist ein Bereich, an dem Sie arbeiten könnten, zumindest wenn Sie Ihre Argumente denjenigen präsentieren, die die finanziellen Fäden in der Hand halten. 

Die Auswirkungen eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue können gar nicht hoch genug eingeschätzt werden, und eine groß angelegte Sicherheitsverletzung kann eine Abwanderung biblischen Ausmaßes verursachen. Wenn Sie dagegen Ihre strengen Sicherheitspraktiken mit den zentralen Markenwerten in Einklang bringen, senden Sie die klare Botschaft, dass Datenschutz und -sicherheit nicht nur im Vordergrund stehen, sondern etwas sind, worauf sich die Kunden verlassen können. 

Es ist von entscheidender Bedeutung, dass der moderne CISO sich die Zeit nimmt, die Wettbewerbsvorteile der Sicherheitsstrategie und -politik hervorzuheben, da sie sich auf die anhaltende positive Stimmung und das Vertrauen der Kunden beziehen. Reaktive Sicherheit allein wird nicht die gleiche Wirkung haben, und ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Werte mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein. 

Es gibt keinen Platz mehr für Ausreden, aber es gibt viele zwingende Gründe, die CISOs bei ihrer Suche nach angemessenen Mitteln für eine wirklich transformative Sicherheitsstrategie hervorheben können.

Dieser Artikel erschien ursprünglich in der SD Times. Er wurde hier aktualisiert und syndiziert.

‍

Die Überprüfung von Fähigkeiten ist seit der Neuzeit ein fester Bestandteil unseres Lebens, der uns Gültigkeit verleiht und Türen öffnet, die uns sonst verschlossen bleiben würden. Autofahren zum Beispiel ist für die meisten von uns ein wichtiges Initiationsritual, und es wird von uns erwartet, dass wir eine Reihe von standardisierten Prüfungen bestehen, um zu bestätigen, dass man uns eine viertausend Pfund schwere Maschine anvertrauen kann, die in der Lage ist, über hundert Meilen pro Stunde zu fahren. Fehler, vor allem bei hoher Geschwindigkeit, können einen dieses Privileg oder sogar ein Menschenleben kosten.

Was aber, wenn Autofahren für einige mehr als eine alltägliche Annehmlichkeit ist und zu einem elitären Beruf wird? Eine Person kann sich weiterbilden und möglicherweise Formel-1-Fahrer werden, wo sie Maschinen bedienen darf, die schneller fahren, als es ein Zivilist realistischerweise tun könnte, ohne dass die Wahrscheinlichkeit von Fehlern bei hohen Geschwindigkeiten groß ist. 

In diesem Zusammenhang erscheint es verwunderlich, dass die meisten Entwickler, die an Code für kritische Infrastrukturen, Autos, Medizintechnik und alles dazwischen arbeiten, dies tun, ohne zuvor ihre Sicherheitsfähigkeiten zu überprüfen. Andererseits: Warum müssen sich sicherheitskompetente Entwickler, die wiederholt bewiesen haben, dass sie wissen, wie man Dinge sicher entwickelt, wegen all der Sicherheitskontrollen mit allen anderen in den immer langsamer werdenden Entwicklungspipelines anstellen? Die Branche betrachtet dies nicht als Versäumnis, es ist die Norm. 

Wir wissen aus umfangreichen Untersuchungen, dass die meisten Entwickler der Sicherheit in ihrem Code einfach keine Priorität einräumen und dass ihnen die regelmäßige Schulung fehlt, die erforderlich ist, um mit vielen gängigen Sicherheitslücken umzugehen. Sie sind mit ein Grund dafür, dass Sicherheit im Eiltempo ein Hirngespinst zu sein scheint und viele sicherheitsorientierte Entwickler das Gefühl haben, dass sie auf der Autobahn auf der Kriechspur hinter einer Gruppe von Fahrschülern festsitzen. 

