Einblick in Sicherheitscodes

AppSec-Manager, CISO, CIO, Cybersicherheitsexperten usw. Ich habe im Laufe meiner Karriere in den Bereichen Softwareentwicklung und Sicherheit bei Unternehmen aller Art auf der ganzen Welt gearbeitet und mit vielen Menschen gesprochen.

Unabhängig von den Umständen, der Erfahrung des Teams oder der Zeit, die in der sich ständig verändernden digitalen Welt vergangen ist, gibt es immer ein und dasselbe Problem: Es gibt kaum Möglichkeiten, das Entwicklungsteam positiv in die Sicherheit einzubeziehen. Sicherheit ist nach wie vor ein Reizwort, eine Quelle für Konflikte zwischen Teams und ein hinter den Kulissen liegendes Problem der Branche.

Aber die Softwaresicherheit ist zu wichtig, als dass wir mit unserer üblichen Denkweise diesen Weg weitergehen könnten. Wir müssen den Dialog ändern und uns bemühen, Sicherheit zu einem unverzichtbaren Bestandteil des Arbeitsalltags aller Entwickler zu machen. Eine der besten Methoden dafür ist meiner Meinung nach beispielsweise die Gamifizierung, um die Sicherheitskompetenz der Entwickler zu stärken und ihre Beteiligung zu fördern.

Die gegenwärtige Landschaft

Entwickler verlassen die Universität mit kaum praktischen Kenntnissen über die Bereitstellung von Sicherheitscodes und arbeiten in Berufen, in denen Sicherheitsschulungen kaum Priorität haben (und selbst wenn sie Priorität haben, sind sie in der Regel Teil der obligatorischen Videos zur Einhaltung von Gesundheits- und Sicherheitsvorschriften, sodass sich niemand für sicheres Codieren interessiert).Oftmals sind die ersten Berührungen mit dem Thema Sicherheit Audit- oder Test-Bug-Berichte, was dazu führt, dass die Kreativität schnell verloren geht, wenn nachfolgende Releases plötzlich gestoppt werden. Da sie sich mit den Verantwortlichen für Sicherheitsberichte auseinandersetzen müssen, wird „Sicherheit” in ihren Köpfen zum Synonym für „Kritik”. Oh je.

Es ist ehrlich gesagt bedauerlich, dass diese negative Wahrnehmung der Softwaresicherheit so weit verbreitet ist. Schließlich gehören einige der unvergesslichsten Momente meiner Karriere zu den Dingen, die ich über Softwaresicherheit gelernt habe. Ich habe meine Anfänge als Hacker damit verbracht, an Konferenzen teilzunehmen. Auf Konferenzen konnte ich nicht nur meine Fähigkeiten gegenüber Kollegen testen (und, um ehrlich zu sein, auch ein wenig angeben), sondern auch Gleichgesinnte treffen, die wie ich Spaß daran hatten, Software zu zerstören, und so eine wirklich schöne Zeit verbringen.

BruCon, DefCon, BlackHat... Diese Veranstaltungen boten Leuten wie mir die Möglichkeit, unsere Fähigkeiten in Freundschaftswettbewerben einzusetzen. Ich kann zwar keinesfalls gutheißen, dass ich mich an solchen antisozialen Aktivitäten beteiligt habe, aber manche Leute haben ihre Hackerfähigkeiten zur Schau gestellt, indem sie sich in die Telefone anderer Teilnehmer gehackt und ihre Informationen auf dem Präsentationsbildschirm für alle sichtbar angezeigt haben.Das Aufspüren solcher Schwachstellen, um Software zu verbessern, also deren Ausnutzung und Behebung, wurde zu einer Art Spiel. Vor einigen Jahren hatte ich das Privileg, vor Hunderten von Kindern im Nahen Osten über Cybersicherheit zu unterrichten. Ich erinnere mich noch gut an eine achtjährige Schülerin unter meinen Schülern. Sie lernte beim Spielen etwas über die erzwungene Verwendung von Passwörtern und die Base64-Kodierung.

Gamification wird auch zum Unterrichten von Programmierkenntnissen eingesetzt. Bildungseinrichtungen auf der ganzen Welt nutzen diesen Ansatz, um schon sehr jungen Kindern bis hin zu Schülern der Oberstufe das Programmieren beizubringen. Kinder unter vier Jahren nehmen mittlerweile regelmäßig an folgenden Ferienprogrammen teil. Code Camp. Außerdemgibt es viele fantastische Online-Programme, die Kindern das Programmieren in Python und anderen Sprachen beibringen. Ich habe sogar ein erstaunliches Tool namens Screenless Coding gekauft. Für meine kleineTochter, die gerade erst ein Jahralt ist.

Aber trotz all dieser Vorteile und Fortschritte gibt es noch eine Lücke. Niemand hat darüber nachgedacht, ob man Gamification nutzen könnte, um Entwicklern beizubringen, wie man sichere Codes schreibt.

Nun ja... fast niemand. Vor einigen Jahren wurde mir klar, dass ich die Sicherheit wieder motivierend gestalten und die Entwickler dazu motivieren musste, sich zu beteiligen und mit dem Spiel zu beginnen.

Gamification: Einfache Methoden.

In meinem Innersten verbirgt sich ein starker Wunsch, die Fähigkeiten von Entwicklern mit Sicherheitskenntnissen zu verbessern und zu stärken. Genau diese Leidenschaft hat mich dazu gebracht, Secure Code Warrior zu entwickeln. Softwaresicherheit ist äußerst wichtig und kann wirklich interessant sein.

제 생각은 저만 그런 게 아닙니다.

Gamification macht selbst die alltäglichsten Aufgaben unterhaltsamer und steigert die Beteiligung der Menschen so sehr, dass sie weiter spielen, gewinnen und sich weiterentwickeln wollen. Schauen Sie sich nur Pokémon Go an! Selbst die faulsten Menschen sitzen auf dem Sofa und suchen nach imaginären Kreaturen im Freien, oder viele Menschen mit FitBit setzen sich täglich das Ziel, eine bestimmte Anzahl von Schritten zu gehen... Wenn das Ziel nicht erreicht wird oder die Serie endet und man keine Abzeichen erhält, ist man wirklich enttäuscht.

Nun zurück zum Thema Sicherheitsschulungen. Wir haben von vielen Kunden die Bestätigung erhalten, dass Gamification die Sicherheitskultur in Unternehmen wirklich verändert, nicht nur als Brücke zwischen AppSec und Entwicklungsteams fungiert, sondern auch entscheidend dazu beiträgt, Software auf einem höheren Niveau zu entwickeln.

Derzeit hat Sicherheit für Entwickler keine Priorität. Durch die Einführung von freundlichen, wettbewerbsorientierten und attraktiven Elementen in die Schulungsmethoden können Entwickler motiviert werden, nicht nur zu „spielen“, sondern immer wieder zurückzukommen, um mehr Punkte zu sammeln, höhere Punktzahlen zu erzielen, ihre Genauigkeit zu verbessern und ihre Teamkollegen herauszufordern.

성공적인 훈련은 다음과 같다는 것을 이미 알고 있습니다.

• Entwickler können mit ihrem tatsächlichen Code und ihrer eigenen Sprache/ihrem eigenen Framework arbeiten.
• Die Challenge ist kurz und deckt alle gängigen Sicherheitslücken ab.
• Die Herausforderungen werden kontinuierlich erweitert und aktualisiert, sodass Entwickler auch im Laufe der Zeit ihre Fähigkeiten weiter ausbauen können.
• Die Aufgaben sind aufgrund ihrer vielfältigen Komplexität sowohl für erfahrene Entwickler als auch für weniger erfahrene Entwickler attraktiv.
• Entwickler und Administratoren können den Fortschritt überprüfen, einschließlich abgeschlossener Aufgaben, Stärken und Schwächen, für die Schulung aufgewendeter Zeit und der allgemeinen Genauigkeit.

