Perspektiven zum sicheren Code

Una entrada de blog anterior describía el «operador bitwise vs booleano» de Java Gotcha.

• Java Gotchas: operador bit a bit frente a operador booleano

Hemos añadido una variante de esto, y algunos otros problemas de Java, a un pequeño y divertido cuestionario llamado «Desafía al sensei».

• scw.typeform.com/to/rgw7q7oe

Si has leído la entrada de blog anterior, estarás en una buena posición para responder al menos a una de las preguntas.

Pero es posible que tus amigos no, así que si el cuestionario te parece divertido, puedes compartirlo con ellos y ver si obtienen tan buenos puntajes como tú.

Ya que no queremos simplemente hacerte un cuestionario. Queremos intentar usar esto para ayudar a educar y codificar el conocimiento. Por eso, hemos creado un repositorio de Github que tiene ejemplos de código ejecutables para el problema y la solución.

• github.com/SecureCodeWarrior/Challenge-The-Sensei

Este es un Sensei repositorio habilitado.

Cuando clonas el repositorio y lo cargas en IntelliJ, suponiendo que tienes el Secure Code Warrior Sensei Instalado el complemento IntelliJ, verá automáticamente que tienes una carpeta .sensei y cargará las recetas de Sensei.

Cuando navegues por el código en el IDE, verás que IntelliJ te indica que el error existe en el código, y esto debería facilitar la comprensión del código:

• Pase el ratón sobre el código resaltado y verá un mensaje que le informará sobre el error
• Usa la tecla Mostrar acción contextual: alt+enter (Windows) opción+enter (macOS) y es posible que tengamos disponible una solución rápida que pueda corregir el código.

Se han agregado recetas de Sensei para:

• Operadores bit a bit
• Dirección IP dividida
• Afirmar pedido

Vamos a añadir más recetas y más texto explicativo para cubrir el resto del código en el futuro... pero no dejes que eso te impida echar un vistazo al código y detectar el error tú mismo.

Y recuerda probar el cuestionario y»Desafía al sensei«

Kürzlich gab ein Team von Sicherheitsforschern bekannt, dass es einen fünfzehn Jahre alten Fehler in der Funktionalität zum Extrahieren von tar-Dateien in Python entdeckt hat. Die Schwachstelle wurde erstmals 2007 entdeckt und unter der Nummer CVE2007-4559 erfasst. Der offiziellen Python-Dokumentation wurde ein Hinweis hinzugefügt, aber der Fehler selbst wurde nicht behoben.

Diese Schwachstelle könnte Tausende von Softwareprojekten betreffen, aber viele Menschen sind weder mit der Situation noch mit deren Bewältigung vertraut. Deshalb haben wir hier bei Secure Code Warriorbieten wir Ihnen die Möglichkeit, die Ausnutzung dieser Schwachstelle selbst zu simulieren, um die Auswirkungen aus erster Hand zu sehen und praktische Erfahrungen mit der Mechanik dieses hartnäckigen Fehlers zu sammeln, damit Sie Ihre Anwendung besser schützen können!

Probieren Sie jetzt die simulierte Mission aus.

Die Schwachstelle: Pfadverfolgung während der Extraktion der tar-Datei

Das Durchlaufen von Pfaden oder Verzeichnissen tritt auf, wenn nicht desinfizierte Benutzereingaben zum Erstellen eines Dateipfads verwendet werden, wodurch ein Angreifer auf die Dateien zugreifen, sie überschreiben und sogar beliebigen Code ausführen kann.

Die Schwachstelle besteht im Python -Tar-Modul. Eine TAR-Datei (Tape Archive) ist eine einzelne Datei, die als Archiv bezeichnet wird. Sie fasst mehrere Dateien zusammen mit ihren Metadaten zusammen und ist in der Regel an der Erweiterung .tar.gz oder .tgz zu erkennen. Jedes Element der Datei kann durch ein TAR-Info-Objekt dargestellt werden, das Metadaten wie Dateiname, Änderungszeitpunkt, Eigentumsrechte usw. enthält.

Das Risiko ergibt sich aus der Möglichkeit, dass die Dateien erneut extrahiert werden können.

Wenn es extrahiert wird, benötigt jedes Mitglied einen Pfad, in den es schreiben kann. Dieser Speicherort wird durch Verbinden des Basispfads mit dem Dateinamen erstellt:

Sobald dieser Pfad erstellt ist, wird er an Datei „tar.extract“ oder tar.extractall Funktionen, um die Extraktion durchzuführen:

Das Problem hierbei ist die fehlende Desinfektion des Dateinamens. Ein Angreifer könnte den Namen der Dateien so ändern, dass sie Zeichen enthalten, die Pfade durchlaufen, wie z. B. Punktpunkt/Schrägstrich (../), wodurch die Datei das Verzeichnis, in dem sie sich befand, verlassen und beliebige Dateien überschreiben würde. Mit der Zeit könnte dies zur Remote-Ausführung von Code führen, der bereit ist, ausgenutzt zu werden.

Die Schwachstelle tritt auch in anderen Szenarien auf, wenn man weiß, wie man sie identifiziert. Neben der Verwaltung von tar-Dateien durch Python besteht die Schwachstelle auch beim Extrahieren von zip-Dateien. Möglicherweise kennen Sie diese unter einem anderen Namen, beispielsweise als Zip-Slip-Schwachstelle, die neben Python auch in anderen Sprachen aufgetreten ist!

VERBINDUNG ZUR MISSION 

Wie können Sie das Risiko mindern?

Obwohl die Schwachstelle seit Jahren bekannt ist, sind die Python-Entwickler der Ansicht, dass die Extraktionsfunktion so funktioniert , wie sie soll. In diesem Fall könnten einige sagen, dass es sich um eine Funktion und nicht um einen Fehler handelt. Leider können Entwickler nicht immer vermeiden, tar- oder zip-Dateien aus einer unbekannten Quelle zu extrahieren. Im Rahmen sicherer Entwicklungspraktiken müssen sie selbst dafür sorgen, dass nicht vertrauenswürdige Informationen bereinigt werden, um zu verhindern, dass Schwachstellen ausgenutzt werden.

