Sicherheitscode-Einblicke

Seit Jahren investieren Sicherheitsverantwortliche massiv in Programme zur sicheren Programmierung, doch eine grundlegende Frage bleibt unbeantwortet: Wissen wir wirklich, wer den Code eingibt, und verfügen diese Personen über die erforderlichen Fähigkeiten, um sicheren Code zu schreiben, zu überprüfen und schließlich zu liefern?

Traditionelle "shift-left"-Ansätze lassen Unternehmen mit massiven blinden Flecken kämpfen, wenn es darum geht, Entwickler für sichere Coding-Programme zu entdecken und einzubinden. Da sich Programmadministratoren auf manuelle Überprüfungen, Tabellenkalkulationen und HR-Organisationsstrukturen verlassen, um die Fähigkeiten von Entwicklern im Bereich der sicheren Codierung zu ermitteln, tauchen häufig "Schattenentwickler" auf, die zwar Code für kritische Codebasen beisteuern, aber keine Sicherheitskenntnisse besitzen. Diese Tatsache untergräbt die Ziele des sicheren SDLC und erschwert die Governance, da es schwierig ist, bei internen oder externen Überprüfungen die Sicherheitskompetenz nachzuweisen.

Secure Code Warrior's Vertrauens-Agent eliminiert dieses Risiko und verwandelt Ihr Programm für sichere Codierung in eine kontinuierlich überwachte, überprüfbare Verteidigung, die CISOs und AppSec-Verantwortlichen das Vertrauen gibt, ihren Entwicklern bei jedem Commit zu beweisen, dass sie über die erforderlichen Sicherheitskenntnisse verfügen.

Kontinuierliche Überwachung und Absicherung durch die Treuhandstelle

Ohne kontinuierliche Überwachung bleibt das Entwicklerrisiko verborgen. Trust Agent sorgt für kontinuierliche Transparenz, indem er die Sicherheit auf der Ebene der Codeübergabe operationalisiert.

Kontinuierliche Entdeckung von Entwicklern: Den Umfang kennen

Bevor Sie Ihre Codebasis sichern können, müssen Sie wissen, wer sie berührt.

Trust Agent scannt automatisch Ihre integrierten Repositories, um alle aktiven Code-Mitwirkenden in Ihrer gesamten Codebasis zu ermitteln. Dies hilft bei der Bewältigung einer kritischen Herausforderung beim Onboarding - einem kontinuierlichen Prozess - und beantwortet die Frage: Wissen Sie, wann neue Ingenieure oder Auftragnehmer hinzukommen und ob sie eine sofortige, relevante Ausbildung in sicherer Programmierung erhalten? Durch die kontinuierliche Überwachung von Commits stellen wir sicher, dass jeder Entwickler sofort identifiziert wird und seine Reise in die sichere Codierung beginnen kann, wodurch die typischen Onboarding-Verzögerungen vermieden und ein umfassender Programmumfang gewährleistet wird.

‍

Überprüfte Kompetenz: Überwachung des Codes, nicht nur des Lernfortschritts

Trust Agent erkennt nicht nur alle Code-Beitragenden, sondern verwandelt auch Lerndaten in harte Beweise, indem es kontinuierlich die angewandten Fähigkeiten zur sicheren Codierung in Echtzeit überwacht. Er bietet eine tiefgreifende Beobachtung, indem er jede Code-Übertragung mit den verifizierten sprachspezifischen sicheren Codierungskenntnissen des Entwicklers korreliert.

Dies ist von entscheidender Bedeutung für Vorschriften wie PCI DSS 4.0 (Anforderung 6.2.2), die ausdrücklich alle 12 Monate eine Schulung zu sicherem Code in der Sprache oder dem Framework fordert, in der/dem die Entwickler den Code übertragen. Trust Agent liefert Ihnen den prüfbaren Nachweis, der erforderlich ist, um zu beweisen, dass die Sicherheitskompetenz mit den Sprachen und Frameworks übereinstimmt, die in Ihren kritischen Anwendungen verwendet werden.

Darüber hinaus bietet Trust Agent unmittelbare Einblicke in Ihre Risikolage, indem er aufzeigt, welche Teams oder Code-Repositories eine hohe Anzahl von Commits von Entwicklern ohne angemessene Sicherheitskenntnisse aufweisen. Dank dieser Transparenz können Programmadministratoren den richtigen Entwicklern auf der Grundlage der relevantesten Echtzeitdaten problemlos die richtige Ausbildung zuweisen.

Integrierte Governance und politische Kontrolle

Um das Sicherheitsrisiko für Entwickler wirklich zu senken, muss letztlich Governance angewendet werden. Trust Agent bietet die Möglichkeit, Sicherheitskenntnisse obligatorisch zu machen, indem Kontrollen direkt in bestehende Entwicklungs-Workflows integriert werden, mit der Möglichkeit, Commit-Richtlinien basierend auf der Risikotoleranz Ihres Unternehmens zu definieren. Trust Agent automatisiert die Governance direkt im Commit-Workflow mit Policy Gates, die so konfiguriert werden können, dass Pull Requests protokolliert, gewarnt oder blockiert werden, wenn die Fähigkeiten eines Entwicklers zur sicheren Codierung nicht ausreichen. Diese integrierte Governance ist der Schlüssel, um sicherzustellen, dass Sicherheit wirklich eine Anforderung und kein optionaler Vorschlag ist.
‍

Die Zukunft der Entwicklung sichern

Bei der Umstellung auf nachweislich sichere Programmierkenntnisse geht es nicht nur darum, Audits zu bestehen - letztendlich geht es darum, innovativen, sicheren Code zu liefern. Auch oder gerade mit dem Aufkommen der KI-gestützten Entwicklung bleibt das Grundprinzip bestehen: Entwickler müssen sicherheitsbewusst sein, um das Risiko wirklich zu senken. Indem SCW Trust Agent die Kompetenz von Entwicklern zur sicheren Programmierung zu einer messbaren Anforderung macht, stellt er sicher, dass Ihr Unternehmen nicht nur Compliance- und regulatorische Verpflichtungen erfüllt, sondern seine Sicherheitslage von innen heraus stärkt.

Wenn Sie mehr erfahren möchten, buchen Sie eine Demo oder wenden Sie sich noch heute an Ihren Customer Success Manager!

