Erfahren Sie, wie durch praktische Sicherheitsschulungen Schwachstellen um 53 % reduziert werden können 

Die Herausforderung für Entwicklungsteams heute 

Entwickler stehen unter enormem Druck, schneller zu entwickeln und die Produktionszyklen zu beschleunigen als je zuvor. Dies führt dazu, dass immer mehr Code in Unternehmen eingeführt wird, der zum Teil aus Open-Source, KI oder von Dritten stammt. Dies kann zwar zur Produktivitätssteigerung beitragen, birgt aber auch das Risiko, unsicheren Code in die Codebasis einzubringen.

Trotz des zunehmenden Drucks, schneller zu liefern, überarbeitet ein Softwareentwicklungsteam etwa 26 % seines Codes vor der Veröffentlichung. Das bedeutet, dass ein Entwickler bis zu 13,5 Stunden pro Woche allein für technische Fehler aufwenden kann. Das sind über 700 Stunden pro Jahr, die mit der Behebung vergangener Fehler verbracht werden. Die verlorene Produktivität kann die Entwicklungszyklen verlangsamen und, was noch schlimmer ist, durch Abkürzungen und Drittquellen neue Risiken in den Code bringen. Dies stellt eine Herausforderung dar, wenn es darum geht, den Druck auszugleichen, den Code schnell, aber auch sicher zu veröffentlichen. 

Nach einer Untersuchung von Secure Code Warriorgeben 67 % der Entwickler zu, dass sie Code mit Schwachstellen ausliefern, und mit jeder neuen Codezeile, die täglich geschrieben wird, werden immer mehr Schwachstellen eingeführt. Es gibt einen besseren Weg, dieses Problem anzugehen - die Sicherheit von Anfang an einzubinden. In diesem Blog werden wir untersuchen, wie Entwickler die erste Verteidigungslinie bei der Absicherung von Code sein und bis zu 53 % der Schwachstellen in ihrem Code durch agiles Lernen reduzieren können. 

Schwachstellen gar nicht erst entstehen lassen 

Secure Code Warrior arbeitet mit über 600 verschiedenen Unternehmen zusammen, um sie bei der Sicherung ihres Codes zu unterstützen. Unsere Forscher untersuchten die Daten von 30 % unserer Nutzer - fast 75.000 Entwickler - und stellten fest, dass Entwickler, die mit Secure Code Warrior sichere Kodierungspraktiken erlernen und anwenden, 53 % weniger Schwachstellen in ihr Unternehmen einbringen als ihre Kollegen. Wenn Entwickler keine neuen Schwachstellen mehr schaffen, können sie viele Stunden an Produktivität gewinnen. Diese Zeit kann für den Abbau des technischen Rückstands oder sogar für die Bereitstellung neuer, innovativer Lösungen und Funktionen genutzt werden. Die Möglichkeiten sind endlos, wenn das Einschleusen von Schwachstellen der Vergangenheit angehört und zu einer Reihe von Effizienzsteigerungen im Softwareentwicklungszyklus führen kann. 

Wie können Entwickler von agilem Lernen profitieren?  

Secure Code Warrior hat agile Prinzipien in das Design unserer learning platform integriert, um Entwickler zu ermutigen , sicheres Programmieren durch Handeln zu lernen. Dies geschieht durch die Aufteilung von langwierigen, langweiligen Sicherheitsschulungen in kleine, interaktive und ansprechende Lerneinheiten. 

Secure Code Warrior ist die einzige agile learning platform , die mehrere Microburst-Lernformate kombiniert, so dass Entwickler ihr Wissen schnell lernen, testen und anwenden können, und zwar im Kontext der realen Arbeit, die sie bereits erledigen - in der Sprache ihrer Wahl.

Mit anpassbaren Programmen, äußerst effektiven praktischen Lernaktivitäten und der Integration von Entwickler-Tools ist Secure Code Warrior der effektivste Weg, um Entwicklern beizubringen, wie sie Schwachstellen zu Beginn des SDLC erkennen und beheben können und wie sie verhindern können, dass Schwachstellen überhaupt erst eingeführt werden.

Warum Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unser learning platform ist die effektivste Lösung für sicheres Coding, da es agile Lernmethoden nutzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior , um agile Sicherheitstrainingsprogramme für das Erlernen von Code mit agilen Methoden zu implementieren, sichere Software schnell zu liefern und eine Kultur der entwicklergesteuerten Sicherheit zu schaffen. Möchten Sie mehr erfahren? Fordern Sie eine Demo an.

Erst vor kurzem wurden die Sicherheits- und Entwicklergemeinschaften durch eine Mitteilung des leitenden Entwicklers des curl-Projekts, Daniel Stenberg, darauf aufmerksam gemacht , dass eine neue Version von curl - die am 11. Oktober veröffentlicht wurde - zwei schwerwiegende Sicherheitslücken behebt, von denen er eine als "wahrscheinlich die schlimmste curl-Sicherheitslücke seit langem" bezeichnet.

In einem Postmortem in Stenbergs Blog wird darauf hingewiesen, dass die betroffenen Versionen der curl-Bibliothek für einen Heap-basierten Pufferüberlauf anfällig sind, der mit einem alten Problem im Zusammenhang mit dem seit 2002 verwendeten SOCKS5-Proxy-Protokoll steht.

Mit seiner Verwendung als Befehlszeilentool, die bis ins Jahr 1998 zurückreicht, wird curl weithin als Grundpfeiler des Internets angesehen. Mit einer so langen Geschichte und weitverbreiteten Nutzung ist es eine Abhängigkeit, die, wenn sie anfällig ist, anhaltende Auswirkungen auf die allgemeine Cybersicherheit haben könnte.

Dieser Vorfall weist Ähnlichkeiten mit dem verheerenden Log4Shell-Angriff in Log4j auf, einer weiteren verwundbaren Abhängigkeit, die fast zwei Jahre später immer noch ausgenutzt wird.
‍
>>> Testen Sie jetzt Ihr Wissen mit unserer curl-Mission!‍

Die Sicherheitslücke: Pufferüberlauf

Die Schwachstelle ist unter CVE-2023-38545 aufgeführt und betrifft die Curl-Versionen 7.69.0 bis einschließlich 8.3.0. Bei dem primären Fehler handelt es sich um eine Heap-basierte Pufferüberlauf-Schwachstelle. Ersten Berichten zufolge könnte eine erfolgreiche Ausnutzung zu einem noch verheerenderen Angriff mit Remote-Code-Ausführung (RCE) führen. Dies ist zwar ein möglicher Arbeitsablauf für einen Bedrohungsakteur, aber eher ein seltener Anwendungsfall als eine Selbstverständlichkeit.

Die einzige Rettung, um einige der Risiken zu mindern, ist vielleicht, dass die bösartige Kommunikation über einen SOCKS5-Proxy laufen muss, was eine relativ seltene Anwendung ist.

