Perspektiven zum sicheren Code

Die Welt verändert sich rasant, unabhängig vom Unternehmen oder Produkt. Alles wird immer digitaler und hängt von Software ab. Entwickler veröffentlichen Code schneller denn je, aber AppSec-Teams überprüfen und markieren weiterhin 75 % des Codes, um häufige und leicht zu vermeidende Schwachstellen zu erkennen.

Die Nichtpriorisierung von sicherem Code und Sicherheit als grundlegender Bestandteil des Softwareentwicklungsprozesses birgt enorme Risiken. Tatsächlich stiegen die weltweiten Durchschnittskosten für Datenlecks im letzten Jahr auf 4,35 Millionen Dollar (IBM-Bericht über die Kosten einer Datenverletzung von 2022). Entwickler benötigen attraktive und innovative Schulungen, um mit neuen Bedrohungen Schritt zu halten, sowie einen kulturellen Wandel, um die sicherheitsorientierte Denkweise zu ändern, die in Zusammenarbeit mit dem Sicherheitsteam weiterhin gepflegt wird.

Bei Secure Code Warrior arbeiten wir ständig an Innovationen, um Entwicklern und Unternehmen die richtigen Fähigkeiten zu vermitteln, mit denen sie die sich ständig ändernden Sicherheitsherausforderungen von heute bewältigen können. Dies erreichen wir durch äußerst attraktive, flexible und einfach zu verwaltende Schulungsprogramme.

Im letzten Quartal haben wir uns darauf konzentriert, mit Coding Labs (seit kurzem als Vorabversion verfügbar) neue Lernmethoden zu entwickeln, eine Integration mit LMS SCORM zu ermöglichen und benutzerfreundlichere und inklusivere Benutzererfahrungen zu schaffen, während wir gleichzeitig die Verwaltung vereinfacht haben, um Zeit zu sparen.

Lasst uns eintauchen, um mehr Informationen zu erhalten!

Wir präsentieren Coding Labs: Lernen auf höchstem Niveau

In einer aktuellen Branchenumfrage (Bericht zum Stand der Entwicklersicherheit 2022) gaben 40 % der Entwickler an, dass ihre Ausbildung nicht praxisnah genug war. Coding Labs hilft Entwicklern dabei, ihre Fähigkeiten im Bereich sicheres Codieren durch praktische Schulungen mit realen Programmieraufgaben und intuitivem Feedback zu verbessern. All dies geschieht in einer leistungsstarken und bekannten IDE, die in den Browser integriert ist, sodass der Übergang vom Lernen zur Praxis einfacher denn je ist.

Anstatt unklare und frustrierende Anweisungen darüber zu erhalten, was „richtig oder falsch” ist, können Entwickler auch sicher sein, dass sie auf die richtige Weise lernen und ihr Verständnis durch Echtzeit-Feedback im Kontext verbessern. Coding Labs unterstützt die Ziele von Entwicklern, Sicherheitslücken zu vermeiden und die Sicherheitslage ihres Unternehmens zu verbessern.

Als Teil der SCW-Plattform bietet diese neue Erfahrung eine neue Perspektive für die Schulung von Entwicklern. Führungskräfte können ein Schulungsprogramm erstellen, das Entwickler auf den Erfolg vorbereitet, mit leicht zugänglichem und reduziertem Lernstoff, der sich an den jeweiligen Stand des Entwicklers anpasst. Es lehrt die Menschen, eine neue Schwachstelle mit einer geführten und leicht zugänglichen Schulung zu überwinden, die ihnen den Zugang zu anspruchsvolleren und praktischeren Erfahrungen ermöglicht, wie beispielsweise denen von Coding Labs. Führungskräfte können sicher sein, dass die Entwickler die Schulung attraktiver und leichter zu behalten finden und sie letztendlich auf den Code anwenden werden, um Schwachstellen und die Notwendigkeit von Nacharbeiten zu reduzieren.

Coding Labs ist jetzt als Vorabversion verfügbar. Wenn Sie Kunde von SCW sind, wenden Sie sich bitte an Ihren Kundenbetreuer, um weitere Informationen zum Zugriff zu erhalten.

Sie sind kein Kunde von SCW, möchten aber über die Verfügbarkeit von Coding Labs auf dem Laufenden bleiben? Füllen Sie das Formular hier aus.

Werden Sie Mitglied bei SCW, um mehr über unsere Produktinnovationen zu erfahren und eine Demonstration von Coding Labs zu sehen. Melden Sie sich hier für das Webinar an.

Integrieren Sie das Training zum sicheren Code in Ihr bevorzugtes SCORM-LMS.

In Kürze können SCW-Administratoren ihr Schulungsprogramm zum Thema sicherer Code zusammen mit ihren anderen Schulungsplattformen einfacher verwalten, ohne manuelle Entwicklungen vornehmen zu müssen. Dies spart Zeit und hilft Administratoren, sich auf effektivere Möglichkeiten zur Verbesserung ihrer Schulungsprogramme zu konzentrieren.

Falls Sie damit nicht vertraut sind: SCORM steht für „Shareable Content Object Reference Model” ( ) und ist ein internationaler Standard für E-Learning-Kurse. Wenn Ihr Kurs im SCORM-Format veröffentlicht wird, können Sie sicher sein, dass er von fast jedem Lernmanagementsystem (LMS) erkannt wird.

Mit der neuen Integration von SCORM LMS können Sie:

• Integrieren Sie die Schulung zum Thema sicherer Code direkt in Ihr bevorzugtes LMS, um Teilnehmer und Aufgaben an einem Ort zu verwalten.
• Verfolgen Sie den Fortschritt und die Fertigstellung Ihrer Organisation.

‍

Stellen Sie sicher, dass Ihr SCW-Programm direkt in den Arbeitsablauf Ihrer bevorzugten Entwickler integriert ist, um die Benutzererfahrung zu verbessern. SCORM-Pakete können für Kurse und Bewertungen heruntergeladen werden, wodurch eine nahtlose Integration des LMS mit beliebten Plattformen wie SAP SuccessFactors, Workday und Cornerstone u. a. gewährleistet ist.

Die Integration mit LMS SCORM wird für Kunden im Oktober als Vorabversion verfügbar sein. Weitere Informationen erhalten Sie von Ihrem Kundenbetreuer.

Erweiterung der Breite und Tiefe der SCW-Plattform

Die kontinuierliche Erweiterung von Secure Code Warrior neue Inhalte trägt dazu bei, dass unsere Module relevant und aktuell bleiben und genau auf das zugeschnitten sind, was Sie in der heutigen Cybersicherheitslandschaft wissen müssen. Mit einer branchenführenden Breite und Tiefe in mehr als 55 Sprachen ist es einfach, ein Programm zu erstellen und zu skalieren, um Entwickler in einer Vielzahl von Sprachen und Frameworks zu schulen.

Schützen Sie ABAP-Anwendungen mit neu veröffentlichten Schulungsinhalten

Auf der Grundlage unserer Veröffentlichung im Frühjahr freuen wir uns, neue Trainingsmöglichkeiten für Entwickler, die in ABAP programmieren, mit 6 neuen Tutorials und 14 Missionen anzubieten.

Erhalten Sie Zugang zu einer flexiblen und vielfältigen Ausbildung mit neuen Herausforderungen und Inhalten.

Secure Code Warrior bestrebt, kontinuierlich Inhalte zu veröffentlichen, die verschiedenen Kompetenzniveaus entsprechen, und gleichzeitig unsere Schulungsmodule relevant und anspruchsvoll zu halten. In diesem Quartal hat SCW weitere Inhalte für beliebte Programmiersprachen veröffentlicht, darunter:

• 33 zusätzliche RPG-Herausforderungen, eine der wichtigsten Kundenanfragen
• Die Möglichkeit, Turniere in RPGs zu erstellen
• 10 zusätzliche Herausforderungen von Python Django

Alle neuen Inhalte sind bereits in den Herausforderungsgruppen verfügbar und können auf der Plattform gespielt werden.

Vereinfachung der Verwaltung und Benutzererfahrung

Dank der wesentlichen Verbesserungen der Benutzerfreundlichkeit der Plattform ist es jetzt einfacher denn je, ein skalierbares und attraktives Programm zur Schulung in sicherem Programmieren einzurichten.

Bearbeiten Sie ganz einfach einen veröffentlichten Kurs.

Bleiben Sie mit den sich ständig ändernden Anforderungen Ihrer Organisation und Ihres Schulungsprogramms auf dem Laufenden, indem Sie bestehende Programme auf neue Weise bearbeiten. Die Versionskontrolle für Kurse ermöglicht es Administratoren, bestehende Kurse zu bearbeiten, ohne einen komplett neuen Kurs erstellen zu müssen. Dies war eine der von Kunden am häufigsten nachgefragten Funktionen.

Die Aktualisierungen umfassen:

• Neue Sprachen zu einem veröffentlichten Kurs hinzufügen
• Hinzufügen/Aktualisieren/Löschen von Modulen und Kursinhalten
• Aktivitäten zum Kursende hinzufügen/aktualisieren/löschen
• Die Plattform speichert eine Hauptversion eines Kurses, um eine grundlegende Versionskontrolle zu erstellen.