‍

人工智能辅助开发已不在眼前——它就在这里，它正在迅速重塑软件的编写方式。GitHub Copilot、Cline、Roo、Cursor、Aider和Windsurf等工具正在将开发人员转变为自己的副驾驶，从而加快迭代速度，加速从原型设计到重大重构项目的所有工作。

但是这种转变带来了熟悉的紧张局势：速度与安全。

在 Secure Code Warrior，我们一直在思考如何帮助开发人员在使用 AI 编程工具时保持安全。 这就是为什么我们很高兴推出一款简单、强大且立即有用的产品：我们的 AI 安全规则 — GitHub 上所有人均可免费使用的公开资源。 您无需成为 Secure Code Warrior 客户即可使用它们；我们将这些规则作为免费的、社区驱动的基础提供，任何人都可以采用并扩展到自己的项目中。

这些规则旨在充当护栏，推动人工智能工具走向更安全的编程实践，即使开发人员正在以惊人的速度前进。

对于那些赶时间的人，总结一下：

随着 Copilot 和 Cursor 等人工智能编码工具对现代发展至关重要，安全性不能成为事后才想到的。这就是为什么我们构建了一组轻量级、以安全为先的规则集，旨在指导 AI 代码生成朝着更安全的默认方向发展。

• 涵盖网络前端、后端和移动
• 易于使用 AI 工具
• 公开、免费使用，随时可以应用到自己的项目中

探索规则 → https://github.com/SecureCodeWarrior/ai-security-rules

让我们把安全编码设为默认值——即使键盘上有 AI 也是如此。

1。为什么规则在人工智能辅助编码时代很重要

AI 编码工具非常有用，但并非万无一失。尽管他们可以快速生成工作代码，但他们通常缺乏细微差别，无法理解给定团队或项目的具体标准、惯例和安全策略。

这就是项目级规则文件发挥作用的地方。

Cursor 和 Copilot 等现代 AI 工具支持影响代码生成方式的配置文件。这些规则文件就像在人工智能耳边低声说话，告诉它：

“在这个项目中，我们从不串联 SQL 字符串。”
“与不安全的默认值相比，更喜欢使用安全标头进行提取。”
“除非你想进行安全审计，否则请避免使用 eval ()。”

这些规则不是灵丹妙药，也不是强有力的代码审查实践和安全工具的替代品，但是它们可以帮助使人工智能生成的代码与团队在安全开发中已经遵循或应遵循的做法保持一致。

2。我们建造了什么（以及我们没有建造什么）

我们的入门规则现已推出 公共GitHub存储库。它们是：

• 按域名组织——包括 Web 前端、后端和移动设备
  
• 以安全为中心 — 涵盖反复出现的问题，例如注入漏洞、不安全处理、CSRF 保护、弱身份验证流程等
  
• 设计轻巧——它们本来是实用的起点，而不是详尽的规则手册

我们知道您的 AI 上下文窗口有多有价值，也知道代码消耗这些代币的速度有多快，因此我们的规则保持清晰、简洁，并严格关注安全性。我们做出了深思熟虑的决定，避免使用特定语言或框架的指导，而是选择了广泛适用、影响大的安全实践，这些措施适用于各种环境，而不会对架构或设计固执己见。

编写这些规则的目的是很容易地将其放入人工智能工具支持的配置格式中，几乎无需重构。可以将它们视为推动人工智能走向安全违约的起步政策。

3.新的防御层

以下是实际操作中的样子：

• 当 AI 建议处理用户输入的代码时，它倾向于验证和编码，而不是裸处理。
  
• 在构建数据库查询时，更有可能推荐参数化，而不是字符串连接。
  
• 在生成前端身份验证流程时，AI 更有可能推广代币处理最佳实践，而不是不安全的本地存储黑客攻击。

所有这些都无法取代安全计划中的战略开发人员风险管理，包括持续的安全技能提升。它也不能消除对精通安全的开发人员的需求，尤其是当他们越来越多地提示LLM和审查人工智能生成的代码时。这些护栏增加了一层有意义的防御层，尤其是在开发人员行动迅速、多任务处理或只是过于信任该工具时。

下一步是什么？

这不是成品，而是起点。

随着人工智能编码工具的发展，我们的安全开发方法也必须不断发展。我们的 AI 安全规则 可免费使用，适应性强，可扩展到您的项目。我们致力于不断发展这些规则集，我们很乐意听取您的意见——因此，请尝试一下，告诉我们您的想法。

在 GitHub 上浏览规则
阅读 SCW Explore 中的使用规则指南

人工智能辅助编码已经在重塑我们构建软件的方式。让我们从一开始就确保它是安全的。

如今，几乎每个团队都采纳了某种形式形式的合规规则，无论是确认保守公司遵循守护行业框架架构还是政府法规的初始认证流程的一部分，都是有用的，也是作为年度或审核的一部分。这是非常重要的例子，因为如果一个组织无法满足基本的合规要求，那么它的员工就无法切实行职责。

合规的规则存档是有原因的，因为任何规矩的都是有原因的，因为任何规格都必须对所有相关流程和程序进行少量对所有相关流程和程序以及适用的任何法律都有基本的了解。

尽管合规格性培训很重要，但已完成规约的最低限度且不可能确认保真正的应用程序安全。对于试图将安全编解码技术可以整理到日常工作流程中的开发人员来说尤其如此。几乎可以说，每位开发者都会通过某种形式接受接受，但是在接受调查时， 67% 的人承认他们经常在代码中留下漏洞。

为什么？

2021年12月，Secure Code Warrior连续第二年与埃文斯数据公司合作进行了 “2022年开发者驱动的安全状况状况调查”。我们对全球 1,200 名开发人员进行了重新调查，以了解安全编程实战方方的技能、看法和行为，以及其在软件开发周期 (SDLC) 中的影片响应和感知相关性。

就合规性培训为何无法提高软件安全性而言，这是我们长久以来的期望直接在谈论的问题。最近的调查只是聚焦了这个问题。

一方面，开发人员通过在整个软件开发过程中（包括在最初为应用程序和程序编写 decodeCodeWriteCome）中被开发人员通过在整个软件开发过程中（包括在最初为应用程序和程序编译代码时）的网络安全来提升新职位。但是，编写 Safire Code，只有了解所有可能影响它的网络安全问题和漏洞，都不是一件容易的事。在调查中，63％的开发人员表示，编写 “安全代码” 是一项艰巨巨人的任务。

编写 safeDaidecode 的困难难度不足为奇。有这个多高的网络安全工作没有得到满意是有原因的，据最新统计，全球有超过350万个空缺职位。如果工作很容易，那么每一个人都会跳入这个领域。学习如何对抗威和消除代码中的漏洞很难，而在不断变化之中，再加上威格局在不断变化。静态合规培训或一次性课程无法跟上发展步伐，也无法提供开发人员所需的教育。它可能在合规性方方面面选择一个方针，但无法为你的应用提供真正的正向应用程序安全保障，也无法让开发人员编写安全代码，也无法发现和修复代码漏洞的技能。

