コーダーがセキュリティを征服する OWASP トップ 10 API シリーズ-過剰なデータ漏えい
この過剰なデータ漏洩の脆弱性は、非常に特殊な種類のデータが関係しているという点で、OWASPリストにある他のAPI問題とは異なります。この脆弱性の背後にある実際の仕組みは他のものと似ていますが、この場合の過剰なデータ漏洩とは、法的に保護されているデータや機密性の高いデータが関与していると定義されています。これには、個人を特定できる情報（PIIと呼ばれることが多い）がすべて含まれる可能性があります。また、ペイメントカード業界情報 (PCI) が含まれる場合もあります。最後に、ヨーロッパの一般データ保護規則 (GDPR) や米国の医療保険の相互運用性と説明責任に関する法律 (HIPAA) など、プライバシー法の対象となるあらゆる情報が、過度なデータ漏洩につながる可能性があります。
ご想像のとおり、これは深刻な懸念の原因であり、知識豊富な開発者は可能な限りこれらのバグを克服する方法を学ぶことが不可欠です。すでにデータ露出の激突に立ち向かう準備ができているなら、ゲーム化されたチャレンジに向かいましょう。
得点は何点でしたか？以下を読んで詳細をご覧ください。
過剰なデータ漏えいの例にはどのようなものがありますか?
過剰なデータ漏えいが発生する主な理由の 1 つは、開発者やコーダーがアプリケーションが使用するデータの種類について十分なインサイトを持っていないことです。そのため、開発者はすべてのオブジェクトプロパティをエンドユーザーに公開する汎用プロセスを利用する傾向があります。
開発者は、フロントエンドコンポーネントがユーザーに情報を表示する前にデータフィルタリングを実行すると想定することもあります。ほとんどの汎用データでは、これが問題になることはほとんどありません。しかし、たとえば、法的に保護されているデータや機密データをセッション ID の一部としてユーザーに公開すると、セキュリティと法的両方の観点から大きな問題が発生する可能性があります。
機密データが誤って共有されやすい例として、OWASPのレポートでは、警備員が施設内の特定のIoTベースのカメラにアクセスできるようになるシナリオを想定しています。おそらく、これらのカメラは密閉された安全な場所を監視しているのに対し、人物を監視する他のカメラは、より高い権限を持つ警備員や監督者に制限されているはずです。
警備員に許可されたカメラへのアクセスを許可するには、開発者は次のような API 呼び出しを使用できます。
/API/サイト/111/カメラ
これに応じて、アプリは警備員が見ることができるカメラの詳細を次の形式で送信します。
{「id」: "xxx」, "live_access_token」: "xxxxbbbbb」,「building_id」: "yyy"}
表面的には、これは問題なく動作しているように見えます。アプリのグラフィカル・ユーザー・インターフェースを使用している警備員は、閲覧が許可されているカメラの映像しか見ることができません。問題は、汎用コードが使用されているため、実際の API レスポンスには施設内の全カメラのリストが含まれてしまうことです。ネットワークをスニッフィングしてそのデータをキャプチャしたり、警備員のアカウントに不正アクセスしたりした人なら誰でも、ネットワーク上のすべてのカメラの位置と命名法を知ることができます。そうすれば、制限なくそのデータにアクセスできるようになります。
過剰なデータ漏洩の排除
過剰なデータ漏洩を防ぐための最大の鍵は、データとその保護について理解することです。汎用 API を作成し、それをユーザーに表示する前にデータのソートをクライアントに任せるのは危険な選択であり、予防可能なセキュリティ侵害が多く発生することになります。
関連するデータ保護を理解することに加えて、汎用APIを使用してすべてをユーザーに送信するプロセスを停止することも重要です。たとえば、to_json () や to_string () のようなコードは避ける必要があります。代わりに、コードは権限のあるユーザーに返す必要のあるプロパティを具体的に選択し、その情報を独占的に送信する必要があります。
保護されたデータが誤って過剰共有されないようにする方法として、組織はセキュリティを強化するためにスキーマベースの応答検証メカニズムの実装を検討する必要があります。エラー報告のルールを含め、すべての API メソッドから返されるデータを定義して適用する必要があります。
最後に、PIIまたはPCIを含むと分類されたすべてのデータ、またはGDPRやHIPAAなどの規制によって保護されている情報は、強力な暗号化を使用して保護する必要があります。そうすれば、データ漏えいによる過剰な脆弱性の一環としてデータの場所が漏洩した場合でも、データが悪意のあるユーザーや脅威アクターの手に渡った場合でもデータを保護するための優れた二次防御線が確保されます。
をチェックしてください セキュア・コード・ウォリアー この脆弱性や、他のセキュリティ上の欠陥による被害から組織や顧客を保護する方法についての詳細な情報については、ブログページをご覧ください。また、次のこともできます。 デモを試す Secure Code Warriorトレーニングプラットフォームで、すべてのサイバーセキュリティスキルを磨き、最新の状態に保ちましょう。
この脆弱性の背後にある実際のメカニズムは他の脆弱性と似ていますが、この場合の過剰なデータ漏洩とは、法的に保護されたデータまたは機密性の高いデータが関与することと定義されています。
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und mehr als 10 Patente angemeldet.Wenn er nicht an seinem Schreibtisch sitzt, unterrichtet Matias Fortgeschrittenenkurse zum Thema Anwendungssicherheit und hält regelmäßig Vorträge auf globalen Konferenzen wie der RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matthias promovierte an der Universität Gent in Informatik und lernte dort Anwendungssicherheit durch Programmverschleierung, um die interne Funktionsweise von Anwendungen zu verbergen.
