Sichere Code-Einblicke

Cyberangriffe auf die Software-Lieferkette werden immer häufiger, was zu einer Reihe von Gesetzesänderungen auf US-Regierungsebene geführt hat, während sich Unternehmen bemühen, ihr umfangreiches Risikoprofil zu mindern und die Softwarequalität rasch zu verbessern. Allein in diesem Jahr gab es drei Zero-Day-Schwachstellen im Zusammenhang mit File-Sharing-Diensten, wobei die größte und zerstörerischste in Form des Massenangriffs MOVEit auftrat.

Der MOVEit-Vorfall, der von der CL0P-Ransomware-Gruppe angeführt wird, beherrscht seit einiger Zeit die Cybersecurity-Nachrichten, da mehr als 1.000 Unternehmen betroffen sind. Diese Zahl wird weiter steigen, was diesen Vorfall zu einem der stärksten Angriffe auf die Software-Lieferkette seit Solarwinds im Jahr 2021 macht.

Der Auslöser für diese weit verbreitete Sicherheitslücke war eine Reihe von SQL-Injection-Schwachstellen, die von MITRE mit 9,8 von 10 Punkten bewertet wurden. SQL-Injection ist seit den späten 90er Jahren das Schreckgespenst der Sicherheitsexperten, und obwohl es relativ einfach zu beheben ist, findet es weiterhin seinen Weg in moderne Software und bietet Bedrohungsakteuren einen roten Teppich zu sensiblen Daten. 

Das MOVEit-Szenario unterscheidet sich ein wenig von dem, was viele Entwickler und AppSec-Profis bisher erlebt haben, und Sie können Ihre SQLi-Slaying-Fähigkeiten in einer Live-Simulation gleich hier testen:

>>> PLAY THE MOVEit MISSION

Die Sicherheitslücke: SQL-Einschleusung

Wie genau wurde die SQL-Injektion verwendet, um die MOVEit-Dateiübertragungsanwendung von Progress Software auszunutzen?

Die CL0P-Ransomware-Gruppe konnte die SQL-Injection-Schwachstelle CVE-2023-34362 ausnutzen, die ihnen uneingeschränkten und unbefugten Zugriff auf die MOVEit-Datenbank ermöglichte. Von dort aus konnten sie LEMURLOOT installieren, eine Web-Shell, die es ihnen schließlich ermöglichte, mehrere hochriskante, kritische Prozesse auszuführen, wie z. B. das Abrufen von Systemeinstellungen, das Aufzählen der SQL-Datenbank, das Abrufen von Dateien aus dem MOVEit-Transfersystem und das Erstellen eines neuen Kontos mit vollen Verwaltungsrechten.

Natürlich mag dieser Angriffsvektor das Ergebnis eines relativ einfachen Fehlers sein - eines Fehlers, den man auf die ständige Verwendung schlechter Codierungsmuster zurückführen könnte -, aber sein Potenzial, anhaltende Probleme auf Unternehmensebene zu verursachen, ist immens. 

Vergleichbar mit dem MOVEit-Exploit, sehen wir uns diesen SQLi-Explainer an, der die Methode der Injektion und Ausführung von schädlichem SQL simuliert:
‍

Diese Abfragezeichenfolge und Variable:
‍

string emailAddress ="contact@scw.com";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";

ergibt die folgende Abfrage:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'";
‍

... und mit bösartig gestalteten Eingaben:
‍

string emailAddress = "contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--";

var query = $"SELECT u.UserName From Users as u WHERE u.Email = '{emailAddress}'";
‍

wird es:
‍

var query = $"SELECT u.UserName From Users as u WHERE u.Email = 'contact@scw.com'; DELETE FROM Invoices WHERE Id = 2;--'";
‍

Wie sieht das im Flug aus?

Beachten Sie, dass die Eingabe aufgrund der String-Verkettung als SQL-Syntax interpretiert wird. Zunächst wird ein einfaches Anführungszeichen hinzugefügt, um sicherzustellen, dass die SELECT-Anweisung eine gültige SQL-Syntax ist. Anschließend wird ein Semikolon hinzugefügt, um die erste Anweisung zu beenden. 

Danach wird eine gültige DELETE-Anweisung eingefügt, gefolgt von zwei Bindestrichen, um alle nachgestellten Zeichen (das einfache Anführungszeichen) auszukommentieren. Eine UPDATE-Anweisung könnte genauso gut hinzugefügt werden, wenn das bösartige SQL beispielsweise die Rollen oder Passwörter der Benutzer aktualisieren soll.
‍

Probieren Sie es in dieser spielbaren Mission selbst aus:
‍

>>> SPIELEN SIE DIE MOVEit-MISSION
‍

Obwohl SQLi relativ einfach ist, bleibt es ein mächtiger Angriffsvektor, der nur allzu häufig vorkommt. Im Fall von MOVEit machte diese Schwachstelle den Weg frei für eine schädliche Backdoor-Installation und eine Reihe weiterer Angriffe mit ähnlichem Schweregrad.

Wie können Sie das Risiko einer SQL-Injektion mindern?

Unternehmen, die MOVEit im Rahmen ihrer Geschäftstätigkeit einsetzen, müssen unbedingt die empfohlenen Abhilfemaßnahmen von Progress Software befolgen. Dazu gehört unter anderem das Einspielen von Sicherheits-Patches, die in Notfällen Priorität haben.

Zum Thema SQL-Injection im Allgemeinen lesen Sie bitte unseren umfassenden Leitfaden.

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und das Risiko minimieren können? Probieren Sie unsere kostenlose SQL-Injection-Challenge aus.

Wenn Sie an weiteren kostenlosen Codierungsrichtlinien interessiert sind, schauen Sie sich den Secure Code Coach an, der Ihnen hilft, mit den Best Practices für sichere Codierung Schritt zu halten.

Frisch nach der Bekanntgabe unserer Serie-C-Finanzierung freue ich mich, einen weiteren Schritt auf dem Weg unseres Unternehmens bekannt geben zu können. Der Branchenführer im Bereich Sicherheit, Synopsys, hat eine aufregende neue Ergänzung zu seiner Produktpalette vorgestellt: Synopsys Developer Security Training, powered by Secure Code Warrior. Die vollständige Pressemitteilung können Sie hier lesen.

Diese Erweiterung des branchenführenden Portfolios an Lösungen für die Anwendungssicherheit ist ein positiver Schritt in die richtige Richtung für die Sicherheitsprogramme von Unternehmen und ermöglicht es ihnen, Best-Practice-Methoden für DevSecOps zu übernehmen - insbesondere solche, die sich auf die gemeinsame Verantwortung für die Sicherheit beziehen. Einfach ausgedrückt, wird diese Integration die globale Basis von sicherheitskompetenten Entwicklern vergrößern, und dies ist eine wunderbare Gelegenheit für jede Organisation, die Verringerung von Schwachstellen auf Code-Ebene durch die Befähigung von Entwicklern zu sicherem Coding zu unterstützen. 