Trotzdem entwickelt sich die Sicherheitswelt langsam weiter, und die Nachfrage nach Entwicklern mit nachgewiesenen Sicherheitskenntnissen, die sofort einsatzbereit sind, steigt. Die Executive Order der Biden-Administration zur Verbesserung der Cybersicherheit der Nation fordert ausdrücklich die Bewertung der Sicherheitspraktiken von Anbietern - und deren Entwicklungskohorten - für alle Lieferanten in der Software-Lieferkette der US-Regierung. Es liegt auf der Hand, dass die Bedeutung der Sicherheitskompetenzen von Entwicklern in den meisten Sektoren zunehmen wird, aber wie können Unternehmen angesichts des geringen Angebots an branchenüblichen Bewertungen nachweisen, dass ihr Sicherheitsprogramm nachweisbare Sicherheitskompetenzen von Entwicklern auf eine Art und Weise fördert, die die Lieferung nicht in die Knie zwingt oder die sicherheitsbewussten Entwickler davon abhält, ihre Flügel auszubreiten?

Leistungsabhängige Zugangskontrolle: Kann das funktionieren?

Die Sicherheitskontrollen mit den geringsten Rechten sind in vielen Unternehmen ein fester Bestandteil, wobei jeder Rolle der Zugriff auf Software, Daten und Systeme nach dem Prinzip "Kenntnis nur, wenn nötig" im Rahmen ihrer Aufgaben zugewiesen wird. Diese Methode - vor allem in Verbindung mit Zero-Trust-Autorisierungsprinzipien - ist hilfreich, um das gesamte Ausmaß der Angriffsfläche einzudämmen. Und eigentlich sollten wir diese Strategie auch auf API-Berechtigungen und andere softwarebasierte Anwendungsfälle anwenden. 

Die meisten von uns in der Sicherheitsbranche sind sich der Tatsache bewusst, dass Software die Welt auffrisst, und der Code für eingebettete Systeme, mit dem Ihre Fritteuse betrieben wird, unterscheidet sich in Bezug auf sein Ausnutzungspotenzial nicht von dem Code, der das Stromnetz am Laufen hält. Unser Leben und unsere kritischen Daten sind der Gnade von Bedrohungsakteuren ausgeliefert, und jeder Entwickler muss verstehen, welche Möglichkeiten er hat, seinen Code zu schützen, wenn er entsprechend geschult ist. Dies erfordert ein ernsthaftes Upgrade der Sicherheitskultur eines Unternehmens, aber für eine echte gemeinsame Verantwortung im Sinne von DevSecOps brauchen die Entwickler einen Grund, sich mehr Gedanken über ihre Rolle zu machen, und vielleicht wäre der schnellste Weg, ihre Einstellung zu ändern, die Verknüpfung des Zugriffs auf das Code-Repository mit Lernergebnissen im Bereich der sicheren Programmierung.

Nehmen wir zum Beispiel ein Unternehmen aus dem BFSI-Bereich: Die Chancen stehen gut, dass es dort hochsensible Repositories gibt, die Kundendaten enthalten oder wertvolle Informationen wie Kreditkartennummern speichern. Warum sollten wir dann davon ausgehen, dass jeder Techniker, dem Zugang gewährt wurde, sicherheitsbewusst ist, die strengen PCI-DSS-Anforderungen erfüllt und in der Lage ist, Änderungen an der Hauptverzweigung schnell und ohne Zwischenfälle vorzunehmen? Auch wenn dies bei einigen der Fall sein mag, wäre es weitaus sicherer, den Zugang zu diesen heiklen Systemen zu beschränken, bis dieses Wissen nachgewiesen ist.

Die Herausforderung besteht darin, dass in den meisten Unternehmen die Umsetzung eines "License to Code"-Szenarios mühsam und je nach Schulungslösung etwas zu manuell wäre, um jegliche Art von Sicherheitszielen mit hoher Geschwindigkeit zu unterstützen. Die richtige Kombination aus integrativer Schulung und Tools kann jedoch den Kern einer entwicklergesteuerten, defensiven Sicherheitsstrategie bilden. 

Eine wirksame Integration der Ausbildung ist nicht unmöglich.

Die Suche nach Lösungen für die Weiterbildung von Entwicklern, die sowohl die schnelllebigen Geschäftsziele als auch ihre Arbeitsabläufe ergänzen, ist schon die halbe Miete, aber nur wenn wir uns die Mühe machen, über die einmalige Schulung zur Einhaltung der Vorschriften hinauszugehen, werden wir eine deutliche Verringerung der Schwachstellen auf Code-Ebene erleben. Und was ist mit den Entwicklern, die sich erfolgreich bewähren? Nun, die Welt der Programmierung liegt ihnen zu Füßen, und sie müssen sich nicht von Sicherheitskontrollen lähmen lassen, die davon ausgehen, dass sie die Grundlagen nicht beherrschen. 