Greifen Sie über den Startbildschirm auf die Kurse zu.

Durch Hinzufügen der Schaltfläche „Weiter“ auf der neuen Startseite wird eine Liste mit Aktivitätskarten angezeigt, die den Benutzern hilft, zuvor gestartete Module schnell wieder aufzunehmen. Benutzer sehen nun auch ein Fenster auf dem Startbildschirm, in dem sie unvollständige Module anzeigen können.

Dies ermöglicht es den Benutzern, effektiv dort weiterzumachen, wo sie aufgehört haben, wenn sie einen Kurs oder eine Bewertung unterbrechen müssen, ohne dabei ihren Fortschritt zu verlieren.

‍

Beide Funktionen sind für Konten verfügbar, die den vorzeitigen Zugriff auf der Plattform aktiviert haben. Bei Fragen zum Zugriff wenden Sie sich bitte an Ihren Kontoverwalter.

Inklusives und barrierefreies Design

Bei Secure Code Warrior glauben wir, dass Sprache und Design die Kraft haben, Brücken zu bauen und das Verständnis zu fördern, indem sie verschiedene Nutzergruppen im Rahmen unserer Mission, sichere Codierung zu fördern, miteinander verbinden. Unser Ziel ist es, eine inklusive und barrierefreie Erfahrung zu schaffen und anzubieten, und wir freuen uns darauf, weitere Fortschritte im Bereich barrierefreies Design zu erzielen.

Das traditionelle Chinesisch ist jetzt verfügbar.

Mit der Aufnahme des traditionellen Chinesisch in die Sprachen der Plattform bauen wir weiterhin eine wirklich globale Entwickler-Community auf, die Zugang zu den Tools hat, die sie benötigt, um sich zu Champions der Sicherheit zu entwickeln.

Sie können über das Dropdown-Menü in den Einstellungen auf die Sprachen zugreifen. Traditionelles Chinesisch ist auch mit Untertiteln in unserem Ressourcenbereich verfügbar.

Nehmen Sie am Webinar ProductTalk am 5. Oktober 2022 teil.

Möchten Sie weitere Informationen erhalten? Nehmen Sie an unserem Webinar zu ProductTalk am 5. Oktober 2022 teil und erfahren Sie von unseren Produktteams mehr über interessante Updates und neue Funktionen sowie über die sich wandelnde Sicherheitslandschaft, die von Entwicklern vorangetrieben wird.

Melden Sie sich für das Webinar an hier.

Sind Sie daran interessiert, Secure Code Warrior auszuprobieren, haben Secure Code Warrior noch kein Konto? Registrieren Sie sich für ein kostenloses Testkonto an, um loszulegen.

Das war die Zusammenfassung der neuen Funktionen dieses Quartals! Folgen Sie Secure Code Warrior Twitter, um Updates zu den neuesten Versionen und Verbesserungen zu erhalten.

Nach nur wenigen Minuten beim Durchsehen der Technologie-Nachrichten wird schnell klar, wie gefährlich die Bedrohungslage geworden ist. Es scheint, als gäbe es jeden Tag Berichte über einen schwerwiegenden Verstoß, eine neue Sicherheitslücke oder eine ernsthafte Gefahr durch aktive Ausnutzung seitens Cyberangreifern und Kriminellen. Und fast alle Berichte und Kennzahlen der Branche zeigen eine zunehmend gefährliche Zahl von Cyberbedrohungen, und die meisten Experten sagen voraus, dass sich dieser Trend in den kommenden Jahren fortsetzen wird.

Um diesen neuen Bedrohungen zu begegnen, gibt es erschöpfte und unterbesetzte IT-Sicherheitsmitarbeiter an vorderster Front. Trotz hoher Gehälter und ihrer praktisch unverzichtbaren Bedeutung für jedes Unternehmen und jede Organisation gibt es nie genug Sicherheitspersonal für alle. In einer kürzlich vom Center for Strategic and International Studies durchgeführten Umfrage gaben 82 % der IT-Entscheidungsträger an, dass ihre Organisationen unter einem Mangel an Cybersicherheitskompetenzen leiden, und 71 % sagten, dass dieser Mangel ihren Organisationen direkten und messbaren Schaden zugefügt habe. Allein in den Vereinigten Staaten gab es laut dem Bericht mehr als 520.000 unbesetzte Stellen im Bereich Cybersicherheit, während in diesem Bereich nur etwa 940.000 Mitarbeiter beschäftigt sind.

Weltweit gibt es derzeit rund 3,5 Millionen offene Stellen im Bereich Cybersicherheit, was bedeutet, dass selbst Unternehmen, die bereit sind, enorme Summen für die Einstellung und Bindung hochqualifizierter Fachkräfte zu zahlen, Schwierigkeiten haben, geeignete Kandidaten zu finden. Im Durchschnitt dauert es etwa 21 % länger, eine Stelle im Bereich Cybersicherheit zu besetzen als jede andere Stelle, wenn sie überhaupt besetzt werden kann.

Die Entwicklerzulassung wurde viel zu lange ignoriert.

Wir haben in vielen früheren Blogs festgestellt, dass man sich an Entwickler wenden kann, um einige dieser kritischen Lücken in der Cybersicherheit zu schließen. Das Problem ist, dass Entwickler traditionell nie eine Schulung zum Thema Cybersicherheit erhalten haben. Ihre Arbeitsleistung basierte fast ausschließlich auf der Geschwindigkeit und der Zeit der Implementierung. Die Sicherheit war Aufgabe der AppSec-Teams, die später hinzukamen.

Leider geht es nicht nur darum, das Thema zu wechseln und die Entwickler zu bitten, plötzlich damit zu beginnen, ihre Anwendungen und Programme sicherer zu machen. Selbst wenn sie zu solchen Änderungen bereit sind – und Umfragen haben gezeigt, dass viele von ihnen dazu bereit sind –, benötigen sie dennoch Schulungen, damit dies auch umgesetzt werden kann. Außerdem brauchen sie die Unterstützung und Förderung durch die Unternehmensleitung, aber die erste und oft größte Hürde ist die Möglichkeit, sinnvoll zu lernen.

Es gibt einen Grund, warum Millionen von hochsicheren und gut bezahlten IT-Sicherheitsstellen weltweit unbesetzt bleiben. Wenn es ein einfacher Job wäre, würde sich jeder auf dieses Feld stürzen. Es ist schwierig zu lernen, wie man Bedrohungen bekämpft und Schwachstellen im Code beseitigt, und die Bedrohungslage ändert sich ständig. Der Versuch, Cybersicherheit zu vermitteln, selbst an relativ technikaffine Entwickler, kann mit statischen Schulungen, die schnell veralten und schwer zu merken sind, nicht effizient durchgeführt werden und wird nur minimale positive Auswirkungen haben, insbesondere wenn diese Anforderungen zu ihrem ohnehin schon überfüllten Zeitplan hinzukommen.

Baue ein Gerüst, um einen höheren Punkt zu erreichen.

Das Unterrichten von Cybersicherheitsfähigkeiten mit traditionellen Methoden ist wie der Versuch, einen Wolkenkratzer zu bauen, ohne die Füße vom Boden zu heben. Das ist nicht möglich, weil die Schüler nicht über die notwendigen Grundlagen verfügen, um die vielen fortgeschrittenen Konzepte eines komplexen Fachgebiets wie der Cybersicherheit zu beherrschen. Um dies auszugleichen, kann das Konzept des gerüsteten Lernens angewendet werden.

Wenn ein stufenweiser oder „schichtweiser“ Ansatz zur Verbesserung der Fähigkeiten verwendet wird, werden die übergeordneten Themen in der Regel in einzelne Lernerfahrungen oder -konzepte unterteilt. Dadurch wird sichergestellt, dass die Schüler jedes Konzept durch geeignete Übungen und Anweisungen beherrschen können, wobei für jede Komponente die erforderliche Unterstützung bereitgestellt wird. Neuere und fortgeschrittenere Konzepte werden mit bereits beherrschten Konzepten überlagert, ähnlich wie beim Bau eines Gebäudes, bei dem nach und nach Gerüste errichtet werden. Auf diese Weise können die Lernenden ein höheres Verständnis- und Kompetenzniveau erreichen, als sie es ohne Hilfe erreichen könnten.

Und genau wie bei einem physischen Gerüst wird diese Unterstützung nach und nach abgebaut, wenn sie nicht mehr benötigt wird, wobei die Schüler mit zunehmendem Wissensstand mehr Verantwortung übernehmen.

Das Lernen mit Gerüsten wird hauptsächlich eingesetzt, um negative Emotionen und Selbstwahrnehmungen zu reduzieren, die Schüler empfinden können, wenn sie sich frustriert, eingeschüchtert oder entmutigt fühlen, wenn sie eine schwierige Aufgabe ohne Hilfe versuchen. Es kann aber auch sehr wertvoll sein, wenn es darum geht, ein extrem schwieriges Konzept wie die moderne Cybersicherheit anzugehen. Es handelt sich dabei keineswegs um eine Art, Entwickler wie Kinder zu behandeln, sondern es ist äußerst nützlich, wenn ihre Erfahrungen mit dem Sicherheitsteam ebenso frustrierend und entmutigend sein können, insbesondere wenn ihre harte Arbeit mit Fehlerkorrekturen und einer neuen Portion Kritik belohnt wird.