Vergleichbar mit dem Curl-Exploit, werfen wir einen Blick auf diesen Buffer Overflow-Explainer:

Wenn curl angewiesen wird, einen SOCKS5-Proxy zu verwenden, wird der Hostname weitergegeben und vom Proxy aufgelöst. Wenn der Hostname jedoch die 255-Byte-Grenze überschreitet, löst curl den Hostnamen lokal auf (wie im folgenden Codeschnipsel zu sehen: Quelle).

Bei einem langsamen Handshake zwischen Client und Proxy ist es möglich, dass der lange Hostname anstelle der (kürzeren) aufgelösten Adresse in den Speicherpuffer kopiert wird. Der zugewiesene Speicherbereich lässt nur einen 255-Byte-Wert zu. Wenn er also einen Wert empfängt, der diese Grenze überschreitet, laufen die Daten über die Grenzen des Speicherpuffers hinaus.

>>> Probieren Sie es selbst aus in dieser spielbaren Mission!

Pufferüberlauf ist ein mächtiger Angriffsvektor, der in vielen älteren Programmiersprachen vorkommt. In diesem speziellen Fall machte die Ausnutzung den Weg frei für einen ernsteren und schädlicheren Angriff in Form von RCE in einigen Kontexten, obwohl dieser Weg ungewöhnlich und unwahrscheinlich bleibt.

Wie können Sie das Risiko eines Pufferüberlaufs mindern?

In diesem Stadium besteht die höchste Priorität darin, die Patches auf alle anfälligen Instanzen anzuwenden, wobei darauf hinzuweisen ist, dass die Verwendung von curl so weit verbreitet ist, dass es nicht unbedingt offensichtlich ist oder angekündigt wird, dass Komponenten Ihres Systems die verwendete Abhängigkeit enthalten. In diesem Fall sind Überprüfungen und anschließende Patches erforderlich. 

Im Allgemeinen können Pufferüberlauf-Fehler durch die Verwendung einer speichersicheren Sprache wie Rust entschärft werden, jedoch ist es bei einem ausufernden Projekt wie curl nicht praktikabel, es auf eine andere Sprache zu portieren oder es aus einer Laune heraus umzuschreiben. Wie Stenberg bemerkt, während er das Potenzial diskutiert, mehr Abhängigkeiten zu nutzen und zu unterstützen, die in speichersicheren Sprachen geschrieben sind - oder die Alternative, Teile von curl nach und nach zu ersetzen - "... die Entwicklung geschieht ... derzeit in einer fast eisigen Geschwindigkeit und zeigt mit schmerzlicher Klarheit die damit verbundenen Herausforderungen. curl wird für die absehbare Zukunft in C geschrieben bleiben." Es ist kein kleines Unterfangen, und die Auswirkungen auf die Sicherheit sind immens.

Sicherheitsfehler können und werden passieren, und es ist nicht immer möglich, sich darauf zu verlassen, dass Scanner und Tests jeden möglichen Angriffsvektor aufspüren. Daher ist unsere größte Waffe im Kampf gegen diese Bugs das Engagement für ein kontinuierliches Sicherheitsbewusstsein und den Aufbau von Fähigkeiten.
‍

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und Risiken minimieren können?

Probieren Sie unsere Heap Overflow Herausforderung kostenlos.

Wenn Sie an weiteren kostenlosen Codierungsrichtlinien interessiert sind, besuchen Sie Sicherer Code Coach damit Sie immer auf dem neuesten Stand der besten Praktiken für die sichere Programmierung sind.

Hier bei Secure Code Warrior sind wir ständig auf der Suche nach Innovationen, um Entwicklern und Unternehmen die richtigen Fähigkeiten zu vermitteln, um die sich ständig ändernden Sicherheitsherausforderungen zu meistern. Wir tun dies durch unsere agile learning platform für sichere Programmierung, die es Entwicklern ermöglicht, so zu lernen, wie sie wollen, mit dem vollständigsten und zuverlässigsten Inhalt für Schwachstellen in der Branche heute.  

Im vergangenen Quartal hat Secure Code Warrior neue Möglichkeiten für Unternehmensadministratoren implementiert, tournaments auf mehrere Marken und Einheiten zu erweitern und ihre Benutzer durch SCIM-Bereitstellung einfacher zu verwalten. Wir freuen uns außerdem, dass neue Kodierungsrichtlinien in Jira verfügbar sind, sowie Leistungsübersichtsberichte und neue Programm-Workflows in der Vorschau. 

Lassen Sie uns eintauchen und mehr erfahren!

Erweiterung des Umfangs und der Tiefe der SCW-Plattform 

Secure Code WarriorDie kontinuierliche Erweiterung um neue Inhalte trägt dazu bei, dass unsere Module relevant, aktuell und auf das zugeschnitten bleiben, was Sie in der heutigen Cybersicherheitslandschaft wissen müssen. Mit der branchenführenden Breite und Tiefe von über 60 Sprachen ist es einfach, ein agiles Lernprogramm für Entwickler in einer großen Anzahl von Sprachen und Frameworks zu erstellen und zu skalieren. 

Jetzt verfügbar: Kodierungsrichtlinien in Jira 

Die Ergänzung unserer Jira-Integration durch Guidelines bietet Entwicklern kontextbezogenes Lernen, das sich auf Sicherheitsminderung bezieht. Richtlinien sind ausführlicher als Videos, konzentrieren sich auf eine bestimmte Sprache oder ein bestimmtes Framework und bieten Codeschnipsel, mit denen Entwickler ein Problem noch schneller lösen können. Zusätzlich zum Zugriff auf Videos und Herausforderungen können Entwickler jetzt auch direkt in einem Jira-Problem die Codierungsrichtlinien lesen, um ausführliche Ratschläge zur Problembehebung zu erhalten.

Jetzt verfügbar: Neue Inhalte für Front-End-Entwickler 

Auch Front-End-Entwickler müssen sicheren Code ermöglichen! Aus diesem Grund haben wir zusätzliche Front-End-Schwachstellen in Missions und Walkthroughs veröffentlicht. Front-End-Entwickler können über Courses auch auf Front-End-spezifische Missions zugreifen. 

Diese Updates bemühen sich um eine umfassende Abdeckung von Frontend-spezifischen Schwachstellen - von häufig auftretenden wie DOM-basiertem XSS bis hin zu weniger häufig auftretenden Schwachstellen wie CSS Injection. Schritt-für-Schritt-Walkthroughs bieten Frontend-Entwicklern eine verlässliche Anleitung, wie Schwachstellen ausgenutzt werden, während fortgeschrittene Entwickler auch ihre Fähigkeiten im Frontend Missions in Tournaments testen können. 