Die praxisnahe Förderung von Fähigkeiten, die sich nahtlos in die Entwicklungsumgebung einfügt, bietet den Ingenieuren den nötigen Kontext, um sichere Programmierkonzepte wirklich zu verstehen und anzuwenden. Die gleichen Integrationen können auch dazu verwendet werden, den Zugang zu kritischen Systemen effektiv zu verwalten, um sicherzustellen, dass diejenigen, die sich durch ihre Lernergebnisse auszeichnen, ungehindert an den sensiblen Aufgaben mit höchster Priorität arbeiten können. Außerdem lassen sich auf diese Weise Belohnungen und Anerkennungen leichter implementieren, so dass sicherheitskompetente Entwickler in ihrer Gruppe als aufstrebend angesehen werden. 

Wie bei vielen Dingen im Leben gilt: Das Glück ist mit den Mutigen, und es ist genau das, was wir brauchen, um die Standards für akzeptable Codequalität von morgen anzuheben, ohne Abstriche bei der Geschwindigkeit zu machen, wenn wir mit dem Status quo brechen und einen unkonventionellen Ansatz für die Überprüfung von Entwicklerfähigkeiten verfolgen.

Eine Version dieses Artikels erschien in Dunkles Lesen. Er wurde hier aktualisiert und syndiziert.


Da die meisten Unternehmen die Ebbe und Flut von Wachstum, Innovation und digitaler Transformation durchlaufen, ist es nur natürlich, dass einige Bereiche bei der Vergrößerung eines Unternehmens noch nicht abgeschlossen sind. Dies gilt häufig für das Cybersicherheitsprogramm eines Unternehmens, zumal Sicherheitsverantwortliche darum kämpfen, neuen Bedrohungen, Schwachstellen und technologischen Entwicklungen, die das Risiko erhöhen, immer einen Schritt voraus zu sein.

Angesichts des anhaltenden Fachkräftemangels und der Flut von Code, der geschrieben wird, um den weltweiten Softwarebedarf zu decken, geraten viele Unternehmen mit ihrer Cybersicherheitsstrategie und der bestehenden Infrastruktur ins Hintertreffen. Und da die Branche scheinbar auf einen werkzeugbasierten Ansatz fixiert ist, wird die Leistung qualifizierter Mitarbeiter in einem funktionierenden Verteidigungsprogramm oft übersehen. 

Es ist an der Zeit, dass wir einen ehrlichen Blick auf unsere allgemeine Cybersicherheitsreife werfen und die möglichen Quick Wins, die direkt vor uns liegen, bewerten.

Nachhaltige Cybersicherheitsreife ist ein Prozess.

Die Öffentlichkeit geht leicht davon aus, dass jedes Unternehmen über ein robustes Cybersicherheitsprogramm verfügt und dass der Schutz nur eine Frage der Auswahl der richtigen Software und ihrer Aktivierung ist, um Bedrohungsakteure in ihren Bahnen zu stoppen. Angesichts der Tatsache, dass das Jahr 2022 eines der schlimmsten Jahre in Bezug auf Cybervorfälle war - unter anderem wurde die gesamte Regierung von Costa Rica als Lösegeld er presst -, wünschen sich viele Sicherheitsexperten, dass es so einfach wäre. 

Während viele Branchen - vor allem im Finanzsektor - auf die Einhaltung von Vorschriften angewiesen und an immer komplexere regulatorische Rahmenbedingungen gebunden sind, die strenge Sicherheitsmaßnahmen erfordern, mangelt es den meisten Unternehmen in Wirklichkeit an Cyber-Resilienz. Mehr als die Hälfte der großen Unternehmen weltweit ist nicht in der Lage, Cyberangriffe effektiv zu stoppen, noch finden sie ausgenutzte Schwachstellen schnell und beheben sie. 