この過剰なデータ漏洩の脆弱性は、非常に特殊な種類のデータが関係しているという点で、OWASPリストにある他のAPI問題とは異なります。この脆弱性の背後にある実際の仕組みは他のものと似ていますが、この場合の過剰なデータ漏洩とは、法的に保護されているデータや機密性の高いデータが関与していると定義されています。これには、個人を特定できる情報（PIIと呼ばれることが多い）がすべて含まれる可能性があります。また、ペイメントカード業界情報 (PCI) が含まれる場合もあります。最後に、ヨーロッパの一般データ保護規則 (GDPR) や米国の医療保険の相互運用性と説明責任に関する法律 (HIPAA) など、プライバシー法の対象となるあらゆる情報が、過度なデータ漏洩につながる可能性があります。
ご想像のとおり、これは深刻な懸念の原因であり、知識豊富な開発者は可能な限りこれらのバグを克服する方法を学ぶことが不可欠です。すでにデータ露出の激突に立ち向かう準備ができているなら、ゲーム化されたチャレンジに向かいましょう。
得点は何点でしたか？以下を読んで詳細をご覧ください。
過剰なデータ漏えいの例にはどのようなものがありますか?
過剰なデータ漏えいが発生する主な理由の 1 つは、開発者やコーダーがアプリケーションが使用するデータの種類について十分なインサイトを持っていないことです。そのため、開発者はすべてのオブジェクトプロパティをエンドユーザーに公開する汎用プロセスを利用する傾向があります。
開発者は、フロントエンドコンポーネントがユーザーに情報を表示する前にデータフィルタリングを実行すると想定することもあります。ほとんどの汎用データでは、これが問題になることはほとんどありません。しかし、たとえば、法的に保護されているデータや機密データをセッション ID の一部としてユーザーに公開すると、セキュリティと法的両方の観点から大きな問題が発生する可能性があります。
機密データが誤って共有されやすい例として、OWASPのレポートでは、警備員が施設内の特定のIoTベースのカメラにアクセスできるようになるシナリオを想定しています。おそらく、これらのカメラは密閉された安全な場所を監視しているのに対し、人物を監視する他のカメラは、より高い権限を持つ警備員や監督者に制限されているはずです。
警備員に許可されたカメラへのアクセスを許可するには、開発者は次のような API 呼び出しを使用できます。
/API/サイト/111/カメラ
これに応じて、アプリは警備員が見ることができるカメラの詳細を次の形式で送信します。
{「id」: "xxx」, "live_access_token」: "xxxxbbbbb」,「building_id」: "yyy"}
表面的には、これは問題なく動作しているように見えます。アプリのグラフィカル・ユーザー・インターフェースを使用している警備員は、閲覧が許可されているカメラの映像しか見ることができません。問題は、汎用コードが使用されているため、実際の API レスポンスには施設内の全カメラのリストが含まれてしまうことです。ネットワークをスニッフィングしてそのデータをキャプチャしたり、警備員のアカウントに不正アクセスしたりした人なら誰でも、ネットワーク上のすべてのカメラの位置と命名法を知ることができます。そうすれば、制限なくそのデータにアクセスできるようになります。
過剰なデータ漏洩の排除
過剰なデータ漏洩を防ぐための最大の鍵は、データとその保護について理解することです。汎用 API を作成し、それをユーザーに表示する前にデータのソートをクライアントに任せるのは危険な選択であり、予防可能なセキュリティ侵害が多く発生することになります。
関連するデータ保護を理解することに加えて、汎用APIを使用してすべてをユーザーに送信するプロセスを停止することも重要です。たとえば、to_json () や to_string () のようなコードは避ける必要があります。代わりに、コードは権限のあるユーザーに返す必要のあるプロパティを具体的に選択し、その情報を独占的に送信する必要があります。
保護されたデータが誤って過剰共有されないようにする方法として、組織はセキュリティを強化するためにスキーマベースの応答検証メカニズムの実装を検討する必要があります。エラー報告のルールを含め、すべての API メソッドから返されるデータを定義して適用する必要があります。