Wenn Entwickler Tools erhalten, um die Grundlagen der sicheren Codierung zu verstehen (in der Regel beginnend mit den OWASP Top 10), können sie selbst überprüfen, wie Sicherheitsfehler entstehen, warum sie gefährlich sind und wie sie behoben werden können, bevor sie in die Produktion gelangen. Von dort aus können sie ihr Wissen erweitern, indem sie sich mit komplexeren Schwachstellen befassen und praktische Erfahrungen mit der Anwendung geeigneter Lösungen sammeln. Die Ebenen wachsen nach und nach, und wenn es um fortgeschrittene Sicherheitsprobleme wie eine unsichere Softwarearchitektur oder die Erstellung von Bedrohungsmodellen geht, erscheinen diese Fortschritte nicht mehr so einschüchternd und können präzise angegangen werden.

Als Branche sollten wir niemals erwarten, dass Entwickler zu Sicherheitsexperten werden, aber Unternehmen können neue Standards einführen, um Entwickler zu schulen, damit sie qualitativ hochwertigere Software produzieren können. Als zusätzlicher Vorteil für Unternehmen, die im Bereich Engineering tätig sind und ihre Fähigkeiten verbessern, wird jeder Schritt des Prozesses oder jede Stufe des Gerüstbaus direkt zu einer Verbesserung der Cybersicherheit führen, während sie lernen. Es ist nicht notwendig, bis zum Ende eines Kurses zu warten, um Ergebnisse zu sehen.

Das Erlernen von Cybersicherheit ist schwierig, und ohne die richtige Hilfe und Anleitung ist es fast unmöglich, sie zu beherrschen. Die Einführung eines Sicherheitsprogramms mit stufenweisem Lernen kann dabei helfen, das Beste daraus zu machen, da die Vorteile fast sofort sichtbar werden. Die Verbesserungen werden fast sofort einsetzen und sich mit der Zeit kontinuierlich weiter verbessern.

Beginnen Sie mit uns, Entwickler mit soliden Sicherheitskenntnissen auszubilden. Weitere Informationen finden Sie unter:

Kurse
Missionen
Schulungen für Entwickler

... und vieles mehr!

AppSec-Manager, CISO, CIO und Cybersicherheitsexperten: Ich habe im Laufe meiner eigenen Karriere in der Softwareentwicklung und im Sicherheitsbereich mit vielen von ihnen gesprochen, die in allen möglichen Unternehmen auf der ganzen Welt tätig sind.

Unabhängig davon, wie unterschiedlich Ihre Situation, die Erfahrung Ihres Teams oder die Zeit, die Sie in dieser sich ständig verändernden digitalen Welt verbringen, auch sein mögen, gibt es ein Problem, das immer dasselbe ist: Sie sind selten in der Lage, Ihr Entwicklungsteam positiv in Sicherheitsfragen einzubeziehen. Sicherheit ist nach wie vor ein Tabuthema, eine Quelle von Konflikten zwischen den Teams und ein echtes Problem für die Branche.

Die Sicherheit von Software ist jedoch einfach zu wichtig, als dass wir mit unserer allgemeinen Denkweise so weitermachen könnten. Wir müssen daran arbeiten, das Gespräch zu ändern und Sicherheit zu einem integralen Bestandteil des Arbeitsalltags jedes Entwicklers zu machen. Und ich glaube, eine der besten Möglichkeiten, dies zu erreichen, besteht darin, Entwickler zu befähigen und mit ihnen in Bezug auf Sicherheit zu interagieren, beispielsweise durch Gamification.

Die aktuelle Lage

Entwickler verlassen die Universität mit sehr geringen praktischen Kenntnissen über die Bereitstellung von sicherem Code und arbeiten in Berufen, in denen Sicherheitsschulungen selten Priorität haben (und wenn doch, dann sind sie meist Teil der obligatorischen Videos zu Gesundheits- und Sicherheitsvorschriften, die so langweilig sind, dass sich niemand für sicheres Codieren begeistern kann). Sehr oft ist ihre erste Erfahrung mit Sicherheit ein Bericht über einen Fehler in einem Audit oder Test, der plötzlich die Veröffentlichung einer zukünftigen Version stoppt und zu einer sofortigen und vorrangigen Unterbrechung ihres kreativen Denkens wird. Sie sind mit den Verantwortlichen für die Sicherheitsberichte nicht einverstanden und denken daher, dass „Sicherheit” zum Synonym für „Kritik” wird. Wie ekelhaft.

Es ist wirklich schade, dass diese negative Wahrnehmung der Softwaresicherheit so weit verbreitet ist. Schließlich gehören einige meiner schönsten Erinnerungen an meine Karriere zum Thema Software-Sicherheit. In meinen Anfängen als Hacker besuchte ich Konferenzen, auf denen ich nicht nur meine Fähigkeiten unter Beweis stellen (und, ehrlich gesagt, ein wenig angeben) konnte, sondern auch viel Spaß dabei hatte, Gleichgesinnte kennenzulernen, die genauso viel Freude am Entwickeln von Software hatten wie ich.

BruCon, DefCon, BlackHat... Diese Veranstaltungen boten Menschen wie mir die Möglichkeit, unsere Fähigkeiten in einem freundschaftlichen Wettbewerb einzusetzen. Obwohl ich niemals zugeben würde, an solch unsozialen Veranstaltungen teilgenommen zu haben, zeigen einige sogar ihre Fähigkeiten als Hacker, indem sie die Telefone anderer Teilnehmer stehlen und deren Informationen auf den Präsentationsbildschirmen für alle sichtbar anzeigen. Es wurde zu einem Spiel, bei dem man nach diesen Fehlern suchte (sie ausnutzte und behebte), um die Software zu verbessern. Vor einigen Jahren hatte ich das Privileg, vor Hunderten von Kindern im Nahen Osten zu stehen und ihnen etwas über Cybersicherheit beizubringen. Ich erinnere mich noch gut an ein achtjähriges Mädchen unter meinen Schülern, das beim Spielen lernte, Passwörter mit Brute-Force-Angriffen zu knacken und in Base64 zu codieren.

Gamification wird auch zum Unterrichten von Programmierkenntnissen eingesetzt. Bildungseinrichtungen auf der ganzen Welt nutzen diesen Ansatz, um schon sehr kleinen Kindern, sogar bis zum Alter der Sekundarschule, das Programmieren beizubringen. Kinder im Alter von nur vier Jahren nehmen mittlerweile regelmäßig an Weihnachtsinitiativen wie CodeCamp teil, und es gibt eine Reihe fantastischer Online-Programme, die Kindern das Programmieren in Python und anderen Sprachen beibringen. Ich habe sogar das unglaubliche bildschirmfreie Programmierwerkzeug Cubetto für meine vierjährige Tochter gekauft.

Trotz all dieser Unterhaltung und Fortschritte gibt es jedoch eine Lücke. Niemand hat daran gedacht, Gamification zu nutzen, um Entwicklern beizubringen, wie man sicheren Code schreibt.

Nun ja... fast niemand. Vor einigen Jahren wurde mir klar, dass wir die Sicherheit wieder inspirierend gestalten und die Entwickler wirklich motivieren mussten, sich zu engagieren und mitzumachen.

Gamifizierung: der einfachste Weg.

Ich habe den tiefen Wunsch, Entwickler mit Sicherheitskenntnissen zu fördern und zu schulen, und diese Leidenschaft hat mich dazu veranlasst, Secure Code Warrior zu gründen. Softwaresicherheit ist sehr wichtig und kann wirklich spannend sein.

Ich bin mit meinen Gedanken nicht allein.

Gamification kann selbst die alltäglichsten Aufgaben unterhaltsamer machen und Menschen so motivieren, dass sie weiter spielen, gewinnen und Fortschritte erzielen wollen. Schauen Sie sich nur an, wie Pokémon Go funktioniert! Selbst die faulsten Menschen hat es vom Sofa auf die Straße gelockt, um nach imaginären Kreaturen zu suchen, oder wie FitBit für viele zu einem täglichen Ziel wird, ihre Schrittzahl zu erreichen... Es entsteht ein echtes Gefühl der Enttäuschung, wenn diese Ziele nicht erreicht werden, wenn die Serien enden und keine Abzeichen gewonnen werden.

Kommen wir also zurück zum Thema Sicherheitsschulungen. Wir haben bei vielen Kunden gezeigt, dass Gamification der Schlüssel ist, um die Sicherheitskultur ihrer Unternehmen wirklich zu verändern, Brücken zwischen AppSec- und Entwicklungsteams zu schlagen und ihnen generell dabei zu helfen, Software auf einem höheren Niveau zu entwickeln.