Nach einigen der schlimmsten Cyberangriffe aller Zeiten nehmen die Regierungen weltweit die Softwareanbieter immer stärker unter die Lupe. Die CISA in den Vereinigten Staaten hat in diesem Jahr ihre Security-by-Design- und -Default-Richtlinien veröffentlicht, in denen sie empfiehlt, dass die Verantwortung für die Ergebnisse der Cybersicherheit letztlich beim Anbieter und nicht beim Endnutzer liegt. Für viele Softwareanbieter bedeutet dies, dass sie ihre internen Sicherheitspraktiken grundlegend überarbeiten müssen, andernfalls drohen saftige Geldstrafen. Dies wird schnell zu einer weltweit nicht verhandelbaren Forderung werden, und alle Ausreden, die sich auf einen Mangel an Cybersecurity-Fachkräften beziehen, werden nicht gelten: Wir brauchen sicherheitsbewusste Entwickler, die ihre wichtige Rolle bei der Erstellung sicherer Software spielen, und wir brauchen sie jetzt.

Flexible, anpassbare agile Lernlösungen sind ein wirksames Gegenmittel gegen schlechte Codierungsmuster und die negativen Erfahrungen, die viele Entwickler bisher mit AppSec-Initiativen gemacht haben. Sie müssen überzeugt werden, man muss ihnen entgegenkommen und ihnen Lernpfade anbieten, die sich in ihren Arbeitsablauf einfügen, um die richtigen Informationen zur richtigen Zeit zu liefern. Die Integration von Synopsys in unsere Plattform ist eine praktikable, marktführende Lösung für dieses Problem und kann die Beziehung der Entwickler zur Sicherheit grundlegend zum Besseren verändern.

Cyberkriminalität wird Unternehmen weltweit bis 2025 schätzungsweise 10,5 Billionen Dollar jährlich kosten, ein stetiger Anstieg gegenüber 3 Billionen Dollar im Jahr 2015. Cybersecurity Ventures berichtet außerdem, dass Cyberkriminalität den "größten Transfer von wirtschaftlichem Wohlstand in der Geschichte" darstellt. Dies ist keine Übung; wir als kollektive Branche müssen damit beginnen, die Ausbildung jedes Einzelnen, der Code schreibt, in sicherer Codierung zu priorisieren und einen neuen Maßstab für Sicherheit als Maßstab für Softwarequalität zu setzen. Mit der umfassenden Tool-Suite von Synopsys, die jetzt auch ansprechende, äußerst relevante praktische agile Lernprogramme für Entwickler enthält, gab es nie einen besseren Zeitpunkt, um einen sinnvollen Wechsel zu entwicklergesteuerten, präventiven Sicherheitsprogrammen vorzunehmen.

Agiles Lernen für sicheren Code im SDLC zahlt sich aus 

Dies ist der dritte Teil einer dreiteiligen Blogserie über die Eigenschaften und Vorteile einer agilen Learning Platform für sicheren Code. In Teil 1 haben wir das Konzept des agilen Lernens vorgestellt und gezeigt, wie die Plattform Secure Code Warriorverschiedene agile Prinzipien veranschaulicht. In Teil 2 haben wir untersucht, wie eine agile learning platform die traditionelle, an der Einhaltung von Vorschriften orientierte Sicherheitsschulung ersetzt.  

Eine agile learning platform bietet eine Lernerfahrung, die es dem Lernenden ermöglicht, neue Fähigkeiten effektiver zu verinnerlichen und anzuwenden, und zwar durch eine Kombination aus praktischer, kontextbezogener Ausbildung, die wirklich in den Arbeitsalltag integriert ist, als Teil der Arbeit. Dieser Lernansatz, wie ihn SCW auf Entwickler angewandt hat, die sich sichere Programmierkenntnisse aneignen wollen, unterscheidet SCW von traditionellen Lernmodalitäten und macht uns einzigartig. In diesem dritten und letzten Blog der Reihe erläutern wir Ihnen, welchen ROI Unternehmen von einer agilen learning platform für sicheren Code erwarten können und wie Sie die Zahlen für Ihr Unternehmen modellieren können.

Auswirkungen auf die Wirtschaft

Unternehmen, die einen agilen Ansatz für sicheres Code-Lernen anwenden, sehen eine 2- bis 3-fache Auswirkung auf ihr Geschäft durch zwei Hebel: die Fähigkeit, Schwachstellen schneller zu beheben und die Vermeidung von Nachbearbeitungskosten. 

‍

‍

Je früher im SDLC Schwachstellen behoben werden, desto weniger Schaden können sie anrichten und desto weniger kostspielig ist ihre Behebung. Nach Angaben des Sicherheitsexperten Jim Routh, der zuvor Chief Security Officer bei Aetna und CISO bei MassMutual war, steigen die Kosten pro Fehler in den Phasen des SDLC auf über 14.000 Dollar, wenn er während des Wartungsmodus nach der Freigabe der Software für die Produktion behoben wird. Die Kosten können halbiert werden, wenn sie während der Testphase behoben werden, und sie können 14-mal niedriger sein, wenn sie während der Kodierungsphase behoben werden.  

‍

‍

Je besser die Entwickler in der Lage sind, Schwachstellen schneller zu beheben oder ganz zu vermeiden, desto weniger Kosten und Risiken muss ein Unternehmen für seine Softwareprodukte und internen Anwendungen in Kauf nehmen. Unternehmen, die in Schwachstellenprävention und Softwarequalität investieren wollen, bieten ihren Entwicklern eine agile learning platform , die ihnen flexible Erfahrungen und mehrere Lernwege bietet, die speziell auf unmittelbare geschäftliche Auswirkungen ausgerichtet sind.

‍

Untersuchungen des NIST zeigen, dass der Zeitaufwand für die Behebung einer Schwachstelle variiert, aber die Schätzungen in der folgenden Tabelle wurden in realen Szenarien mit großen Unternehmenskunden ermittelt.

‍

‍

Nachdem Teams neue Fähigkeiten zur sicheren Programmierung entwickelt haben, haben SCW-Kunden festgestellt, dass ihre Entwickler Schwachstellen um 50 bis 60 % schneller beheben und 50 % weniger risikobehaftete Schwachstellen im Produktionscode produzieren. Die Erfahrungen in jedem Unternehmen sind unterschiedlich, aber diese Ergebnisse wurden in großen Unternehmen mit mehr als 5.000 Entwicklern beobachtet. Die Steigerung der Entwicklerproduktivität hat sich auf das Endergebnis ausgewirkt.

Senkung der Betriebskosten: Schwachstellen schneller beheben

Um die finanziellen Auswirkungen eines sichereren Softwareentwicklungsprozesses zu verstehen und um zu sehen, wie eine Investition in eine agile learning platform den Entwicklern hilft, Schwachstellen schneller zu beheben, verwenden Sie das folgende Modell und ersetzen Sie die blauen Variablen durch Ihre eigenen Zahlen:

 Ausgangssituation:

‍

Angenommener Nutzen von agilem learning platform auf MTTR (Mean Time To Remediate)

‍

Präventionswert: Vermeidung von Nacharbeitskosten

Eine agile learning platform hilft den Entwicklern, von Anfang an sicheren Code zu schreiben. Das Modell zur Ermittlung dieser finanziellen Auswirkungen wird im Folgenden vorgestellt.

‍

Agiler Lernansatz macht den Unterschied

Das agile SCW learning platform für sicheren Code ist alternativen Ansätzen für die Sicherheitsschulung von Entwicklern überlegen. SCW-Kunden haben hervorragende Ergebnisse erzielt, die natürlich von den individuellen Kosten und Schwachstellenmetriken ihrer jeweiligen Situation abhängen. Ein großes Finanzdienstleistungsunternehmen, Envestnet, stellte fest, dass durch SCW geschulte Entwickler 2,7 Mal mehr Schwachstellen behoben haben als ihre Kollegen. Darüber hinaus konnte eine Gruppe von 1.200 SCW-geschulten Entwicklern die Behebungsrate in ihrer Warteschlange um 120 % steigern.   