最後に、PIIまたはPCIを含むと分類されたすべてのデータ、またはGDPRやHIPAAなどの規制によって保護されている情報は、強力な暗号化を使用して保護する必要があります。そうすれば、データ漏えいによる過剰な脆弱性の一環としてデータの場所が漏洩した場合でも、データが悪意のあるユーザーや脅威アクターの手に渡った場合でもデータを保護するための優れた二次防御線が確保されます。
をチェックしてください セキュア・コード・ウォリアー この脆弱性や、他のセキュリティ上の欠陥による被害から組織や顧客を保護する方法についての詳細な情報については、ブログページをご覧ください。また、次のこともできます。 デモを試す Secure Code Warriorトレーニングプラットフォームで、すべてのサイバーセキュリティスキルを磨き、最新の状態に保ちましょう。
この過剰なデータ漏洩の脆弱性は、非常に特殊な種類のデータが関係しているという点で、OWASPリストにある他のAPI問題とは異なります。この脆弱性の背後にある実際の仕組みは他のものと似ていますが、この場合の過剰なデータ漏洩とは、法的に保護されているデータや機密性の高いデータが関与していると定義されています。これには、個人を特定できる情報（PIIと呼ばれることが多い）がすべて含まれる可能性があります。また、ペイメントカード業界情報 (PCI) が含まれる場合もあります。最後に、ヨーロッパの一般データ保護規則 (GDPR) や米国の医療保険の相互運用性と説明責任に関する法律 (HIPAA) など、プライバシー法の対象となるあらゆる情報が、過度なデータ漏洩につながる可能性があります。
ご想像のとおり、これは深刻な懸念の原因であり、知識豊富な開発者は可能な限りこれらのバグを克服する方法を学ぶことが不可欠です。すでにデータ露出の激突に立ち向かう準備ができているなら、ゲーム化されたチャレンジに向かいましょう。
得点は何点でしたか？以下を読んで詳細をご覧ください。
過剰なデータ漏えいの例にはどのようなものがありますか?
過剰なデータ漏えいが発生する主な理由の 1 つは、開発者やコーダーがアプリケーションが使用するデータの種類について十分なインサイトを持っていないことです。そのため、開発者はすべてのオブジェクトプロパティをエンドユーザーに公開する汎用プロセスを利用する傾向があります。
開発者は、フロントエンドコンポーネントがユーザーに情報を表示する前にデータフィルタリングを実行すると想定することもあります。ほとんどの汎用データでは、これが問題になることはほとんどありません。しかし、たとえば、法的に保護されているデータや機密データをセッション ID の一部としてユーザーに公開すると、セキュリティと法的両方の観点から大きな問題が発生する可能性があります。
機密データが誤って共有されやすい例として、OWASPのレポートでは、警備員が施設内の特定のIoTベースのカメラにアクセスできるようになるシナリオを想定しています。おそらく、これらのカメラは密閉された安全な場所を監視しているのに対し、人物を監視する他のカメラは、より高い権限を持つ警備員や監督者に制限されているはずです。
警備員に許可されたカメラへのアクセスを許可するには、開発者は次のような API 呼び出しを使用できます。
/API/サイト/111/カメラ
これに応じて、アプリは警備員が見ることができるカメラの詳細を次の形式で送信します。
{「id」: "xxx」, "live_access_token」: "xxxxbbbbb」,「building_id」: "yyy"}
表面的には、これは問題なく動作しているように見えます。アプリのグラフィカル・ユーザー・インターフェースを使用している警備員は、閲覧が許可されているカメラの映像しか見ることができません。問題は、汎用コードが使用されているため、実際の API レスポンスには施設内の全カメラのリストが含まれてしまうことです。ネットワークをスニッフィングしてそのデータをキャプチャしたり、警備員のアカウントに不正アクセスしたりした人なら誰でも、ネットワーク上のすべてのカメラの位置と命名法を知ることができます。そうすれば、制限なくそのデータにアクセスできるようになります。
過剰なデータ漏洩の排除
過剰なデータ漏洩を防ぐための最大の鍵は、データとその保護について理解することです。汎用 API を作成し、それをユーザーに表示する前にデータのソートをクライアントに任せるのは危険な選択であり、予防可能なセキュリティ侵害が多く発生することになります。