Möchten Sie mehr darüber erfahren, wie Sie mit Python sicheren Code schreiben und Risiken minimieren können?

Probieren Sie unsere Python-Challenge kostenlos aus.

Wenn Sie an weiteren kostenlosen Codierungsrichtlinien interessiert sind, besuchen Sie den Secure Code Coach, der Ihnen dabei hilft, sich über sichere Codierungspraktiken auf dem Laufenden zu halten.

‍

‍

Die Cybersicherheitsbranche wurde erneut in höchste Alarmbereitschaft versetzt, nachdem eine heimtückische Kompromittierung in der Software-Lieferkette entdeckt wurde. Die Schwachstelle, die die Datenkomprimierungsbibliothek XZ Utils betrifft, die in den wichtigsten Linux-Distributionen enthalten ist, ist unter dem Code CVE-2024-3094 registriert und lässt sich auf eine Hintertür zurückführen, die absichtlich von einem freiwilligen Systemadministrator eingebaut wurde, der ihr einst vertraute. Die Ermöglichung der Remote-Code-Ausführung (RCE) in einigen Fällen, wenn sie richtig ausgenutzt wird, stellt ein sehr ernstes Problem dar, da sie schwere Schäden in den etablierten Softwareentwicklungsprozessen verursachen kann.

Glücklicherweise entdeckte ein anderer Maintainer diese Bedrohung, bevor der bösartige Code in die stabilen Versionen von Linux gelangte, aber es bleibt ein Problem für diejenigen, die mit der Ausführung der Versionen 5.6.0 und 5.6.1 von XZ Utils als Teil von Fedora Rawhide begonnen haben, und Organisationen werden aufgefordert, das Problem als Notfallpriorität zu beheben. Wäre diese Entdeckung nicht rechtzeitig gemacht worden, hätte das Risikoprofil dies zu einem der verheerendsten Angriffe auf die Lieferkette in der Geschichte gemacht, vielleicht sogar noch schlimmer als SolarWinds.

Die Abhängigkeit von Freiwilligen aus der Community zur Wartung kritischer Systeme ist weithin dokumentiert, wird jedoch selten diskutiert, bis Themen mit großer Tragweite wie dieser Vorfall ans Licht kommen. Obwohl ihre unermüdliche Arbeit für die Wartung von Open-Source-Software unerlässlich ist, zeigt dies doch, dass Entwickler besonders auf Sicherheitsfähigkeiten und -bewusstsein achten müssen, ganz zu schweigen von der Verstärkung der Zugriffskontrollen auf Software-Repositorys.

Was ist die Hintertür von XZ Utils und wie kann man sie entschärfen?

Am 29. März veröffentlichte Red Hat eine dringende Sicherheitswarnung, um Benutzer von Fedora Linux 40 und Fedora Rawhide darüber zu informieren, dass die neuesten Versionen der Bibliotheken und Komprimierungstools „XZ” bösartigen Code enthalten, der offenbar speziell dafür entwickelt wurde, unbefugten Zugriff durch Dritte zu ermöglichen. Die Art und Weise, wie dieser bösartige Code eingeschleust wurde, wird wahrscheinlich in Zukunft Gegenstand intensiver Untersuchungen sein, aber es handelt sich um eine ausgeklügelte, geduldige und mehrjährige Social-Engineering-Aktion des Angreifers, einem pseudonymen Angreifer namens „Jia Tan”. Diese Person verbrachte unzählige Stunden damit, das Vertrauen anderer Betreuer zu gewinnen, indem sie über zwei Jahre lang legitime Beiträge zum Projekt und zur XZ Utils-Community leistete und schließlich den Status eines „vertrauenswürdigen Betreuers” erhielt, nachdem mehrere Sockpuppet-Konten das Vertrauen in den freiwilligen Projektinhaber Lasse Collin untergraben hatten:

‍

‍

Dieses ungewöhnliche Szenario ist ein hervorragendes Beispiel dafür, wie selbst eine hochqualifizierte Fachkraft Opfer von Taktiken wird, die normalerweise für weniger sachkundige Personen reserviert sind. Dies verdeutlicht die Notwendigkeit einer präzisen, funktionsbasierten Schulung zur Sensibilisierung für Sicherheitsfragen. Nur dank der Neugier und der schnellen Auffassungsgabe des Microsoft-Softwareentwicklers und PostgreSQL-Wartungsbeauftragten Andrés Freund wurde die Hintertür entdeckt und die Versionen zurückgezogen, wodurch der möglicherweise verheerendste Angriff auf die Lieferkette der letzten Zeit verhindert werden konnte.

Die Hintertür selbst wird offiziell als Schwachstelle der höchsten Schwere im NIST-Register erfasst. Ursprünglich wurde angenommen, dass sie die Umgehung der Authentifizierung über SSH ermöglichte, aber eine spätere Untersuchung ergab, dass sie die Remote-Ausführung von Code ohne Authentifizierung auf anfälligen Linux-Systemen ermöglichte, darunter Fedora Rawhide, Fedora 41, Kali Linux, openSUSE microOS, openSUSE Tumbleweed und einige Versionen von Debian.

Jia Tan scheint alles getan zu haben, um das bösartige Paket zu verbergen, das, wenn es so aktiviert wird, dass es sich während des Erstellungsprozesses selbst erstellt, die Authentifizierung in SSHd über systemd erschwert. Wie Red Hat im Detail ausführt, könnte diese Störung unter bestimmten Umständen einem Angreifer ermöglichen, die SSHd-Authentifizierung zu umgehen und unbefugten Fernzugriff auf das gesamte System zu erlangen.