Derzeit hat Sicherheit für den Entwickler keine Priorität. Indem Sie Ihren Trainingsmethoden ein freundschaftliches, wettbewerbsorientiertes und attraktives Element hinzufügen, motivieren Sie sie nicht nur zum „Spielen”, sondern auch dazu, weiterhin Punkte zu sammeln, Highscores zu knacken, ihre Genauigkeit zu verbessern und ihre Teamkollegen herauszufordern.

Wir wissen bereits, dass eine erfolgreiche Ausbildung in etwa so aussieht:

• Entwickler können mit echtem Code und in ihren eigenen Sprachen/Frameworks arbeiten.
• Die Herausforderungen sind kurz und decken alle gängigen Sicherheitslücken ab.
• Die Herausforderungen werden ständig erweitert und aktualisiert, damit die Entwickler ihre Fähigkeiten im Laufe der Zeit weiterentwickeln können.
• Die Herausforderungen variieren in ihrer Komplexität und sind daher sowohl für erfahrene Entwickler als auch für weniger erfahrene Entwickler attraktiv.
• Entwickler und ihre Vorgesetzten können den Fortschritt einsehen, einschließlich der abgeschlossenen Herausforderungen, ihrer Stärken und Schwächen, der für die Schulung aufgewendeten Zeit und ihrer allgemeinen Genauigkeit.

Einer unserer Hauptkunden zeigte bei der Einführung die wahre Magie einer Gamification-Plattform, indem er seinen Entwicklern themenbezogene Ausrüstung schenkte, den Gewinnern der Spiele unglaubliche Preise anbot und sein Turnier zu einem unvergesslichen Tag machte. Seitdem hat er internationale Wettbewerbe veranstaltet, und bis heute sammelt sein gesamtes Team weiterhin viele Stunden Training.

Ihre eigene Software-Revolution beginnt hier. Der australische Bankensektor ist Vorreiter bei der Einführung von gamifizierten Schulungen zur Bekämpfung falscher Codes, mit einem wirklich innovativen Ansatz, der traditionelle (oder langweilige) Schulungen auf den Kopf stellt. Sehen Sie sich einfach an, was unser Kunde mit seinem Turnier der nächsten Stufe erreicht hat. Sind Sie bereit, Ihr Team mit uns auf die nächste Stufe zu bringen?

Wir müssen daran arbeiten, das Gespräch zu verändern und Sicherheit zu einem integralen Bestandteil des Arbeitsalltags jedes Entwicklers zu machen. Und ich glaube, dass eine der besten Möglichkeiten dafür darin besteht, Entwickler zu befähigen und mit ihnen in Sachen Sicherheit zu interagieren, beispielsweise durch Gamification.

Es gibt eine weit verbreitete Theorie, dass Kakerlaken praktisch alles überleben können, sogar eine nukleare Explosion. Auch wenn diese Theorie nur bis zu einem gewissen Grad zutrifft, macht ihre einfache Körperzusammensetzung sie für ihre Größe extrem widerstandsfähig und unter den meisten Bedingungen schwer auszurotten.

Ich habe darüber nachgedacht ... Wenn es in der digitalen Welt ein Äquivalent zu Kakerlaken gäbe, dann wären es SQL-Injection-Schwachstellen (SQLi) im Code. Diese Schwachstelle ist seit mehr als zwanzig Jahren bekannt, aber Unternehmen fallen immer wieder darauf herein. Der weit verbreitete, kostspielige Angriff auf Target war das Ergebnis einer SQL-Injection, ebenso wie ein Hackerangriff auf die Wahlen in Illinois, bei dem 200.000 Wählerdaten offengelegt wurden, was das FBI dazu veranlasste, allen IT-Administratoren zu empfehlen, schnell daran zu arbeiten, ihre Sicherheitspraktiken zu verstärken.

Der Imperva-Bericht über Hacker-Intelligence-Initiativen ergab, dass zwischen 2005 und 2011 bei 83 % aller gemeldeten Datenverletzungen SQLi-Angriffe zum Einsatz kamen. Auch heute noch sind Injektionsschwachstellen die größte Bedrohung in den OWASP Top 10. Sie sind relativ einfach, aber sie werden einfach nicht verschwinden.

Es erscheint lächerlich, dass dieselbe Schwachstelle weiterhin in einer beträchtlichen Anzahl von Anwendungssicherheitsscans auftaucht. Wir wissen, wie sie funktioniert, und wir wissen, wie man sie stoppen kann. Wie ist das möglich? Die Wahrheit ist, dass die Sicherheit unserer Software noch viel Verbesserungspotenzial hat.

Der Bericht von Veracode zum Stand der Softwaresicherheit – basierend auf 400.000 Anwendungsscans im Jahr 2017 – enthüllte eine alarmierende Statistik: Nur 30 % der Anwendungen erfüllten die OWASP-Top-10-Richtlinien. Dies ist seit fünf Jahren ein wiederkehrendes Thema, da SQL-Injektionen in fast jeder dritten neu gescannten Anwendung vorkommen. Dies zeigt, dass es sich um ein endemisches Problem handelt: Wir lernen nicht aus unseren Fehlern, und CISOs scheinen einen harten Kampf zu führen, um genügend Talente im Bereich Sicherheit zu gewinnen. Im Allgemeinen ist das Verhältnis zwischen AppSec-Spezialisten und Entwicklern mit 1:100 unzureichend.

Warum ist die Sicherheit von Software lebenswichtig?

Es ist kein Geheimnis, dass Fachkräfte im Bereich Sicherheit rar sind, aber wir müssen auch darauf achten, dass Entwickler Probleme nicht sofort lösen, sobald sie auftreten, und offensichtlich schlecht darauf vorbereitet sind, Schwachstellen von vornherein zu vermeiden. Im selben Bericht von Veracode wurde bekannt gegeben, dass nur für 14,4 % aller Entwicklungsschwachstellen dokumentierte Abhilfemaßnahmen vorlagen. Mit anderen Worten: Die meisten Schwachstellen wurden ohne jegliche Abhilfemaßnahmen seitens der Entwicklung gemeldet. Weniger als ein Drittel der Schwachstellen wurde innerhalb der ersten 90 Tage behoben, und 42 % der Schwachstellen wurden während der Entwicklungsphase nie behoben.

Ich spreche ständig mit Sicherheitsexperten, CISOs und Geschäftsführern und habe dabei festgestellt, dass viele Unternehmen aufgrund der Vielzahl an gefundenen Schwachstellen, die nicht behoben werden können (zusätzlich zu dem bekannten Problem der Fehlalarme), so frustriert sind, dass sie gar nicht mehr nach Schwachstellen suchen, sondern einfach die Daumen drücken und auf das Beste hoffen.

Warum lassen AppSec-Fachleute dies zu?

Machen Sie keinen Fehler: AppSec-Benutzer sind sich der Probleme im Code sehr wohl bewusst. Schließlich ist dies eine ihrer wichtigsten Fähigkeiten, die sie zu einer so wertvollen Ressource für das Team macht. Allerdings werden sie oft durch verschiedene Faktoren behindert.

Beispielsweise wird ein AppSec-Administrator ein Problem feststellen und den Entwickler fragen: „Können Sie den Code reparieren?“ Die Antwort auf diese wichtige Frage variiert von Organisation zu Organisation, aber in der Regel sind Entwickler so sehr damit beschäftigt, die strengen Fristen für die Bereitstellung von Funktionen einzuhalten, dass sie einfach keine Zeit haben, diese Probleme zu beheben, und auch nicht über geeignete Tools verfügen, die ihnen dabei helfen könnten. AppSec-Experten sind möglicherweise in der Lage, Schwachstellen zu identifizieren, verfügen jedoch häufig nicht über die erforderlichen Fähigkeiten oder den Zugang, um diese sofort zu beheben.

Wir müssen uns auch bewusst sein, dass es für jedes Problem einen Prozess gibt, in dem eine Lösung gefunden, implementiert und anschließend getestet werden muss. Selbst für das kleinste Problem, das im Code gefunden wird, ist der Zeitaufwand für die Behebung, ganz zu schweigen von den erforderlichen Ressourcen, immens. Es gibt mehr als 700 Schwachstellen, die in die Software eingeschleust werden können, und es ist einfach unmöglich, dass eine Person sich gegen alle verteidigen kann. Aus diesem Grund beschränken sich die meisten Unternehmen darauf, nur die 10 wichtigsten der OWASP zu befolgen. Unterdessen entwickeln die Entwickler weiterhin Funktionen und führen damit wiederum Schwachstellen in den von ihnen geschriebenen Code ein.

¿Cuál es la solución?

Die einfache Tatsache ist, dass wir unseren Entwicklern weder die notwendigen Werkzeuge noch die erforderliche Ausbildung zur Verfügung stellen, um den Erfolg der sicheren Codierung zu fördern. Es gibt keine Vorschriften, die Organisationen dazu verpflichten, sicherzustellen, dass Entwickler über die entsprechenden Sicherheitskenntnisse verfügen, und es ist eine traurige Tatsache, dass auch die meisten Universitäten und Praktika junge Entwickler nicht auf sicheres Programmieren vorbereiten.