Wie bei jeder Investition in eine Unternehmenslösung ist es wichtig, Ihre individuellen Umstände zu bewerten. Unser Team kann gemeinsam mit Ihnen eine assessment Ihres aktuellen Zustands erstellen und einen maßgeschneiderten Business Case entwickeln. Wenn Sie die Auswirkungen für sich selbst bewerten möchten, verwenden Sie die in diesem Blog beschriebenen Modelle und werfen Sie einen Blick auf ein kürzlich stattgefundenes Kunden-Webinar mit Sage, dem in Großbritannien ansässigen Unternehmen für Buchhaltungs- und ERP-Software mit einem Umsatz von 2 Mrd. USD, das eine Reduzierung der MTTR für Schwachstellen um 82 % als Teil eines robusten Programms zum Aufbau einer Sicherheitskultur diskutiert.

Über Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unsere learning platform ist die effektivste Lösung für sichere Programmierung, da sie agile Lernmethoden einsetzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Möchten Sie mehr erfahren? Fordern Sie eine Demo an. 

Eingebettetes, agiles Lernen ist die Zukunft 

In einem früheren Blog haben wir das Konzept des agilen Lernens vorgestellt und gezeigt, wie die Plattform für sicheren Code von Secure Code Warriormehrere agile Prinzipien veranschaulicht. In diesem zweiten Teil einer dreiteiligen Blogserie setzen wir die Untersuchung fort, wie eine agile learning platform für sicheren Code die traditionelle, auf die Einhaltung von Vorschriften ausgerichtete Sicherheitsschulung ersetzen kann, an die die meisten Unternehmen gewöhnt sind.

Der traditionelle, auf die Einhaltung von Vorschriften ausgerichtete Ansatz zum Erlernen von sicherem Code ist eine statische, punktuelle Schulung, die vierteljährlich oder jährlich durchgeführt wird. Das Problem bei diesem Format ist, dass es weder einen Anreiz für Entwickler schafft, sich mit sicherem Code zu befassen, noch hilft es ihnen, neue Fähigkeiten zu erwerben und sie bei ihrer Arbeit einzusetzen. Niemand verbringt gerne Stunden damit, eine Schulung zur Einhaltung von Vorschriften zu pauken, wenn man dadurch von wertvoller Arbeit abgehalten wird und Stunden verlorener Produktivität nachholen muss. 

Laut Gartner erkennt der Ansatz des agilen Lernens an, dass Menschen im Moment des Bedarfs am meisten lernen, wenn die Ausbildung in kleinen Einheiten, so genannten Microbursts, eingebettet in alltägliche Arbeitstätigkeiten erfolgt^.1

Secure Code Warrior ist die einzige agile learning platform , die mehrere Microburst-Lernformate kombiniert, so dass Entwickler ihr Wissen schnell lernen, testen und anwenden können, und zwar im Kontext der realen Arbeit, die sie bereits in dem Format ihrer Wahl erledigen. Agiles Lernen für sicheren Code bewahrt nicht nur stundenlange Produktivität, sondern bietet Entwicklern einen Weg, auf einfache Weise vom Lernen zum Handeln zu gelangen.   

‍

¹ Quelle: Das Manifest für agiles Lernen Gartner

Fluss der Wertschöpfung und des Lernens zum Ertrag

Agile Lernsysteme sind effektiv, weil sie Lernmöglichkeiten in den Fluss der Wertschöpfung einbinden , wo die Mitarbeiter direkte Auswirkungen auf ihre Arbeit sehen können, und weil sie das Lernen mit dem Verdienst verbinden (wie Gartner es ausdrückt). Punktuelle Compliance-Schulungen bleiben bei den Entwicklern nicht über einen längeren Zeitraum bestehen und bauen keine Fähigkeiten auf - noch schaffen sie einen Anreiz für sie, als Teil ihrer Arbeit zu lernen. Agiles Lernen macht das Lernen zu einem Teil der Arbeit und nicht zu einer Auszeit von der Arbeit.

Secure Code WarriorDie Plattform von GitLab liefert den Entwicklern zeitnahe Microburst-Inhalte in ihren täglichen Arbeitsablauf, so dass sie nicht mehr den Kontext wechseln müssen und die Inhalte bequem in den Entwicklungswerkzeugen nutzen können, die sie täglich verwenden, wie GitLab, GitHub, AzureBoards und Jira. Auf diese Weise bleiben sie mit ihrer Arbeit verbunden und lernen gleichzeitig dazu.

‍SozialeVerstärkung und Zusammenschluss von Gemeinschaften

Entwickler haben einen ausgeprägten Sinn für Gemeinschaft - das sehen wir an Plattformen wie GitHub, wo Wissen von Millionen von Entwicklern auf der ganzen Welt geteilt und genutzt wird. Die Grundsätze des agilen Lernens erkennen an, dass Menschen in einer Gruppe mehr lernen als im Alleingang. Soziale Gemeinschaften sind ein nützliches Mittel, um neue Fähigkeiten zu festigen und die Vorteile der Vermittlung von sicherem Code durch soziale Verstärkung zu verstärken.

Da die Sicherheitsinhalte von Secure Code Warriorleicht zugänglich und konsumierbar sind, mit sozialer Verstärkung durch tournaments und ein internes Punktesystem, wirkt die SCW-Plattform wie ein Motivationsmultiplikator , der das Vertrauen der einzelnen Entwickler von stärkt und sie zum Lernen motiviert. Tournaments Die SCW-Plattform erhöht den Bekanntheitsgrad von sicheren Programmierkenntnissen im Unternehmen und bietet einen starken Anreiz für Entwickler, sichere Programmierkenntnisse zu erwerben.

‍Machen Sieden Wechsel von der Ausbildung zum agilen Lernen

Die Umstellung Ihres Ansatzes von Sicherheitsschulungen auf agiles Lernen für sicheren Code ist ein wirksamer Weg, Ihre Entwickler zu befähigen, verschwendete Entwicklerstunden zurückzugewinnen und diese Zeit für produktivere Projekte zu nutzen. Beginnen Sie Ihre Reise mit einer Lernlösung, die auf agilen Prinzipien basiert. Die SCW Agile Learning Platform ist die effektivste Lernlösung für sicheren Code, weil sie Entwicklern die Wahl lässt, wie sie neue Fähigkeiten aufbauen. Durch die Einbeziehung agiler Lernmethoden wird die Fähigkeit der Entwickler, neue Fähigkeiten zu erlernen, zu verinnerlichen und bei ihrer Arbeit anzuwenden, erheblich verbessert. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Sind Sie bereit, ein agiles learning platform in Aktion zu sehen? Fordern Sie eine Demo an.

Am 13. Juli gaben wir den Abschluss unserer Serie-C-Finanzierungsrunde bekannt, bei der wir 50 Mio. USD für die nächste Phase unserer Mission aufgebracht haben: mehr Pionierorganisationen dabei zu helfen, die Kraft ihrer Entwicklungskohorte bei der Abwehr allgemeiner Schwachstellen zu nutzen. 

Unsere marktführende Suite agiler Lerntools wurde mit dem Ziel entwickelt, nicht nur die sicheren Programmierfähigkeiten von Entwicklern zu verbessern, sondern ihnen auch bei der Art und Weise, wie sie arbeiten, lernen und sich mit Weiterbildungsmöglichkeiten beschäftigen, entgegenzukommen. Mit dieser Finanzierung wird sichergestellt, dass die Arbeit unseres unglaublichen Teams fortgesetzt werden kann und wir aufregende neue Meilensteine in unserer Produkt-Roadmap erreichen können.