合规和培训安全很重要，但有不一样之处

组织必须开始意识到并承认合规可以做什么，不可能做什么。不要放任合规框架，尤其是法律法规的合规框架。尤其是因为（即使使用当前的培训方法）92％的受访者表示他们至少需要接受一些有关合规性问题或安全框架构的问题，50％的受访者需要进行大量的合规性问题或安全框架构的接受，50％的受访者强迫需要进行大量的合规培训。

他们对培训最感兴趣的合规框架构包括针对各行各业的合规框架，尽量管道一些通用的网络安全框架也在清晰之中。它们包括独联体安全框架架、PCI DSS、OWASP前十名、MISRA C、ISO/IEC、《健康保险流通与责任法案》（HIPAA）等。

因为这个，是的，比如某些框架架构中正在进行中，但要明白，选中合规性培训并不会等于持续创建安全代码定位。

取而代之的是，将合规性培训视角为扩展开发人员安全编程码科技的持续机将成为其中的一部分，这种技能可以在周末的期限内重复，比如他们每天都可以创建发布安全软件。将优先锋事从实现合规性转化到使开发团队能量通过持续学习安全编程编写代码。通过在开发人员支持方方面面投入时间和资源，那么，每年的复选框的规格练习或考试将使你的员工轻而易举地通过和完成，同时受益于整个生产力的提案。

如何转向开发者驱动的稳定性？

绝大多数开发人员都很喜欢表演示文稿的价钱，但对他们来说，他们多年来就受到了有关安全编程的培训类的型号表演示我怀疑。开发人员表示，他们希望通过与工作相关的真实示例（30%）来看更多地强调实例。26% 的受访者还认识到，增强强化互操作性至关重要，特别是，如果他们能的话，那么如果他们能的话，那么在某些练习中习惯用法写作安全代码。

23% 的受访开发者认为更多，接受《指导性报告》，重点关注他们在行业或行业中最有可能遇到的特定漏洞，这一愿望很重要，而 22% 的开发人员正在望培训课程中看到更多真实世界的漏洞示例。

显然，就可重复的开发人员安全技能而言，仅提供静态的非交互式互联网交换（通常是合规性培训的经验）几乎没有价格值。取而代之的是，组织将重点放置在准时培训之类的事件情绪上，即向开发人群的员工 cromfectradineCrompenseCromfeWorkredWorkseWorkRenceworkredWork你可以考虑分层学业学习计划。

使用分层方法法，比较的主题通常会被分解为离散的学者学习体或为概念。年龄开发者的进步，在已开启的概述中，分层构造更高级的概述，就像 “建筑物升高” 而建构造物理脚本手架一样。这是 sachcrombernecseSafe等困难不断演变的话题提供了一种行之有效的方法方法，方法是先锋将分解成更小、不太复杂的部分，然后在基础上构造更高的复杂性。

无论你决心采集何种种开发人员安全技能计划，都将把它与合规性练习开启是关键。合规和培训安全都很重要，两者都需要不同的方法才能取消。

供进一步阅读

皮书：提高软件安全性的（和机遇）。

皮书： 开发人员保护软件的防御性方法法。

：报告开发者驱动的安全状况。

同样的 10 个软件漏洞 在过去的20多年中，造成的安全漏洞比其他任何漏洞都多。但是，许多企业仍然选择违规后、事后补救措施；混淆这一切的人力和业务后果。但是现在，一项新的研究指出了一个由人类主导的新方向。

‍以下内容讨论了Secure Code Warrior与Evans Data Corp共同进行的一项名为 “从反应转向预防：应用程序安全面貌的变化”（2021 年）的研究得出的见解，该研究探讨了开发人员对安全编码、安全代码实践和安全运营的态度。下载白皮书 这里。

‍‍在这份即将发布的研究中，向开发人员和开发经理询问了他们与安全编码相关的活动。排名前三的回复是：

• 在已部署的应用程序上使用扫描工具。
• 手动检查代码中是否存在漏洞。
• 编写防范漏洞的软件的积极而持续的做法。
  ‍

那么这告诉我们什么呢？前三名答复中有两个仍然集中在反应式方法上，第一个依赖于工具（扫描仪），第二个依赖于开发人员（即人工）执行手动检查——在这两种情况下 之后 代码已经写好了。使用这些方法检测到的漏洞必须返回给开发团队进行返工，这会对项目时间表和项目成本产生连锁反应。

同时，所提名的三项活动中有两项依赖于人为因素——这表明越来越多的人将安全视为人的问题。但是，在所有提名的活动中，最有说服力的是第3项，它确定了人为因素 在编写一开始就保护免受漏洞侵害的软件中。这凸显了向左起步的转变，这是一种积极主动的预防性方法，从软件开发生命周期一开始就为软件提供安全保障。

被动可能等于昂贵

根据IBM的一项研究*，修复发布后代码中的漏洞的成本是最初发现并修复漏洞的成本的三十倍。这是一种强有力的激励措施，促使开发人员从一开始就采取更主动和更人性化的方法来捍卫软件安全，使开发人员能够更安全地进行编码。

这就是你可以称之为 人为主导的防御。但是，要让开发人员开始关注安全性，它必须成为他们每天思考和编码方式的一部分。这要求采用与开发人员日常工作高度相关的全新培训方法，激发他们的学习欲望，这两种方法在当前的训练模式中都无法说出来。

为了创建主动的安全文化，需要进行新的培训，以便：

• 在开发人员提高软件安全技能的同时，使安全编码成为积极而引人入胜的体验
• 鼓励开发人员通过安全思维来查看他们的日常编码任务
• 使安全编码成为他们日常工作流程的固有组成部分
  

当这些线索汇集在一起时，首先可以防止漏洞发生，从而允许团队发货 质量代码 更快，更有信心。好消息是，已经存在一个在软件开发过程中 “从左开始” 的学习平台——该平台已经为开发人员提供了从一开始就创建高质量代码的技能和工具。
‍‍

‍

*IBM 软件集团；最大限度地减少代码缺陷以提高软件质量并降低开发成本
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

Eine Version dieses Artikels erschien in Dunkles Lesen. Er wurde aktualisiert und hier syndiziert.

Wenn ich mit Entwicklern über Sicherheit spreche, ist eines meiner Mantras, dass "der einzige Qualitätscode sicherer Code ist". Das ist nach wie vor wahr; wir sind vielleicht einer Katastrophe entgangen, als anfällige Software in den 90er Jahren in freier Wildbahn war, aber heute ist es das Risiko nicht wert. Viele haben im Laufe der Jahre hart daran gearbeitet, Entwicklern ein sicherheitsbewusstes Denken einzuflößen, und haben dabei hoffentlich Sicherheit zum Synonym für Qualität gemacht, wenn es um ein Selbstverständnisassessment ihres Codes geht.