Wenn jemand ein Flugzeug fliegen möchte, muss er einen sehr strengen Prozess durchlaufen, der die Ausbildung, praktische Erfahrung, medizinische Untersuchungen, Sicherheitskenntnisse und Prüfungen vor dem Fliegen gewährleistet. Niemand würde es wagen, sich vorzustellen, dass er ohne diese gründliche Vorbereitung und die Überprüfung seiner Fähigkeiten auskommen könnte, aber genau das passiert tagtäglich beim Schreiben von Codes.

Wir müssen Zeit darauf verwenden, Entwickler darin zu schulen, wie man sicheren Code schreibt. In der heutigen Welt, in der die Softwareentwicklung schnell voranschreitet und es an guten Entwicklern und Sicherheitsexperten mangelt, scheint dies jedoch nie eine Priorität zu sein. Es ist an der Zeit, das Gespräch zu ändern.

Eine aktuelle Schlagzeile des Weltwirtschaftsforums lautete: „Ohne Sicherheit kann es keine digitale Wirtschaft geben“, und der dazugehörige Artikel argumentierte, dass Sicherheit ein wesentlicher Bestandteil jeder Strategie zur digitalen Transformation sein muss. „Sicherheit schützt Unternehmen und ermöglicht ihnen, innovativ zu sein und neue Produkte und Dienstleistungen zu entwickeln. Über ihre defensive Funktion hinaus verschafft Sicherheit Unternehmen einen strategischen Wachstumsvorteil.“

Die Verbesserung der Fähigkeiten und Ergebnisse im Bereich der sicheren Codierung wird Unternehmen eine leistungsstarke Ebene des Cyber-Schutzes bieten und ihnen dabei helfen, besseren und schnelleren Code zu erstellen. Entwickler müssen keine Sicherheitsexperten werden, aber sie sollten positiv und praktisch geschult werden, damit sie die erste Verteidigungslinie gegen Cyberangriffe bilden können. Entwickler können die nächsten Helden der Sicherheit und Innovation sein. Sie sind sehr intelligente Menschen, lösen Probleme auf kreative Weise und sind im Allgemeinen bestrebt, ihre Fähigkeiten weiterzuentwickeln. Nutzen Sie ihre Stärken mit der speziellen Schulung, die sie verdienen, und verpflichten Sie sich zu einem höheren Standard für Softwaresicherheit. Lesen Sie unser Whitepaper, um weitere Informationen zu erhalten.

Wenn jemand ein Flugzeug fliegen möchte, muss er einen sehr strengen Prozess durchlaufen, der die Ausbildung, praktische Erfahrung, medizinische Untersuchungen, Sicherheitskenntnisse und Prüfungen vor dem Fliegen gewährleistet. Niemand würde es wagen, sich vorzustellen, dass er ohne diese gründliche Vorbereitung und die Überprüfung seiner Fähigkeiten auskommen könnte, aber genau das passiert tagtäglich beim Schreiben von Codes.

Es gibt viele Verweise in der Popkultur auf KI und unehrliche Roboter sowie auf Geräte, die sich gegen ihre menschlichen Besitzer auflehnen. Das ist zwar stark von Science-Fiction-Fantasien und Unterhaltung geprägt, aber da das Internet der Dinge und vernetzte Geräte in unseren Haushalten immer häufiger vorkommen, sollte auch das Thema Cybersicherheit und Sicherheit immer mehr in den Fokus rücken. Software ist überall zu finden, und man vergisst leicht, wie sehr wir von Codezeilen abhängig sind, um all die intelligenten Dinge zu tun, die uns so viel Innovation und Komfort bieten. Wie bei webbasierter Software, APIs und mobilen Geräten kann auch der anfällige Code eingebetteter Systeme ausgenutzt werden, wenn ein Angreifer ihn in der natürlichen Umgebung entdeckt.

Auch wenn es unwahrscheinlich ist, dass eine Armee von Mikrowellen die Menschheit versklaven wird (obwohl Bot Tesla ein wenig beunruhigend ist), ist es dennoch möglich, dass böswillige Cybervorfälle auftreten. Einige unserer Autos, Flugzeuge und medizinischen Geräte basieren ebenfalls auf komplexen Codes integrierter Systeme, um wichtige Aufgaben auszuführen, und die Möglichkeit, dass diese Objekte kompromittiert werden, ist nicht nur alarmierend, sondern kann auch lebensgefährlich sein.

Wie bei jeder anderen Art von Software sind die Entwickler die ersten, die den Code bearbeiten, gleich zu Beginn der Entwicklungsphase. Und wie bei jeder anderen Art von Software kann dies ein Nährboden für häufige und heimtückische Schwachstellen sein, die unbemerkt bleiben könnten, bevor das Produkt in Betrieb genommen wird.

Entwickler sind keine Sicherheitsexperten, und kein Unternehmen sollte erwarten, dass sie diese Rolle übernehmen, aber sie können mit einem viel solideren Arsenal ausgestattet werden, um den für sie relevanten Bedrohungen zu begegnen. Eingebettete Systeme (in der Regel in C und C++ geschrieben) werden mit der Weiterentwicklung unserer technologischen Anforderungen immer häufiger zum Einsatz kommen. Daher ist es unerlässlich, dass Entwickler über eine spezielle Sicherheitsschulung für die Tools dieser Umgebung verfügen.

Explosive Fritteusen, rebellische Fahrzeuge... Sind wir leichte Ziele?

Es gibt zwar einige Standards und Vorschriften für die gesamte sichere Entwicklung, aber um unsere Sicherheit zu gewährleisten, müssen wir viel präziser und konsequenter auf alle Arten der Softwaresicherheit hinarbeiten. Es mag absurd erscheinen, an ein Problem zu denken, das durch jemanden verursacht werden könnte, der eine Fritteuse hackt, aber genau das ist in Form eines Remote-Code-Execution-Angriffs (der es dem Angreifer ermöglicht, die Temperatur auf gefährliche Werte zu erhöhen) bereits passiert, ebenso wie Schwachstellen, die zur Übernahme von Fahrzeugen führen.

Insbesondere Fahrzeuge sind besonders komplex, da sie über mehrere integrierte Bordsysteme verfügen, von denen jedes einzelne Mikro-Funktionen übernimmt, von automatischen Scheibenwischern bis hin zu Motor- und Bremsfunktionen. Dank der Kombination mit einer wachsenden Zahl von Kommunikationstechnologien wie WLAN, Bluetooth und GPS stellt das vernetzte Fahrzeug eine komplexe digitale Infrastruktur dar, die zahlreichen Angriffsvektoren ausgesetzt ist. Und mit 76,3 Millionen vernetzten Fahrzeugen, die bis 2023 weltweit auf den Straßen unterwegs sein sollen, entsteht ein Monolith aus Verteidigungsbasen, um echte Sicherheit zu gewährleisten.

MISRA ist eine wichtige Organisation, die sich mit den Gefahren integrierter Systeme befasst und Richtlinien entwickelt hat, um die Sicherheit, Portabilität und Zuverlässigkeit von Code im Zusammenhang mit integrierten Systemen zu verbessern. Diese Richtlinien sind der Leitstern für Standards, die jedes Unternehmen bei seinen Projekten mit integrierten Systemen anstreben sollte.

Um jedoch Code zu erstellen und auszuführen, der diesem Referenzstandard entspricht, sind Ingenieure für eingebettete Systeme erforderlich, die sich auf die Tools verlassen können (ganz zu schweigen von der Sicherheit).

Warum ist die Verbesserung der Sicherheitsfähigkeiten integrierter Systeme so spezifisch?

Die Programmiersprachen C und C++ sind nach heutigen Maßstäben veraltet, werden aber weiterhin häufig verwendet. Sie bilden den funktionalen Kern der Codebasis integrierter Systeme, und Embedded C/C++ erfreut sich als Teil der Welt der vernetzten Geräte einer modernen und glänzenden Zukunft.

Obwohl diese Sprachen ziemlich alte Wurzeln haben (und ähnliche Schwachstellen in Bezug auf häufige Probleme wie Injektionsfehler und Pufferüberläufe aufweisen), müssen Entwickler, um Sicherheitsfehler in eingebetteten Systemen erfolgreich zu beheben, mit Code arbeiten, der die Umgebungen nachahmt, in denen sie arbeiten. Eine allgemeine Schulung in C zu allgemeinen Sicherheitspraktiken ist einfach nicht so effektiv und einprägsam wie eine intensivere und sorgfältigere Arbeit im Kontext von integriertem C.

Con entre una docena y más de cien sistemas integrados en un vehículo moderno, es imprescindible que los desarrolladores reciban una formación precisa sobre qué buscar y cómo solucionarlo, directamente en el IDE.
‍

Der Schutz eingebetteter Systeme vom Fundament an ist die Verantwortung aller.

Der Status quo in vielen Organisationen ist, dass die Entwicklungsgeschwindigkeit Vorrang vor der Sicherheit hat, zumindest was die Verantwortung der Entwickler angeht. Selten wird ihre Fähigkeit, sicheren Code zu produzieren, bewertet, aber die schnelle Entwicklung beeindruckender Funktionen ist der Maßstab. Die Nachfrage nach Software wird weiter steigen, aber diese Kultur hat dazu geführt, dass wir den Kampf gegen Schwachstellen und die daraus resultierenden Cyberangriffe verloren haben.