Angesichts staatlicher Vorschriften, die für die meisten Unternehmen einen grundlegenden Wandel in der Sicherheitskultur erforderlich machen, stellt sich die Frage, wie die Zukunft für Unternehmen aussieht, die ihre Entwickler eher früher als später weiterbilden.

Mit agilem Lernen bedrohungsflexibel bleiben

Eines der berühmtesten Zitate des legendären chinesischen Philosophen Konfuzius lautet: "Das grüne Schilfrohr, das sich im Wind biegt, ist stärker als die mächtige Eiche, die im Sturm bricht." In diesem modernen Zeitalter, in dem sich die Technologie in einem halsbrecherischen Tempo weiterentwickelt und heimtückische Cyber-Bedrohungen kaum einen Schritt hinterherkommen, können es sich Unternehmen nicht leisten, Zeit mit statischen Bildungslösungen zu verschwenden. Es ist nicht ungewöhnlich, dass Lehrbücher zur Cybersicherheit bereits veraltet sind, bevor sie gedruckt wurden, und starre, auf dem Unterricht basierende courses sind einfach nicht darauf ausgelegt, sich zu drehen, um die besten Techniken und Ansätze für Sicherheitsprobleme zu präsentieren, sobald sie ans Licht kommen. 

Secure Code Warrior ist nach wie vor marktführend im Bereich der Sicherheitsschulung für Entwickler und nutzt einen agilen Ansatz für die Befähigung von Entwicklern, um sie zu den Goldstandard-Ingenieuren von morgen auszubilden. Unsere learning platform und unsere auf Entwickler ausgerichteten Tools ermöglichen es uns, viel dynamischer zu sein und mit den aktuellen Bedrohungen und den effizientesten Lösungen für diese Probleme Schritt zu halten, sobald sie auftreten. Wenn die Wurzeln Ihrer Schulungslösung an einer Stelle verankert sind, ist es unwahrscheinlich, dass Sie sich bei der Schulung von Entwicklern "nach dem Wind richten" können, was zu Frustration sowohl bei den Ausbildern als auch bei den Schülern und zu weitaus weniger Erfolg bei der Behebung von Schwachstellen führt. 

Laut Gartner werden bis zum Jahr 2025 70 % der Großunternehmen agile Lernkonzepte anwenden. Diese Verlagerung hin zum Mikrolernen, zur kontinuierlichen Verbesserung und zum Aufbau von Schlüsselwissen, das für die wichtigsten Geschäftsziele und Sicherheitsergebnisse genutzt werden kann, birgt enorme Vorteile in sich. Allerdings muss dafür der Status quo in Frage gestellt werden. Unternehmen müssen sich dazu verpflichten, den Bildungsbedarf als Teil der täglichen Arbeitsaufgaben zu sehen und nicht als zusätzliche, monolithische Ergänzung, die den Stresspegel eher erhöht als die Fähigkeiten. 

Ausbau unserer Fähigkeiten und unserer Führungsrolle zur Bereitstellung von erstklassigem agilem Lernen

Als Teil unseres Bestrebens, die besten agilen Lernwerkzeuge für zukunftsorientierte Unternehmenskunden zu liefern, sind wir stolz darauf, unser kürzlich erweitertes Führungsteam bekannt zu geben. Wir haben den Chief Customer Officer von Imperva, Nanhi Singh, in unser Board of Directors berufen und Patrick Collins zu unserem neuen Chief Product and Technology Officer ernannt. 

Intelligente Unternehmen sind sich bewusst, dass es keine "Einheitsgröße" für praxisorientiertes Lernen im Bereich der Cybersicherheit gibt, und möchten ihren Entwicklungsteams mehrere Lernpfade anbieten. Wir ermöglichen dies jeden Tag durch unsere agile learning platform und einen konstanten Strom von Verbesserungen und Erfahrungen, einschließlich unserer Echtzeit-Feedback-Option mit Coding Labs, um die fesselndsten, umfangreichsten Lernumgebungen zu schaffen. Unsere Just-in-Time-Methode sorgt dafür, dass keine Zeit mit irrelevanten Modulen oder courses verschwendet wird, sondern die richtigen Informationen zum richtigen Zeitpunkt bereitgestellt werden. 

Diese Realität wäre ohne das unerschütterliche Engagement unserer Teammitglieder und das anhaltende Vertrauen unserer Investoren nicht möglich. Die Möglichkeiten des agilen Lernens sind endlos, und ich könnte nicht begeisterter sein, Nanhi und Patrick willkommen zu heißen, die in den kommenden Monaten zweifellos unschätzbare Beiträge leisten werden.

Eine Version dieses Artikels erschien in Dunkles Lesen. Er wurde aktualisiert und hier syndiziert.

‍

Seit dem ersten Hype um die neuesten, kulturverändernden KI-Tools haben Entwickler und Neugierige sie genutzt, um Code auf Knopfdruck zu erzeugen. Sicherheitsexperten wiesen schnell darauf hin, dass der erzeugte Code in vielen Fällen von schlechter Qualität und angreifbar war und in den Händen von Personen mit geringem Sicherheitsbewusstsein eine Lawine unsicherer Apps und Webentwicklungen auslösen konnte, die auf ahnungslose Verbraucher losgelassen wurde.

Und dann gibt es noch diejenigen, die über genügend Sicherheitswissen verfügen, um es für, nun ja, Böses zu nutzen. Für jede atemberaubende KI-Leistung scheint es einen Gegenschlag zu geben, bei dem die gleiche Technologie für ruchlose Zwecke eingesetzt wird. Phishing, gefälschte Betrugsvideos, die Erstellung von Malware, allgemeine Skript-Kinderspielereien ... diese störenden Aktivitäten sind viel schneller und mit niedrigeren Einstiegshürden zu erreichen.

Es gibt sicherlich eine Menge Clickbaits, die diese Werkzeuge als revolutionär anpreisen oder zumindest als überlegen, wenn sie mit "durchschnittlichen" menschlichen Fähigkeiten kombiniert werden. Auch wenn es unvermeidlich scheint, dass die KI-Technologie im Stil des LLM die Art und Weise, wie wir an viele Aspekte der Arbeit herangehen - nicht nur an die Softwareentwicklung - verändern wird, müssen wir einen Schritt zurücktreten und die Risiken jenseits der Schlagzeilen betrachten. 

Und als Programmierbegleiter sind seine Schwächen vielleicht sein "menschlichstes" Attribut.

Schlechte Kodierungsmuster dominieren die Lösungen

Da ChatGPT auf jahrzehntelang bestehendem Code und Wissensdatenbanken basiert, ist es nicht verwunderlich, dass es trotz all seiner Wunder und Geheimnisse auch unter denselben häufigen Fallstricken leidet, mit denen Menschen beim Navigieren durch Code konfrontiert werden. Schlechte Codierungsmuster sind an der Tagesordnung, und es bedarf immer noch eines sicherheitsbewussten Treibers, um sichere Codierungsbeispiele zu generieren, indem er die richtigen Fragen stellt und das richtige Prompt Engineering liefert. 