Einer unserer größten Kunden hat die wahre Magie einer spielerischen Plattform unter Beweis gestellt. Er hat den Entwicklern themenbezogene Teamausrüstung zur Verfügung gestellt, den Gewinnern des Spiels fantastische Preise angeboten und das Turnier zu einem unvergesslichen Tag gemacht. Seitdem wurden auch internationale Wettbewerbe veranstaltet, und das gesamte Team trainiert bis heute ernsthaft.

Ihre eigene Software-Revolution beginnt hier. Die australische Bankenbranche ist führend bei der Einführung von spielerischem Lernen im Kampf gegen schlechten Code – mit einem wirklich innovativen Ansatz, der die herkömmliche (oder langweilige) Ausbildung komplett revolutioniert. Sehen Sie sich an, was unsere Kunden erreicht haben. Next Level Tournament. Sind Sie bereit? Team Level Up mit uns?

Wir müssen den Dialog verändern und uns bemühen, Sicherheit zu einem unverzichtbaren Bestandteil des Arbeitsalltags aller Entwickler zu machen. Eine der besten Methoden hierfür ist meiner Meinung nach beispielsweise die Gamifizierung, um die Sicherheitskompetenzen der Entwickler zu stärken und ihre Beteiligung zu fördern.

Am 3. September nahmen ich und einige meiner Teammitglieder an einer großartigen Sicherheitspreis-Konferenz teil, die wir organisiert hatten. CSO Australia. Die 2019 Women in Security Awards, eine der ersten ihrer Art in Australien, waren das Ergebnis der hervorragenden Arbeit der renommiertesten Sicherheitsexperten der Branche. Die Veranstaltung würdigte nicht nur die Beiträge von Frauen im Bereich Cybersicherheit, sondern bot auch eine dringend benötigte Plattform, um das erstaunliche Talent und die Innovationen von Frauen zu präsentieren, die oft unbemerkt bleiben und sich für erstaunliche Leistungen einsetzen.

Fatemah Beydoun, Vice President of Customer Success bei Secure Code Warrior (auch bekannt als Chief Awesome), sagt, dass es ein unverzichtbarer Tag war, und ist sehr stolz darauf. Sie hielt folgenden Vortrag: Mentoring für die Zukunft: Wie wir alle besser werden können, wenn es darum geht, weibliche Talente im Bereich Cybersicherheit zu fördern Vor einem sehr aufgeschlossenen Publikum. Sie hatte nur 12 Minuten Zeit, um über ihren langjährigen Einfluss auf unser Unternehmen und die gesamte Cybersicherheitsbranche zu sprechen, aber sie hat (natürlich) entscheidende und positive Veränderungen miterlebt.

Ein umfassenderer Ansatz.

Fatemah sagte: „Als ich meine Karriere in dieser Branche begann, war ich eine der wenigen Frauen in meinem Team. Da die Networking-Möglichkeiten meist männerdominiert waren, war es schwierig, daran teilzunehmen, geeignete Leute zu treffen und den Wert für das Unternehmen zu demonstrieren. Ich wollte diese Dynamik ändern und wenn möglich einen inklusiveren Raum schaffen.

„Wenn ich beispielsweise an Branchenveranstaltungen teilnahm, sah ich oft, dass viele Unternehmen an ihren Ständen Models einsetzten, um Aufmerksamkeit zu erregen. Theoretisch ist das in Ordnung, aber da ich nicht zur Zielgruppe gehörte, wurde ich oft ignoriert. Zu Beginn meiner Karriere war ich für die Organisation von Veranstaltungen zuständig und beschloss, mir umfassendere und unterhaltsamere Methoden auszudenken, um das Interesse an den Produkten unseres Unternehmens zu wecken“, sagte sie.

Fatemah und ich arbeiten schon seit langem zusammen, und Fatemah hat sich stets für Inklusion und Vielfalt in unserem Unternehmen eingesetzt. Diese Bemühungen haben dazu geführt, dass Frauen im Team mehr Unterstützung erfahren, ihre wichtigen Beiträge anerkannt werden und die Gruppe durch unterschiedliche Ansätze, Meinungen und Lebensweisen gestärkt wird.

Fatemeh sagte: „Hören Sie, natürlich möchte niemand eine echte Frau sein.“ Aber das Problem könnte sein, dass einige Führungskräfte, die weniger vielfältig sind, dazu neigen, die Führungsrolle an Menschen zu übertragen, die ihnen ähnlich sind. Auf persönlicher Ebene kann man das vielleicht nachvollziehen. Diese Führungskräfte könnten von den Leistungen und Fähigkeiten von Frauen profitieren, aber oft ist es schwierig, solche Frauen zu finden. Wenn Führungskräfte die Vorteile erkennen, die Vielfalt mit sich bringen kann (und das gilt unabhängig vom Geschlecht), werden sie bereit sein, solche Wege zu ebnen und Frauen zu fördern, die bereit und in der Lage sind, Großartiges für das Unternehmen zu leisten“, sagte sie.

Flexibilität am Arbeitsplatz: Der Schlüssel zum Erfolg.

Als ich mein Unternehmen gründete, wurde mir schnell klar, dass meine Teammitglieder einen Raum zum Atmen brauchen, um ihre beste Arbeit leisten zu können. Flexibilität ist für jeden wichtig, aber Maßnahmen zur Unterstützung berufstätiger Familien können eine entscheidende Rolle dabei spielen, wichtige Talente zu halten.

Eine der ersten hier eingeführten Maßnahmen war die „Infant-At-Work Policy” (Richtlinie zur Kinderbetreuung am Arbeitsplatz). Diese Richtlinie ermöglicht es Eltern, ihre Neugeborenen ohne Bedenken hinsichtlich der Flexibilität bei Terminen und der Entscheidungsfindung mit zur Arbeit zu bringen.

Fatima sagte: „Ich wollte mich nicht zwischen Mutterschaft und Karriere entscheiden müssen, und die Möglichkeit, meinen kleinen Sohn mit zur Arbeit zu bringen, war ein positiver Schritt, der mir das Gefühl gab, unterstützt zu werden und wertvoll zu sein. Meine Fähigkeiten verschwinden nach der Geburt nicht einfach. Als Gründungsmitglied eines Start-ups möchte man sich doch wieder voll und ganz in die Arbeit stürzen!“

Sie sprach sogar mit ABC News über die Vorteile flexibler Arbeitszeiten:

Ist die Mentorenkultur weit verbreitet?

Um eine erfolgreiche Karriere zu starten und voranzutreiben, ist es für jeden ratsam, sich einen Mentor zu suchen. In vielen IT-, Cybersicherheits- und männerdominierten Bereichen kann dies jedoch etwas schwierig sein, da es im Vergleich zu Männern nur sehr wenige weibliche Führungskräfte gibt.

Es ist zwar wichtig, dass Frauen sich selbst in Führungspositionen sehen, aber auch Männer können kluge Frauen in ihrem Team ermutigen und ihnen nach Möglichkeit als Mentoren zur Seite stehen.

„Führungsteams können nicht nur einen großen Einfluss auf die Diversifizierung einer Organisation haben, sondern auch dafür sorgen, dass herausragende Frauen die Anerkennung und Karrierechancen erhalten, die ihnen wie allen anderen auch zustehen. Ich habe dies zusammen mit Yvette Lejins, der Leiterin der Cybersicherheit bei Jetstar, in die Praxis umgesetzt.Sie ist eine Verfechterin der Frauenrechte und hat durch ihren Erfolg und ihr Engagement viel erreicht und anderen Frauen das Selbstvertrauen gegeben, dass auch sie es bis an die Spitze schaffen können“, so Fatemah.