Microsoft, entre otros, ha guía completa publicada sobre el análisis de los sistemas en busca de casos de explotación y la mitigación de su efecto, y la acción inmediata recomendada por CISA es que los desarrolladores y usuarios afectados deberían cambiar XZ Utils a una versión sin compromisos, como XZ Utils 5.4.6 Stable.

Die Verhinderung solcher Angriffe ist unglaublich schwierig, insbesondere wenn Open-Source-Komponenten in der Software verwendet werden, da es nur sehr wenige Garantien und Transparenz in Bezug auf die Sicherheit der Lieferkette gibt. Wir haben bereits mit zufälligen Fehlern in der Software-Lieferkette zu kämpfen gehabt, aber dieses Risiko hat sich erhöht und umfasst nun auch Sicherheitslücken, die absichtlich zu böswilligen Zwecken geschaffen wurden, um die Sicherheit von Open-Source-Software zu gefährden.

Die meisten Entwickler werden einen Angriff dieser Art nicht abwehren können, es sei denn, sie verfügen über ein ausgeprägtes Sicherheitsbewusstsein, fundierte Sicherheitskenntnisse und eine Prise Paranoia. Es ist fast so, als müsste man die Denkweise eines Angreifers annehmen. Ein Hauptaugenmerk sollte jedoch immer auf den intern kontrollierten (d. h. nicht Open-Source-)Quellcode-Repositorys liegen. Sie sollten nur für Personen zugänglich sein, die über relevante und nachgewiesene Sicherheitskenntnisse verfügen. AppSec-Experten könnten eine ähnliche Konfiguration wie bei Sicherheitskontrollen auf Filialebene in Betracht ziehen, die es nur sicherheitsbewussten Entwicklern erlaubt, Änderungen am letzten Master-Zweig vorzunehmen.

Freiwillige Maintainer sind Helden, aber es sollte ein ganzes Dorf nötig sein, um Software sicher zu halten.

Für diejenigen, die nicht aus dem Bereich der Softwareentwicklung kommen, ist die Vorstellung, dass eine engagierte Gemeinschaft von Freiwilligen in ihrer Freizeit kritische Systeme sorgfältig wartet, schwer zu verstehen, aber das ist die Natur der Open-Source-Entwicklung und bleibt ein kritischer Risikobereich für Sicherheitsexperten, die die Lieferkette schützen.

Open-Source-Software ist ein wichtiger Bestandteil des digitalen Ökosystems praktisch aller Unternehmen, und diejenigen, die für ihre Wartung verantwortlich sind (von denen die meisten in guter Absicht handeln), sind in ihrem selbstlosen Streben nach technologischem Fortschritt und Integrität wahrhaft heldenhaft, aber es ist absurd, sie isoliert arbeiten zu lassen. In Zeiten, in denen DevSecops im Mittelpunkt steht, ist Sicherheit eine gemeinsame Verantwortung, und alle Entwickler müssen über das erforderliche Wissen und die richtigen Werkzeuge verfügen, um Sicherheitsprobleme zu lösen, mit denen sie wahrscheinlich im Laufe ihres Arbeitstages konfrontiert werden. Sicherheitswissen und praktische Fähigkeiten sollten im Softwareentwicklungsprozess nicht verhandelbar sein, und es ist Aufgabe der Sicherheitsverantwortlichen, den Wandel auf Unternehmensebene zu beeinflussen.
‍

Schaffen Sie noch heute eine erfolgreiche Sicherheitskultur in Ihrem Unternehmen mit umfassenden Informationen Kurse von Secure Code Warrior.

Da Datenlücken und deren Kosten weiter zunehmen, ist das Volumen des in unserer Welt produzierten Codes zu groß, als dass Sicherheitsexperten es alleine bewältigen könnten. Unternehmen benötigen Entwickler mit Kenntnissen in sicherer Programmierung, und Entwickler wissen, dass sie diese Kenntnisse benötigen, um in ihrer Karriere voranzukommen. Die derzeitige Ausbildung im Bereich sicheres Codieren enttäuscht sie jedoch. Was wünschen sich Entwickler also in Bezug auf die Ausbildung im Bereich sicheres Codieren? Um diese Frage zu beantworten, wollen wir einige Erkenntnisse aus einer aktuellen Studie über die Einstellung von Entwicklern zu sicherem Codieren, sicheren Codierungspraktiken und Sicherheitsmaßnahmen analysieren, die von Secure Code Warrior Evans Data Corp* durchgeführt wurde. (Laden Sie das Whitepaper hier).

Wenn es um die Art der Ausbildung geht, die Entwickler wünschen, ist die Antwort ganz klar. 75 % der Entwickler bevorzugten eine strukturierte Ausbildung am Arbeitsplatz, da sie diese als die effektivste und zufriedenstellendste Art des Lernens betrachten. Und was den Inhalt dieser Ausbildung angeht, haben die Entwickler einige sehr klare und spezifische Fragen:

• 65 % geben an, dass sie Schulungen zu den spezifischen Schwachstellen der Sprache benötigen.
• 65 % wünschen sich mehr Schulungen zu den Top 10 der OWASP
• Viele möchten sich auch auf Compliance-Sicherheitsrahmen konzentrieren, darunter NIST (58 %), CIS (52 %) und PCI DSS (50 %).
• 78 % wünschen sich informelle Beratung und Orientierung durch Gleichaltrige als Teil dieser Schulung.
  

Obwohl Entwickler strukturierte Kurse dem unstrukturierten Lernen vorziehen, ist die Art und Weise, wie die Kurse durchgeführt werden, entscheidend. Dies wirft natürlich eine weitere wichtige Frage auf:

Wie lernen Entwickler am liebsten?

Die Entwickler wollen nicht nur dasitzen und den Lehrern zuhören, sie wollen sich die Dinge selbst aneignen und ausprobieren. Sie wollen sich auf praktische Anwendungen konzentrieren, etwas, das in den aktuellen Ausbildungsprogrammen weitgehend fehlt. Auf die Frage, wie die vom Unternehmen angebotene Ausbildung verbessert werden könnte, antworteten 30 % der Befragten, dass sie es vorziehen würden, wenn sich die Ausbildung auf praktische Anwendungen konzentrieren würde, insbesondere auf authentische Arbeitsszenarien.