Selbst dann gibt es keine Garantie dafür, dass die angegebenen Codeschnipsel aus der Sicherheitsperspektive korrekt und funktionsfähig sind. Die Technologie neigt zu Halluzinationen und erfindet sogar nicht existierende Bibliotheken, wenn sie aufgefordert wird, bestimmte JSON-Operationen durchzuführen, wie Mike Shema herausgefunden hat. Dies könnte dazu führen, dass Bedrohungsakteure "Halluzinationen besetzen", die nur allzu gerne eine Malware entwickeln, die als die von ChatGPT vertrauensvoll empfohlene Bibliothek getarnt ist.

Letztendlich müssen wir der Realität ins Auge sehen, dass wir im Allgemeinen nicht erwartet haben, dass Entwickler ausreichend sicherheitsbewusst sind, noch haben wir sie als Industrie angemessen darauf vorbereitet, standardmäßig sicheren Code zu schreiben. Dies wird sich in der enormen Menge an Trainingsdaten zeigen, die in ChatGPT eingespeist werden, und wir können zumindest anfangs mit ähnlich glanzlosen Sicherheitsergebnissen rechnen. Die Entwickler müssten in der Lage sein, die Sicherheitslücken zu erkennen und sie entweder selbst zu beheben oder bessere Eingabeaufforderungen zu entwerfen, um ein stabileres Ergebnis zu erzielen.

Die erste groß angelegte Nutzerstudie, in der untersucht wurde, wie Nutzer mit einem KI-Codierassistenten interagieren, um verschiedene sicherheitsrelevante Aufgaben zu lösen, und die von Forschern der Stanford University durchgeführt wurde, stützt diesen Gedanken, wobei eine Beobachtung zum Schluss kommt:

"Wir konnten beobachten, dass Teilnehmer, die Zugang zum KI-Assistenten hatten, bei den meisten Programmieraufgaben eher Sicherheitslücken einbrachten, aber auch eher ihre unsicheren Antworten als sicher einstuften als die Teilnehmer unserer Kontrollgruppe."

Dies spricht für ein gewisses Standardvertrauen in die Ergebnisse von KI-Codierungstools, die einen Code produzieren, der immer von Natur aus sicher ist, obwohl dies nicht der Fall ist.

In Anbetracht dieser Tatsache und der unvermeidlichen, von KI ausgehenden Bedrohungen, die unsere Zukunft durchdringen werden, müssen Entwickler mehr denn je ihre Sicherheitsfähigkeiten verbessern und die Messlatte für die Qualität des Codes unabhängig von seiner Herkunft höher legen.

Der Weg zu einer Datenverletzungskatastrophe ist mit guten Absichten gepflastert

Es sollte nicht überraschen, dass KI-Coding-Begleiter beliebt sind, zumal Entwickler mit zunehmender Verantwortung, engeren Fristen und den Ambitionen der Innovation eines Unternehmens konfrontiert sind, die auf ihren Schultern ruhen. Doch selbst bei den besten Absichten führt ein mangelndes Sicherheitsbewusstsein beim Einsatz von KI für die Programmierung unweigerlich zu eklatanten Sicherheitsproblemen. Alle Entwickler, die KI/ML-Tools einsetzen, werden mehr Code generieren, und das Sicherheitsrisiko hängt von ihrem Kenntnisstand ab. Unternehmen müssen sich darüber im Klaren sein, dass ungeschulte Mitarbeiter sicherlich schneller Code generieren werden, aber auch die Geschwindigkeit der technischen Sicherheitsverschuldung erhöhen werden.

Schon unser erster Test (April 2023) mit ChatGPT hat gezeigt, dass es sehr einfache Fehler erzeugt, die verheerende Folgen haben können. Als wir es baten, eine Login-Routine in PHP mit einer MySQL-Datenbank zu erstellen, wurde schnell funktionierender Code erzeugt. Es speicherte jedoch standardmäßig Passwörter im Klartext in einer Datenbank, speicherte Datenbankverbindungsdaten im Code und verwendete ein Codierungsmuster, das zu SQL-Injection führen könnte (obwohl es die Eingabeparameter in gewissem Umfang filterte und Datenbankfehler ausspuckte). Alles Anfängerfehler nach allen Regeln der Kunst:
‍

‍
Weitere Aufforderungen sorgten dafür, dass die Fehler korrigiert wurden, aber es erfordert erhebliches Sicherheitswissen, um den Kurs zu korrigieren. Die unkontrollierte und weit verbreitete Nutzung dieser Tools ist nicht besser, als wenn man Nachwuchsentwickler auf seine Projekte loslässt, und wenn dieser Code sensible Infrastrukturen aufbaut oder personenbezogene Daten verarbeitet, dann haben wir es mit einer tickenden Zeitbombe zu tun.

Natürlich erwarten wir, dass sich die KI/ML-Fähigkeiten mit der Zeit verbessern, so wie Nachwuchsentwickler ihre Fähigkeiten zweifellos verbessern. In einem Jahr wird sie vielleicht keine so offensichtlichen und einfachen Sicherheitsfehler mehr machen. Dies wird jedoch zur Folge haben, dass die Sicherheitsfähigkeiten, die erforderlich sind, um die schwerwiegenderen, versteckten, nicht trivialen Sicherheitsfehler aufzuspüren, die noch immer auftreten können, drastisch zunehmen werden.

Wir sind nach wie vor schlecht darauf vorbereitet, Sicherheitsschwachstellen zu finden und zu beheben, und KI vergrößert die Lücke

Auch wenn seit vielen Jahren von einem "Linksruck" die Rede ist, bleibt die Tatsache bestehen, dass in den meisten Unternehmen ein erheblicher Mangel an praktischen Sicherheitskenntnissen unter den Entwicklern herrscht. Wir müssen härter daran arbeiten, die richtigen Tools und Schulungen bereitzustellen, um sie auf ihrem Weg zu unterstützen.

So wie es aussieht, sind wir nicht auf die Sicherheitsprobleme vorbereitet, an die wir gewöhnt sind, ganz zu schweigen von den neuen, durch KI verursachten Problemen wie Prompt Injection und Halluzination Squatting, die völlig neue Angriffsvektoren darstellen, die sich wie ein Lauffeuer verbreiten werden. KI-Codierungstools stellen die Zukunft des Codierungsarsenals eines Entwicklers dar, aber die Ausbildung zum sicheren Umgang mit diesen Produktivitätswaffen muss jetzt erfolgen.

‍

Es ist an der Zeit, die agilen Prinzipien auf die Schulung für sicheren Code anzuwenden

Der traditionelle Ansatz für die Schulung in sicherem Code wird in den meisten Unternehmen als punktuelle Übung mit einem diskreten Anfang und Ende behandelt. Da sich Unternehmen im digitalen Zeitalter immer schneller bewegen, ist dies nicht mehr ausreichend. Unternehmen aller Art müssen eine kontinuierliche Lernstrategie einführen, die in die tägliche Arbeit der Entwickler eingebettet ist. Die Einstellung neuer Sicherheitskräfte ist eine Lösung, aber diese Talente sind rar und der Ansatz ist nicht skalierbar. Genauso wie agile Praktiken den Wasserfall-Ansatz in der Softwareentwicklung überholt haben, revolutioniert Agile nun die Sicherheitsschulung für Entwickler. Der Vorteil agiler Methoden in der Softwareentwicklung besteht darin, dass die Arbeit in kleine Teile zerlegt wird und ein Sprint auf den nächsten folgt, um eine erfolgreiche Lieferung mit hoher Geschwindigkeit in einem kontinuierlichen, iterativen Zyklus zu gewährleisten. Auf die gleiche Weise wird agiles Lernen für sicheren Code in kleine, konsumierbare Teile zerlegt, schrittweise geschichtet und iterativ eng in den Arbeitsablauf der Entwickler integriert. Mit agilem Lernen lernen Entwickler effektiver, verinnerlichen Sicherheitsfähigkeiten schneller und schreiben fast sofort sichereren Code.  