Secure Code Warrior feierte kürzlich das Erreichen von 100 Mitarbeitern. Wir sind stolz darauf, dass der Frauenanteil im gesamten Unternehmen bei über 50 % liegt. Fatemah ist für alle ein hervorragendes Vorbild und eine großartige Mentorin.

Jedes Unternehmen kann in der Diversität seines Teams enorme Stärken finden. Die vielfältigen Meinungen aus allen Bereichen und Ebenen können das entscheidende Element sein, das gute Ideen zu großartigen Ideen macht. Wie immer gilt: Gemeinsam sind wir stärker.

Es gibt eine bekannte Theorie, dass Kakerlaken alles überleben können, einschließlich einer nuklearen Explosion. Diese Theorie ist zwar nur bis zu einem gewissen Grad wahr, aber aufgrund ihres einfachen Körperbaus sind sie im Verhältnis zu ihrer Größe sehr robust und unter den meisten Bedingungen schwer auszurotten.

Ich habe darüber nachgedacht ... Wenn es in der digitalen Welt ein Problem gibt, das mit Kakerlaken vergleichbar ist, dann wäre das wohl die SQL-Injection-Sicherheitslücke (SQLi) im Code. Diese Sicherheitslücke ist seit über 20 Jahren bekannt, aber Unternehmen erleiden weiterhin Schäden dadurch. Wie bei den weit verbreiteten, kostspieligen gezielten Angriffen war auch dies eine Folge von SQL-Injection. Nach dem Wahl-Hack, bei dem die Daten von 200.000 Wählern in Illinois offengelegt wurden, empfahl das FBI allen IT-Verantwortlichen, unverzüglich Maßnahmen zur Verbesserung der Sicherheitspraktiken zu ergreifen.

Der Hacker Intelligence Initiative Report von Imperva zeigt, dass zwischen 2005 und 2011 bei 83 % aller gemeldeten Datenverletzungen SQLi-Angriffe zum Einsatz kamen. Auch heute noch sind Injektionsschwachstellen die größte Bedrohung in den USA. OWASP Top 10. Relativ einfach, aber nicht ganz ungefährlich.

Es erscheint absurd, dass dieselbe Schwachstelle nach wie vor in einer beträchtlichen Anzahl von Anwendungssicherheitstests auftritt. Wir wissen genau, wie dieses Problem funktioniert, und wir wissen auch, wie man es verhindern kann. Wie ist so etwas möglich? Tatsächlich gibt es bei unserer Softwaresicherheit noch unendlich viel Raum für Verbesserungen.

Der Software-Sicherheitsbericht von Veracode – basierend auf 400.000 Anwendungsscans im Jahr 2017 – enthält einige überraschende Statistiken. Nur 30 % der Anwendungen erfüllten die OWASP Top 10-Richtlinien. Fast jede dritte neu gescannte Anwendung wies SQL-Injektionen auf, was seit fünf Jahren ein konstantes Thema ist. Dies ist ein Beweis für ein chronisches Problem. Wir lernen nicht aus unseren Fehlern, und CISOs scheinen einen harten Kampf um die Gewinnung von ausreichend Sicherheitsfachkräften zu führen. Im Allgemeinen ist das Verhältnis von AppSec-Experten zu Entwicklern mit 1:100 nicht angemessen.

Warum ist Softwaresicherheit lebenswichtig?

Es ist kein Geheimnis, dass es an Fachkräften für Cybersicherheit mangelt. Entwickler sollten jedoch auch darauf achten, dass sie Probleme nicht lösen, wenn sie auftreten, und dass sie nicht von vornherein bereit sind, Schwachstellen zu beseitigen.Aus demselben Veracode-Bericht geht hervor, dass nur für 14,4 % aller Entwicklungslücken Abhilfemaßnahmen dokumentiert wurden. Das bedeutet, dass die meisten Sicherheitslücken ohne Abhilfemaßnahmen in der Entwicklung eingereicht wurden. Weniger als ein Drittel der Sicherheitslücken wurde innerhalb der ersten 90 Tage behoben, und 42 % der Sicherheitslücken wurden nicht innerhalb der Entwicklungsphase geschlossen.

Ich spreche regelmäßig mit Sicherheitsexperten, CISOs und CEOs und habe festgestellt, dass viele Unternehmen (abgesehen von den katastrophalen Fehlalarmraten) so unzufrieden mit der Anzahl der nicht behebbaren Schwachstellen sind, dass sie die Suche ganz einstellen und nur noch die Daumen drücken, um auf das beste Ergebnis zu hoffen.

Was ist der Grund dafür, dass AppSec-Experten diese Situation zugelassen haben?

Machen Sie keinen Fehler. Die Mitarbeiter von AppSec kennen die Probleme des Codes nur zu gut. Letztendlich ist dies eine der Kernkompetenzen, die sie zu wertvollen Teamressourcen macht. Allerdings haben sie oft mit verschiedenen Faktoren zu kämpfen.

Beispielsweise entdeckt ein AppSec-Manager ein Problem und fragt den Entwickler: „Können Sie den Code ändern?“ Die Antwort auf diese wichtige Frage ist von Organisation zu Organisation unterschiedlich, aber in der Regel sind Entwickler so sehr damit beschäftigt, strenge Sprints zur Bereitstellung von Funktionen einzuhalten, dass sie weder die Zeit noch die geeigneten Tools haben, um solche Probleme zu beheben. AppSec-Experten können zwar selbst Schwachstellen identifizieren, verfügen jedoch häufig nicht über die technischen Fähigkeiten und/oder Zugriffsrechte, um diese sofort zu beheben.

Außerdem muss man sich bewusst sein, dass es für jedes Problem einen Prozess gibt, bei dem eine Lösung gefunden, implementiert und anschließend getestet werden muss. Selbst die Behebung kleinerer Probleme, die im Code entdeckt werden, nimmt enorm viel Zeit in Anspruch, ganz zu schweigen von den erforderlichen Ressourcen. Es gibt über 700 Schwachstellen, die in Software eingebaut werden können, und es ist unmöglich, dass eine einzelne Person alle abwehrt. Aus diesem Grund halten sich die meisten Unternehmen nur an die OWASP Top 10. In der Zwischenzeit entwickeln die Entwickler weiterhin Funktionen und und führen damit immer wieder neue Schwachstellen in ihren Codes ein.

Was könnte die Lösung sein?

Einfach gesagt: Wir bieten Entwicklern keine Tools und Schulungen, um erfolgreiches sicheres Programmieren zu fördern. Es gibt keine Vorschriften, die Unternehmen dazu verpflichten, Entwicklern angemessene Sicherheitskenntnisse zu vermitteln. Es ist bedauerlich, dass auch die meisten Hochschulen und Praktikumsprogramme Junior-Entwickler nicht darauf vorbereiten, sicher zu programmieren.

Wer ein Flugzeug fliegen will, muss vor dem Flug sehr strenge Verfahren durchlaufen, die Training, praktische Erfahrung, Gesundheitsuntersuchungen, Sicherheitskenntnisse und -prüfungen umfassen. Niemand würde es wagen, sich vorzustellen, dass jemand ohne diese umfassenden Vorbereitungen und technischen Überprüfungen in die Lüfte steigen könnte, aber beim Schreiben von Code passiert genau das jeden Tag.

Entwickler müssen Zeit für Schulungen zum Schreiben sicherer Codes aufwenden. In der heutigen Welt, in der die Softwareentwicklung schnell voranschreitet und es an guten Entwicklern und Sicherheitsexperten mangelt, scheint dies jedoch keine Priorität zu haben. Es ist an der Zeit, das Gespräch zu ändern.