Die Ausbildung von Entwicklern erfordert einen personenorientierten Ansatz, der geführte Lernpfade mit gamifizierten Programmieraufgaben bietet, die sowohl praxisnah als auch sprachspezifisch sind: Framework. Die rollenspezifische gamifizierte Ausbildung sorgt für ein Höchstmaß an Engagement der Entwickler, wobei konfigurierbare Lernmodule es dem Unternehmen ermöglichen, das Lernen der Entwickler auf bestimmte Schwachstellen auszurichten.

Um zu erfahren, wie Sie die Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses machen können, mit strukturierten, kompetenzbasierten Lehrplänen, die den Entwicklern die gewünschten Schulungen bieten, fordern Sie jetzt eine Demo an jetzt an.

„Interaktive Simulationen helfen dabei, Sicherheitslücken im Code zu identifizieren, regen zum kritischen Denken an und helfen dabei, eine oder mehrere Lösungen zu finden. Ich habe den Code aus einer neuen Perspektive betrachtet, und die praktische Arbeit hat mir sehr viel Freude bereitet!“
‍Softwareentwickler, Finanzdienstleistungen‍

*Von der Reaktion zur Prävention: Das sich wandelnde Gesicht der Anwendungssicherheit. Secure Code Warrior Evans Data Corp. 2020

Vor etwas mehr als neun Jahren führte ich mehrere Gespräche mit Freunden, Familienmitgliedern, ehemaligen Kollegen und potenziellen Investoren über meine Absicht, ein Unternehmen zu gründen. Alle unterstützten mich, einige wurden zu den Engeln, die wir brauchten, um unseren Weg zu ebnen, andere fungierten als Stimme der Vernunft und zitierten warnende Statistiken wie „90 % aller Start-ups scheitern, und jedes fünfte geht in den ersten zwei Jahren zugrunde”.

Der bisher zurückgelegte Weg war nicht frei von Hindernissen, unvorhersehbaren wirtschaftlichen Hindernissen und erheblichen Risiken, aber die Wahrheit ist, dass ich mit meinem Mitbegründer Matías und einem unglaublichen Team an meiner Seite glaube, dass wir fast jedes Hindernis überwinden können, das sich uns in den Weg stellt.

Heute feiern wir unseren neunten Geburtstag, und ich bin sehr stolz und dankbar für unsere Erfolge und unseren dauerhaften Platz in der Welt der Cybersicherheit, da sich die Lage weiterhin rasant verändert.

‍

Neue Kunden, neue Möglichkeiten

Es ist nicht einfach, in diesem wirtschaftlichen Klima zu wachsen, aber wir finden weiterhin Wege, um die Geschwindigkeit und Effizienz zu verbessern und unserem wachsenden Kundenstamm einen Mehrwert zu bieten. Obwohl wir 2023 eine Vielzahl von namhaften Unternehmen zu unserer Kundenliste hinzufügen konnten, war der eigentliche Vorteil, dass wir ihre Bereitschaft feststellen konnten, neue Ansätze für die Softwareentwicklung auszuprobieren, selbst in älteren Umgebungen, in denen dieser Prozess viel schwieriger zu implementieren sein kann.

Diese großen Akteure der Branche können entscheidend dazu beitragen, den Wandel voranzutreiben, den wir brauchen, wenn wir eine Veränderung der Sicherheitsergebnisse erreichen wollen.

Und im Jahr 2023 konnten wir mit Freude feststellen:

>> 100 % Wachstum für unseren jährlichen globalen Devolympics-Wettbewerb für sicheres Programmieren. Merken Sie sich das Datum vor und melden Sie Ihr Interesse für unseren Wettbewerb 2024 an, der am 15. Oktober beginnt!

>> Mehr als 400.000 Entwickler nutzen die Lernplattform Secure Code Warrior.

>> Die analysierten Daten von 30 % unserer Nutzerbasis (fast 75.000 Personen) zeigen, dass Entwickler, die mit Secure Code Warrior sichere Codierungspraktiken erlernen und anwenden, 53 % weniger Schwachstellen in ihrem Unternehmen Secure Code Warrior als ihre Kollegen. Beeindruckend!

Künstliche Intelligenz dominiert die Schlagzeilen und Vorstandsetagen, aber wir sind bereit.

Im vergangenen Jahr war die Begeisterung für KI, maschinelles Lernen und Large Language Model (LLM)-Technologie unvermeidlich, und innerhalb von nur zwölf Monaten hat eine Flut von KI-Codierungs- und Sicherheitstools begonnen, die Art und Weise zu verändern, wie viele Entwickler an das Schreiben von Code herangehen.

Die neuen Technologien, die den Zeitgeist einfangen und eine breite Akzeptanz erfordern, sind unglaublich leistungsstark, und die KI-gestützten Codierungstools sind nicht mehr wegzudenken. Wie wir jedoch zuletzt diskutiert haben, hat diese Technologie, wenn überhaupt, die Kluft zwischen sicherer Softwareentwicklung und Effizienz vergrößert. Sicherheitsexperten unter den Entwicklern sind gefragter denn je, da Unternehmen vor der Herausforderung stehen, Geschwindigkeit mit Kontextwissen und der Erkennung von Schwachstellen in Einklang zu bringen – etwas, das am besten mit erfahrener menschlicher Aufsicht erreicht werden kann. In gewisser Weise ist dies die Zukunft des Pair Programming, und die Tools selbst stellen eine neue und einzigartige Grenze in der Softwareentwicklung dar.

Sie können eine interaktive Herausforderung spielen, um mit eigenen Augen die Auswirkungen von KI- und LLM-Tools auf die Sicherheit zu überprüfen und die enormen Möglichkeiten zu erkennen, die diese Tools bieten, um die Sicherheitsfähigkeiten von Entwicklern so schnell wie möglich zu verbessern. Und wir sind bereit, mit Organisationen zusammenzuarbeiten, die Geschwindigkeit und Effizienz mit Sicherheit als Priorität anstreben.