Traditionelle Sicherheitsschulung vs. eine agile Learning Platform für sicheren Code

Agiles Lernen ist eine Reihe von Werten und Prinzipien, die festlegen, wie Menschen Wissen schneller und effektiver verinnerlichen können. In ihrem Agile Learning Manifesto (siehe Abbildung 1 unten) definiert Gartner vier Werte und acht Prinzipien.

Die vier Werte stehen für eine neue Denkweise in Bezug auf die Mitarbeiterschulung. Lernen als integrierter Bestandteil der Arbeit bedeutet Geschäftsergebnisse, Wachstumsdenken, in Echtzeit eingebettetes Training und Gemeinschaftsbildung. Diese Werte dienen als Nordstern für Lerninitiativen und als Rahmen für die acht Grundsätze, die wir hier kurz skizzieren.

1. Lernen, um Geld zu verdienen: Verbindet die finanziellen Ziele und den Bedarf des Unternehmens mit der Weiterentwicklung der Fähigkeiten des Entwicklers 
2. Motivationsmultiplikator: Der Zugang zu einer effektiven Plattform für den Aufbau von Sicherheitskompetenzen, die Entwickler für ihre berufliche Weiterentwicklung nutzen können, motiviert sie, mehr zu lernen
3. Just-in-time-Microbursts: Kleine Lerninhalte von 2 bis 25 Minuten Länge, die im richtigen Moment auftauchen und den Entwicklern helfen, relevante, nutzbare Fähigkeiten aufzubauen.
4. Dynamische Pfade: Sicherheitsinhalte können in verschiedenen Formaten bereitgestellt werden, und Entwickler können sich selbst in dem Modus bedienen, der ihrem Lernstil am besten entspricht.
5. Progressive Schichtung: Auf die Beherrschung der grundlegenden Konzepte für sicheren Code folgen fortgeschrittenere Kenntnisse und Übungen.
6. Fluss der Wertschöpfung: Konzepte für sicheren Code sind in die Tools und Bereiche eingebettet, in denen die Entwickler bereits tätig sind, so dass sie ihre Arbeit nicht verlassen müssen, um Zugang zu Schulungen zu erhalten.
7. Datengesteuert, KI-gestützt: Die Technologie passt die Lektionen dynamisch an und personalisiert das Lernen, um die Entwickler auf dem Laufenden zu halten und ihnen ein individuelles Erlebnis zu bieten, das sie in einem Klassenzimmer nie bekommen könnten 
8. Gesellschaftlich verstärkt: Der Aufbau einer Lernkultur, in der sichere Programmierfähigkeiten gefeiert werden und in der Entwickler an einem freundschaftlichen Wettbewerb teilnehmen sowie Wissen teilen, bringt Vorteile für das gesamte Unternehmen

Einführung in die agile learning platform für sicheren Code 

In den letzten zehn Jahren hat Secure Code Warrior agile Prinzipien in das Design unserer learning platform integriert. Wir haben die Form traditioneller Sicherheitsschulungen mit einer auf Entwickler ausgerichteten, flexiblen Lernerfahrung durchbrochen, die unseren Kunden in mehreren Dimensionen einen 2- bis 3-fachen geschäftlichen Nutzen gebracht hat, von reduzierten Risiken und Kosten bis hin zu erhöhter Entwicklerproduktivität. Doch was macht ein agiles learning platform aus? Wie genau führt ein agiles learning platform für sicheren Code dazu, dass Entwickler neue Fähigkeiten schnell verinnerlichen und sofort anwenden können? Was macht agiles Lernen für sicheren Code besser als traditionelles Sicherheitstraining? In diesem, dem ersten einer Reihe von Blog-Beiträgen, werden wir untersuchen, wie der SCW Agile Learning Platform mehrere der agilen Werte und Prinzipien veranschaulicht.

Dynamische Pfade und Just-in-Time-Mikroausbrüche, eingebettet in den Fluss der Wertlieferung 

Eine agile learning platform für sicheren Code bietet den Lernenden verschiedene Möglichkeiten, Inhalte zu konsumieren, ihr Wissen zu erweitern und neue Fähigkeiten zu verinnerlichen. Sie bietet Entwicklern dynamische Wege, um das zu finden, was am besten zu ihnen passt, und zwar in Form von kleinen, zeitlich begrenzten Mikroblöcken von Inhalten, die sie bei Bedarf konsumieren können. Die Nutzer können auf unserer Plattform die Lernform wählen, die ihnen am besten zusagt. Sie lernen Sicherheitskonzepte in Videos, Leitfäden und Komplettlösungen kennen, die in Form von Mikroblöcken zur Verfügung gestellt werden. Diese Funktionen vermitteln die grundlegenden Konzepte - das "Was" und "Wie" einer bestimmten Sicherheitslücke. Da diese Inhalte in den Entwicklungstools, die sie täglich verwenden, wie z. B. Jira, bereitgestellt werden, können die Konzepte besser verinnerlicht werden und ergeben mehr Sinn.

Die SCW-Plattform ist ein Beispiel für das agile Prinzip der progressiven Schichtung. Nachdem sich die Entwickler zunächst mit den Konzepten des Sicherheitscodes vertraut gemacht haben, können sie zu praktischen interaktiven Modulen wie Herausforderungen übergehen, missionsund Coding Labs , in denen sie die zuvor eingeführten grundlegenden Konzepte üben können. Diese Module sind für unterschiedliche Qualifikationsniveaus und Lernstile geeignet, so dass die Entwickler die Wahl haben, wie sie lernen wollen - dynamische Pfade. 

‍

Wechseln Sie von Schulungen zu agilem Lernen

Die Umstellung Ihres Ansatzes von Sicherheitsschulungen auf agiles Lernen für sicheren Code ist ein wirkungsvoller Weg, um Ihre Entwickler zu befähigen, verschwendete Entwicklerstunden zurückzugewinnen und diese Zeit für produktivere Projekte zu nutzen. In diesem Beitrag haben wir nur einige der Funktionen der Plattform Secure Code Warriorvorgestellt und erläutert, wie sie die Prinzipien einer agilen Lernstrategie veranschaulichen. Im nächsten Beitrag werden wir den Business Case für sicheres Code-Lernen demonstrieren und weitere von der Agilität inspirierte Funktionen der Plattform vorstellen.

Über Secure Code Warrior

Secure Code Warrior vermittelt Ihren Entwicklern die Fähigkeiten, sicheren Code zu schreiben. Unsere learning platform ist die effektivste Lösung für sichere Programmierung, da sie agile Lernmethoden einsetzt, um Entwicklern das Erlernen, Anwenden und Behalten von Software-Sicherheitsprinzipien zu ermöglichen. Mehr als 600 Unternehmen vertrauen Secure Code Warrior bei der Implementierung von Sicherheitsprogrammen mit agilem Lernen, der schnellen Bereitstellung sicherer Software und der Schaffung einer Kultur der entwicklergesteuerten Sicherheit. Möchten Sie mehr erfahren? Fordern Sie eine Demo an.

Dieser Artikel erschien ursprünglich im Rahmen des Forbes Technology Council. Er wurde aktualisiert und hier syndiziert.