Die jüngsten Schlagzeilen des Weltwirtschaftsforums lauteten: „Ohne Sicherheit kann es keine digitale Wirtschaft geben.“ Darin wird betont, dass Sicherheit ein zentraler Bestandteil jeder Strategie für digitale Innovation sein muss. „Sicherheit schützt Unternehmen und ermöglicht ihnen, innovativ zu sein und neue Produkte und Dienstleistungen zu entwickeln. Sicherheit geht über eine rein defensive Rolle hinaus und verschafft Unternehmen strategische Wachstumsvorteile.“

Durch die Verbesserung der Sicherheitscodierungstechniken und -ergebnisse wird die Organisation um eine starke Cybersicherheitslage erweitert, wodurch schneller und besserer Code erstellt werden kann. Entwickler müssen keine Sicherheitsexperten sein, aber sie müssen aktiv und praktisch befugt sein, um die erste Verteidigungslinie gegen Cyberangriffe zu bilden. Entwickler können zu Helden der nächsten Generation in Sachen Sicherheit und Innovation werden. Sie sind sehr kluge Menschen, lösen Probleme kreativ und sind in der Regel sehr engagiert, wenn es darum geht, ihre Fähigkeiten zu verbessern. Nutzen Sie ihre Stärken und halten Sie höhere Standards für die Softwaresicherheit ein, indem Sie ihnen die entsprechende Fachausbildung zukommen lassen. Lesen Sie das Whitepaper Erfahren Sie mehr.

Wer ein Flugzeug fliegen will, muss vor dem Flug sehr strenge Verfahren durchlaufen, die Training, praktische Erfahrung, Gesundheitsuntersuchungen, Sicherheitskenntnisse und -prüfungen umfassen. Niemand würde es wagen, sich vorzustellen, dass jemand ohne diese umfassenden Vorbereitungen und technischen Überprüfungen in die Lüfte steigen könnte, aber beim Schreiben von Code passiert genau das jeden Tag.

In der Popkultur gibt es viele Anspielungen auf schurkische KI und Roboter sowie auf Geräte, die sich gegen ihre menschlichen Herren wenden. Es ist stark von Science-Fiction-Spaß und Fantasie durchdrungen, aber mit der zunehmenden Verbreitung von IoT und vernetzten Geräten in unseren Haushalten sollte auch das Gespräch über Cybersecurity und Sicherheit geführt werden. Software ist allgegenwärtig, und man vergisst leicht, wie sehr wir uns auf Codezeilen verlassen, um all die cleveren Dinge zu tun, die uns so viel Innovation und Komfort bieten. Ähnlich wie bei webbasierter Software, APIs und mobilen Geräten kann anfälliger Code in eingebetteten Systemen ausgenutzt werden, wenn er von einem Angreifer in freier Wildbahn entdeckt wird. 

Es ist zwar unwahrscheinlich, dass eine Armee von Mikrowellen kommt, um die Menschheit zu versklaven (obwohl der Tesla-Bot etwas beunruhigend ist), aber bösartige Cyberangriffe sind dennoch möglich. Einige unserer Autos, Flugzeuge und medizinischen Geräte sind auf komplizierte eingebettete Systemcodes angewiesen, um wichtige Aufgaben zu erfüllen, und die Aussicht, dass diese Objekte kompromittiert werden könnten, ist nicht nur alarmierend, sondern potenziell lebensbedrohlich.

Wie bei jeder anderen Software auch, gehören die Entwickler zu den ersten, die den Code gleich zu Beginn der Erstellungsphase anfassen. Und wie bei jeder anderen Software kann dies der Nährboden für heimtückische, allgemeine Schwachstellen sein, die unentdeckt bleiben könnten, bevor das Produkt in Betrieb geht. 

Entwickler sind keine Sicherheitsexperten, und kein Unternehmen sollte von ihnen erwarten, dass sie diese Rolle übernehmen, aber sie können mit einem weitaus stärkeren Arsenal ausgestattet werden, um die Art von Bedrohungen zu bekämpfen, die für sie relevant sind. Eingebettete Systeme, die in der Regel in C und C++ geschrieben sind, werden immer häufiger zum Einsatz kommen, da sich unsere technischen Anforderungen ständig weiterentwickeln, und eine spezielle Sicherheitsschulung der Entwickler für die Tools in dieser Umgebung ist unerlässlich. 

Explodierende Fritteusen, bösartige Fahrzeuge... Sind wir leichte Beute?

Es gibt zwar einige Standards und Vorschriften für die sichere Entwicklung, um uns zu schützen, aber wir müssen weitaus präzisere und sinnvollere Schritte in Richtung aller Arten von Softwaresicherheit unternehmen. Es mag weit hergeholt erscheinen, an ein Problem zu denken, das dadurch verursacht wird, dass sich jemand in eine Fritteuse hackt, aber es ist in Form eines Angriffs zur Remote-Code-Ausführung (der es dem Bedrohungsakteur ermöglicht, die Temperatur auf ein gefährliches Niveau zu erhöhen) bereits geschehen, ebenso wie Schwachstellen, die zu Fahrzeugübernahmen führen.

Vor allem Fahrzeuge sind besonders komplex, da sie mehrere eingebettete Systeme an Bord haben, die sich jeweils um Mikrofunktionen kümmern - von automatischen Scheibenwischern bis hin zu Motor- und Bremsfunktionen. In Verbindung mit einer ständig wachsenden Anzahl von Kommunikationstechnologien wie WLAN, Bluetooth und GPS stellt das vernetzte Fahrzeug eine komplexe digitale Infrastruktur dar, die zahlreichen Angriffsmöglichkeiten ausgesetzt ist. Und bei 76,3 Millionen vernetzten Fahrzeugen, die bis 2023 weltweit auf den Straßen unterwegs sein sollen, stellt dies einen Monolithen an Verteidigungsgrundlagen dar, die für echte Sicherheit gelegt werden müssen.

MISRA ist eine der wichtigsten Organisationen im Kampf gegen die Bedrohungen eingebetteter Systeme. Sie hat Richtlinien entwickelt, die die Codesicherheit, die Sicherheit, die Portabilität und die Zuverlässigkeit im Zusammenhang mit eingebetteten Systemen erleichtern. Diese Richtlinien sind der Nordstern unter den Standards, die jedes Unternehmen bei seinen Projekten für eingebettete Systeme anstreben muss.

Um jedoch Code zu erstellen und auszuführen, der diesem Goldstandard entspricht, sind Ingenieure für eingebettete Systeme erforderlich, die mit den Werkzeugen vertraut sind - ganz zu schweigen vom Sicherheitsbewusstsein -. 

Warum ist die Weiterbildung im Bereich der Sicherheit eingebetteter Systeme so spezifisch?

Die Programmiersprachen C und C++ sind nach heutigen Maßstäben betagt, werden aber nach wie vor häufig verwendet. Sie bilden den funktionierenden Kern der Codebasis für eingebettete Systeme, und Embedded C/C++ genießt ein glänzendes, modernes Leben als Teil der Welt der vernetzten Geräte.

Obwohl diese Sprachen recht alte Wurzeln haben - und ein ähnliches Verhalten gegenüber Schwachstellen in Bezug auf häufige Probleme wie Injektionsfehler und Pufferüberläufe aufweisen - müssen Entwickler, um wirklich erfolgreich Sicherheitslücken in eingebetteten Systemen zu entschärfen, praktische Erfahrungen mit Code sammeln, der die Umgebungen nachahmt, in denen sie arbeiten. Eine generische C-Schulung in allgemeinen Sicherheitspraktiken ist einfach nicht so wirkungsvoll und einprägsam, wie wenn zusätzliche Zeit und Sorgfalt in die Arbeit in einem Embedded C-Kontext investiert wird.

Da ein modernes Fahrzeug zwischen einem Dutzend und mehr als hundert eingebettete Systeme enthält, ist es unerlässlich, dass die Entwickler genau wissen, worauf sie achten müssen und wie sie die Probleme beheben können, und zwar direkt in der IDE.