関連するデータ保護を理解することに加えて、汎用APIを使用してすべてをユーザーに送信するプロセスを停止することも重要です。たとえば、to_json () や to_string () のようなコードは避ける必要があります。代わりに、コードは権限のあるユーザーに返す必要のあるプロパティを具体的に選択し、その情報を独占的に送信する必要があります。
保護されたデータが誤って過剰共有されないようにする方法として、組織はセキュリティを強化するためにスキーマベースの応答検証メカニズムの実装を検討する必要があります。エラー報告のルールを含め、すべての API メソッドから返されるデータを定義して適用する必要があります。
最後に、PIIまたはPCIを含むと分類されたすべてのデータ、またはGDPRやHIPAAなどの規制によって保護されている情報は、強力な暗号化を使用して保護する必要があります。そうすれば、データ漏えいによる過剰な脆弱性の一環としてデータの場所が漏洩した場合でも、データが悪意のあるユーザーや脅威アクターの手に渡った場合でもデータを保護するための優れた二次防御線が確保されます。
をチェックしてください セキュア・コード・ウォリアー この脆弱性や、他のセキュリティ上の欠陥による被害から組織や顧客を保護する方法についての詳細な情報については、ブログページをご覧ください。また、次のこともできます。 デモを試す Secure Code Warriorトレーニングプラットフォームで、すべてのサイバーセキュリティスキルを磨き、最新の状態に保ちましょう。
Klicken Sie auf den folgenden Link, um die PDF-Datei dieser Ressource herunterzuladen.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenデモを予約
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und mehr als 10 Patente angemeldet.Wenn er nicht an seinem Schreibtisch sitzt, unterrichtet Matias Fortgeschrittenenkurse zum Thema Anwendungssicherheit und hält regelmäßig Vorträge auf globalen Konferenzen wie der RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matthias promovierte an der Universität Gent in Informatik und lernte dort Anwendungssicherheit durch Programmverschleierung, um die interne Funktionsweise von Anwendungen zu verbergen.
この過剰なデータ漏洩の脆弱性は、非常に特殊な種類のデータが関係しているという点で、OWASPリストにある他のAPI問題とは異なります。この脆弱性の背後にある実際の仕組みは他のものと似ていますが、この場合の過剰なデータ漏洩とは、法的に保護されているデータや機密性の高いデータが関与していると定義されています。これには、個人を特定できる情報（PIIと呼ばれることが多い）がすべて含まれる可能性があります。また、ペイメントカード業界情報 (PCI) が含まれる場合もあります。最後に、ヨーロッパの一般データ保護規則 (GDPR) や米国の医療保険の相互運用性と説明責任に関する法律 (HIPAA) など、プライバシー法の対象となるあらゆる情報が、過度なデータ漏洩につながる可能性があります。
ご想像のとおり、これは深刻な懸念の原因であり、知識豊富な開発者は可能な限りこれらのバグを克服する方法を学ぶことが不可欠です。すでにデータ露出の激突に立ち向かう準備ができているなら、ゲーム化されたチャレンジに向かいましょう。
得点は何点でしたか？以下を読んで詳細をご覧ください。
過剰なデータ漏えいの例にはどのようなものがありますか?