Mit den führenden Anbietern im Bereich Cybersicherheit zusammenarbeiten, um positive, entwicklerorientierte Sicherheitsergebnisse zu erzielen.

Neun Jahre lang haben wir Softwareentwickler als Herzstück eines Sicherheitsprogramms verteidigt, und nun, da wir in ein neues Jahrzehnt in diesem Bereich eintreten, zeichnet sich 2024 als ein revolutionäres Jahr in unserer Geschichte ab.

Unsere Produkt-Roadmap steckt voller großartiger neuer Funktionen, die wir Ihnen gerne vorstellen möchten. Ich bin mir sicher, dass Sicherheitsverantwortliche besonders daran interessiert sein werden, wie wir Sie bei der Arbeit mit Ihrer Entwicklungsgruppe unterstützen können.

Bleiben Sie dran und vielen Dank, dass Sie dabei sind.

El aprendizaje ágil para un código seguro en el SDLC vale la pena

Este es el tercero de una serie de blogs de tres partes que analiza los atributos y beneficios de una plataforma de aprendizaje ágil para código seguro. En parte 1 presentamos el concepto de aprendizaje ágil y cómo la plataforma de Secure Code Warrior ejemplifica varios principios ágiles. En parte 2 exploramos cómo una plataforma de aprendizaje ágil reemplaza la capacitación tradicional en seguridad orientada al cumplimiento.

Una plataforma de aprendizaje ágil ofrece una experiencia de aprendizaje que permite al alumno internalizar y utilizar las nuevas habilidades de manera más eficaz, mediante una combinación de educación práctica y contextual que está verdaderamente integrada en su trabajo diario, como parte del trabajo. Este enfoque del aprendizaje, tal como SCW lo ha aplicado a los desarrolladores que adquieren habilidades de codificación seguras, diferencia al SCW de las modalidades de aprendizaje tradicionales y nos diferencia. En este tercer y último blog de la serie, explicamos el retorno de la inversión que las organizaciones pueden esperar de una plataforma de aprendizaje ágil sobre código seguro y cómo modelar los números para su organización.

Impacto empresarial

Las organizaciones que adoptan un enfoque ágil para el aprendizaje seguro del código ven entre el doble y el triple de impacto empresarial gracias a dos palancas: la capacidad de corrija las vulnerabilidades más rápido y reducción de costes de reelaboración. 

‍

‍

Cuanto antes se aborden las vulnerabilidades en el SDLC, menos daño pueden causar y es menos costoso solucionarlas. Según el experto en seguridad Jim Routh, que anteriormente se desempeñó como director de seguridad en Aetna y director de TI en MassMutual, el costo por defecto durante las fases del SDLC aumenta a más de 14 000 dólares si se realiza durante el modo de mantenimiento una vez que el software entra en producción. Los costos se pueden reducir a la mitad si se abordan durante las pruebas y pueden ser 14 veces más baratos si se abordan durante la fase de codificación.

‍

‍

Cuanto mejor equipados estén los desarrolladores para corregir las vulnerabilidades más rápido o para evitarlas por completo, menores serán los costos y riesgos que una organización debe aceptar en sus productos de software y aplicaciones internas. Las organizaciones que desean invertir en la prevención de vulnerabilidades y en la calidad del software proporcionan a los desarrolladores una plataforma de aprendizaje ágil que ofrece experiencias flexibles y múltiples vías de aprendizaje, diseñada específicamente para lograr un impacto empresarial inmediato.

‍

Investigación de NIST indica que las horas necesarias para corregir una vulnerabilidad varían, pero las estimaciones de la tabla siguiente se han identificado en situaciones reales con clientes de grandes empresas.

‍

‍

Una vez que los equipos desarrollan nuevas habilidades de codificación segura, los clientes de SCW han observado que sus desarrolladores corrigen las vulnerabilidades entre un 50 y un 60% más rápido y producen un 50% menos de vulnerabilidades de alto riesgo en el código de producción. La experiencia de cada organización varía, pero estos resultados se han observado en grandes empresas con más de 5000 desarrolladores. El aumento de la productividad de los desarrolladores ha tenido un impacto en los resultados finales.

Reducción de costos operativos: corrija las vulnerabilidades más rápido

Para comprender el impacto financiero de un proceso de desarrollo de software más seguro y cómo una inversión en una plataforma de aprendizaje ágil ayuda a los desarrolladores a corregir las vulnerabilidades con mayor rapidez, utilice el siguiente modelo y sustituya las variables en azul por sus propios números:

 Base de referencia:

‍

Beneficio supuesto de la plataforma de aprendizaje ágil en MTTR (Mean Time To Remediate)

‍

Valor de prevención: reducción de costos de reelaboración

Una plataforma de aprendizaje ágil ayuda a los desarrolladores a escribir código seguro desde el principio. El modelo para determinar este impacto financiero se presenta a continuación.

‍

El enfoque de aprendizaje ágil marca la diferencia

La plataforma de aprendizaje ágil SCW para código seguro es superior a los enfoques alternativos de formación en seguridad para desarrolladores. Los clientes de SCW han obtenido unos resultados sobresalientes que, por supuesto, varían en función de los costes individuales y los indicadores de vulnerabilidad de cada situación particular. ¿Uno gran empresa de servicios financieros, Envestnet, descubrió que los desarrolladores formados en SCW corrigieron 2,7 veces más vulnerabilidades que sus pares. Además, un grupo de 1200 desarrolladores formados en SCW incrementaron en un 120% las tasas de corrección de sus listas de espera.