Der Schutz eingebetteter Systeme von Grund auf liegt in der Verantwortung aller

Der Status quo in vielen Unternehmen ist, dass die Entwicklungsgeschwindigkeit die Sicherheit übertrumpft, zumindest wenn es um die Verantwortung der Entwickler geht. Sie werden selten nach ihrer Fähigkeit beurteilt, sicheren Code zu produzieren, aber die schnelle Entwicklung toller Funktionen ist der goldene Standard. Die Nachfrage nach Software wird nur noch steigen, aber diese Kultur hat uns auf einen aussichtslosen Kampf gegen Schwachstellen und die daraus resultierenden Cyberangriffe eingestellt. 

Wenn Entwickler nicht geschult sind, ist das nicht ihre Schuld, und es ist eine Lücke, die jemand im AppSec-Team füllen helfen muss, indem er die richtigen, zugänglichen (ganz zu schweigen von bewertbaren) Weiterbildungsprogramme für die gesamte Entwicklergemeinschaft empfiehlt. Gleich zu Beginn eines Softwareentwicklungsprojekts muss das Thema Sicherheit ganz oben auf der Agenda stehen, und jeder - vor allem die Entwickler - muss das bekommen, was er braucht, um seine Rolle zu spielen. 

Praktische Erfahrungen mit Sicherheitsproblemen bei eingebetteten Systemen

Pufferüberläufe, Injektionsfehler und Fehler in der Geschäftslogik sind häufige Fallstricke bei der Entwicklung eingebetteter Systeme. Wenn sie tief in einem Labyrinth von Mikrocontrollern in einem einzigen Fahrzeug oder Gerät verborgen sind, kann dies aus der Sicherheitsperspektive eine Katastrophe bedeuten.

Pufferüberlauf ist besonders häufig, und wenn Sie einen tiefen Einblick in die Kompromittierung der Fritteuse, über die wir zuvor gesprochen haben, erhalten möchten (und die Remotecodeausführung ermöglicht), lesen Sie diesen Bericht über CVE-2020-28592.

Jetzt ist es an der Zeit, sich mit einer Pufferüberlaufschwachstelle in echtem eingebettetem C/C++-Code auseinanderzusetzen. Spielen Sie diese Herausforderung, um zu sehen, ob Sie die schlechten Codierungsmuster, die zu diesem heimtückischen Fehler führen, lokalisieren, identifizieren und beheben können:

Wie haben Sie abgeschnitten? Besuchen Sie www.securecodewarrior.com für präzise und effektive Schulungen zur Sicherheit eingebetteter Systeme.

Dieser Artikel wurde ursprünglich auf DevOps.com veröffentlicht. DevOps.com. Aktualisiert und überarbeitet.

„DevOps“ ist ebenso wie „Blockchain“, „Big Data“ und „digitale Innovation“ ein weiterer Begriff, der derzeit in den IT-Abteilungen großer Unternehmen in Mode ist.

Viele Unternehmen erkennen (zu Recht) die Notwendigkeit eines schnelleren Softwareentwicklungszyklus, der ein präziserer Prozess ist, der eng mit den Geschäftszielen verknüpft ist. Dadurch werden klarere Arbeitsabläufe und eine bessere Zusammenarbeit zwischen den Entwicklungsteams und den Teams, die für den Betrieb zuständig sind, ermöglicht. DevOps ist im Grunde genommen eine „agile” Entwicklung, die sich weiterentwickelt hat und bereit ist, die Anforderungen moderner Unternehmen nach ständiger Innovation und schneller Bereitstellung zu erfüllen. Für Sicherheitsexperten ist dies eine fantastische Initiative, da sie die Sicherheit viel früher in den Prozess einbringen können, wodurch die Kosten für die Behebung von Fehlern gesenkt und mögliche zukünftige Katastrophen verhindert werden können.

Das Problem ist, dass es nur wenige Unternehmen gibt, die DevOps wirklich erfolgreich implementiert haben. Ohne angemessene Unterstützung, Förderung und Verständnis im gesamten Unternehmen kann es schnell zu einem weißen Elefanten werden. Wie Sie wissen, ist Krieg nur eines von vielen Projekten.

Was könnte also das Problem sein? Das ist eine interessante Frage. Es gibt mehrere Ansätze für DevOps, die meiner Meinung nach zu einem wesentlich reibungsloseren Betrieb führen können. Ein effektives Programm geht über ein paar coole neue Tools, Titel und Teambesprechungen hinaus. Es ist zwar nicht immer einfach, aber langfristig gesehen ist es weniger schmerzhaft, sich die Zeit zu nehmen, um falsche Strategien zu korrigieren oder von Anfang an die richtigen Methoden anzuwenden. Und letztendlich wird dies zu einer Verbesserung der Softwarequalität und einer Erhöhung der Sicherheit führen.

Ich werde es Ihnen ausführlich erklären.

„Agile“ – Bitte lassen Sie die Schürzenbänder los.

Es gibt ein Missverständnis, dass sich eine Organisation zwischen Agilität und DevOps entscheiden muss. Es besteht das Missverständnis, dass man sich für den einen oder anderen Weg entscheiden und niemals zurückblicken darf.

Das Problem ist, dass der Entwicklungsprozess am besten funktioniert, wenn beide als Einheit betrachtet und umgesetzt werden. DevOps ist keine Innovation der agilen Entwicklung. Es ist vielmehr eine Erweiterung der agilen Entwicklung. Wenn man davon ausgeht, dass der Prozess reibungslos verläuft, neigt man dazu, das Rad neu zu erfinden. Genau wie bei Agile oder bei einer völlig anderen Agile-Methode.

Agile unterstützt von Anfang an das Prinzip der abteilungsübergreifenden Teams, indem es Designer, Tester und Entwickler zusammenbringt und während des gesamten Projekts offene Kommunikationswege schafft. Das Ziel besteht darin, die isolierte Kommunikation zu beenden und Doppelarbeit zu reduzieren – beides Vorteile des DevOps-Prozesses.DevOps geht jedoch noch einen Schritt weiter und bietet eine leistungsstarke, umfassende Technologie mit dem ultimativen Ziel, Kunden vollständige und funktionsfähige Software zu liefern, indem es Systeme, Sicherheit und Betrieb integriert.

Bei der Umstellung auf einen DevOps-zentrierten Prozess kann es zu unvermeidbaren Problemen kommen, die das Risiko einer isolierten Entwicklung wieder aufleben lassen. Oft arbeiten bestehende agile Teams zusammen, ohne dass zusätzliche Funktionen für Sicherheit und Betrieb bereits vollständig implementiert sind. Niemand weiß genau, wie diese integriert werden sollen, was zu tun ist und wie die übergeordneten Ziele aussehen.

DevOps funktioniert nicht ohne klar definierte Ziele, abteilungsübergreifendes Onboarding und direkte Kommunikation mit allen Beteiligten. Natürlich erfordert die Anpassungsphase ein sorgfältiges Änderungsmanagement, aber es reicht aus, wenn alle Beteiligten auf der Grundlage eines gemeinsamen Verständnisses der durch DevOps erzielten Verbesserungen arbeiten können.

DevOps legt als Teil des Prozesses den Schwerpunkt auf bewährte Sicherheitsverfahren und vereinfacht dadurch die Erläuterung der einzelnen Schritte und die Überbrückung der Kluft zwischen dem Sicherheitsteam und allen anderen Mitarbeitern. Wie bereits erwähnt, ist es noch ein langer Weg, bis Entwickler von Anfang an sicher programmieren können, aber die erfolgreiche Umsetzung der DevOps-Methodik ist eine hervorragende Grundlage für den Aufbau von Sicherheitskompetenzen innerhalb des Entwicklungsteams.

Automatisierung ist nicht alles und auch nicht das Sicherste.