Wenn Entwickler nicht geschult sind, ist das nicht ihre Schuld, sondern eine Lücke, die jemand aus dem AppSec-Team schließen muss, indem er die richtigen und zugänglichen (ganz zu schweigen von bewertbaren) Programme zur Verbesserung der Fähigkeiten für die gesamte Entwickler-Community empfiehlt. Von Beginn eines Softwareentwicklungsprojekts an sollte die Sicherheit eine der wichtigsten Überlegungen sein, damit alle, insbesondere die Entwickler, das erhalten, was sie zur Erfüllung ihrer Aufgaben benötigen.

Machen Sie sich mit den Sicherheitsproblemen integrierter Systeme vertraut.

Der Pufferüberlauf, Injektionsfehler und Fehler in der Geschäftslogik sind häufige Fehler bei der Entwicklung integrierter Systeme. Wenn sie tief in einem Labyrinth von Mikrocontrollern in einem einzelnen Fahrzeug oder Gerät verborgen sind, kann dies aus Sicherheitsgründen katastrophale Folgen haben.

Pufferüberläufe kommen besonders häufig vor. Wenn Sie mehr darüber erfahren möchten, wie sie zur Kompromittierung der zuvor erwähnten Fritteuse beigetragen haben (die die Remote-Ausführung von Code ermöglichte), lesen Sie diesen Bericht unter CVE-2020-28592.

Jetzt ist es an der Zeit, sich mit einer Pufferüberlauf-Sicherheitslücke in echtem eingebettetem C/C++-Code zu befassen. Nehmen Sie diese Herausforderung an und versuchen Sie, die fehlerhaften Codierungsmuster zu finden, zu identifizieren und zu korrigieren, die zu diesem heimtückischen Fehler führen:
‍

¿Cómo te fue? Visita www.securecodewarrior.com para una formación precisa y eficaz sobre la seguridad de los sistemas integrados.

Dieser Artikel wurde ursprünglich auf DevOps.comveröffentlicht. Er wurde aktualisiert und geändert.

Genau wie „Blockchain“, „Big Data“ und „digitale Disruption“ ist auch der Begriff „DevOps“ ein weiteres Modewort, das derzeit in den IT-Abteilungen großer Unternehmen verwendet wird.

Viele haben (zu Recht) die Notwendigkeit schnellerer Softwareentwicklungszyklen erkannt: ein präziserer Prozess, der eng auf die Unternehmensziele abgestimmt ist und einen klareren Arbeitsablauf und eine bessere Zusammenarbeit zwischen den Entwicklungs- und Betriebsteams ermöglicht. DevOps ist im Wesentlichen eine „agile” Entwicklung, die entwickelt wurde, um den Anforderungen moderner Unternehmen gerecht zu werden, die sich in ständigem Wandel befinden und schnell agieren müssen. Für Sicherheitsexperten ist dies eine fantastische Initiative: Wir können viel früher Sicherheitsmaßnahmen in den Prozess einbringen, wodurch die Kosten für die Behebung von Fehlern gesenkt und mögliche Katastrophen in der Zukunft vermieden werden.

Das Problem ist, dass nur wenige Unternehmen bei der Implementierung von DevOps wirklich erfolgreich sind. Ohne die richtige Unterstützung, Fürsorge und Verständnis im gesamten Unternehmen kann das Unternehmen schnell zu einem Fass ohne Boden werden ... Sie wissen schon, eines dieser Projekte, über die man „nicht sprechen sollte“.

Also, wo liegt das Problem? Es ist eine interessante Debatte, und es gibt einige Ansätze für DevOps, die meiner Meinung nach zu einem viel reibungsloseren Ablauf führen werden. Ein effektives Programm geht über ein paar neue, ausgefeilte Tools, Titel und Teambesprechungen hinaus. Es wird nicht immer einfach sein, aber sich die Zeit zu nehmen, eine Strategie zu überarbeiten, die nicht funktioniert (oder sie von Anfang an richtig umzusetzen), wird auf lange Sicht viel weniger schmerzhaft sein. Und letztendlich wird dies zu sichererer und qualitativ hochwertigerer Software führen.

Lassen Sie uns das einmal genauer betrachten:

Lösen Sie die Schnüre der Schürze „Agile“.

Es gibt eine etwas irrige Vorstellung, dass eine Organisation sich zwischen Agile und DevOps entscheiden und einen Weg einschlagen muss, um nicht zurückzublicken.

Tatsächlich funktioniert der Entwicklungsprozess am besten, wenn beide Ansätze als Einheit betrachtet und umgesetzt werden. DevOps ist keine Neuerfindung der agilen Entwicklung, sondern vielmehr eine Erweiterung derselben. Probleme treten häufig dann auf, wenn erwartet wird, dass der Prozess genau wie Agile oder völlig anders als Agile abläuft.

Agile unterstützt das Prinzip funktionsübergreifender Teams, da es Designer, Tester und Entwickler von Anfang an zusammenbringt und sich verpflichtet, während eines Projekts Kommunikationswege offen zu halten. Das Ziel besteht darin, die Lieferung in Silos zu stoppen und Doppelarbeit zu reduzieren, was ebenfalls Vorteile des DevOps-Prozesses sind. DevOps geht jedoch noch einen Schritt weiter und bezieht Systeme, Sicherheit und Betrieb ein, um eine Reihe solider und umfassender Fähigkeiten anzubieten, mit dem Endziel, dem Kunden eine vollständige und funktionsfähige Software zu liefern.

Während der unvermeidlichen Schwierigkeiten beim Übergang zu einem stärker auf DevOps ausgerichteten Prozess kann das Risiko einer isolierten Entwicklung erneut auftreten. Häufig arbeitet das ursprüngliche Agile-Team als Team, während die Bereiche Sicherheit und Betrieb weiterhin ihren Platz in der Maschine suchen; niemand weiß so recht, wie man sie einbeziehen soll, was sie tun sollen und was ihre allgemeinen Ziele sind.

DevOps funktioniert nicht ohne klar definierte Ziele, eine funktionsübergreifende Einbindung und eine direkte Kommunikation mit allen Beteiligten. Es wird zweifellos eine Anpassungsphase geben, die ein sorgfältiges Änderungsmanagement erfordert, aber wenn alle Beteiligten sich über die Vorteile der DevOps-Funktionalität einig sind, ist die Hälfte der Arbeit bereits getan.

Immer mehr (Gott sei Dank) legt DevOps auch mehr Wert auf bewährte Sicherheitsverfahren als Teil des Prozesses, wodurch dieser Schritt entmystifiziert und die Kluft zwischen dem Sicherheitsteam und, nun ja, allen anderen verringert wird. Wie ich bereits erwähnt habe, haben wir noch einen langen Weg vor uns, bis Entwickler von Anfang an sicher programmieren können, aber die erfolgreiche Umsetzung von DevOps-Methoden ist eine hervorragende Grundlage, auf der die Sicherheitskompetenzen des Entwicklungsteams ausgebaut werden können.

Automatisierung ist nicht alles (und auch nicht die sicherste Lösung).

Ein weiteres Merkmal der DevOps-Methodik ist in gewisser Weise die Automatisierung des Softwareentwicklungsprozesses. Die Prinzipien der kontinuierlichen Integration und kontinuierlichen Bereitstellung (CI/CD) sind die Eckpfeiler dieses Konzepts und hängen, wie man sich vorstellen kann, in hohem Maße von den Tools ab.

Die Tools sind wirklich unglaublich. Sie können den Softwarebereitstellungsprozess mit einer beispiellosen Geschwindigkeit vorantreiben, da sie das Code-Repository, die Tests, die Wartung und die Speicherelemente relativ reibungslos verwalten.

Allerdings könnten Roboter uns zwar eines Tages alle unsere Arbeitsplätze wegnehmen und uns einsperren, aber das haben sie definitiv noch nicht getan. Die große Abhängigkeit von Werkzeugen und Automatisierung lässt Raum für Fehler. Es ist möglich, dass Scans und Tests nicht alles erkennen, dass der Code nicht überprüft wird und dass dies in Zukunft zu enormen Qualitätsproblemen (ganz zu schweigen von Sicherheitsproblemen) führt. Ein Angreifer braucht nur eine Hintertür, um diese auszunutzen und Daten zu stehlen, und der Verzicht auf den menschlichen Faktor bei der Qualitäts- und Sicherheitskontrolle kann katastrophale Folgen haben.

Der „goldene Mittelweg“ besteht darin, ein Gleichgewicht zwischen Menschen und Werkzeugen zu finden. Die Werkzeuge sollten als Hilfsmittel für ein Team dienen, dem Sie vertrauen, um die Projektziele zu erreichen. Sie sollten:

• Planen Sie ausreichend Zeit ein, damit sich die Mitarbeiter mit der ausgewählten DevOps-Toolkette vertraut machen können.
• Konzentrieren Sie sich auf eine effektive Zusammenarbeit (und darauf, wie Tools diese unterstützen können).
• Beheben Sie alle Lücken im Prozess, unabhängig davon, ob diese auf Fähigkeiten/Kenntnissen oder Tools beruhen.