Wenn ich darüber nachdenke (und einige Diskussionen unter meinen Kollegen führe), ist das Konzept jedoch vielleicht zu stark vereinfacht. Es ist durchaus möglich, Code zu erstellen, der zwar sicher ist, aber Anzeichen von unerfahrener Entwicklungstechnik oder andere Problembereiche aufweist, die ihn nicht ideal machen.

In unserer Branche wird viel über den Begriff des "Shifting Left" gesprochen. Meiner Meinung nach geht es darum, links "anzufangen", indem man den Ingenieuren die Möglichkeit gibt, die Verantwortung für die Sicherheit (die ein Aspekt der Qualität ist) mitzutragen, und ihnen die Möglichkeit gibt, gängige Schwachstellen mit ihren (buchstäblichen) Fingerspitzen zu beseitigen. In Anbetracht des aktuellen Rätsels scheint es jedoch, dass der Rahmen noch ein wenig weiter gesteckt werden muss.

Code eines bestimmten Qualitätsniveaus ist per Definition auch sicher, aber aller sicherer Code ist nicht unbedingt von guter Qualität. Ist das Starten "links von links" die Formel, um reine sichere Codierungsstandards zu gewährleisten?

Wie sieht "minderwertiger" sicherer Code aus?

Lassen Sie uns die Lupe über diesen Codeschnipsel halten:

Wenn wir diesen Code aus einer Sicherheitsperspektive analysieren, ist dieses Snippet tatsächlich sicher und kein Einstiegspunkt für einen Angreifer, um eine SQL-Injection-Schwachstelle auszunutzen.  

Ist es ein Beispiel für hochwertigen Code? Nicht wirklich, leider. Eine einfache Änderung des Arguments von einem int(eger) zu einem String-Wert erlaubt eine freie Benutzereingabe, um die Abfrage zu manipulieren, im Gegensatz zu einer Zahl, die das nicht kann. Diese Änderung - oder ein zufälliges Kopieren und Einfügen des Strings sql von irgendwo anders - schafft sofort eine Umgebung, in der SQL-Injection-Schwachstellen möglich sind, mit allen damit verbundenen Risiken:

Die Sicherheitsmaßnahmen hatten hier einen sehr begrenzten Umfang, während ein gründlicherer (oder erfahrener) Entwickler vielleicht einen anderen Ansatz gewählt und die Auswirkungen einer ineffizienten Argumentstruktur berücksichtigt hätte. Code so zu versenden ist nicht nur schlechte Praxis, es setzt ein schlechtes Beispiel für andere in der Entwicklungskohorte.

Die Software-"dreifache Bedrohung": Form, Funktion, festungsartig?

Ein "Triple Threat" in der Unterhaltungsbranche ist eine Person, die gleichermaßen gut schauspielern, tanzen und singen kann. Sie sind die Menschen, die bei jedem Vorsprechen gefürchtet und beneidet werden, und sie sind die Einhörner in einem bereits umkämpften Bereich. Jede Branche hat ihre eigene Version eines erstklassigen, außergewöhnlichen Beispiels für ihre Produkte und Dienstleistungen, wobei Software keine Ausnahme bildet.

Wenn wir an drei Schlüsselelemente in Anwendungen denken, die schwer mit gleichbleibender (hoher) Qualität auszubalancieren sind, dann sind das vielleicht Funktionalität/Eleganz, plus eiserne Sicherheit, plus Kosteneffizienz unter Berücksichtigung der erforderlichen Liefergeschwindigkeit. Nun, das letzte Attribut ist zweifellos ein bestimmender Faktor dafür, wie gut die anderen beiden Optionen angewandt werden, und es kann ein Katalysator dafür sein, dass die Gesamtqualität mit der Zeit abnimmt.

Aber muss jede Software wie Hugh Jackman auftreten, oder kann man auch mit Nicolas Cage auskommen? Sagen wir es mal so: Wenn man Wolverine in sein Team holen kann, dann gibt man sein Bestes.

Martin Fowler stellte die Frage " Is High Quality Worth The Cost?" in der Softwareentwicklung und kam zu dem Schluss, dass es sich nicht nur "lohnt", sondern im Laufe der Zeit sogar billiger ist. Die meisten Benutzer werden nicht unter die Haube schauen, um zu beurteilen, ob der Code ein Schlamassel ist, oder ob die Sicherheit genauso wichtig gemacht wurde wie alles andere. Diejenigen, die an den Werkzeugen arbeiten, werden jedoch wertvolle Zeit damit verschwenden, schlampigen Code neu zu schreiben, um neuere Funktionen hinzuzufügen, oder wichtige Teile des Projekts zu durchforsten, um zu verstehen, was los ist, oder, im schlimmsten Fall: eine Sicherheitslücke zu beheben, die vom AppSec-Team aufgesprungen ist und die Produktion verzögert. Wenn Sie jetzt Zeit investieren, um den Code sicher und qualitativ hochwertig zu machen, ersparen Sie sich eine Menge zukünftiger Probleme, ganz zu schweigen von den Kosten, die entstehen, wenn Sie eine schlecht ausgeführte Arbeit wieder rückgängig machen müssen.

Erfahrene sicherheitsbewusste Entwickler schreiben Code, der ihre kreative, problemlösende Vision bei der Bereitstellung von Funktionen beibehält, wobei die üblichen Sicherheitsfallen, die Ingenieure in ihrer Phase des Prozesses kontrollieren können, berücksichtigt werden. Sicherer Code ist isoliert nicht sonderlich effektiv, und deshalb wird der Gedanke, "links von links" zu beginnen, dazu beitragen, eine Kultur zu unterstützen, in der Sicherheit für Entwickler zur zweiten Natur wird, eingebaut in ihre Fähigkeit, erstaunliche Funktionen mit reduziertem Risiko zu liefern.

Der Start "links von links" ist entscheidend für eine sichere Benutzererfahrung.

Sicherheit ist schon seit langem ein Thema bei der Nutzung von Software, allerdings mit gemischtem Erfolg. Sicherheitsfehlkonfigurationen waren für 21 % der Cloud-basierten Datenverletzungen im vergangenen Jahr verantwortlich. Laienhafte Fehler wie das Speichern von Passwörtern im Klartext führten bei den betroffenen Unternehmen zu erheblichen Einbußen bei Produktivität, Umsatz und Kundenvertrauen.