Como ocurre con cualquier inversión en soluciones empresariales, es importante evaluar sus circunstancias únicas. Nuestro equipo puede colaborar con usted para evaluar su estado actual y desarrollar un modelo de negocio personalizado. Si quieres evaluar el impacto por tu cuenta, utiliza los modelos descritos en este blog y echa un vistazo a seminario web reciente para clientes con Sage, la empresa de software de contabilidad y ERP con sede en el Reino Unido, que analiza una reducción del 82% del MTTR en caso de vulnerabilidades como parte de un sólido programa para crear una cultura de seguridad.

Acerca de Secure Code Warrior

Secure Code Warrior brinda a sus desarrolladores las habilidades necesarias para escribir código seguro. Nuestra plataforma de aprendizaje es la solución de codificación segura más eficaz porque utiliza métodos de aprendizaje ágiles para que los desarrolladores aprendan, apliquen y conserven los principios de seguridad del software. Más de 600 empresas confían en Secure Code Warrior para implementar programas de seguridad de aprendizaje ágiles, ofrecer software seguro con rapidez y crear una cultura de seguridad impulsada por los desarrolladores. ¿Está listo para obtener más información? Solicita una demostración.

Zeit ist Geld, warum verschwenden wir sie?

Technische Leiter: Es ist Zeit, realistisch zu sein. Wie viele Stunden verbringen Ihre Entwickler mit Programmieren? Nein, wir wollen nicht, dass Sie zugeben, dass sie den ganzen Tag im Pyjama sitzen, Chips essen und Netflix schauen. Fragen Sie sich stattdessen: Wie viele Stunden pro Tag verbringen Ihre Teams Ihrer Meinung nach mit sinnvoller Arbeit?

Beobachten Sie nun, wie viel Zeit Ihre Entwickler pro Woche für die Programmierung aufwenden. Wie viel dieser Zeit wird für die Überarbeitung des alten Codes, das Auffinden und Beheben von Fehlern oder die Lösung technischer Probleme aufgewendet? Wahrscheinlich sehr viel.

Wir kennen dieses Gefühl. Entwickler sind oft frustriert, weil sie angesichts unüberwindbarer Herausforderungen und Lücken im aktuellen Lebenszyklus der Softwareentwicklung keine Fortschritte erzielen können.

• Im Durchschnitt überarbeitet ein Softwareentwicklungsteam etwa 26 % seines Codes vor der Veröffentlichung.
• Ein Entwickler verbringt durchschnittlich 13,5 Stunden pro Woche allein mit technischen Schulden. Das entspricht mehr als 700 Stunden pro Jahr, die für die Behebung von Fehlern aus der Vergangenheit aufgewendet werden.
• Entwickler verbringen vier Stunden pro Woche damit, an „fehlerhaftem Code” zu arbeiten. In einem Jahr entspricht dies einem Verlust von 85 Milliarden Dollar an Opportunitätskosten.
• 41 % der Entwickler geben an, dass Funktionalität und Sicherheit in ihrem Unternehmen gleich wichtig sind.
• 63 % der Entwickler sind der Meinung, dass es sehr schwierig ist, sicheren Code ohne Schwachstellen zu schreiben.

Quelle: Stripe Report, Entwicklerkoeffizient; Umfrage zum Stand der Sicherheit, durchgeführt von Entwicklern im Jahr 2022

Denken Sie an das letzte Mal, als Sie eine Codeüberprüfung durchgeführt haben, bei der Ihr AppSec-Team den Code als unsicher identifiziert hat. Denken Sie daran, wie sehr Ihr Team blockiert war, als es diese Schwachstellen beheben musste. Höchstwahrscheinlich mussten sie sich in den Kaninchenbau begeben, um eine praktikable Lösung für das Problem zu finden, und dann zusätzliche Zeit aufwenden, um herauszufinden, wo zum Teufel sie zuvor stehen geblieben waren, bevor sie sich dem Problem widmen konnten.

Quelle: Bericht Stripe, der Entwicklerkoeffizient

Dieser endlose Kreislauf aus Stillständen und Nachbearbeitungen ist nicht nur störend, sondern beeinträchtigt auch die Produktivität und wirkt demoralisierend.

Es gibt eine bessere Möglichkeit, sicher zu programmieren und dabei Zeit zu sparen.

Wir alle wünschen uns mehr Stunden am Tag, um alles zu erledigen. Aber manchmal müssen wir einfach nur einen Weg finden, mit der Zeit, die uns zur Verfügung steht, intelligenter statt härter zu arbeiten.

Anstatt Zeit mit der Suche nach Lösungen zu verschwenden und stundenlang Code zu überprüfen, der vielleicht nicht einmal Ihrer ist, um Fehler und Schwachstellen zu finden, wäre es dann nicht einfacher, den Code von Anfang an besser zu schreiben?

Die Technologie befindet sich derzeit in einer Sackgasse, und die technischen Leiter versuchen, die Kosten auf jede erdenkliche Weise zu senken. Softwarelizenzen, diskretionäre Ausgaben und sogar Gehälter stehen im Fokus. Aber was wäre, wenn das gar nicht nötig wäre? Ineffizienzen im Softwareentwicklungsprozess sind schwieriger zu quantifizieren, aber letztendlich kostspieliger und schwieriger zu beheben.

Mit der von Entwicklern vorangetriebenen Sicherheit können Entwickler innerhalb des SDLC für mehr Effizienz und Produktivität sorgen, indem sie in jedem Schritt des Prozesses für die Sicherheit verantwortlich sind.

Die Reduzierung des Zeitaufwands für die Überarbeitung von anfälligem Code ist mehr als nur eine Kosteneinsparungsmaßnahme: Es ist eine Gelegenheit, in Ihre Abteilung zu reinvestieren. Die eingesparte Zeit kann genutzt werden, um neue innovative Funktionen oder bedeutende Verbesserungen für Ihre Anwendung zu entwickeln. Entwickler, die zuvor frustriert waren, weil sie keine Fortschritte erzielen konnten, werden durch die Möglichkeit, einen Mehrwert zu schaffen, motiviert sein.