Spannende neue Wege zur Skalierung Ihrer Sicherheitskultur 

Jetzt verfügbar: Unternehmensübergreifend Tournaments 

‍

Unter Tournaments können mehrere Unternehmen zusammenarbeiten, um einen freundschaftlichen Wettbewerb zwischen Entwicklern aus verschiedenen Geschäftseinheiten, Tochtergesellschaften, Partnern und anderen Unternehmen zu ermöglichen. Dadurch wird sichergestellt, dass eine sichere Programmierkultur über ein ganzes Unternehmen und seine verschiedenen Marken hinweg skaliert werden kann.  

Möchten Sie an der ultimativen unternehmensübergreifenden Tournament teilnehmen? Melden Sie sich für die 3. jährlichen Devlympics an - SCWs globale tournament für den Cybersecurity Awareness Monat! Wenn Sie bereits ein Kunde sind, können Sie sich über die Plattform anmelden. 

Vereinfachung der Arbeit von Administratoren und Entwicklern

Jetzt verfügbar: Kursfilterung 

Die Möglichkeit, zusätzliche Filter auf der Kursverwaltungsseite anzuwenden, macht es für Administratoren viel einfacher, den gewünschten Kurs herauszufiltern. Courses kann nach verschiedenen Attributen wie Status, Enddatum und eingeschriebene Teams gefiltert werden.

Jetzt verfügbar: Verwalten Sie Ihre SCW-Lizenzen mit SCIM 

Programmverantwortliche und Unternehmensadministratoren können nun Entwickler in großem Umfang programmatisch verwalten und haben die Gewissheit, dass die Zugriffskontrollen immer auf dem neuesten Stand sind.

Die SCIM-Bereitstellung nutzt Ihren Identitätsanbieter, um den Zugriff auf Secure Code Warrior zu synchronisieren. Die Automatisierung dieser Aufgaben gewährleistet Genauigkeit, Sicherheit und Compliance und spart Zeit und Ressourcen bei der Bereitstellung von Benutzern. Derzeit unterstützt SCW die SCIM-Bereitstellung nur auf der Benutzerebene und noch nicht für SCIM-Gruppen.

In der Vorschau verfügbar: Arbeitsabläufe programmieren

 Die Konfiguration eines skalierbaren und fesselnden Programms für die sichere Codeschulung ist jetzt einfacher denn je, da die Benutzerfreundlichkeit der Plattform erheblich verbessert wurde. Die Programme wurden so gestaltet, dass sie den Lernenden durch die Abfolge von courses und Bewertungen in mehrstufigen Programmen mehr Orientierung bieten. Automatisierte Programmabläufe sind jetzt für Kunden verfügbar, die die Vorschau auf der Plattform aktiviert haben. Programm-Workflows stellen sicher, dass die Entwickler wissen, wo sie beginnen müssen, zu den nächsten Schritten navigieren können und sich problemlos durch die verschiedenen Stufen eines sicheren Code-Lernprogramms bewegen können. Außerdem müssen Unternehmensadministratoren weniger Zeit aufwenden, um ihr Programm einzurichten, zu verwalten und die Entwickler zum Abschluss ihrer nächsten Lernaktivität anzuhalten. 

Benötigen Sie Tipps, wie Sie das Lernen von sicherem Code in Ihrer Organisation in Gang bringen können? Lesen Sie unser Handbuch darüber, wie Sie Ihr Programm strukturieren können, um Ihre Sicherheitsziele zu erreichen. 

Berichterstattung und Programmeinblicke

In der Vorschau verfügbar: Leistungsübersicht 

Als Unternehmensadministrator müssen Sie die Aktivitäten in Ihrem Unternehmen überwachen, um die Beteiligung der Entwickler zu verstehen und den Erfolg Ihres Programms für sicheres Codelernen zu messen. Wir haben eine verbesserte Berichtsschnittstelle entwickelt, die sicherstellt, dass Unternehmensadministratoren die besten Erkenntnisse aus ihren Berichten ziehen können.

Der Leistungsüberblick bietet einen Einblick in den Abschluss von Entwicklerkursen und assessment sowie in die durchschnittliche Genauigkeit im Laufe der Zeit. Der Bericht generiert auch einen aufschlussreichen Branchenvergleich, um zu sehen, wie Ihr Programm im Vergleich zum Durchschnittswert Ihrer Branche assessment für Ihr ausgewähltes assessment abschneidet. 

Dieser einfache, aber aussagekräftige Bericht bildet den Auftakt zu einer Reihe von Erkenntnissen und Messgrößen, die Secure Code Warriorfür das Jahr 2024 plant. 

Sind Sie daran interessiert, Secure Code Warrior auszuprobieren, haben aber noch kein Konto? Buchen Sie noch heute eine Demo, um mehr zu erfahren. 

Das war's mit den neuen Funktionen in diesem Quartal! Folgen Sie Secure Code Warrior auf LinkedIn und X (früher Twitter), um über die neuesten Versionen und Verbesserungen informiert zu werden.

‍

‍

Cyberangriffe auf die Software-Lieferkette werden immer häufiger, was zu einer Reihe von Gesetzesänderungen auf US-Regierungsebene geführt hat, während sich Unternehmen bemühen, ihr umfangreiches Risikoprofil zu mindern und die Softwarequalität rasch zu verbessern. Allein in diesem Jahr gab es drei Zero-Day-Schwachstellen im Zusammenhang mit File-Sharing-Diensten, wobei die größte und zerstörerischste in Form des Massenangriffs MOVEit auftrat.

Der MOVEit-Vorfall, der von der CL0P-Ransomware-Gruppe angeführt wird, beherrscht seit einiger Zeit die Cybersecurity-Nachrichten, da mehr als 1.000 Unternehmen betroffen sind. Diese Zahl wird weiter steigen, was diesen Vorfall zu einem der stärksten Angriffe auf die Software-Lieferkette seit Solarwinds im Jahr 2021 macht.

Der Auslöser für diese weit verbreitete Sicherheitslücke war eine Reihe von SQL-Injection-Schwachstellen, die von MITRE mit 9,8 von 10 Punkten bewertet wurden. SQL-Injection ist seit den späten 90er Jahren das Schreckgespenst der Sicherheitsexperten, und obwohl es relativ einfach zu beheben ist, findet es weiterhin seinen Weg in moderne Software und bietet Bedrohungsakteuren einen roten Teppich zu sensiblen Daten. 

Das MOVEit-Szenario unterscheidet sich ein wenig von dem, was viele Entwickler und AppSec-Profis bisher erlebt haben, und Sie können Ihre SQLi-Slaying-Fähigkeiten in einer Live-Simulation gleich hier testen:

>>> PLAY THE MOVEit MISSION

Die Sicherheitslücke: SQL-Einschleusung

Wie genau wurde die SQL-Injektion verwendet, um die MOVEit-Dateiübertragungsanwendung von Progress Software auszunutzen?