Kurz gesagt: Beschränke dich nicht darauf, dich „vorzubereiten” und auf das Beste zu hoffen.

DevOps ist kein Modewort, sondern eine Kultur. Pflegen Sie Ihre eigene Kultur?

La gestión del cambio es difícil en el mejor de los casos. El miedo a lo desconocido puede impedir que incluso los miembros más brillantes del equipo desarrollen sus habilidades y amplíen sus horizontes.

Verá, simplemente decir «hagamos DevOps» y hacer que el equipo de operaciones cambie de escritorio no va a implementar mágicamente un proceso exitoso. Viele werden verwirrt sein, und langjährige Teammitglieder werden unzufrieden sein. Die Kommunikation der Erwartungen ist ebenso entscheidend wie das „mit gutem Beispiel vorangehen”. DevOps ist sowohl eine kulturelle Bewegung als auch eine Entwicklungsmethodik, und ein Team muss eine funktionsübergreifende und kollaborative Mentalität leben und atmen.

Wie sieht eine großartige DevOps-Kultur aus?

• Menschen haben die Möglichkeit, ihre Erfahrungen in einen Prozess einzubringen, nicht nur die Führungskräfte.
• Offene, ehrliche und respektvolle Kommunikation zwischen den Teams
• Jede Person übernimmt Verantwortung für das allgemeine Ziel, Qualität und Sicherheit in den Entwicklungsprozess zu integrieren.
• Alle sind sich einig über die Definition von DevOps im Unternehmen, den Fahrplan und das Wie, Was und Warum der Rolle jeder einzelnen Person.

Seit Jahren betone ich, wie wichtig es ist, eine positive Sicherheitskultur in Entwicklungsteams zu schaffen, und DevOps bildet da keine Ausnahme.

Die richtigen Tools, Kenntnisse und Unterstützung sind unerlässlich, um Best Practices im Bereich Sicherheit zu erreichen, eine Verringerung der entdeckten Schwachstellen zu beobachten und dem Team die Bedeutung des Schutzes unserer Daten verständlich zu machen. Mit DevOps müssen Sie die kulturellen Grundlagen für einen positiven Wandel schaffen: Stellen Sie sicher, dass alle ihre Rolle, ihren Wert und ihre Erwartungen, die allgemeinen Ziele des Projekts und die Schritte des Prozesses verstehen.

Haben Sie das verstanden? Großartig. Jetzt ändern wir den Ansatz, kümmern uns um die Sicherheit und machen DevSecOps zum ultimativen Plan für Software-Exzellenz.

Langweilig, langweilig, langweilig! Das ist eine der häufigsten Antworten, die Sie von Entwicklern hören werden, wenn das Thema sichere Programmierung angesprochen wird. Secure Code Warrior bei Secure Code Warrior , dass es einen besseren Weg geben muss, und haben daher gemeinsam mit Evans Data Corp. eine Primärstudie über die Einstellung von Entwicklern zu sicherer Programmierung, sicheren Programmierpraktiken und Sicherheitsmaßnahmen durchgeführt (laden Sie sich Ihr Exemplar des Whitepapers herunter). hier).

In dem bald erscheinenden Artikel „Von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit” wurden Entwickler zu ihren größten Problemen mit der aktuellen Schulung in sicherem Programmieren befragt, und die Antwort war aufschlussreich.

Ausbildung, die Entwickler entmutigt

40 % der befragten Entwickler waren der Meinung, dass sicheres Programmieren isoliert gelehrt wird. Weitere 40 % fanden, dass die Ausbildung zu theoretisch sei, keinen Bezug zu ihrer Arbeit habe und nicht praxisnah genug sei. 30 % bemängelten die mangelnde Ausbildung in der Sprache, in der sie täglich arbeiten. Dies ist gravierend, da es darauf hindeutet, dass die derzeitige Ausbildung zum Thema sicheres Programmieren aus kontextueller Sicht irrelevant ist und keinen wesentlichen Bezug zu der täglichen Arbeit der Entwickler hat.

Für viele Entwickler besteht die größte Herausforderung darin, bei langweiligen, passiven Tätigkeiten wach zu bleiben, die weder effektiv sind noch sie dazu inspirieren, Sicherheit als Priorität zu betrachten. ‍

Die Ausbildung im Vakuum hindert Entwickler daran, kognitive Verbindungen zwischen dem Labor und der realen Welt herzustellen.

Drei Dinge, die Entwickler von Schulungen zum Thema sicheres Programmieren erwarten:

1. Die Entwickler sagen mit überwältigender Mehrheit, dass sie sich eine Ausbildung wünschen, die praxisorientierter und für ihre tägliche Arbeit kontextbezogener ist.
2. 65 % der Entwickler geben an, dass mehr Schulungen zu sprachspezifischen Schwachstellen und den Top 10 der OWASP erforderlich sind.
3. 75 % der befragten Entwickler bevorzugen eine strukturierte und praxisorientierte Ausbildung.

Schulung, die Entwicklern hilft

Wenn es um die praktische Ausbildung geht, bringen Entwickler ein gewisses Maß an Erfahrung und vorhandenen Kenntnissen mit. Dies weist auf die Notwendigkeit eines „stufenweisen“ Lernens hin. Es handelt sich um eine strukturierte (oder strukturierte) Ausbildung, um das bereits vorhandene Wissen des Entwicklers zu nutzen. Die Ausbildung in Gerüsten aktiviert und verbessert alle bisherigen Erfahrungen und ermöglicht gleichzeitig die Entwicklung neuer Fähigkeiten in kleinen Schritten. Dies macht sie zum perfekten Mittel, um am Arbeitsplatz zu lernen.

Vermittlung von Fähigkeiten, die Bestand haben

Was die Sicherheitsschulung für Entwickler angeht, wissen wir, dass Entwickler das Lernen durch praktische Anwendung der monotonen, theoretisch basierten statischen Lernmethode vorziehen. In diesem Sinne ist es von grundlegender Bedeutung, das sichere Programmieren in einer kontextbezogenen und hochrelevanten Umgebung zu erlernen. Als Vorreiter im Bereich der sicheren Programmierung Secure Code Warrior praktische und kontextbezogene Schulungen in den relevanten Programmiersprachen und Frameworks Secure Code Warrior , mit Herausforderungen, die denen ähneln, denen Entwickler in der realen Welt begegnen. Der Lerninhalt umfasst mehr als 5.500 Herausforderungen und Missionen, die über 147 verschiedene Arten von Schwachstellen abdecken, darunter die wichtigsten aus den OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25.

Wenn Sie sehen möchten, wie sich dies auf Ihre Teams und deren Fähigkeit auswirken könnte, sicheren Code schneller bereitzustellen, vereinbaren Sie jetzt eine Vorführung jetzt.

Weltweit befinden sich Unternehmen im Wandel. Angesichts der starken Fokussierung auf digital ausgerichtete Geschäfte kann man mit Fug und Recht behaupten, dass die meisten Organisationen tatsächlich Softwareunternehmen sind. Große Unternehmen beschäftigen riesige Entwicklungsteams, die für die kontinuierliche Entwicklung und Implementierung von Funktionen in einer agilen DevOps-Umgebung zuständig sind. Dieses Funktionsangebot muss mit dem Tempo der Innovation und den Erwartungen der Kunden Schritt halten, sodass Sicherheit allzu oft als Hindernis und nicht als Notwendigkeit angesehen wird. Angesichts unserer Abhängigkeit von Software, die einen Höchststand erreicht hat (und damit auch unserer Anfälligkeit für mögliche Verstöße und Cybersicherheitsrisiken), kann diese Situation jedoch nicht so bleiben.

Die Sicherheitsteams wachsen nicht, und selbst wenn sie es könnten, mangelt es ihnen an Erfahrung. Ein Verhältnis von mehr als 1:100 ist einfach nicht ausreichend; interne Sicherheitsexperten können nicht als einzige Lösung für das Problem der Cyberbedrohungen angesehen werden.

Unser Webinar, präsentiert von Stephen Allor, Direktor von Secure Code Warrior Amerika), und Russ Wolfe, Dekan für Cybersicherheit bei Capital One, befasst sich eingehend mit den aktuellen Problemen, mit denen DevOps konfrontiert ist, und mit den Maßnahmen, die Finanzinstitute wie Capital One ergreifen, um die Fähigkeiten ihrer Entwicklungsteams im Bereich der sicheren Codierung zu fördern und zu verbessern, eine positive Sicherheitskultur zu fördern und erfolgreich „nach links zu lenken”.