Entwickler sind der Ansicht, dass die größten negativen Auswirkungen auf ihre Arbeitsbelastung auf Arbeitsüberlastung, Prioritätsänderungen, die zum Verwerfen von Code oder Zeitverlust führen, sowie auf den Mangel an Zeit zur Korrektur von Code schlechter Qualität zurückzuführen sind. Wenn wir dazu noch mangelnde Kenntnisse und eine heterogene Lösung zur Behebung der Schwachstellen hinzufügen, sehen wir uns mit einem noch größeren Zeitverlust und immer höheren Kosten konfrontiert.

Quelle: Umfrage zum Stand der Sicherheit, durchgeführt von den Entwicklern von 2022

Die Technologie schreitet mit Lichtgeschwindigkeit voran, daher ist es wichtig, Entwicklern die notwendigen Werkzeuge an die Hand zu geben, damit sie auf dem neuesten Stand bleiben und nicht ins Hintertreffen geraten. Wenn Sie Ihren Entwicklern von Anfang an das nötige Wissen vermitteln, um sicher zu programmieren und Schwachstellen schnell zu beheben, hat Ihr Team einen Vorteil, wenn es darum geht, die Probleme zu bewältigen, die mit der Überarbeitung des Codes und der langfristigen Begleichung der technischen Schulden verbunden sind.

Unternehmen müssen das Talent ihrer derzeitigen Entwickler besser mobilisieren, wenn sie schneller vorankommen, agil bleiben und neue und aufkommende Trends nutzen wollen. Die Motivation der Entwickler, sich stärker auf die Sicherheit zu konzentrieren, sollte sich nicht nur auf Kosten und Ergebnisse konzentrieren. Die Verbesserung der Fähigkeiten und die Integration der Sicherheit in jeden Schritt des SDLC ist nicht nur ein Vorteil für das Team, sondern auch ein beruflicher Gewinn für die einzelnen Entwickler. Entwickler, die über die erforderlichen Fähigkeiten für sicheres Programmieren verfügen, werden in den kommenden Jahren sehr gefragt sein, da sicheres Programmieren bedeutet, dass sie in Zukunft weniger Probleme zu lösen haben.

Links zu beginnen bedeutet nicht nur, schnell voranzukommen, sondern auch, dass Entwickler die Verantwortung für die Sicherheit teilen können, ohne dabei an Geschwindigkeit einzubüßen. Wenn dies richtig umgesetzt wird, steigern sicherheitsbewusste Entwickler die Produktivität, indem sie Schwachstellen reduzieren, die zu Nacharbeiten führen, die Geschwindigkeit der Software-Veröffentlichung aufrechterhalten und die Qualität des Codes gewährleisten, ohne dabei die Innovation zu behindern.

Intelligentere, schnellere und sicherere Verschlüsselung

Secure Code Warrior eine Kultur von sicherheitsbewussten Entwicklern, indem es ihnen die notwendigen Fähigkeiten für sicheres Programmieren vermittelt. Unsere führende Lernplattform bietet relevante, kompetenzbasierte Lernpfade, praktische Aufgaben und kontextbezogene Tools, mit denen Entwickler ihre Fähigkeiten zum Schreiben von sicherem Code schnell erlernen, entwickeln und anwenden können.

Hay una pregunta que todos los desarrolladores deben hacerse, ya sea un graduado o un veterano. Y la respuesta es importante. Se ha vuelto aún más importante en un mundo ágil, ya que tendrá un impacto directo en el éxito que tendrá en la ingeniería de software y en lo valioso que será para su próximo empleador.

Es la pregunta del millón de dólares. En realidad, ¡es la pregunta multimillonaria!

¿Te comprometes a ayudarme a programar de forma segura?

El coste medio de una violación de datos ahora es de 3,6 millones de dólares. Las probabilidades de que su empresa sea violada este año son de una de cada cuatro. Teniendo en cuenta estos datos, comparto la frustración de muchos por el hecho de que los desarrolladores no se están graduando de la universidad con las competencias en codificación segura y seguridad integradas en su ADN.

¿Por qué? La ingeniería de software es todavía una profesión relativamente joven. Se ha hecho hincapié en enseñar a las personas cómo crear código rápidamente, hacerlo elegante y funcional, pero con un enfoque muy limitado en hacer que el código sea seguro. El ritmo del cambio en las metodologías, las tecnologías, los lenguajes y las oportunidades solo agrava estas brechas de habilidades clave.

No vamos a cambiar el sistema académico rápidamente, por lo que tanto los desarrolladores como las empresas deben esperar que los desarrolladores necesiten aprender habilidades de codificación seguras en el trabajo. En algunas profesiones, puedes aprender cometiendo errores, pero para otras, no es una opción. Lo mismo ocurre con la ciberseguridad.

Los hechos muestran que tampoco nos ha ido muy bien con la formación en seguridad para desarrolladores en el puesto de trabajo. La mayoría de las principales brechas de seguridad del mundo se deben a errores de codificación que permiten a los piratas informáticos obtener privilegios en las redes informáticas, lo que les permite acceder a datos valiosos y recopilarlos. Informe de investigación de violación de datos de Verizon (DBIR) de 2017, muestra que el 30% de todas las infracciones se deben directamente a debilidades en la seguridad de las aplicaciones web y esta conclusión ha sido constante en el informe del DBIR desde 2013.

El Encuesta global de habilidades de DevSecOps de 2017 publicado en agosto de 2017, confirmó lo que ya sabíamos: si bien el 65 por ciento de los profesionales de DevOps cree que es muy importante tener conocimientos de DevSecOps al ingresar a TI, el 70 por ciento considera que no está recibiendo la formación necesaria a través de la educación formal para tener éxito en el mundo actual de DevSecOps.

Casi el 40 por ciento de los gerentes de contratación encuestados informaron que los empleados más difíciles de encontrar son los desarrolladores multiusos de alta gama con conocimientos suficientes sobre las pruebas de seguridad. El 70 por ciento de los encuestados dijo que la educación en seguridad que habían recibido no era adecuada para sus puestos actuales. De hecho, menos del 4% afirmó que se le ofrecía alguna oportunidad.