Die CL0P-Ransomware-Gruppe konnte die SQL-Injection-Schwachstelle CVE-2023-34362 ausnutzen, die ihnen uneingeschränkten und unbefugten Zugriff auf die MOVEit-Datenbank ermöglichte. Von dort aus konnten sie LEMURLOOT installieren, eine Web-Shell, die es ihnen schließlich ermöglichte, mehrere hochriskante, kritische Prozesse auszuführen, wie z. B. das Abrufen von Systemeinstellungen, das Aufzählen der SQL-Datenbank, das Abrufen von Dateien aus dem MOVEit-Transfersystem und das Erstellen eines neuen Kontos mit vollen Verwaltungsrechten.

Natürlich mag dieser Angriffsvektor das Ergebnis eines relativ einfachen Fehlers sein - eines Fehlers, den man auf die ständige Verwendung schlechter Codierungsmuster zurückführen könnte -, aber sein Potenzial, anhaltende Probleme auf Unternehmensebene zu verursachen, ist immens. 

Vergleichbar mit dem MOVEit-Exploit, sehen wir uns diesen SQLi-Explainer an, der die Methode der Injektion und Ausführung von schädlichem SQL simuliert:
‍

Diese Abfragezeichenfolge und Variable:
‍

string emailAddress ="contact@scw.com";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";

ergibt die folgende Abfrage:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'";
‍

... und mit bösartig gestalteten Eingaben:
‍

string emailAddress = "contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";
‍

wird es:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--'";
‍

Wie sieht das im Flug aus?

Beachten Sie, dass die Eingabe aufgrund der String-Verkettung als SQL-Syntax interpretiert wird. Zunächst wird ein einfaches Anführungszeichen hinzugefügt, um sicherzustellen, dass die SELECT-Anweisung eine gültige SQL-Syntax ist. Anschließend wird ein Semikolon hinzugefügt, um die erste Anweisung zu beenden. 

Danach wird eine gültige DELETE-Anweisung eingefügt, gefolgt von zwei Bindestrichen, um alle nachgestellten Zeichen (das einfache Anführungszeichen) auszukommentieren. Eine UPDATE-Anweisung könnte genauso gut hinzugefügt werden, wenn das bösartige SQL beispielsweise die Rollen oder Passwörter der Benutzer aktualisieren soll.
‍

Probieren Sie es in dieser spielbaren Mission selbst aus:
‍

>>> SPIELEN SIE DIE MOVEit-MISSION
‍

Obwohl SQLi relativ einfach ist, bleibt es ein mächtiger Angriffsvektor, der nur allzu häufig vorkommt. Im Fall von MOVEit machte diese Schwachstelle den Weg frei für eine schädliche Backdoor-Installation und eine Reihe weiterer Angriffe mit ähnlichem Schweregrad.

Wie können Sie das Risiko einer SQL-Injektion mindern?

Unternehmen, die MOVEit im Rahmen ihrer Geschäftstätigkeit einsetzen, müssen unbedingt die empfohlenen Abhilfemaßnahmen von Progress Software befolgen. Dazu gehört unter anderem das Einspielen von Sicherheits-Patches, die in Notfällen Priorität haben.

Zum Thema SQL-Injection im Allgemeinen lesen Sie bitte unseren umfassenden Leitfaden.

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und das Risiko minimieren können? Probieren Sie unsere kostenlose SQL-Injection-Challenge aus.

Wenn Sie an weiteren kostenlosen Codierungsrichtlinien interessiert sind, schauen Sie sich den Secure Code Coach an, der Ihnen hilft, mit den Best Practices für sichere Codierung Schritt zu halten.

Frisch nach der Bekanntgabe unserer Serie-C-Finanzierung freue ich mich, einen weiteren Schritt auf dem Weg unseres Unternehmens bekannt geben zu können. Der Branchenführer im Bereich Sicherheit, Synopsys, hat eine aufregende neue Ergänzung zu seiner Produktpalette vorgestellt: Synopsys Developer Security Training, powered by Secure Code Warrior. Die vollständige Pressemitteilung können Sie hier lesen.

Diese Erweiterung des branchenführenden Portfolios an Lösungen für die Anwendungssicherheit ist ein positiver Schritt in die richtige Richtung für die Sicherheitsprogramme von Unternehmen und ermöglicht es ihnen, Best-Practice-Methoden für DevSecOps zu übernehmen - insbesondere solche, die sich auf die gemeinsame Verantwortung für die Sicherheit beziehen. Einfach ausgedrückt, wird diese Integration die globale Basis von sicherheitskompetenten Entwicklern vergrößern, und dies ist eine wunderbare Gelegenheit für jede Organisation, die Verringerung von Schwachstellen auf Code-Ebene durch die Befähigung von Entwicklern zu sicherem Coding zu unterstützen. 

Nach einigen der schlimmsten Cyberangriffe aller Zeiten nehmen die Regierungen weltweit die Softwareanbieter immer stärker unter die Lupe. Die CISA in den Vereinigten Staaten hat in diesem Jahr ihre Security-by-Design- und -Default-Richtlinien veröffentlicht, in denen sie empfiehlt, dass die Verantwortung für die Ergebnisse der Cybersicherheit letztlich beim Anbieter und nicht beim Endnutzer liegt. Für viele Softwareanbieter bedeutet dies, dass sie ihre internen Sicherheitspraktiken grundlegend überarbeiten müssen, andernfalls drohen saftige Geldstrafen. Dies wird schnell zu einer weltweit nicht verhandelbaren Forderung werden, und alle Ausreden, die sich auf einen Mangel an Cybersecurity-Fachkräften beziehen, werden nicht gelten: Wir brauchen sicherheitsbewusste Entwickler, die ihre wichtige Rolle bei der Erstellung sicherer Software spielen, und wir brauchen sie jetzt.

Flexible, anpassbare agile Lernlösungen sind ein wirksames Gegenmittel gegen schlechte Codierungsmuster und die negativen Erfahrungen, die viele Entwickler bisher mit AppSec-Initiativen gemacht haben. Sie müssen überzeugt werden, man muss ihnen entgegenkommen und ihnen Lernpfade anbieten, die sich in ihren Arbeitsablauf einfügen, um die richtigen Informationen zur richtigen Zeit zu liefern. Die Integration von Synopsys in unsere Plattform ist eine praktikable, marktführende Lösung für dieses Problem und kann die Beziehung der Entwickler zur Sicherheit grundlegend zum Besseren verändern.