過剰なデータ漏えいが発生する主な理由の 1 つは、開発者やコーダーがアプリケーションが使用するデータの種類について十分なインサイトを持っていないことです。そのため、開発者はすべてのオブジェクトプロパティをエンドユーザーに公開する汎用プロセスを利用する傾向があります。
開発者は、フロントエンドコンポーネントがユーザーに情報を表示する前にデータフィルタリングを実行すると想定することもあります。ほとんどの汎用データでは、これが問題になることはほとんどありません。しかし、たとえば、法的に保護されているデータや機密データをセッション ID の一部としてユーザーに公開すると、セキュリティと法的両方の観点から大きな問題が発生する可能性があります。
機密データが誤って共有されやすい例として、OWASPのレポートでは、警備員が施設内の特定のIoTベースのカメラにアクセスできるようになるシナリオを想定しています。おそらく、これらのカメラは密閉された安全な場所を監視しているのに対し、人物を監視する他のカメラは、より高い権限を持つ警備員や監督者に制限されているはずです。
警備員に許可されたカメラへのアクセスを許可するには、開発者は次のような API 呼び出しを使用できます。
/API/サイト/111/カメラ
これに応じて、アプリは警備員が見ることができるカメラの詳細を次の形式で送信します。
{「id」: "xxx」, "live_access_token」: "xxxxbbbbb」,「building_id」: "yyy"}
表面的には、これは問題なく動作しているように見えます。アプリのグラフィカル・ユーザー・インターフェースを使用している警備員は、閲覧が許可されているカメラの映像しか見ることができません。問題は、汎用コードが使用されているため、実際の API レスポンスには施設内の全カメラのリストが含まれてしまうことです。ネットワークをスニッフィングしてそのデータをキャプチャしたり、警備員のアカウントに不正アクセスしたりした人なら誰でも、ネットワーク上のすべてのカメラの位置と命名法を知ることができます。そうすれば、制限なくそのデータにアクセスできるようになります。
過剰なデータ漏洩の排除
過剰なデータ漏洩を防ぐための最大の鍵は、データとその保護について理解することです。汎用 API を作成し、それをユーザーに表示する前にデータのソートをクライアントに任せるのは危険な選択であり、予防可能なセキュリティ侵害が多く発生することになります。
関連するデータ保護を理解することに加えて、汎用APIを使用してすべてをユーザーに送信するプロセスを停止することも重要です。たとえば、to_json () や to_string () のようなコードは避ける必要があります。代わりに、コードは権限のあるユーザーに返す必要のあるプロパティを具体的に選択し、その情報を独占的に送信する必要があります。
保護されたデータが誤って過剰共有されないようにする方法として、組織はセキュリティを強化するためにスキーマベースの応答検証メカニズムの実装を検討する必要があります。エラー報告のルールを含め、すべての API メソッドから返されるデータを定義して適用する必要があります。
最後に、PIIまたはPCIを含むと分類されたすべてのデータ、またはGDPRやHIPAAなどの規制によって保護されている情報は、強力な暗号化を使用して保護する必要があります。そうすれば、データ漏えいによる過剰な脆弱性の一環としてデータの場所が漏洩した場合でも、データが悪意のあるユーザーや脅威アクターの手に渡った場合でもデータを保護するための優れた二次防御線が確保されます。
をチェックしてください セキュア・コード・ウォリアー この脆弱性や、他のセキュリティ上の欠陥による被害から組織や顧客を保護する方法についての詳細な情報については、ブログページをご覧ください。また、次のこともできます。 デモを試す Secure Code Warriorトレーニングプラットフォームで、すべてのサイバーセキュリティスキルを磨き、最新の状態に保ちましょう。
目次
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約[ダウンロード]Ressourcen für den Einstieg
Themen und Inhalte der Secure-Code-Schulung
Unsere branchenführenden Inhalte werden unter Berücksichtigung der Aufgaben unserer Kunden ständig weiterentwickelt, um mit der sich ständig verändernden Softwareentwicklungsumgebung Schritt zu halten. Sie decken alle Themen von KI bis hin zu XQuery-Injection ab und sind für verschiedene Aufgabenbereiche konzipiert, von Architekten und Ingenieuren bis hin zu Produktmanagern und Qualitätssicherungsfachleuten. Werfen Sie einen Blick auf die Inhalte unseres Content-Katalogs, sortiert nach Themen und Aufgabenbereichen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen für den Einstieg
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
「Cybermon 2025 Beat the Boss」 kann nun das ganze Jahr über bei SCW gespielt werden. Führen Sie anspruchsvolle AI/LLM-Sicherheitsherausforderungen ein, um die sichere AI-Entwicklung in großem Maßstab zu stärken.
Erläuterung des Cyber-Resilience-Gesetzes: Bedeutung für die Entwicklung sicherer Software
Erfahren Sie, was das EU-Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams auf Secure-by-Design-Praktiken, Schwachstellenprävention und die Kompetenzentwicklung von Entwicklern vorbereiten können.
Enabler 1: Definierte und messbare Erfolgskriterien
Enabler 1 ist der erste Teil der zehnteiligen Reihe „Enablers of Success“ und zeigt, wie sichere Programmierung mit geschäftlichen Ergebnissen wie Risikominderung und Geschwindigkeit verknüpft werden kann, um Programme langfristig zu optimieren.