‍

Was glauben Sie, wie viele Datensätze im Jahr 2022 kompromittiert wurden? Sie wären auf der richtigen Spur, wenn Sie auf etwa eine halbe Milliarde tippen würden. Ausgehend von öffentlich zugänglichen Daten über Datenschutzverletzungen wurden allein im letzten Jahr etwa 480.014.323 Datensätze gestohlen, aber die Zahl ist wahrscheinlich noch viel höher. In jedem Fall ist dies eine ernüchternde Statistik für den Durchschnittsbürger und eine sehr besorgniserregende für jeden Sicherheitsexperten in Unternehmen.

Wir sind an einem Punkt angelangt, an dem die meisten Menschen in den Industriestaaten wahrscheinlich schon einmal erlebt haben, dass zumindest einige ihrer persönlichen Daten durch einen erfolgreichen Cyberangriff in die Hände von Kriminellen gefallen sind. Daher ist es nur natürlich, dass die Regierungen der Welt nach Lösungen suchen, um diesen störenden Strom von Online-Kriminalität einzudämmen. Die jüngste Maßnahme stammt von der Biden-Regierung in Form der Nationalen Cybersicherheitsstrategie, die ich mit großem Interesse verfolge. Diese Strategie enthält Richtlinien zu einem meiner Lieblingsthemen dieser Tage: die Rechenschaftspflicht im Bereich der Sicherheit.

Die Strategie, die nach einer bahnbrechenden Präsentation der CISA-Direktorin für Cybersicherheit und Infrastruktursicherheit, Jen Easterly, veröffentlicht wurde, hat verständlicherweise einige Spaltungen in der Sicherheitsgemeinschaft verursacht. Ich glaube jedoch, dass sie die beste Chance darstellt, die wir haben, um die Softwarestandards auf breiter Front anzuheben und endlich eine neue Ära sicherheitskompetenter Entwickler einzuläuten.

Die Anbieter hätten schon immer für unsichere Software zur Verantwortung gezogen werden müssen.

Seit Jahrzehnten ist es so, dass die Verantwortlichkeit für die Softwaresicherheit eine heiße Kartoffel ist, mit der kein Team jonglieren möchte. Führungskräfte und Teams neigen dazu, sich vehement darüber zu streiten, wer letztendlich für die Softwaresicherheit verantwortlich ist. Ein Bericht von Venafi zeigt, dass 97 % der leitenden IT-Führungskräfte der Meinung sind, dass die Softwareerstellungsprozesse nicht sicher genug sind. 61 % der Führungskräfte sind der Meinung, dass die IT-Sicherheitsteams die Verantwortung für die Softwaresicherheit übernehmen sollten, während 31 % der Meinung sind, dass das Entwicklungsteam die Verantwortung dafür tragen sollte. Und das ist nur ein Teil der Gleichung: Das Problem der Open-Source- und kommerziellen Komponenten von Drittanbietern in Software-Builds stellt eine ständige Erweiterung der Angriffsfläche dar. Selbst zwischen den AppSec- und Sicherheitsteams gibt es selten einen eindeutigen "Eigentümer", obwohl kontinuierliche Wachsamkeit bei der Aktualisierung, Überwachung und Prüfung erforderlich ist.

Dieselbe Umfrage ergab auch, dass - trotz interner Konflikte darüber, wer für die Sicherheit und Integrität von Software verantwortlich sein sollte - 94 % der Führungskräfte der Meinung sind, dass es Strafen für Softwareanbieter geben sollte, die ihre Build-Pipelines nicht vor Bedrohungsakteuren schützen und Kunden und Endbenutzer einem Risiko aussetzen. 

Mit der jüngsten strafrechtlichen Verfolgung des CISO von Uber im Zusammenhang mit dem Missmanagement eines verheerenden Cyberangriffs im Jahr 2016 sowie mit regulatorischen Initiativen wie der GDPR wird der Einsatz für Anbieter, die mit dem Feuer spielen und die Sicherheit vernachlässigen, langsam erhöht. Doch das reicht einfach nicht aus. Wir verlieren den Kampf gegen Cyberkriminelle, und auch wenn es schwer zu schlucken ist, so sind es doch die laxen Praktiken von Softwareanbietern, die ihnen grenzenlose Möglichkeiten bieten, zu gedeihen. 

Die Nationale Cybersicherheitsstrategie versucht, einen Schlussstrich zu ziehen und dem Kreislauf der Schuldzuweisungen ein Ende zu setzen, indem die volle Haftung für unsichere Software dem Anbieter zugewiesen wird.

Werfen wir einen Blick darauf:

Strategisches Ziel 3.3 - Verlagerung der Haftung für unsichere Softwareprodukte und -dienste:

"Zu viele Anbieter "ignorieren bewährte Verfahren für die sichere Entwicklung, liefern Produkte mit unsicheren Standardkonfigurationen oder bekannten Schwachstellen aus und integrieren Software von Drittanbietern ungeprüfter oder unbekannter Herkunft.

Wir müssen damit beginnen, die Haftung auf diejenigen Unternehmen zu verlagern, die keine angemessenen Vorkehrungen zur Sicherung ihrer Software treffen, und gleichzeitig anerkennen, dass selbst die fortschrittlichsten Software-Sicherheitsprogramme nicht alle Schwachstellen verhindern können."

Dies hat verständlicherweise einige Gemüter erregt. Aber wie bei anderen entscheidenden Momenten in der Entwicklung von Normen und Vorschriften in den meisten Branchen sind es mittelfristige Schmerzen, die ein besseres langfristiges Ergebnis gewährleisten. Als Softwareanbieter ist es nur logisch, dass wir in Sachen Sicherheit den Kopf hinhalten müssen. Es ist unsere Build-Pipeline, unsere Prozesse und unsere Qualitätskontrolle, und wenn wir einen Fehler machen, sind wir dafür verantwortlich, ihn zu beheben.

Außerdem sollten wir danach streben, Software von höchstmöglicher Qualität zu erstellen, und sichere Programmierung muss Teil der Messgrößen sein, die ein erfolgreiches Ergebnis definieren. In einer Welt, die sich auf Geschwindigkeit um jeden Preis konzentriert, ist dies eine große Aufgabe, aber es liegt an den Sicherheitsverantwortlichen, die unsere Zukunft leiten, sicherzustellen, dass alle am Softwareentwicklungsprozess Beteiligten angemessen geschult sind, um die besten Sicherheitsverfahren im Kontext ihrer Rolle zu vermitteln, insbesondere die Entwickler. 

Es fehlt uns noch immer eine Orientierung für langfristige Best Practices.

Das strategische Ziel 3.3 bezieht sich auf das etablierte NIST Secure Software Development Framework als Grundlage für seine allgemeinen Best Practices, und diese sind umfassende, allumfassende Richtlinien. Es wird zwar darauf hingewiesen, dass "sichergestellt werden muss, dass die Mitarbeiter, Prozesse und Technologien des Unternehmens auf die Durchführung einer sicheren Softwareentwicklung auf Unternehmensebene vorbereitet sind", aber es werden keine besonderen Vorschriften zu den Faktoren gemacht, die beispielsweise ein Manager für Sicherheitsbewusstsein bei der Auswahl von Befähigungslösungen beachten sollte.