Cyberkriminalität wird Unternehmen weltweit bis 2025 schätzungsweise 10,5 Billionen Dollar jährlich kosten, ein stetiger Anstieg gegenüber 3 Billionen Dollar im Jahr 2015. Cybersecurity Ventures berichtet außerdem, dass Cyberkriminalität den "größten Transfer von wirtschaftlichem Wohlstand in der Geschichte" darstellt. Dies ist keine Übung; wir als kollektive Branche müssen damit beginnen, die Ausbildung jedes Einzelnen, der Code schreibt, in sicherer Codierung zu priorisieren und einen neuen Maßstab für Sicherheit als Maßstab für Softwarequalität zu setzen. Mit der umfassenden Tool-Suite von Synopsys, die jetzt auch ansprechende, äußerst relevante praktische agile Lernprogramme für Entwickler enthält, gab es nie einen besseren Zeitpunkt, um einen sinnvollen Wechsel zu entwicklergesteuerten, präventiven Sicherheitsprogrammen vorzunehmen.

Agiles Lernen für sicheren Code im SDLC zahlt sich aus 

Dies ist der dritte Teil einer dreiteiligen Blogserie über die Eigenschaften und Vorteile einer agilen Learning Platform für sicheren Code. In Teil 1 haben wir das Konzept des agilen Lernens vorgestellt und gezeigt, wie die Plattform Secure Code Warriorverschiedene agile Prinzipien veranschaulicht. In Teil 2 haben wir untersucht, wie eine agile learning platform die traditionelle, an der Einhaltung von Vorschriften orientierte Sicherheitsschulung ersetzt.  

Eine agile learning platform bietet eine Lernerfahrung, die es dem Lernenden ermöglicht, neue Fähigkeiten effektiver zu verinnerlichen und anzuwenden, und zwar durch eine Kombination aus praktischer, kontextbezogener Ausbildung, die wirklich in den Arbeitsalltag integriert ist, als Teil der Arbeit. Dieser Lernansatz, wie ihn SCW auf Entwickler angewandt hat, die sich sichere Programmierkenntnisse aneignen wollen, unterscheidet SCW von traditionellen Lernmodalitäten und macht uns einzigartig. In diesem dritten und letzten Blog der Reihe erläutern wir Ihnen, welchen ROI Unternehmen von einer agilen learning platform für sicheren Code erwarten können und wie Sie die Zahlen für Ihr Unternehmen modellieren können.

Auswirkungen auf die Wirtschaft

Unternehmen, die einen agilen Ansatz für sicheres Code-Lernen anwenden, sehen eine 2- bis 3-fache Auswirkung auf ihr Geschäft durch zwei Hebel: die Fähigkeit, Schwachstellen schneller zu beheben und die Vermeidung von Nachbearbeitungskosten. 

‍

‍

Je früher im SDLC Schwachstellen behoben werden, desto weniger Schaden können sie anrichten und desto weniger kostspielig ist ihre Behebung. Nach Angaben des Sicherheitsexperten Jim Routh, der zuvor Chief Security Officer bei Aetna und CISO bei MassMutual war, steigen die Kosten pro Fehler in den Phasen des SDLC auf über 14.000 Dollar, wenn er während des Wartungsmodus nach der Freigabe der Software für die Produktion behoben wird. Die Kosten können halbiert werden, wenn sie während der Testphase behoben werden, und sie können 14-mal niedriger sein, wenn sie während der Kodierungsphase behoben werden.  

‍

‍

Je besser die Entwickler in der Lage sind, Schwachstellen schneller zu beheben oder ganz zu vermeiden, desto weniger Kosten und Risiken muss ein Unternehmen für seine Softwareprodukte und internen Anwendungen in Kauf nehmen. Unternehmen, die in Schwachstellenprävention und Softwarequalität investieren wollen, bieten ihren Entwicklern eine agile learning platform , die ihnen flexible Erfahrungen und mehrere Lernwege bietet, die speziell auf unmittelbare geschäftliche Auswirkungen ausgerichtet sind.

‍

Untersuchungen des NIST zeigen, dass der Zeitaufwand für die Behebung einer Schwachstelle variiert, aber die Schätzungen in der folgenden Tabelle wurden in realen Szenarien mit großen Unternehmenskunden ermittelt.

‍

‍

Nachdem Teams neue Fähigkeiten zur sicheren Programmierung entwickelt haben, haben SCW-Kunden festgestellt, dass ihre Entwickler Schwachstellen um 50 bis 60 % schneller beheben und 50 % weniger risikobehaftete Schwachstellen im Produktionscode produzieren. Die Erfahrungen in jedem Unternehmen sind unterschiedlich, aber diese Ergebnisse wurden in großen Unternehmen mit mehr als 5.000 Entwicklern beobachtet. Die Steigerung der Entwicklerproduktivität hat sich auf das Endergebnis ausgewirkt.

Senkung der Betriebskosten: Schwachstellen schneller beheben

Um die finanziellen Auswirkungen eines sichereren Softwareentwicklungsprozesses zu verstehen und um zu sehen, wie eine Investition in eine agile learning platform den Entwicklern hilft, Schwachstellen schneller zu beheben, verwenden Sie das folgende Modell und ersetzen Sie die blauen Variablen durch Ihre eigenen Zahlen:

 Ausgangssituation:

‍

Angenommener Nutzen von agilem learning platform auf MTTR (Mean Time To Remediate)

‍

Präventionswert: Vermeidung von Nacharbeitskosten

Eine agile learning platform hilft den Entwicklern, von Anfang an sicheren Code zu schreiben. Das Modell zur Ermittlung dieser finanziellen Auswirkungen wird im Folgenden vorgestellt.

‍

Agiler Lernansatz macht den Unterschied

Das agile SCW learning platform für sicheren Code ist alternativen Ansätzen für die Sicherheitsschulung von Entwicklern überlegen. SCW-Kunden haben hervorragende Ergebnisse erzielt, die natürlich von den individuellen Kosten und Schwachstellenmetriken ihrer jeweiligen Situation abhängen. Ein großes Finanzdienstleistungsunternehmen, Envestnet, stellte fest, dass durch SCW geschulte Entwickler 2,7 Mal mehr Schwachstellen behoben haben als ihre Kollegen. Darüber hinaus konnte eine Gruppe von 1.200 SCW-geschulten Entwicklern die Behebungsrate in ihrer Warteschlange um 120 % steigern.   

Wie bei jeder Investition in eine Unternehmenslösung ist es wichtig, Ihre individuellen Umstände zu bewerten. Unser Team kann gemeinsam mit Ihnen eine assessment Ihres aktuellen Zustands erstellen und einen maßgeschneiderten Business Case entwickeln. Wenn Sie die Auswirkungen für sich selbst bewerten möchten, verwenden Sie die in diesem Blog beschriebenen Modelle und werfen Sie einen Blick auf ein kürzlich stattgefundenes Kunden-Webinar mit Sage, dem in Großbritannien ansässigen Unternehmen für Buchhaltungs- und ERP-Software mit einem Umsatz von 2 Mrd. USD, das eine Reduzierung der MTTR für Schwachstellen um 82 % als Teil eines robusten Programms zum Aufbau einer Sicherheitskultur diskutiert.