Selbst Unternehmen, die als fortschrittlich gelten und über ein definiertes, ausgereiftes Programm verfügen, das ein Best-Practice-Dreiergespann aus Mitarbeitern, Prozessen und Technologien umfasst, können nur schwer mit den schnelllebigen Anforderungen der Bedrohungslandschaft Schritt halten. Ein kritischer Bereich, in dem viele Unternehmen Defizite aufweisen, ist das rollenbasierte Sicherheitsbewusstsein, insbesondere für das Entwicklungsteam. Zwar muss jeder Mitarbeiter eines Unternehmens wissen, welche Rolle er bei der Verringerung der Angriffsfläche spielt, aber diejenigen, die sich tagtäglich mit dem Code beschäftigen, könnten das Ruder bei einem wirklich transformativen Sicherheitsansatz in die Hand nehmen... wenn sie nur entsprechend geschult wären. 

Ein ganzheitliches, defensives Sicherheitsprogramm erfordert eine kontinuierliche Verbesserung, und es muss sorgfältig darauf geachtet werden, ein solides Fundament zu legen. Wenn diese Grundlagen überwiegend auf Tools basieren, sind die Chancen gut, dass der Reifegrad niedriger ist, als die Sicherheitsverantwortlichen annehmen. Eine Studie des Ponemon Institute hat ergeben, dass 53 % der Unternehmen nicht davon überzeugt sind, dass ihre Sicherheitstechnologien Verstöße wirksam verhindern können. Da menschliches Versagen eine der Hauptursachen für erfolgreiche Cyberangriffe auf große und kleine Unternehmen ist, ist es ein Spiel mit dem Feuer, wenn Entwickler nicht in die strategische Verbesserung der Sicherheit einbezogen werden. 

Machen Sie Entwickler zur treibenden Kraft für hervorragende Software-Sicherheit

Die unangenehme Wahrheit im Zusammenhang mit Cyberangriffen ist, dass Angreifer in fast jedem Fall einen deutlichen Vorteil gegenüber dem Zielunternehmen haben, unabhängig davon, wo es sich auf seinem Weg zur Sicherheitsreife befindet. Sie haben die Zeit, die Tools und die Motivation, akribisch nach Schwachstellen zu suchen, die sie ausnutzen können, und widmen sich voll und ganz dem Ziel, die Schwachstellen zu durchbrechen und in die Hände der Angreifer zu gelangen.

Unternehmen hingegen müssen Geschäfts- und Kundenbedürfnisse unter einen Hut bringen, und obwohl sie sich das immense Risiko eines aufsehenerregenden Cyberangriffs nicht leisten können, ist es nicht praktikabel, den Geschäftsbetrieb zu verlangsamen, um eine Fülle von Sicherheitskontrollen unterzubringen, die am Ende die Leistung behindern könnten. Hier sind sicherheitskompetente Entwickler ein entscheidender Faktor für den Erfolg der Cyberabwehr.

Es ist zwar seit langem bekannt, dass Entwickler traditionell nicht in der Lage sind, die Verantwortung für die Sicherheit sinnvoll mitzutragen, aber das kann und muss sich zum Besseren wenden. Unternehmen können praktikable Weiterbildungsmöglichkeiten für die Entwickler schaffen, aber sie müssen Schulungsoptionen auswählen, die relevante Kursinhalte auf eine Weise vermitteln, die in ihrer Welt Sinn macht. Zumindest sollte es in den Sprachen und Frameworks vermittelt werden, die sie aktiv nutzen, und die Schwachstellen ansprechen, auf die sie in ihrer Codebasis am ehesten stoßen werden. 

Wenn courses mit Blick auf den Arbeitsablauf des Entwicklers strukturiert ist, ist die Wahrscheinlichkeit weitaus größer, dass die schlechten Codierungsmuster, die häufige Schwachstellen und Fehlkonfigurationen verursachen, durch gute, sichere Muster ersetzt werden können, die die Softwarequalität im Laufe der Zeit erheblich verbessern. Qualitativ minderwertige Software hat die Vereinigten Staaten allein in diesem Jahr 2,41 Billionen Dollar gekostet, und dies kann nur dadurch behoben werden, dass der Fehlerkreislauf durchbrochen wird, der die riskanten technischen Schulden aufrechterhält.

Es bedarf eines unternehmensweiten Engagements für ein positiveres, ganzheitliches Sicherheitsprogramm, das die Macht der Menschen nutzt, die notwendig ist, um bei von Menschen verursachten Problemen etwas zu bewirken. Und wenn es wichtig ist, aus den Schlagzeilen von morgen herauszukommen, dann ist es die Mühe auf jeden Fall wert.