Damit der Ansatz wirklich transformativ ist, sollten Entwickler als integraler Bestandteil des Sicherheitsprogramms betrachtet werden und jede Gelegenheit erhalten, ihre Fähigkeiten zu verbessern und die Verantwortung für die Erkennung und Beseitigung von Schwachstellen zu teilen. Sie können dies nicht auf eine Art und Weise erreichen, die ohne hyperrelevante, kontextbezogene Lernprogramme und Tools messbar ist, und auch nicht, wenn dies als jährliche Compliance-Übung statt als kontinuierlicher Weg zur Entwicklung von Fähigkeiten betrachtet wird. 

Entwickler sind ein wichtiger Teil des Puzzles, wenn es darum geht, das Sicherheitsrätsel zu knacken, und ein Team von sicherheitskompetenten Entwicklern ist in den meisten Unternehmen die fehlende Zutat. Sie ermöglichen eine schnelle Sicherheit, aber nur, wenn Zeit und Ressourcen aufgewendet werden, um diese im Team freizusetzen. Bis dahin werden alle allgemeinen Best-Practice-Richtlinien der Welt nichts bewirken können.

Der lange Weg ins Nirwana der Software-Sicherheit.

Die Biden-Administration hat 3 Milliarden Dollar für das CISA-Programm bereitgestellt, um eine schnelle Resilienz kritischer Infrastrukturen zu erreichen. Auch wenn die Finanzierung und Unterstützung durch die höchsten Regierungsebenen von entscheidender Bedeutung sind, haben wir nur dann eine Chance, die Bedrohungsakteure in die Schranken zu weisen, wenn wir einen globalen Vorstoß unternehmen, um die Sicherheitskultur neu zu gestalten.

Es liegt noch ein langer Weg vor uns, aber er beginnt damit, dass jeder Softwarehersteller den ersten mutigen Schritt in Richtung Sicherheitsverantwortung auf Unternehmensebene macht.

Am 20. März 2023 veröffentlichte Spring Security Advisories einen Blogbeitrag, der sich auf eine intern entdeckte Sicherheitslücke CVE-2023-20860 bezog. Es wurden keine detaillierten Informationen bekannt gegeben, außer dass es sich um ein Problem der Zugriffskontrolle bei der Verwendung von mvcMatchers handelt. Die Spring-Entwickler haben das Problem behoben, und es wird ein Versionsupdate empfohlen.

Möchten Sie eine Erfahrung aus erster Hand machen? Probieren Sie die Mission hier aus.

Da Sicherheit unser Hauptaugenmerk bei Secure Code Warriorist, haben wir uns entschlossen, diese mvcRequestMatchers-Schwachstelle genauer zu untersuchen und herauszufinden, wo das Kernproblem liegt.

Spring bietet die RequestMatcher-Schnittstelle, um festzustellen, ob eine Anfrage mit einem Pfadmuster übereinstimmt. Schauen Sie sich den folgenden Codeausschnitt an, in dem die Hilfsmethode mvcMatchers verwendet wird, um die Endpunkte zusammen mit ihren Authentifizierungs- und Autorisierungsanforderungen zu registrieren. Zum Beispiel können wir sehen, dass nur Benutzer mit der Rolle ADMIN auf den Endpunkt /logs/audit zugreifen können. 

MvcMisMatchers?

In Spring ist ** ein Muster, das mit einer beliebigen Anzahl von Verzeichnissen und Unterverzeichnissen in einer URL übereinstimmt. Zum Beispiel würde /bankaccount/** allen URLs entsprechen, die mit /bankaccount/ beginnen, einschließlich Unterverzeichnissen wie /bankaccount/dashboard/settings. 

Das *-Muster ist ein Muster, das mit jeder URL übereinstimmt und genau eine Ebene eines Unterverzeichnisses hat. Zum Beispiel würde /bankaccount/* auf bankaccount/dashboard passen .

Bei der Konfiguration der Matcher mit * stellt Spring fest, dass "eine Fehlanpassung beim Pattern-Matching zwischen Spring Security und Spr ing MVC" stattgefunden hat, wodurch die Schwachstelle entstand.

Da dem doppelten Platzhalter kein Trennzeichen vorangestellt ist, passt der Pfad nicht zu einer eingehenden Anfrage, da allen eingehenden Anfragen ein Schrägstrich vorangestellt wird. Dies bedeutet, dass die Zugriffskontrollregeln nicht angewendet werden und jeder nicht authentifizierte Benutzer auf die Ressourcen zugreifen kann.

Werfen wir einen Blick auf den Commit, der das Problem behoben hat.

Die auffälligste und wichtigste Änderung ist die Hinzufügung von Zeile 315, mit der die Umgehung der Autorisierungs- und Authentifizierungsregeln behoben wird. Sie stellt sicher, dass jedem Pfadmuster, das übermittelt wird, ein Schrägstrich (/) vorangestellt wird. 

404 Treffer nicht gefunden

Beim Senden einer Webanforderung an /bankaccounts/view wird die Match-Methode die im Sicherheitsfilter definierten Muster analysieren und mit dem angeforderten Pfad vergleichen. Der Parser wandelt das angegebene Muster in einen Baum von Pfadelementen um.

Der Parser liest das erste Zeichen als SeparatorPathElement. Er setzt dann das Lesen der Zeichenfolgen bis zum nächsten Trennzeichen fort und erstellt ein neues LiteralPathElement.

Was läuft also schief, wenn ** als Muster verwendet wird? 

Es gibt zwar eine Vielzahl von Pfadelementtypen, aber die interessantesten sind das WildcardPathElementund das WildcardTheRestPathElement mit ihren jeweiligen Zeichenkettendarstellungen: * und /**. 

Ein WildcardPathElement stimmt mit null oder mehr Zeichen innerhalb eines einzelnen Pfadsegments überein, während ein WildcardTheRestPathElement mit null oder mehr Pfadsegmenten allein übereinstimmt (einschließlich der Trennzeichen).

Letzteres gibt uns einen Hinweis darauf, was falsch läuft, wenn ** als Muster eingegeben wird. Beim Parsen wird nach Mustern gesucht, aber ** beginnt nicht mit dem erwarteten Schrägstrich. Anstatt also ein WildcardTheRestPathElement zu werden, wird es zu zwei aufeinanderfolgenden WildcardPathElementen.

Anschließend wird das geparste Muster zum Abgleich mit der angeforderten URL verwendet. Es wird erwartet, dass Pfade mit einem Schrägstrich beginnen, aber ein Platzhalter passt nicht auf Trennzeichen.

Dies bedeutet, dass anstelle eines RequestMatchResult ein Nullwert zurückgegeben wird. Folglich werden die Zugriffskontrollregeln, die diesem Abgleicher zugewiesen wurden, nicht auf die angeforderte URL angewendet.

Spring hat das Problem behoben, indem ein Schrägstrich vorangestellt wurde. Mit anderen Worten: Jedes **-Muster wird zu /**, d. h. es kann als WildcardTheRestPathElement geparst werden, und es wird ein RequestMatchResult zurückgegeben, da das Muster nun mit der angeforderten URL übereinstimmt.

Schwachstelle oder API-Missbrauch?

Es ist fraglich, ob dies als Schwachstelle betrachtet werden sollte, da der Code wie vorgesehen funktioniert. Das Problem liegt im Wesentlichen darin, dass in der Spring-Dokumentation nicht ausdrücklich erwähnt wird, dass Pfade mit einem Trennzeichen beginnen sollten. Daher könnte es eher als ein Fall von API-Missbrauch und nicht als ein Fehler oder eine Schwachstelle angesehen werden.