Über Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unsere learning platform ist die effektivste Lösung für sichere Programmierung, da sie agile Lernmethoden einsetzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Möchten Sie mehr erfahren? Fordern Sie eine Demo an. 

Eingebettetes, agiles Lernen ist die Zukunft 

In einem früheren Blog haben wir das Konzept des agilen Lernens vorgestellt und gezeigt, wie die Plattform für sicheren Code von Secure Code Warriormehrere agile Prinzipien veranschaulicht. In diesem zweiten Teil einer dreiteiligen Blogserie setzen wir die Untersuchung fort, wie eine agile learning platform für sicheren Code die traditionelle, auf die Einhaltung von Vorschriften ausgerichtete Sicherheitsschulung ersetzen kann, an die die meisten Unternehmen gewöhnt sind.

Der traditionelle, auf die Einhaltung von Vorschriften ausgerichtete Ansatz zum Erlernen von sicherem Code ist eine statische, punktuelle Schulung, die vierteljährlich oder jährlich durchgeführt wird. Das Problem bei diesem Format ist, dass es weder einen Anreiz für Entwickler schafft, sich mit sicherem Code zu befassen, noch hilft es ihnen, neue Fähigkeiten zu erwerben und sie bei ihrer Arbeit einzusetzen. Niemand verbringt gerne Stunden damit, eine Schulung zur Einhaltung von Vorschriften zu pauken, wenn man dadurch von wertvoller Arbeit abgehalten wird und Stunden verlorener Produktivität nachholen muss. 

Laut Gartner erkennt der Ansatz des agilen Lernens an, dass Menschen im Moment des Bedarfs am meisten lernen, wenn die Ausbildung in kleinen Einheiten, so genannten Microbursts, eingebettet in alltägliche Arbeitstätigkeiten erfolgt^.1

Secure Code Warrior ist die einzige agile learning platform , die mehrere Microburst-Lernformate kombiniert, so dass Entwickler ihr Wissen schnell lernen, testen und anwenden können, und zwar im Kontext der realen Arbeit, die sie bereits in dem Format ihrer Wahl erledigen. Agiles Lernen für sicheren Code bewahrt nicht nur stundenlange Produktivität, sondern bietet Entwicklern einen Weg, auf einfache Weise vom Lernen zum Handeln zu gelangen.   

‍

¹ Quelle: Das Manifest für agiles Lernen Gartner

Fluss der Wertschöpfung und des Lernens zum Ertrag

Agile Lernsysteme sind effektiv, weil sie Lernmöglichkeiten in den Fluss der Wertschöpfung einbinden , wo die Mitarbeiter direkte Auswirkungen auf ihre Arbeit sehen können, und weil sie das Lernen mit dem Verdienst verbinden (wie Gartner es ausdrückt). Punktuelle Compliance-Schulungen bleiben bei den Entwicklern nicht über einen längeren Zeitraum bestehen und bauen keine Fähigkeiten auf - noch schaffen sie einen Anreiz für sie, als Teil ihrer Arbeit zu lernen. Agiles Lernen macht das Lernen zu einem Teil der Arbeit und nicht zu einer Auszeit von der Arbeit.

Secure Code WarriorDie Plattform von GitLab liefert den Entwicklern zeitnahe Microburst-Inhalte in ihren täglichen Arbeitsablauf, so dass sie nicht mehr den Kontext wechseln müssen und die Inhalte bequem in den Entwicklungswerkzeugen nutzen können, die sie täglich verwenden, wie GitLab, GitHub, AzureBoards und Jira. Auf diese Weise bleiben sie mit ihrer Arbeit verbunden und lernen gleichzeitig dazu.

‍SozialeVerstärkung und Zusammenschluss von Gemeinschaften

Entwickler haben einen ausgeprägten Sinn für Gemeinschaft - das sehen wir an Plattformen wie GitHub, wo Wissen von Millionen von Entwicklern auf der ganzen Welt geteilt und genutzt wird. Die Grundsätze des agilen Lernens erkennen an, dass Menschen in einer Gruppe mehr lernen als im Alleingang. Soziale Gemeinschaften sind ein nützliches Mittel, um neue Fähigkeiten zu festigen und die Vorteile der Vermittlung von sicherem Code durch soziale Verstärkung zu verstärken.

Da die Sicherheitsinhalte von Secure Code Warriorleicht zugänglich und konsumierbar sind, mit sozialer Verstärkung durch tournaments und ein internes Punktesystem, wirkt die SCW-Plattform wie ein Motivationsmultiplikator , der das Vertrauen der einzelnen Entwickler von stärkt und sie zum Lernen motiviert. Tournaments Die SCW-Plattform erhöht den Bekanntheitsgrad von sicheren Programmierkenntnissen im Unternehmen und bietet einen starken Anreiz für Entwickler, sichere Programmierkenntnisse zu erwerben.

‍Machen Sieden Wechsel von der Ausbildung zum agilen Lernen

Die Umstellung Ihres Ansatzes von Sicherheitsschulungen auf agiles Lernen für sicheren Code ist ein wirksamer Weg, Ihre Entwickler zu befähigen, verschwendete Entwicklerstunden zurückzugewinnen und diese Zeit für produktivere Projekte zu nutzen. Beginnen Sie Ihre Reise mit einer Lernlösung, die auf agilen Prinzipien basiert. Die SCW Agile Learning Platform ist die effektivste Lernlösung für sicheren Code, weil sie Entwicklern die Wahl lässt, wie sie neue Fähigkeiten aufbauen. Durch die Einbeziehung agiler Lernmethoden wird die Fähigkeit der Entwickler, neue Fähigkeiten zu erlernen, zu verinnerlichen und bei ihrer Arbeit anzuwenden, erheblich verbessert. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Sind Sie bereit, ein agiles learning platform in Aktion zu sehen? Fordern Sie eine Demo an.

Am 13. Juli gaben wir den Abschluss unserer Serie-C-Finanzierungsrunde bekannt, bei der wir 50 Mio. USD für die nächste Phase unserer Mission aufgebracht haben: mehr Pionierorganisationen dabei zu helfen, die Kraft ihrer Entwicklungskohorte bei der Abwehr allgemeiner Schwachstellen zu nutzen. 

Unsere marktführende Suite agiler Lerntools wurde mit dem Ziel entwickelt, nicht nur die sicheren Programmierfähigkeiten von Entwicklern zu verbessern, sondern ihnen auch bei der Art und Weise, wie sie arbeiten, lernen und sich mit Weiterbildungsmöglichkeiten beschäftigen, entgegenzukommen. Mit dieser Finanzierung wird sichergestellt, dass die Arbeit unseres unglaublichen Teams fortgesetzt werden kann und wir aufregende neue Meilensteine in unserer Produkt-Roadmap erreichen können.