Das und die Benutzer selbst können ihr eigener schlimmster Feind sein, wenn es um den Schutz ihrer eigenen Daten geht. Viel zu viele Menschen verwenden immer noch "password" als Passwort oder die gleiche Kombination für mehrere sensible Konten.

Ich kenne keinen Entwickler, der die Faust in die Luft streckt, wenn man ihm sagt, dass er an einem Anmeldebildschirm arbeiten muss, und das ist auch kein Wunder: Es ist ein heikles Gleichgewicht, einen Sicherheitsfluss zu entwerfen, der robust und funktional ist, und den die Benutzer so navigieren können, dass es für sie Sinn macht und sie möglichst wenig stört.

Wenn Sie zu viele komplexe Schritte und Einschränkungen einbauen, schalten die Benutzer möglicherweise ab und kehren nie wieder zurück (eine Katastrophe für eine neue App). Wenn Sie es zu verwirrend machen, kann es sein, dass Sie dem Support-Team eine kollektive Migräne bescheren, weil sie Anfragen von Benutzern bearbeiten, die versuchen, auf ihre Konten zuzugreifen. Machen Sie es zu einfach, und Sie scheitern irgendwie am Sicherheitsaspekt.

Ein erfolgreiches sicheres Benutzererlebnis muss die Sicherheit in einen sinnvollen Ablauf einbinden, der so präsentiert wird, dass er nicht von allem anderen ablenkt, was an der Software überzeugend ist. Sie können sicherlich das Ziel erreichen, eine sichere Anmeldefunktion zu programmieren, indem Sie alle möglichen komplexen Passwortanforderungen, CAPTCHA, Mini-Bosse und vier Wellen von Zombies einbauen, aber wenn es ein totales Durcheinander ist, das auf die Benutzer abstoßend wirkt, verfehlt es das Ziel.

Legen Sie den Grundstein für Software-Exzellenz.

Als Entwickler weiß ich, dass die große Mehrheit von uns stolz auf ihre Arbeit ist und das Richtige tun will. Nervige Kurvenbälle wie Zeitdruck, plötzliche Änderungen des aktuellen Ziels oder dringende Hotfixes können den Fluss stören und zu Fehlern führen, aber die harte Wahrheit ist, dass viele Software-Ingenieure nicht für den Erfolg gerüstet sind.

Der Start "links von links" ist ein Konzept, bei dem der Entwickler im Vordergrund steht, und erfordert, dass Unternehmen sich ernsthaft um die Förderung ihrer Entwickler-Kohorte bemühen. Sicherheitsbewusste Entwickler sind Gold wert, und Unterstützung in Form von Schulungen, Bereitstellung der richtigen Tools und der Möglichkeit, von erfahreneren Entwicklern als Mentor betreut zu werden, fördert eine Umgebung, in der Code mit einer sicherheitsorientierten Denkweise und mit der Präzision und Liebe zum Detail erstellt wird, die erforderlich sind, um Software auf die nächste Stufe zu bringen.

Sind Sie bereit, das Feuer der sicheren Codierung in sich zu entfachen? Stellen Sie sich der Herausforderung.

‍

这是一年中的那个特殊时刻（无论如何，对我们来说），我回顾了我们最近一次绕太阳的圈子，以及在过去的三百六十五天里为迎接充满成长、经验教训和不可避免的不可预测性的新的一年所做的工作。

尽管我认为没有人能预见到去年的曲折——毕竟，我认为我们大多数人面临的曲线比洛杉矶道奇队还要多，但我们仍然在这里。日历的变化并没有突然消除 “无法透露姓名的一年” 中的痛点，但在我周围，我看到了个人、企业和我们行业坚定不移的韧性。

那么，我们在实现保护整个银河系代码的目标方面取得了哪些进展呢？

我们为我们的产品套件增光添彩。

Secure Code Warrior 培训平台将永远是我们产品的核心和灵魂，但努力创造更多种类和更多开发人员选择的工具是我们的首要任务。

我们希望激励开发人员采用预防性安全编码方法，使每个团队都能放心地交付高质量的软件。

我很自豪地详细介绍我们的产品团队辛勤工作推出的内容；他们全年都设定了令人难以置信的目标：

• 我们收购了Adversary.io，并在不到9个月的时间内整合了他们的技术、技术精湛的团队和企业客户。
• 我们在支持方面达到了不可思议的里程碑 超过 50 种编程语言，包括基础设施作为代码支柱，例如Docker、Ansible、Terraform、Kubernetes、Powershell和CloudFormation，以及像Rust和Go这样的新成员。
• 通过发布全新内容为开发人员提供安全知识 扩展 适用于 GitHub 操作和问题，此外还有 Atlassian JIRA Cloud & Server，后者无需在任务之间切换即可在开发人员玩游戏时提供情境学习
• 在 IDE 中提供实时质量代码指导 老师，现已在 JetBrains 市场 让每位开发人员都能发现安全漏洞、执行最佳实践、共享知识并防止性能问题和技术债务
• 通过发布，使企业更容易与开发人员互动并扩展安全编码 课程，这是一项全新功能，允许通过精选的学习途径来实现与组织及其安全目标最相关的目标。我们还添加了 任务，这是对旗舰平台的一项令人兴奋的增强，使开发人员处于漏洞利用的试点位置。这是脚手架式学习方法的下一步，旨在为开发人员提供可行的终身成功基础。

... 如果你认识任何编程初学者，他们应该看看免费应用程序 Secure Code Bootcamp，开始他们的安全之旅。

我们着陆，我们扩张，我们影响了。

我们喜欢以不同的方式处理安全编码，当然，我们希望这种精神能够在整个行业中流行。开发人员必须认识到他们在与网络攻击者作斗争中的力量，让他们真正享受学习安全知识的乐趣是首要目标。

来自世界各地的数千名开发者参加了我们的虚拟锦标赛，仅在 2020 年就举办了 80 多场。我们很高兴能让人们参与其中 GitHub，全球 思科 活动，以及 DevSecCon。

我们仔细研究了数据，发现2020年有成千上万的独立用户在我们的平台上玩过游戏，当我想起六年前我们从哪里开始时，这真是令人难以置信。

我很高兴看到我们在财富1000强公司中的影响力显著增加，每家公司都愿意尝试一些新的东西，作为其安全计划的一部分。我们特别发现了与科技公司的协同效应，其中许多公司转向了远程办公，并看到了远程培训选项的价值。