Ein weiteres Merkmal der DevOps-Methodik ist die Automatisierung des Softwareentwicklungsprozesses. Die Prinzipien der kontinuierlichen Integration und kontinuierlichen Bereitstellung (CI/CD) bilden die Grundlage dieses Konzepts und sind, wie zu erwarten, stark von Tools abhängig.

Tools sind wirklich großartig. Sie ermöglichen eine relativ reibungslose Verwaltung von Code-Repositorys, Tests, Wartung und Speicherelementen und beschleunigen so den Softwarebereitstellungsprozess in beispielloser Weise.

Aber auch wenn Roboter uns irgendwann alle Arbeitsplätze wegnehmen und uns vielleicht sogar ins Gefängnis stecken könnten, sind sie noch nicht so weit. Eine hohe Abhängigkeit von Werkzeugen und Automatisierung öffnet Fehlerquellen Tür und Tor.Durch Scannen und Testen kann nicht alles überprüft werden, und es kann vorkommen, dass der Code nicht überprüft wird, was zu enormen Qualitätsproblemen (ganz zu schweigen von Sicherheitsproblemen) führen kann. Ein Angreifer kann mit nur einer Hintertür Daten stehlen. Der Verzicht auf den menschlichen Faktor beim Qualitäts- und Sicherheitsmanagement kann schwerwiegende Folgen haben.

„Glückliche Medien“ dienen dazu, das Gleichgewicht der Menschen zu wahren. Und Werkzeuge. Werkzeuge sollten als Hilfsmittel eines zuverlässigen Teams dienen, um die Projektziele zu erreichen. Folgendes sollte umgesetzt werden:

• Geben Sie den Mitarbeitern ausreichend Zeit, sich mit den von ihnen ausgewählten DevOps-Tools vertraut zu machen.
• Effektive Zusammenarbeit (und wie Tools dies unterstützen) im Fokus
• Beheben Sie alle Lücken im Prozess, unabhängig davon, ob es sich um Technologie/Wissen oder werkzeugbasierte Lücken handelt.

Einfach gesagt: Erwarten Sie nicht, dass jemand einfach nur ein „Werkzeug“ in die Hand nimmt und sein Bestes gibt.

DevOps ist kein Modewort, sondern eine Kultur. Fördern Sie diese?

변화 관리는 기껏해야 어려운 일입니다.미지의 것에 대한 두려움은 아무리 뛰어난 팀원이라도 기술을 연마하고 시야를 넓히는 데 방해가 될 수 있습니다.

Wie Sie wissen, reicht es nicht aus, einfach zu sagen „Lasst uns DevOps einführen” und das Betriebsteam dazu zu bringen, seine Schreibtische zu verstellen, um wie durch Zauberei einen erfolgreichen Prozess zu implementieren. Viele Menschen werden verwirrt sein, und langjährige Teammitglieder werden unzufrieden sein. Die Kommunikation von Erwartungen ist sehr wichtig, ebenso wie der „Weg dorthin”. DevOps ist ebenso wie die Entwicklungsmethodik auch eine kulturelle Bewegung. Das Team muss eine kooperative Denkweise entwickeln, die über die Grenzen einzelner Abteilungen hinausgeht.

Wie sieht eine hervorragende DevOps-Kultur aus?

• Der Einzelne kann sein Fachwissen nicht nur für die Führung, sondern auch für den Prozess nutzen.
• Offene, ehrliche und respektvolle Kommunikation zwischen den Teams
• Jeder Einzelne ist für das übergeordnete Ziel verantwortlich, Qualität und Sicherheit in den Entwicklungsprozess zu integrieren.
• Alle haben ein einheitliches Verständnis der Definition von DevOps im Geschäftsleben, der Roadmap sowie der Methoden, Ziele und Gründe für die Rolle jedes Einzelnen.

Der Autor betont seit Jahren, wie wichtig es ist, eine positive Sicherheitskultur im Entwicklungsteam aufzubauen, und DevOps bildet da keine Ausnahme.

Um Best Practices im Bereich Sicherheit zu erreichen, erkannte Schwachstellen zu identifizieren und dem Team die Bedeutung des Datenschutzes bewusst zu machen, sind die richtigen Tools, Kenntnisse und Unterstützung unerlässlich. Durch den Einsatz von DevOps muss eine kulturelle Grundlage für positive Veränderungen geschaffen werden. Das bedeutet, dass alle Beteiligten ihre Rollen, Werte, Erwartungen, die Gesamtziele des Projekts und die Prozessschritte verstehen müssen.

Haben Sie das gemeistert? Das ist großartig. Lassen Sie uns nun die Perspektive wechseln und den Sicherheitsaspekt erweitern, um DevSecOps zum ultimativen Plan für Software-Exzellenz zu machen.

Langweilig, langweilig, langweilig! Das ist eine der häufigsten Reaktionen, die Entwickler zeigen, wenn das Thema Sicherheitsschulungen angesprochen wird. Secure Code Warrior ist überzeugt, dass es einen besseren Weg gibt, und hat daher in Zusammenarbeit mit Evans Data Corp. eine Primärstudie über die Einstellung von Entwicklern zu sicherem Programmieren, sicheren Codierungspraktiken und sicheren Betriebsabläufen durchgeführt (Whitepaper herunterladen). Hier).

In der bald erscheinenden Version : Der Wandel von der Reaktion zur Prävention – Die sich wandelnde Landschaft der Anwendungssicherheit. Entwickler wurden zu den wichtigsten Problemen der aktuellen Sicherheitsschulungen für Programmierer befragt, und die Antworten sind nun verfügbar.

Ausbildung, die die Fähigkeiten der Entwickler beeinträchtigt

40 % der an der Umfrage teilnehmenden Entwickler waren der Meinung, dass sicheres Programmieren in einem Vakuum gelehrt wird. Weitere 40 % empfanden die Ausbildung als zu theoretisch, nicht relevant für ihre Arbeit und als nicht ausreichend praxisorientiert. 30 % gaben an, dass die Schulungen zu den täglich verwendeten Sprachen und Frameworks unzureichend seien. Dies ist ein ernstes Problem, da es zeigt, dass die derzeitigen Schulungen zum Thema sicheres Programmieren situationsabhängig sinnlos sind und keinen sinnvollen Bezug zu den täglichen Aufgaben der Entwickler haben.

Die größte Herausforderung für die meisten Entwickler bestehtdarin, wach zu bleiben, während sie sich mit uninspirierten, wenig effektiven und geisttötenden Routinetätigkeiten beschäftigen, bei denen Sicherheit oberste Priorität hat.

Training unter Vakuumbedingungen hindert Entwickler daran, eine kognitive Verbindung zwischen Labor und realer Welt herzustellen.

Drei Dinge, die Entwickler in der Sicherheitsschulung erwarten:

1. Entwickler sagen überwiegend, dass sie sich neben ihrer täglichen Arbeit eine realistischere und situationsgerechtere Ausbildung wünschen.
2. 65 % der Entwickler geben an, dass sie mehr Schulungen benötigen. Sprachspezifische Schwachstellen und OWASP Top 10.
3. 75 % der an der Umfrage teilnehmenden Entwickler gaben an, dass sie eine systematische praktische Ausbildung bevorzugen.

Ausbildung zur Steigerung der Fähigkeiten von Entwicklern

In Bezug auf die praktische Ausbildung nutzen Entwickler ein gewisses Maß an Erfahrung und vorhandenes Wissen. Dies bedeutet, dass „Scaffold“-Lernen erforderlich ist. Dabei handelt es sich um eine strukturierte, d. h. „gescaffoldete“ Ausbildung, die auf dem bereits vorhandenen Wissen der Entwickler aufbaut. Scaffold-Lernen aktiviert und verbessert frühere Erfahrungen und ermöglicht gleichzeitig den kontinuierlichen Aufbau neuer Fähigkeiten in kleinen Einheiten. Daher kann es ein perfektes Mittel für das praktische Lernen sein.