Angesichts staatlicher Vorschriften, die für die meisten Unternehmen einen grundlegenden Wandel in der Sicherheitskultur erforderlich machen, stellt sich die Frage, wie die Zukunft für Unternehmen aussieht, die ihre Entwickler eher früher als später weiterbilden.

Mit agilem Lernen bedrohungsflexibel bleiben

Eines der berühmtesten Zitate des legendären chinesischen Philosophen Konfuzius lautet: "Das grüne Schilfrohr, das sich im Wind biegt, ist stärker als die mächtige Eiche, die im Sturm bricht." In diesem modernen Zeitalter, in dem sich die Technologie in einem halsbrecherischen Tempo weiterentwickelt und heimtückische Cyber-Bedrohungen kaum einen Schritt hinterherkommen, können es sich Unternehmen nicht leisten, Zeit mit statischen Bildungslösungen zu verschwenden. Es ist nicht ungewöhnlich, dass Lehrbücher zur Cybersicherheit bereits veraltet sind, bevor sie gedruckt wurden, und starre, auf dem Unterricht basierende courses sind einfach nicht darauf ausgelegt, sich zu drehen, um die besten Techniken und Ansätze für Sicherheitsprobleme zu präsentieren, sobald sie ans Licht kommen. 

Secure Code Warrior ist nach wie vor marktführend im Bereich der Sicherheitsschulung für Entwickler und nutzt einen agilen Ansatz für die Befähigung von Entwicklern, um sie zu den Goldstandard-Ingenieuren von morgen auszubilden. Unsere learning platform und unsere auf Entwickler ausgerichteten Tools ermöglichen es uns, viel dynamischer zu sein und mit den aktuellen Bedrohungen und den effizientesten Lösungen für diese Probleme Schritt zu halten, sobald sie auftreten. Wenn die Wurzeln Ihrer Schulungslösung an einer Stelle verankert sind, ist es unwahrscheinlich, dass Sie sich bei der Schulung von Entwicklern "nach dem Wind richten" können, was zu Frustration sowohl bei den Ausbildern als auch bei den Schülern und zu weitaus weniger Erfolg bei der Behebung von Schwachstellen führt. 

Laut Gartner werden bis zum Jahr 2025 70 % der Großunternehmen agile Lernkonzepte anwenden. Diese Verlagerung hin zum Mikrolernen, zur kontinuierlichen Verbesserung und zum Aufbau von Schlüsselwissen, das für die wichtigsten Geschäftsziele und Sicherheitsergebnisse genutzt werden kann, birgt enorme Vorteile in sich. Allerdings muss dafür der Status quo in Frage gestellt werden. Unternehmen müssen sich dazu verpflichten, den Bildungsbedarf als Teil der täglichen Arbeitsaufgaben zu sehen und nicht als zusätzliche, monolithische Ergänzung, die den Stresspegel eher erhöht als die Fähigkeiten. 

Ausbau unserer Fähigkeiten und unserer Führungsrolle zur Bereitstellung von erstklassigem agilem Lernen

Als Teil unseres Bestrebens, die besten agilen Lernwerkzeuge für zukunftsorientierte Unternehmenskunden zu liefern, sind wir stolz darauf, unser kürzlich erweitertes Führungsteam bekannt zu geben. Wir haben den Chief Customer Officer von Imperva, Nanhi Singh, in unser Board of Directors berufen und Patrick Collins zu unserem neuen Chief Product and Technology Officer ernannt. 

Intelligente Unternehmen sind sich bewusst, dass es keine "Einheitsgröße" für praxisorientiertes Lernen im Bereich der Cybersicherheit gibt, und möchten ihren Entwicklungsteams mehrere Lernpfade anbieten. Wir ermöglichen dies jeden Tag durch unsere agile learning platform und einen konstanten Strom von Verbesserungen und Erfahrungen, einschließlich unserer Echtzeit-Feedback-Option mit Coding Labs, um die fesselndsten, umfangreichsten Lernumgebungen zu schaffen. Unsere Just-in-Time-Methode sorgt dafür, dass keine Zeit mit irrelevanten Modulen oder courses verschwendet wird, sondern die richtigen Informationen zum richtigen Zeitpunkt bereitgestellt werden. 

Diese Realität wäre ohne das unerschütterliche Engagement unserer Teammitglieder und das anhaltende Vertrauen unserer Investoren nicht möglich. Die Möglichkeiten des agilen Lernens sind endlos, und ich könnte nicht begeisterter sein, Nanhi und Patrick willkommen zu heißen, die in den kommenden Monaten zweifellos unschätzbare Beiträge leisten werden.

Eine Version dieses Artikels erschien in Dunkles Lesen. Er wurde aktualisiert und hier syndiziert.

‍

Seit dem ersten Hype um die neuesten, kulturverändernden KI-Tools haben Entwickler und Neugierige sie genutzt, um Code auf Knopfdruck zu erzeugen. Sicherheitsexperten wiesen schnell darauf hin, dass der erzeugte Code in vielen Fällen von schlechter Qualität und angreifbar war und in den Händen von Personen mit geringem Sicherheitsbewusstsein eine Lawine unsicherer Apps und Webentwicklungen auslösen konnte, die auf ahnungslose Verbraucher losgelassen wurde.

Und dann gibt es noch diejenigen, die über genügend Sicherheitswissen verfügen, um es für, nun ja, Böses zu nutzen. Für jede atemberaubende KI-Leistung scheint es einen Gegenschlag zu geben, bei dem die gleiche Technologie für ruchlose Zwecke eingesetzt wird. Phishing, gefälschte Betrugsvideos, die Erstellung von Malware, allgemeine Skript-Kinderspielereien ... diese störenden Aktivitäten sind viel schneller und mit niedrigeren Einstiegshürden zu erreichen.

Es gibt sicherlich eine Menge Clickbaits, die diese Werkzeuge als revolutionär anpreisen oder zumindest als überlegen, wenn sie mit "durchschnittlichen" menschlichen Fähigkeiten kombiniert werden. Auch wenn es unvermeidlich scheint, dass die KI-Technologie im Stil des LLM die Art und Weise, wie wir an viele Aspekte der Arbeit herangehen - nicht nur an die Softwareentwicklung - verändern wird, müssen wir einen Schritt zurücktreten und die Risiken jenseits der Schlagzeilen betrachten. 

Und als Programmierbegleiter sind seine Schwächen vielleicht sein "menschlichstes" Attribut.