Awesome 团队一起变得更大、更强大。

在过去的一年中，我们公司最大的发展之一是收购了总部位于冰岛的网络安全公司Adversary。我们有很多共同点：对以人为本的网络安全方法、统一的价值观和互补产品的立场相似。我们欢迎他们的团队加入我们自己的团队，在优秀的人才中获得宝贵的专业知识和才能。

我们还欢迎约翰·威尔逊担任全球销售高级副总裁，这得益于他在推动增长以及将云技术和网络安全公司打造成市场领导者方面25年来的广泛往绩。他广泛的技术技能一直是赛门铁克、Qualys、黑莓和威瑞森等公司的创新力量，能让他与我们一起发挥自己的魔力，我们再高兴不过了。

缺乏实体办公室并没有阻止我们在五个国家招聘六十名新员工，并确保他们能够通过虚拟支持、介绍，当然还有送到他们家门口的梦寐以求的员工礼包，顺利进入工作岗位。

我们在每个部门都持续发展，这对于实现我们快速实现质量代码的全球使命同样重要。但是，仍然感觉我们才刚刚开始。

2021 年，改变对话方式的一年。

长期以来，我一直觉得社会对网络安全根本不够关心，只有在发生极其激烈的事情时，我们才会看到行动和意识的发展。

随着去年年底SolarWinds大规模漏洞的爆发，更多细节浮出水面。损失的全部程度尚不清楚，但这起事件可能成为广泛变革的催化剂。美国政府部门已经在彻底改革其安全计划，而网络间谍活动是损失惨重的话题。

我们仍然可以为所做的一切带来一点乐趣，但是现在是时候卷起袖子开始努力真正改变对话了。

每个具有安全意识的开发人员都能让我们的世界更安全地免受网络攻击，为他们提供成功所需的知识——甚至可能喜欢它——将永远是我们的目标。我们每天都在努力创建工具，供开发人员在学习安全性和创建最高质量的代码时选择使用。安全代码应该是标准，我们都可以伸出援手实现这一目标。

感觉就像 “网络安全合规” 已经流行了多年，无休止的文章、举措和委员会都在讨论世界应如何最好地应对网络犯罪这一巨大的、多重威胁的野兽。

问题是，我们似乎没有做到 那个 取得了长足的进步。在全球范围内，数据泄露的成本一直在稳步上升，五年内增长了12％，稳定在大约 392 万美元 每次违规行为 在 2019 年。随着我们在短短几十年内互联网的使用激增，许多公司在迅速上线、开设商店并应对不安全软件、有限的AppSec资源以及在某些情况下滥用客户信任所带来的后果，只能在没有盔甲的情况下奋斗。

如今，我们无可辩驳地变得更加成熟。我们了解并详细讨论了威胁的范围，各公司都非常清楚网络攻击可能对客户情绪、声誉和利润产生的影响，许多地方都在积极寻求通过合规培训、熟练招聘以及越来越多的DevSecOps计划来改善软件安全性。尽管取得了巨大的飞跃，但我们并没有赢得这场战斗——甚至还差得很远。至少有 四十亿条记录被盗 仅在 2019 年的数据泄露中。

缺少的一个要素是网络安全标准、预期和违规后果方面的渗透有些缓慢（在政府层面）。的来临 GDPR 至少在欧洲，一些人已经开始迎头赶上，但许多政府机构直到现在才迎头赶上，突然需要迅速遵守新出台的合规举措可能会在未来产生一些不利影响。

傻瓜冲进来（参加错误的训练）

以下形式的强有力的指导方针 NIST，新规定 纽约州 以及形成 英国网络安全委员会 对于那些为保护我们的数据安全而奋斗的人来说，所有这些都是巨大的胜利。他们承认当前软件开发中的问题，并采取措施指导组织在安全最佳实践方面，他们现在必须达到的标准，才能被视为合乎道德和合规性。

不幸的是，在现阶段，一些最重要的内容有点难以解释。例如，英国网络安全委员会立法中的一项授权是：

“在已经开展的职业道路基础上，创建明确的认证清单和易于理解的框架，说明它们如何联系在一起以及它们传递了哪些能力”。

尽管随着时间的推移，他们的举措无疑将得到改善和发展，但如果组织现在已经按下紧急按钮并开始培训，他们可能会发现自己没有为未来做好准备。

组织的网络安全需求变化迅速，静态培训解决方案不太可能以所需的速度阻止不安全软件的流动。格局的变化速度比传统课程更新的速度快，这可能会使一些地方陷入 “按需计时” 的合规工作陷阱；开发人员、承包商和其他安全专业人员没有接受足够的培训，我们又回到了袖手旁观的状态。

静态训练和静态工具也会遇到同样的问题

静态分析工具是 SDLC 不可或缺的一部分，它们是大多数大型组织中稀缺且劳累过度的 AppSec 专家的扫描工具。它们做得很好，但有一个缺陷：没有 “一个” 工具可以扫描每一个漏洞，支持现有的各种编程框架。这也是一个缓慢的过程，只需要一个安全漏洞就能为攻击者敞开大门。

在静态训练中，也存在类似的问题。如果开发人员接受严格的 “一劳永逸” 的课程进行安全培训，那么在这段时间内，他们就不太可能跟上最普遍的安全问题。它可以作为写作时间的快照，很少有人对其进行足够的重新审视，以学生的首选语言和框架提供，也与他们在日常工作中可能面临的漏洞无关。想象一下，试图回忆起你几个月前观看的视频中的一条相关信息，同时试图在交货截止日期之前发布代码... 这不太可能发生。

许多行业正在重新评估传统的教育方法，但是当涉及到开发人员的安全培训时，您只需要看看我们仍然经历的大量数据泄露事件（尤其是那些可以归咎于我们几十年来在编程中如何避免的漏洞的泄露事件）， 像 SQL 注入一样）才能意识到我们必须尝试不同的方式。

我们需要的培训超越单一线性课程的局限，能够灵活适应网络安全最佳实践不断变化的需求。

动态训练：黄金标准

通过为开发人员提供动态培训解决方案，该解决方案可以根据业务、个人技能水平和一般行业动态进行快速调整，您可以为他们提供安全编程、将安全放在首位并以安全意识思维行事的最佳基础。

一刀切、从不重新审视、一开始就不参与的培训将完全是在浪费时间，不幸的是，这意味着你最终可能会为了合规而冲动购买一个无效的计划。它可能在你推出之前就已经过时了，或者与他们的日常工作需求几乎无关。