Übertragung von klebrigen Technologien

Bei der Sicherheitsschulung für Entwickler wissen wir, dass Entwickler praxisorientiertes Lernen gegenüber theoretischem, statischem Lernen bevorzugen. Daher ist es von entscheidender Bedeutung, dass sie in einer hochrelevanten und realitätsnahen Umgebung lernen, wie man sicher programmiert. Secure Code Warrior, ein Vorreiter im Bereich sicheres Programmieren, bietet praxisorientierte Schulungen für relevante Programmiersprachen und Frameworks an und und löst Probleme, die denen ähneln, mit denen Entwickler in der Praxis konfrontiert sind. Die Lerninhalte umfassen mehr als 5.500 Aufgaben und Missionen, die über 147 verschiedene Arten von Schwachstellen abdecken, darunter die wichtigsten OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10 und CWE/SANS Top 25.

Um mehr über die potenziellen Auswirkungen auf Ihr Team und dessen Leistungsfähigkeit zu erfahren, wie Sie Sicherheitscodes schneller bereitstellen können, Demo buchen jetzt.

Unternehmen weltweit befinden sich im Wandel. Da der Schwerpunkt auf digital orientierten Geschäftsmodellen liegt, kann man ohne Übertreibung sagen, dass die meisten Organisationen eigentlich Softwareunternehmen sind. Große Unternehmen verfügen über umfangreiche Entwicklungsteams, die in agilen DevOps-Umgebungen für die kontinuierliche Entwicklung und Bereitstellung von Funktionen zuständig sind. Da diese Funktionen mit der Geschwindigkeit der Innovation Schritt halten und die Erwartungen der Kunden erfüllen müssen, wird Sicherheit oft nicht als unverzichtbar, sondern als Hindernis angesehen.Da die Abhängigkeit von Software jedoch einen historischen Höchststand erreicht hat und damit potenzielle Cybersicherheitsverletzungen und -risiken mit sich bringt, kann dieses Szenario nicht so bleiben.

Das Sicherheitsteam wächst nicht mehr weiter und verfügt, selbst wenn dies möglich wäre, nicht über ausreichendes Fachwissen. Ein Verhältnis von mehr als 1:100 ist nicht ausreichend. Es kann nicht davon ausgegangen werden, dass ausschließlich spezialisierte Sicherheitsexperten die einzige Lösung für Probleme im Zusammenhang mit Cyberbedrohungen sind.

In diesem Webinar, das von Stephen Allor, Direktor von Secure Code Warrior (Nordamerika), und Russ Wolfe, Dekan für Cybersicherheit bei Capital One, moderiert wird, werden die aktuellen Probleme von DevOps sowie die Maßnahmen von Finanzinstituten wie Capital One zur Förderung der Beteiligung von Entwicklungsteams an der sicheren Programmierung und zur Verbesserung ihrer Fähigkeiten erläutert, um eine positive Sicherheitskultur zu schaffen und erfolgreich zu „verankern”.

Sie werden Folgendes entdecken:

• Wenn Sie Opfer eines „Sicherheitswissens-Schwarzlochs“ sind
• Der Grund, warum die Sicherheit heute stärker ist als vor Jahrzehnten
• Die bisherige Haltung, AppSec als „Checkbox“ für die Einhaltung von Vorschriften zu betrachten, und der Grund, warum dies bestenfalls oberflächlich sein kann.
• Warum Sicherheit als Teil des Benchmarks in die Bewertung der Anwendungsqualität einbezogen werden sollte: Unsichere Anwendungen können unabhängig von ihrem Design oder ihren Funktionen nicht als qualitativ hochwertig angesehen werden.
• Warum die Branche Software-Sicherheit nicht in die Denkweise und Kultur allgemeiner Entwickler integriert hat (und warum sich dies ändern muss)
• Der Grund, warum aufgrund fehlender gemeinsamer Sicherheitscodierungstechniken immer wieder dieselben Schwachstellen auftreten
• Warum Anwendungsscanning-Tools nicht alle Schwachstellen finden können und warum es eine praktischere Strategie ist, Schwachstellen mit Hilfe von gut ausgebildeten Sicherheitsingenieuren/Entwicklern zu verhindern.
• Zunehmende Schwachstellen in Software und deren Ursachen
• なぜ学生ではないアプローチに変更すべきなのか、実質的なリスク軽減のために
• Warum die meisten Sicherheitsschulungen keinen Einfluss auf die Stärken von Entwicklern haben und welche Art von Schulungen Entwickler benötigen, um herausragende Leistungen zu erzielen
• Gründe, warum die Einhaltung von Software-Engineering-Vorschriften und die Erwartungen an die Implementierung hinter anderen Bereichen des Engineerings zurückbleiben, und wie man Lösungen dafür entwickeln kann
• Wie Russ Wolfe und sein Team bei Capital One ein Zertifizierungsprogramm entwickelt haben, das auf unterhaltsamen, spielerischen Schulungen basiert, um Entwickler zur Teilnahme zu motivieren, ihnen das Lernen anhand von realem Quellcode zu ermöglichen und Benchmarks für bewährte Sicherheitsverfahren zu erreichen.
• Wie dieses Zertifizierungsprogramm die Teilnahme, Informationserhaltung und kontinuierliches Lernen fördert
• Wie Entwickler durch Anreize Schulungen absolvieren und ihre Fähigkeiten gemäß den wichtigsten Sicherheitsrichtlinien schnell verbessern können.
• Wie man durch Bewertungen Sicherheitschampions identifiziert und zur Teilnahme an Schulungen motiviert.

Sehen Sie sich jetzt das Webinar an und erfahren Sie, wie Sie Entwicklern mit On-Demand-Kursen, die sich auf positive Sicherheitspraktiken konzentrieren, die Tools und Kenntnisse vermitteln können, die sie benötigen, um von Anfang an sicher zu programmieren, und welche Vorteile Sie durch einen Links-Shift erzielen können.

Erfahren Sie, was Finanzinstitute wie Capital One tun, um ihre Entwicklungsteams in die sichere Programmierung einzubeziehen, ihre Fähigkeiten zu verbessern, eine positive Sicherheitskultur effektiv zu fördern und erfolgreich zu „verankern“.

Mit der Zunahme und Verfeinerung von Cyberangriffen haben sich die Veränderungen in allen Bereichen und Branchen weltweit beschleunigt. Alle versuchen, so schnell wie möglich die Sicherheit gemäß den Prozessen und Verfahren aufrechtzuerhalten und „links“ zu bleiben. Diese Situation führt sogar zur Umsetzung völlig neuer Maßnahmen zur Cyberabwehr. Wie bei DevSecOps ist die Sicherheit direkt in das System integriert, mit dem neue Software und Anwendungen erstellt werden.

Viele dieser Veränderungen behindern sensible Communities. Da sie neue Software und Anwendungen entwickeln und programmieren, sollten sie überlegen, wie sie eine sicherere Programmierumgebung schaffen können. Schließlich kann man nicht einfach die erste Kurve nehmen, um eine neue Umgebung zu schaffen.

◆ Wie sieht die Entwickler-Community diese Verantwortung? Bisher wurden Entwickler fast ausschließlich anhand ihrer Programmiergeschwindigkeit bewertet. Wie stehen sie nun zu ihrer neuen Rolle als Sicherheitsbeauftragte? Und glauben Sie, dass die Unternehmensleitung in der Lage ist, diese Bemühungen zu unterstützen, indem sie für hochwertige Schulungen, angemessene Vergütung und die gebührende Anerkennung dieser wichtigen neuen Verantwortung sorgt?

Evans Data Corporation (Evans Data Corporation) und Partnerschaft Wir haben eine Umfrage unter der weltweiten Entwickler-Community zu technischen Kenntnissen, Verhaltensweisen und dem Einfluss und der Relevanz von Sicherheitspraktiken im Softwareentwicklungslebenszyklus (SDLC) durchgeführt. Die Ergebnisse waren sehr überraschend.