Schlechte Kodierungsmuster dominieren die Lösungen

Da ChatGPT auf jahrzehntelang bestehendem Code und Wissensdatenbanken basiert, ist es nicht verwunderlich, dass es trotz all seiner Wunder und Geheimnisse auch unter denselben häufigen Fallstricken leidet, mit denen Menschen beim Navigieren durch Code konfrontiert werden. Schlechte Codierungsmuster sind an der Tagesordnung, und es bedarf immer noch eines sicherheitsbewussten Treibers, um sichere Codierungsbeispiele zu generieren, indem er die richtigen Fragen stellt und das richtige Prompt Engineering liefert. 

Selbst dann gibt es keine Garantie dafür, dass die angegebenen Codeschnipsel aus der Sicherheitsperspektive korrekt und funktionsfähig sind. Die Technologie neigt zu Halluzinationen und erfindet sogar nicht existierende Bibliotheken, wenn sie aufgefordert wird, bestimmte JSON-Operationen durchzuführen, wie Mike Shema herausgefunden hat. Dies könnte dazu führen, dass Bedrohungsakteure "Halluzinationen besetzen", die nur allzu gerne eine Malware entwickeln, die als die von ChatGPT vertrauensvoll empfohlene Bibliothek getarnt ist.

Letztendlich müssen wir der Realität ins Auge sehen, dass wir im Allgemeinen nicht erwartet haben, dass Entwickler ausreichend sicherheitsbewusst sind, noch haben wir sie als Industrie angemessen darauf vorbereitet, standardmäßig sicheren Code zu schreiben. Dies wird sich in der enormen Menge an Trainingsdaten zeigen, die in ChatGPT eingespeist werden, und wir können zumindest anfangs mit ähnlich glanzlosen Sicherheitsergebnissen rechnen. Die Entwickler müssten in der Lage sein, die Sicherheitslücken zu erkennen und sie entweder selbst zu beheben oder bessere Eingabeaufforderungen zu entwerfen, um ein stabileres Ergebnis zu erzielen.

Die erste groß angelegte Nutzerstudie, in der untersucht wurde, wie Nutzer mit einem KI-Codierassistenten interagieren, um verschiedene sicherheitsrelevante Aufgaben zu lösen, und die von Forschern der Stanford University durchgeführt wurde, stützt diesen Gedanken, wobei eine Beobachtung zum Schluss kommt:

"Wir konnten beobachten, dass Teilnehmer, die Zugang zum KI-Assistenten hatten, bei den meisten Programmieraufgaben eher Sicherheitslücken einbrachten, aber auch eher ihre unsicheren Antworten als sicher einstuften als die Teilnehmer unserer Kontrollgruppe."

Dies spricht für ein gewisses Standardvertrauen in die Ergebnisse von KI-Codierungstools, die einen Code produzieren, der immer von Natur aus sicher ist, obwohl dies nicht der Fall ist.

In Anbetracht dieser Tatsache und der unvermeidlichen, von KI ausgehenden Bedrohungen, die unsere Zukunft durchdringen werden, müssen Entwickler mehr denn je ihre Sicherheitsfähigkeiten verbessern und die Messlatte für die Qualität des Codes unabhängig von seiner Herkunft höher legen.

Der Weg zu einer Datenverletzungskatastrophe ist mit guten Absichten gepflastert

Es sollte nicht überraschen, dass KI-Coding-Begleiter beliebt sind, zumal Entwickler mit zunehmender Verantwortung, engeren Fristen und den Ambitionen der Innovation eines Unternehmens konfrontiert sind, die auf ihren Schultern ruhen. Doch selbst bei den besten Absichten führt ein mangelndes Sicherheitsbewusstsein beim Einsatz von KI für die Programmierung unweigerlich zu eklatanten Sicherheitsproblemen. Alle Entwickler, die KI/ML-Tools einsetzen, werden mehr Code generieren, und das Sicherheitsrisiko hängt von ihrem Kenntnisstand ab. Unternehmen müssen sich darüber im Klaren sein, dass ungeschulte Mitarbeiter sicherlich schneller Code generieren werden, aber auch die Geschwindigkeit der technischen Sicherheitsverschuldung erhöhen werden.

Schon unser erster Test (April 2023) mit ChatGPT hat gezeigt, dass es sehr einfache Fehler erzeugt, die verheerende Folgen haben können. Als wir es baten, eine Login-Routine in PHP mit einer MySQL-Datenbank zu erstellen, wurde schnell funktionierender Code erzeugt. Es speicherte jedoch standardmäßig Passwörter im Klartext in einer Datenbank, speicherte Datenbankverbindungsdaten im Code und verwendete ein Codierungsmuster, das zu SQL-Injection führen könnte (obwohl es die Eingabeparameter in gewissem Umfang filterte und Datenbankfehler ausspuckte). Alles Anfängerfehler nach allen Regeln der Kunst:
‍

‍
Weitere Aufforderungen sorgten dafür, dass die Fehler korrigiert wurden, aber es erfordert erhebliches Sicherheitswissen, um den Kurs zu korrigieren. Die unkontrollierte und weit verbreitete Nutzung dieser Tools ist nicht besser, als wenn man Nachwuchsentwickler auf seine Projekte loslässt, und wenn dieser Code sensible Infrastrukturen aufbaut oder personenbezogene Daten verarbeitet, dann haben wir es mit einer tickenden Zeitbombe zu tun.

Natürlich erwarten wir, dass sich die KI/ML-Fähigkeiten mit der Zeit verbessern, so wie Nachwuchsentwickler ihre Fähigkeiten zweifellos verbessern. In einem Jahr wird sie vielleicht keine so offensichtlichen und einfachen Sicherheitsfehler mehr machen. Dies wird jedoch zur Folge haben, dass die Sicherheitsfähigkeiten, die erforderlich sind, um die schwerwiegenderen, versteckten, nicht trivialen Sicherheitsfehler aufzuspüren, die noch immer auftreten können, drastisch zunehmen werden.

Wir sind nach wie vor schlecht darauf vorbereitet, Sicherheitsschwachstellen zu finden und zu beheben, und KI vergrößert die Lücke

Auch wenn seit vielen Jahren von einem "Linksruck" die Rede ist, bleibt die Tatsache bestehen, dass in den meisten Unternehmen ein erheblicher Mangel an praktischen Sicherheitskenntnissen unter den Entwicklern herrscht. Wir müssen härter daran arbeiten, die richtigen Tools und Schulungen bereitzustellen, um sie auf ihrem Weg zu unterstützen.

So wie es aussieht, sind wir nicht auf die Sicherheitsprobleme vorbereitet, an die wir gewöhnt sind, ganz zu schweigen von den neuen, durch KI verursachten Problemen wie Prompt Injection und Halluzination Squatting, die völlig neue Angriffsvektoren darstellen, die sich wie ein Lauffeuer verbreiten werden. KI-Codierungstools stellen die Zukunft des Codierungsarsenals eines Entwicklers dar, aber die Ausbildung zum sicheren Umgang mit diesen Produktivitätswaffen muss jetzt erfolgen.

‍