动态训练是一种活生生的呼吸工具，它会不断更新，符合日常需求，让用户进行批判性思维和 实际上是赋予他们学习技能和解决问题的能力。

那么，在安全背景下，动态培训计划是什么样子呢？

它将是：

• 一口大小：开发者可以用可管理的部分学习技能，这些技能比冗长的训练套牌和视频更容易记住（更重要的是应用）
• 相关： 当开发人员主要使用Java编写代码时，如果示例以（比如）C＃编写，则通用安全培训有什么用？任何培训都应直接适用于他们的角色，让他们在编程时能够看到需要发现和修复什么（最好是首先要避免）。
• 当前： 这似乎很明显，但通常不是。网络安全格局一直在变化，代码越多，责任就越大。要让开发人员成为您的第一道防线，他们需要接受与现代安全最佳实践保持同步。
• 引人入胜： 开发人员会觉得 “安全” 是一件苦差事，这已经不是什么秘密了，尤其是当它干扰了他们的创作流程时。正确的培训将向他们展示他们在解决可能演变为巨大风险的日常安全问题、建立责任文化和安全意识方面的能力。
• 乐趣： 动态训练很少是无聊的；从设计上讲，它至少应该有些令人兴奋。想想开发人员喜欢什么：解决问题、与同行竞争，以及像我们许多员工一样，奖励和认可。发挥自己的优势，专注于取得最佳成绩。

对于成为一名软件工程师来说，这是一个激动人心的时刻；他们在数字创新中发挥着不可或缺的作用，帮助打造出色的公司，甚至用自己的创作席卷全球。但是，随着政府机构和大型企业意识到他们在制定软件安全标准方面需要发挥的作用，重要的是要通过有效、动态的培训解决方案来支持他们，培养对安全编码的热爱，而不是官僚主义的勾选活动。

Laut einer IBM-Studie ist es dreißigmal teurer, Schwachstellen nach der Veröffentlichung zu beheben, als sie zunächst zu finden und zu beheben. Vor diesem Hintergrund ist es nicht überraschend, dass vorausschauende CIOs sichere Coding-Praktiken implementieren. Das bedeutet, dass Entwickler geschult und ausgerüstet werden, um von Anfang an sichereren Code zu schreiben - und damit die erste Verteidigungslinie" ihres Unternehmens zu bilden. Um die tatsächlichen Auswirkungen dieses Trends zu messen, hat Secure Code Warrior in Zusammenarbeit mit Evans Data Corp* eine aktuelle Studie über die Einstellung von Entwicklern zu sicherem Coding, sicheren Code-Praktiken und Sicherheitsoperationen in Auftrag gegeben. Diese Untersuchung zeigt, dass die Implementierung von sicheren Code-Praktiken für Unternehmen an verschiedenen Fronten transformativ ist. Laden Sie Ihr Exemplar des Whitepapers hier.

Sicheres Kodieren mit mehr Selbstvertrauen und Achtsamkeit

Zweifelsohne steigert die Implementierung von sicheren Codierungspraktiken das Sicherheitsbewusstsein von Entwicklern in einer Weise, die ihren Arbeitgebern zugutekommt. Unsere Studie zeigt, dass 55 % der Entwickler sagen, dass eine gute Schulung ihr Vertrauen in ihre Codierungstechniken gestärkt hat, und 53 % gaben an, dass eine gute Schulung es ihnen ermöglicht hat, beim Debuggen und Testen ihres eigenen Codes vorsichtiger zu sein. Ebenfalls 53 % sind der Meinung, dass sie beim Schreiben von Code mehr auf die Sicherheit geachtet haben.

Was sagt uns das? Es sagt uns, dass Entwickler mit ein wenig Fortbildung zu Ihrer ersten Verteidigungslinie werden können.

Klügere Werkzeugauswahl + erhöhte Freigabegeschwindigkeit

Als wir Manager zu den Auswirkungen von Secure Code-Schulungen befragten, spiegelten ihre Perspektiven ihre Verantwortlichkeiten als Manager wider. 43 % der Manager stimmten zu, dass die Schulung zu sicherem Code dazu beigetragen hat, dass ihr Unternehmen beim Debuggen und Testen des Codes sorgfältiger geworden ist. 47 % gaben an, dass eine gute Schulung es ihnen ermöglicht hat, bei der Auswahl von Werkzeugen, die mehr Sicherheit bieten, wählerischer zu sein. Aber vielleicht am wichtigsten ist, dass 44 % angaben, dass Schulungen und Techniken für sicheren Code dazu beigetragen haben, Zeit zu sparen und Software-Releases zu beschleunigen - ein wesentlicher Vorteil, wenn es um die Geschwindigkeit der Markteinführung geht.

Gesteigerte Produktivität auf der ganzen Linie

Als wir die Entwickler fragten, wie sichere Kodierung die Produktivität verbessert hat, war mehr als die Hälfte der Meinung, dass sie sowohl die Qualität der Kodierung als auch des App-Designs verbessert hat.  

63 % gaben an, dass es die Nacharbeit reduziert, indem es wiederkehrende Schwachstellen verhindert. 70 % gaben an, dass es geholfen hat, Fehler zu beseitigen, die zu Nacharbeit oder Patches führen. 56 % geben an, dass es die Produktivität beim Debuggen und Testen verbessert hat. Wir können sehen, dass der Wandel in mehreren Phasen des Lebenszyklus der Softwareentwicklung stattfindet.

Teamdynamik und Codequalität

Sichere Codepraktiken haben auch Auswirkungen auf die Teamdynamik. Auch wenn die Entwickler individuell lernen, sicherer zu programmieren, existiert ihr Code nicht in einem Vakuum. Ihr Code ist oft von der Arbeit anderer abhängig und umgekehrt. Die Implementierung von Praktiken für sicheren Code veranlasst Entwickler dazu, Wissen über sicheren Code zu teilen und zu suchen, was zu einer besseren Kommunikation zwischen Entwicklern, Entwicklern und Management sowie dem Entwicklungsteam und seinen Stakeholdern führt.

• 60 % der befragten Entwickler sind der Meinung, dass der Einsatz von sicheren Code-Praktiken ihre Kommunikation mit anderen Entwicklern verbessert hat
• 45% sagen, dass der Kontakt mit dem Management zugenommen hat.

Diese Meinung wird auch von Managern geteilt, wenn auch aus einer anderen Perspektive. 62 % der befragten Manager geben an, dass sie durch sichere Code-Praktiken mehr Zeit für die Verwaltung von Mitarbeitern aufwenden müssen und die Geschwindigkeit von Code-Releases erhöhen.

Für Unternehmen, die sichere Code-Praktiken implementieren, hat die verstärkte Kommunikation einen transformativen Einfluss auf die Teamdynamik und wirkt sich positiv auf die Code-Qualität und die Markteinführungsgeschwindigkeit aus.