Du wirst entdecken:

• Wenn Sie Opfer des „schwarzen Lochs“ des Sicherheitswissens sind
• Warum die Sicherheit vor Jahrzehnten besser war als heute
• Die traditionelle Einstellung zu AppSec als „Checkbox“ für die Einhaltung von Vorschriften und warum dies bestenfalls oberflächlich ist
• Der Grund, warum Qualitätsbewertungen von Anwendungen die Sicherheit als Teil des Referenzrahmens berücksichtigen müssen: Eine unsichere Anwendung kann unabhängig von ihrem Design oder ihren Funktionen nicht als qualitativ hochwertig angesehen werden.
• Warum die Branche die Softwaresicherheit nicht in die Denkweise und Kultur des durchschnittlichen Entwicklers integriert hat (und warum sich dies ändern muss)
• Wie der Mangel an gemeinsamen sicheren Codierungskompetenzen dazu führt, dass dieselben Schwachstellen immer wieder auftreten
• Warum finden Anwendungsscan-Tools nicht alle Schwachstellen und warum ist es eine sinnvollere Strategie, diese mithilfe von ausreichend geschulten Sicherheitsingenieuren/-entwicklern zu vermeiden?
• Das Problem der zunehmenden Schwachstellen in der Software und deren Ursache
• Warum muss der Ansatz geändert werden und nicht der Schüler, damit eine echte Risikominderung erreicht wird?
• Warum der Großteil der Sicherheitsschulungen die Stärken der Entwickler und die Art der Schulung, die sie benötigen, um herausragende Leistungen zu erbringen, nicht berücksichtigt.
• Die Gründe, warum Software-Engineering, die Einhaltung von Normen und die Erwartungen an die Konstruktion hinter denen anderer Ingenieurszweige zurückbleiben, und wie wir Pioniere bei der Lösung dieses Problems sind.
• Wie Russ Wolfe und sein Team von Capital One ein Zertifizierungsprogramm entwickelt haben, das auf unterhaltsamen, spielerischen Schulungen basiert, die das Interesse der Entwickler wecken, ihnen das Lernen anhand von realen Quellcodes ermöglichen und ihnen Referenzpunkte für bewährte Sicherheitsverfahren vermitteln.
• Wie dieses Zertifizierungsprogramm die Beteiligung, das Behalten von Informationen und das kontinuierliche Lernen fördert
• Wie helfen Anreize den Entwicklern, ihre Ausbildungsniveaus zu verbessern, ihre Fähigkeiten schnell und in Übereinstimmung mit den wichtigsten Sicherheitsrichtlinien zu verbessern?
• Wie Bewertungen dabei helfen, die Vorreiter in Sachen Sicherheit zu identifizieren und die Teilnahme an Schulungen zu fördern.

Sehen Sie sich jetzt unser Webinar auf Abruf an und entdecken Sie die Vorteile einer Umstellung auf die linke Seite und der Ausstattung von Entwicklern mit den notwendigen Tools und Kenntnissen, um von Anfang an sicher zu programmieren, wobei der Schwerpunkt auf positiven Sicherheitspraktiken liegt.

Entdecken Sie, was Finanzinstitute wie Capital One tun, um ihre Entwicklungsteams in Bezug auf sicheres Codieren einzubeziehen und deren Fähigkeiten zu verbessern, indem sie effektiv eine positive Sicherheitskultur fördern und erfolgreich „nach links abbiegen“.

Die steigende Zahl von Cyberangriffen und deren zunehmende Raffinesse haben weltweit Veränderungen in allen Branchen und Industriezweigen vorangetrieben. Alle versuchen, „nach links abzubiegen“ und Sicherheit so schnell wie möglich in alle ihre Prozesse und Verfahren zu integrieren. Die Situation hat sogar völlig neue Bewegungen zur Verbesserung der Cyberabwehr hervorgebracht, wie beispielsweise DevSecOps, bei dem Sicherheit Teil der Struktur der Entwicklung neuer Software und Anwendungen ist.

Viele dieser Änderungen erreichen die Entwickler-Community. Da sie es sind, die neue Programme und Anwendungen erstellen, schreiben und programmieren, scheint es eine gute Idee zu sein, sie zu bitten, sicherere Programmierpraktiken anzuwenden. Schließlich kann man nicht weiter nach links gehen, als wenn man zum ersten Mal neue Anwendungen erstellt.

Aber wie steht die Entwickler-Community zu dieser Verantwortung? Nachdem sie traditionell fast ausschließlich danach bewertet wurden, wie schnell sie programmieren konnten, was denken Entwickler nun über ihre neue Rolle als Verfechter der Sicherheit? Und glauben sie, dass die Unternehmensleitung diese Bemühungen mit hochwertigen Schulungen, besseren Vergütungen und der Anerkennung unterstützt, die sie für die Übernahme dieser neuen grundlegenden Verantwortung verdienen?

Zum zweiten Mal haben wir uns mit Evans Data Corp. zusammengetan, um eine umfassende Umfrage unter der weltweiten Entwicklergemeinschaft zu ihren Fähigkeiten, Wahrnehmungen und Verhaltensweisen in Bezug auf sichere Codierungspraktiken und deren wahrgenommene Auswirkungen und Relevanz für den Softwareentwicklungslebenszyklus (SDLC) durchzuführen. Die Ergebnisse waren in vielerlei Hinsicht ziemlich überraschend.

Der Stand der von Entwicklern initiierten Sicherheitsumfrage 2022

Evans Data Corp führte Secure Code Warrior Dezember 2021 die von Secure Code Warrior initiierte Umfrage zum Stand der Sicherheit durch. 1200 aktive Softwareentwickler aus dem asiatisch-pazifischen Raum, Europa und Nordamerika wurden zu Themen wie Software-Codierung, Sicherheitsbewusstsein, Schulungen, Support, Motivationen und anderen Fragen befragt. Die Umfrage wurde in englischer Sprache durchgeführt und bei Bedarf übersetzt, um ein genaues Gesamtbild zu erhalten. Zu den Befragten gehörten Entwickler, die neue Anwendungen erstellen, sowie Administratoren der Entwickler-Community.

Einige überraschende Erkenntnisse

Am Montag, dem 11. April, werden ein detailliertes technisches Dokument (Herausforderungen (und Chancen) zur Verbesserung der Softwaresicherheit) und ein Bericht (Der Stand der entwicklergetriebenen Sicherheit, 2022) veröffentlicht, der alle Aspekte der Umfrage vertieft. Das technische Dokument enthält unsere Analyse der Schlussfolgerungen und Bedenken der Community in Bezug auf sichere Codierungspraktiken sowie Empfehlungen für Unternehmen zur Schulung ihrer Entwicklerteams zur Verbesserung der Softwaresicherheit.

Es ist wahrscheinlich, dass einige dieser Herausforderungen bei allen, die mit Entwicklern in ihren Organisationen zusammenarbeiten, sowie bei den Mitgliedern der Entwickler-Community selbst Zweifel aufkommen lassen – bei uns war das jedenfalls der Fall.

Beispielsweise nannten nur 14 % der Befragten die Anwendungssicherheit als eine der derzeit wichtigsten Prioritäten. Stattdessen blieben traditionellere Kennzahlen wie Anwendungsleistung und Priorisierung von Funktionen und Merkmalen ihr übergeordnetes Ziel.

Die Sicherheit hatte eine so geringe Priorität, dass 67 % der befragten Entwickler zugaben, dass sie routinemäßig bekannte Schwachstellen und Exploits in ihrem Code belassen haben. Sie taten dies, weil die Fristen sehr knapp waren, weil sie Funktionalität gegenüber Sicherheit priorisierten oder einfach weil sie nicht über die erforderliche Ausbildung oder das notwendige Wissen verfügten, um Sicherheitsprobleme zu beheben.

In vielen Fällen gaben die Entwickler an, dass ihre Unternehmen nicht definiert hätten, was sicheren Code ausmacht, und keine angemessene Schulung oder Unterstützung angeboten hätten, um diese Situation zu ändern.

Trotz einiger negativer Ergebnisse wurde jedoch auch deutlich, dass sich die Einstellungen ändern. Die große Mehrheit der Entwickler (66 %) ging davon aus, dass Sicherheit in den nächsten 12 bis 18 Monaten zu einer höheren Priorität werden würde, während 82 % der Personalverantwortlichen, die an der Umfrage teilnahmen, ihr Interesse bekundeten, Entwickler einzustellen, die sich mit Sicherheit auskennen, anstatt solche, die keine Kenntnisse in diesem Bereich haben.

Die Umfrageergebnisse machen zwar deutlich, dass die Entwickler-Community und die Organisationen, mit denen sie zusammenarbeiten, mit einer Vielzahl von Veränderungen konfrontiert sind, doch glücklicherweise nehmen auch die Pläne für die nahe und ferne Zukunft rasch Gestalt an.

Beachten Sie das technische Dokument und den Bericht, in denen die vollständigen Ergebnisse der Umfrage sowie die Kommentare der Experten zu den Herausforderungen im Zusammenhang mit den aktuellen Praktiken der sicheren Codierung und den Möglichkeiten, die Unternehmen nutzen können, um die Sicherheitskompetenzen der Entwickler und letztlich die Softwaresicherheit zu verbessern, detailliert beschrieben werden.

Werfen Sie einen Blick auf den Secure Code Warrior Blog-Seiten, um mehr über Cybersicherheit und die zunehmend gefährliche Bedrohungslage zu erfahren und um zu erfahren, wie Sie innovative Technologien und Schulungen einsetzen können, um Ihr Unternehmen und Ihre Kunden besser zu schützen.

‍