Lo vi de primera mano cuando pasé casi una década trabajando con varios equipos de hackers profesionales de sombrero blanco. Con trágica regularidad, irrumpimos en grandes empresas, empresas emergentes y departamentos gubernamentales, encontrando siempre las mismas debilidades.

Esta es la razón por la que los desarrolladores deben alzar la voz cuando te contratan. Si tu posible empleador no se está tomando en serio tu formación en seguridad para desarrolladores, deberías pensar en el tipo de empresa a la que te estás planteando unirte.

La segunda pregunta que debes hacerte es cómo planean entregarlo. ¿Será práctico e interactivo? Es poco probable que la formación de seguridad para desarrolladores sobre vulnerabilidades mediante el uso de slideware, vídeos, animaciones en las que se pueda hacer clic o debates abstractos le ayude directamente a programar. ¿Se asegurarán de que estés continuamente al día de las vulnerabilidades más recientes? ¿Hay algún gremio o comunidad de seguridad del que puedas aprender? ¿Hay expertos en seguridad a los que puedas recurrir si necesitas ayuda?

El compromiso con sus habilidades de codificación segura requiere un aprendizaje continuo a través de desafíos prácticos en marcos de codificación específicos y enfrentarse a diferentes vulnerabilidades en múltiples escenarios. Simplemente no puede aprender sobre las inyecciones de SQL con un solo ejemplo. Es necesario estar expuesto a varios ejemplos de diversos tipos para aprender a reconocer estos peligrosos patrones de codificación.

Uno de nuestros clientes exigió a sus desarrolladores que jugaran un solo desafío (5 minutos) todos los días durante dos meses. Probó sus habilidades antes y después del período de formación y observó un aumento del 60% en la capacidad de codificación segura en comparación con un grupo de cientos de desarrolladores. Esto significa gastar menos recursos en encontrar y corregir errores de seguridad más adelante en el ciclo de vida y un ahorro significativo a largo plazo. Esto significa que los piratas informáticos no usarán tu código para comprometer los datos de tu empresa.

Según una investigación de IDC, había 11 millones de desarrolladores profesionales en el mundo en 2014. En 2015, Burning Glass descubrió que había hasta 7 millones de ocupaciones que requerían conocimientos de programación y que los trabajos de programación crecían, de media, un 12% más rápido que el mercado.

Hay muchos trabajos de software por ahí. Por lo tanto, tome una posición y elija empleadores que se comprometan a cuidar su seguridad, la suya y la de sus clientes. Por extensión, elige empresas que inviertan en ti.

Hay una pregunta que todos los desarrolladores deben hacerse, ya sea un graduado o un veterano. Y la respuesta es importante. Se ha vuelto aún más importante en un mundo ágil, ya que tendrá un impacto directo en el éxito que tendrá en la ingeniería de software y en lo valioso que será para su próximo empleador.

Es la pregunta del millón de dólares. En realidad, ¡es la pregunta multimillonaria!

¿Te comprometes a ayudarme a programar de forma segura?

La mayoría de las organizaciones siguen esforzándose por hacer hincapié en la seguridad como un elemento fundamental del ciclo de vida del desarrollo de software (SDLC), y pocas son capaces de superar el sólido enfoque de DevSecOps. Para muchas, la priorización de las funciones y los plazos de lanzamiento sigue teniendo prioridad sobre la seguridad. Esto tiene repercusiones, como el aumento del riesgo de una costosa filtración de datos y la reducción de la productividad a medida que los equipos revisan las solicitudes de seguridad y vuelven a trabajar.

Porque los desarrolladores son la primera línea de defensa cuando se trata de eliminar el riesgo de vulnerabilidades de software, es importante que las organizaciones piensen en aumentar la madurez de sus equipos de desarrollo. Pero esto plantea una serie de preguntas.

¿Cómo evalúa una organización la madurez de seguridad de sus equipos de desarrollo? ¿Cómo es posible que establecer una hoja de ruta para alcanzar la madurez de la seguridad no parezca una tarea imposible? ¿Cómo puede mantener a sus desarrolladores comprometidos y motivados para mejorar su madurez en materia de seguridad?

Hemos utilizado la información de Secure Code Warrior Encuesta sobre el estado de la seguridad impulsada por los desarrolladores para entender las respuestas a estas preguntas y utilizamos nuestros equipos de servicio al cliente de primer nivel para descubrir qué están haciendo otras organizaciones para encontrar las respuestas. ‍

¿Cómo puede aumentar la madurez de seguridad de los equipos de desarrollo?

No hay dos organizaciones iguales cuando se trata de mejorar la madurez de la seguridad, y hay muchas variables a tener en cuenta que pueden afectar el éxito de una empresa en sus esfuerzos por cambiar a la izquierda. Quienes lo hacen tienen muchas ventajas, entre las que se incluyen la creación y la publicación más rápidas del código, con menos cantidad o sin ella vulnerabilidades, lo que a su vez reduce los costosos reprocesos y, en última instancia, reduce el riesgo.

Las organizaciones que progresan tienen un plan definido con el apoyo de la administración y un enfoque coherente para mejorar continuamente la madurez de la seguridad a lo largo del tiempo que abarca (entre otras cosas):

• Definición de una línea base de madurez de seguridad
• Evaluación de la madurez de los equipos en materia de seguridad
• Identificación de las principales debilidades de seguridad
• Creación de una cultura de seguridad positiva

Consulte nuestro nuevo documento técnico La importancia de la madurez de la seguridad en los equipos de desarrollo para analizar en profundidad:

• ¿Qué es la madurez de seguridad en los equipos de desarrollo y por qué es importante?
• ¿Cuáles son las diferentes etapas y características de la madurez de la seguridad para los equipos de desarrollo?
• ¿Qué se necesita para desarrollar la madurez en materia de seguridad en los equipos de desarrollo?