Umstellung von reaktiv auf präventiv

Schließlich wirkt sich sicherer Code auf die Art und Weise aus, wie Entwickler und Entwicklungsleiter Sicherheitsmaßnahmen und die dazugehörigen Metriken anwenden.

Heute verlassen sich 81 % der Unternehmen immer noch auf reaktive Metriken wie Fehlerzählungen und Scanner-Metriken, um die Sicherheitsqualität zu bestimmen.

Aber diese reaktiven Aktivitäten werden zunehmend durch proaktive oder präventive Metriken ergänzt oder weichen diesen. 67 % der Unternehmen messen jetzt das Bewusstsein der Entwickler für die OWASP Top 10 als Kennzahl für die Sicherheitsbereitschaft. Andere proaktive Metriken, die zunehmend verwendet werden, sind:

• Messung der Entwicklerkompetenz rund um die Anwendungssicherheit
• Verwendung eines vordefinierten Codes
• Einhaltung der regulatorischen Anforderungen.

90 % der Entwickler achten inzwischen auf diese vorbeugenden Maßnahmen. Aber obwohl das Bewusstsein und die Umsetzung der sicheren Kodierungspraxis wachsen, ist es noch ein weiter Weg, um das volle Potenzial auszuschöpfen.

Wie geht es jetzt weiter?

Als Verfechter des Wandels in der sicheren Kodierung verfolgt Secure Code Warrior einen menschengeführten Ansatz, um Ihre Entwickler in Ihre erste Verteidigungslinie zu verwandeln - und Ihren gesamten Sicherheitsansatz von reaktiv zu proaktiv. Unser bewährtes learning platform bietet kontextbezogene, praxisnahe Schulung in 52 sprach:framework-spezifischen Kategorien, mit Herausforderungen, die diejenigen nachahmen, denen Entwickler in der realen Welt gegenüberstehen. Wir wissen aus eigener Erfahrung, dass Entwickler die Learning-by-Doing-Methode dem mühsamen theoriebasierten statischen Lernen vorziehen. Wenn Sie sehen möchten, welche transformativen Auswirkungen dies auf Ihre Teams und deren Fähigkeit, qualitativ hochwertigen Code zu liefern, haben kann, buchen Sie jetzt eine Demo.

‍

*Der Wechsel von der Reaktion zur Prävention: The changing face of application security. Secure Code Warrior und Evans Data Corp. 2020
1. IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Cost - https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

‍

在团队内共享食谱

当一个人创建 Sensei 配方以提高代码质量或生产力时，团队中的每个人都可以从共享食谱中受益。

Sensei 提供了多种共享食谱的机制：

• 在版本控制下将食谱存储在项目中
• 将食谱存储在共享文件夹中
• 在 Github 中存储食谱
• 通过 HTTP (s) 压缩文件

通过共享食谱，Sensei 帮助团队合作进行知识共享。此次合作有助于改善沟通并嵌入商定的代码质量方法。

例如，分享一本食谱：

• 帮助团队成员互相分享有用的食谱。
• 支持团队领导为初级员工编纂商定的编码惯例，以识别常见的违规行为，快速修复商定版本。
• 促进团队间合作的增强，例如 AppSec 团队可能会创建配方来突出代码中的问题，开发团队可以编写快速修复方法。

接下来的几节将解释如何实现每种共享机制。

在版本控制下将食谱存储在项目中

项目 .sensei 文件夹是创建食谱文件时的默认选项。

• `project: //.sensei`

所有食谱和食谱都将存储在项目的 .sensei 文件夹中。

最简单的共享方法是将项目 .sensei 文件夹添加到版本控制中。

然后，可以像管理与项目相关的任何其他共享代码工件一样管理 .sensei 文件夹。食谱以 YAML 配置存储，因此在任何提交和审阅过程中都可以轻松合并。

这是公共感知博客示例项目所采用的方法。

• https://github.com/SecureCodeWarrior/sensei-blog-examples

.sensei 文件夹包含包含所有食谱的食谱，任何克隆存储库的人都可以使用它们。

将食谱存储在任何文件夹中

团队还可以使用存储在中心位置的食谱。

将食谱保存到任何具有共享写入权限的文件夹，将允许整个团队更新食谱，并将它们导入他们碰巧正在处理的任何项目中。

该位置将设置为目录路径。

在 Github 存储食谱

Sensei 还可以访问存储在 Github 存储库中的食谱。支持私有和公共存储库。

基于 SSH 的 Git

使用以下位置语法配置 SSH 存储库访问权限

git@github.com: SecureCodeWarrior/cookbook.git

为了使其起作用，存储库将包含食谱文件夹的内容。

也可以为食谱配置分支和子文件夹，例如在食谱子文件夹的主分支中

例如

• git@github.com: SecureCodeWarrior/Sensei-blog-examples.git|master|.sensei

需要为私有存储库配置 SSH 密钥。

• https://github.com/settings/keys

而且密钥不应该有密码。

基于 HTTPS 的

也可以通过 HTTPS 访问公共存储库，并且使用相同的 repo.git|branch|folder 语法，例如

对于我们的博客示例项目：

• https://github.com/SecureCodeWarrior/sensei-blog-examples.git|master|.sensei

对于我们的基本保护示例集，我们可以忽略分支和子文件夹，因为默认情况下我们将获得主分支，而 `rules.sensei`文件位于根文件夹中。:

• https://github.com/SecureCodeWarrior/cookbook-basic-protection-set

通过 HTTP (s) 压缩

Sensei 还可以通过 HTTP 或 HTTPS 访问压缩后的食谱。

例如，如果我有一个 HTTP 服务器在本地监听端口 8000

• http://localhost:8000/rules.sensei.zip

压缩食谱文件应包含食谱文件夹的内容，例如 rules.sensei 文件。

分享摘要

Sensei 支持使用多本食谱，这样个人程序员就可以拥有支持他们自己的学习和生产力的食谱。

更重要的是，我们知道共享知识时团队的工作效率最高。共享团队存储库，例如针对特定项目、特定库，或共享一组迁移模式，可以帮助提高团队生产力并整理团队的经验。

共享食谱时，多个团队可以使用同一本食谱，这也可以改善从不同学科（例如 AppSec 到开发）的团队间协作。

Sensei 有四种核心共享机制可供选择，希望您至少有一种方法可以用来加强知识共享方面的协作。

---

你可以使用 “首选项\ 插件”（Mac）或 “设置\ 插件”（Windows）从 IntelliJ 中安装 Sensei，然后只需搜索 “sensei 安全代码” 即可。

所有的 Sensei 博客文章、代码和食谱都位于 Github 上：

•  https://github.com/SecureCodeWarrior/sensei-blog-examples