Stand der Entwickler-geführten Sicherheitsumfrage 2022

Die Umfrage zu den von Entwicklern initiierten Sicherheitsrichtlinien wurde im Dezember 2021 von Evans Data Corporation durchgeführt.Sie bezog sich auf 1.200 aktive Softwareentwickler aus dem asiatisch-pazifischen Raum, Europa und Nordamerika, die zu Themen wie Sicherheit, Schulung, Support, Berechtigungen und anderen Fragen befragt wurden. Die Umfrage wurde gewichtet, um ein genaues globales Ergebnis zu erzielen. Zu den Befragten gehörten Entwickler neuer Anwendungen sowie Manager aus der Java- und Entwickler-Community.

Einige erstaunliche Entdeckungen

Ein ausführliches Whitepaper (Herausforderungen und Chancen für die Softwaresicherheit) und ein Bericht (Entwicklergesteuerte Sicherheit, 2022), die alle Aspekte der Umfrage detailliert beschreiben, werden am Montag, dem 11. April, veröffentlicht. Das Whitepaper enthält eine Analyse der Ergebnisse und Kompromisse, die von der Community in Bezug auf Sicherheitspraktiken vorgeschlagen wurden, sowie die damit verbundenen Überlegungen.

Einige dieser Probleme können nicht nur bei den Entwicklern der Organisation, sondern auch bei den Mitgliedern der Community Fragen aufwerfen. Das war natürlich auch bei uns der Fall.

Nur 14 % der Befragten haben die Anwendungssicherheit aufrechterhalten.* Sie haben weiterhin alles auf die gleichen Indikatoren wie Anwendungsleistung, Reputation und Systemkonformität gesetzt.

Die Sicherheit hat eine zu geringe Priorität, sodass 67 % der befragten Modelle zugaben, dass sie bekannte Schwachstellen und Missbrauchsfälle in ihrem Code belassen. Da sie der Funktionalität Vorrang vor der Sicherheit einräumen und unter Zeitdruck stehen, fehlte es ihnen einfach an Schulungen und Wissen zur Problemlösung.

Die meisten Entwickler können in ihren Organisationen keine Komponenten für Sicherheitscodes definieren und erhalten keine angemessene Schulung oder Unterstützung, um diese Situation zu ändern.

Jedoch war es offensichtlich, dass sich die Einstellung trotz einiger negativer Ergebnisse ändert. Die Mehrheit der Entwickler (66 %) geht davon aus, dass Sicherheit in den nächsten 12 bis 18 Monaten an Bedeutung gewinnen wird, und 82 % der Befragten bringen klugen Menschen Respekt entgegen.

Umfrage ####################################### Tag ######################

Bitte beachten Sie die Whitepaper und Berichte, in denen die Ergebnisse der gesamten Umfrage detailliert erläutert werden, sowie die Expertenkommentare zu den Problemen im Zusammenhang mit den aktuellen Sicherheitspraktiken und den Möglichkeiten für Unternehmen, ihr Bestes für die Sicherheit und letztendlich für die Software-Definition zu geben.

Überprüfen Sie es Secure Code Warrior Auf unserer Blog-Seite erfahren Sie mehr über die zunehmend gefährliche Bedrohungslage im Bereich Cybersicherheit und darüber, wie Sie Ihre Kunden durch innovative Technologien und Schulungen besser schützen können.

‍

In den letzten Jahren wurden viele Dinge wie Netzwerksicherheit, sensible Kundendaten im Terabyte-Bereich und der unschätzbare Ruf einer Marke auf dem Altar der Markteinführungsgeschwindigkeit geopfert. Angesichts des zunehmenden Drucks, die Einführung neuer Funktionen zu beschleunigen, konzentrierten sich die Teams auf eine schnelle Entwicklung, ohne sich der Schwachstellen oder enormen Risiken bewusst zu sein, die durch ihre Komplexität und Dezentralisierung entstehen können. Mehr denn je ist eine neue Arbeitsweise erforderlich.Aus diesem Grund hat Secure Code Warrior im Jahr 2020 in Zusammenarbeit mit Evans Data Corp. eine Grundlagenstudie* über die Einstellung von Entwicklern und Managern zu sicherem Codieren, sicheren Codierungspraktiken und sicheren Betriebsabläufen durchgeführt (Kopie des Whitepapers herunterladen). Hier).

Leistungsindikatoren für den Projekterfolg – Wo passt Sicherheit hinein?

Entwickler und Administratoren halten Sicherheitscodes für wichtig, aber nicht so wichtig wie andere Faktoren. Auf die Frage nach den wichtigsten Prioritäten im Softwareentwicklungsprozess antworteten Entwickler und Administratoren:

• 76 % festgelegte Anwendungsleistung
• 62 % haben diese Merkmale und Funktionen ausgewählt.
• Und ich habe einen Sicherheitscode gewählt, der etwas über 50 % liegt.
  

Im Vergleich zu anderen Leistungsindikatoren für den Projekterfolg macht sicheres Codieren derzeit nur ein Drittel aus.

Es ist nicht überraschend, dass Entwickler derzeit den Erfolg eines Projekts anhand von Leistungsindikatoren beurteilen, die den Code erst nach Abschluss des Projekts bewerten.

Aber wenn man gefragt wird, wie sich dies in Zukunft ändern könnte, kehrt sich das Bild komplett um. Die Art und Weise, wie Organisationen Sicherheit als Indikator für Erfolg betrachten, verändert sich. Sicherheitscodierung wird immer wichtiger.

Auf die Frage nach der wichtigsten Priorität für die Messung des zukünftigen Projekterfolgs stimmten 79 % der Befragten zu, dass die Bedeutung von sicherem Programmieren zunehmen wird. Überraschenderweise gaben noch mehr Befragte an, dass die Bedeutung der Sicherheit in Zukunft größer sein wird als andere Leistungsindikatoren.Ähnlich wie bei der Bewegung nach links wächst auch das Bewusstsein für sicheres Programmieren. Sicheres Programmieren bedeutet aufgrund seiner Eigenschaften, dass Sicherheit viel früher im SDLC berücksichtigt wird. Das heißt, Software sollte nicht von Anfang an aufgeschoben werden, sondern aktiv so programmiert werden, dass sie sicher ist.

Da CIOs bestrebt sind, die Agilität ihrer Organisationen zu steigern, werden Funktionen für sicheres Codieren zu einer wichtigen Innovationswaffe. CIOs und CISOs müssen sorgfältig abwägen, ob die Entwicklungsteams die erste Risikolinie oder die vorderste Verteidigungslinie sind.

Diese Erkenntnisse haben einen erheblichen Einfluss darauf, wie Unternehmen ihre Entwickler schulen. Teams müssen sich über neu entdeckte Schwachstellen informieren und diese in ihrer jeweiligen Sprache/ihrem jeweiligen Framework lernen. Einfach ausgedrückt: Sie müssen verstehen, wie sie bekannte Schwachstellen im Code in alltäglichen Situationen finden, identifizieren und beheben können.

Secure Code Warrior, das die Veränderung im Bereich der sicheren Programmierung vorantreibt, verfolgt einen menschenorientierten Ansatz, bei dem Entwickler aktiv einbezogen werden, um sichere Programmiertechniken zu erlernen und zu beherrschen. Wenn Sie wissen möchten, wie sich dies auf die Fähigkeit Ihres Teams auswirken kann, von Grund auf neu zu beginnen und sichereren Code schneller zu veröffentlichen, ohne die Sicherheit zu beeinträchtigen, Vereinbaren Sie jetzt eine Demo.

‍

Der Wandel von der Reaktion zur Prävention: Die sich wandelnde Landschaft der Anwendungssicherheit. Secure Code Warrior und Evans Data Corporation 2020