Ressourcen zur KI-Software-Governance

Broschüre

让开发人员成为第一道防线，增强组织的安全态势

1. Januar 2021

Whitepapers

赋予开发人员编写安全代码的能力

1. Januar 2021

Was sind die Devlympics?

Devlympics ist ein jährlicher globaler Wettbewerb, der von Security Code Warriors auf ihrer agilen Lernplattform veranstaltet wird, um die Fähigkeiten von Entwicklern im Bereich sicheres Programmieren zu testen.

In einem 24-Stunden-Turnier nehmen Entwickler aus aller Welt mit der Programmiersprache ihrer Wahl an offensiven und defensiven Programmierwettbewerben teil. Die Entwickler haben die Möglichkeit, sich mit ihren Kollegen in einer Reihe von Fähigkeiten zu messen, um Punkte zu sammeln und an die Spitze der Rangliste zu gelangen.

In diesem Bericht erhalten Sie einen Überblick über die Ergebnisse der Devlympics 2023 und einen detaillierten Einblick in die Stärken und Chancen, die Hunderte von Entwicklern angesichts der Herausforderungen hervorgehoben haben. Darüber hinaus stellen wir Trends in jeder Branche und Sprache sowie häufige CWEs (Common Weakness Enumerations) vor, die von Entwicklern behoben wurden, um Ihnen dabei zu helfen, das Erlernen von sicherem Code auf ein neues Niveau zu heben.

Entwickler Secure Code Warrior Entwickler und Secure Code Warrior

„Secure Code Warrior ist eine hervorragende Plattform, um sich mit anderen Teilnehmern zu messen und seine Fähigkeiten zu verbessern.“

Secure Code Warrior einen interaktiven Ansatz, der dem Code Review ähnelt.“

„Secure Code Warrior ist eine der besten Plattformen, um dich durch spannende Wettbewerbe zu trainieren.“

„Aufregend und spannend, ich liebe es!“

Entwickler lieben sichere Codes

Nach Abschluss der Veranstaltung haben wir eine Umfrage unter mehr als 200 Teilnehmern durchgeführt. Die Zahlen zeigen, dass die Entwickler diesen Wettbewerb mögen.

94 % der Teilnehmer hatten Spaß an der tournament 90 % gaben an, dass sie im nächsten Jahr an der Veranstaltung teilnehmen würden 62 % bewerteten die SCW-Plattform mit 10/10, wobei 91 % angaben, dass sie sie ihren Kollegen empfehlen würden Über 85 % gaben an, dass sie die SCW-Plattform auf jeden Fall nutzen würden, wenn ihre Organisation Vollzeitzugang dazu hätte

Entwicklerbeteiligung

Die Beteiligung von Entwicklern an den Devlympics nimmt kontinuierlich zu. Mehr als 1000 Entwickler nahmen an den Meisterschaften 2023 teil. Die Devlympics ziehen weltweit Aufmerksamkeit auf sich, darunter Sicherheitsexperten und Entwickler aus verschiedenen Branchen und Programmierdisziplinen. Die Beteiligung hat sich im Vergleich zum Vorjahr verdoppelt, und wir stellen fest, dass Entwickler zunehmend daran interessiert sind, sich Kenntnisse über sicheres Programmieren anzueignen. Durch den Aufbau einer Entwickler-Community mit Sicherheitskenntnissenbetont Devlympics weiterhin den Wert von Entwicklern als erste Verteidigungslinie zum Schutz von Code vor Schwachstellen.

Die Grafik zeigt, dass Devlympics im Jahr 2022 786 Spieler hatte und im Jahr 2023 1472, was einem zweifachen Wachstum entspricht.

‍

Branchen, die an den Devlympics teilnehmen

Sicherheitscode ist für alle Branchen wichtig, aber für bestimmte Bereiche ist er absolut geschäftskritisch. Branchen wie Bank- und Finanzdienstleistungen sowie Technologie stehen bei der Anzahl der beteiligten Entwickler an der Spitze. Dies zeigt, wie wichtig es für diese Branchen ist, sich kontinuierlich mit Sicherheitscode zu befassen und dessen Bedeutung zu betonen.

Die Grafik zeigt die Teilnehmer der Devlympics nach Branchen. Banken und Finanzdienstleistungen waren mit 53 % vertreten, Technologie mit 16 % der Teilnehmer an zweiter Stelle.

‍

Branchenspezifische Sprache

Verschiedene Branchen verwenden unterschiedliche Programmiersprachen – darunter gibt es sechs verschiedene Kategorien (Web, Mobil, Frontend, API und Cloud sowie Mashup) und mehr als 30 verschiedene Sprachen zur Auswahl. Dies sind einige der Sprachen, die wir in verschiedenen Branchen als besonders beliebt festgestellt haben.

‍

Ich kann nicht aufhören, ich werde nicht aufhören.

Die Spieler von Devlympics verbrachten durchschnittlich fast drei Stunden auf der Plattform, was einer Gesamtspielzeit von 4.152 Stunden entspricht.

Einige der besten Entwickler auf der Rangliste haben das Spiel auf ein neues Niveau gebracht. Die 20 Spieler mit der längsten Spielzeit haben im Durchschnitt 14 Stunden an Turnieren teilgenommen. Das ist echte Hingabe!

Bild zeigt Spielverlauf für Devlympics. 4152 Stunden Gesamtspielzeit, 2,9 Stunden durchschnittliche Spielzeit pro Nutzer auf der Plattform. Top 20, Entwickler nach Spielzeit für 14 Stunden von 24

‍

Full-Stack-Entwickler

Bei den Devlympics verwendeten 41 % der Entwickler mindestens zwei verschiedene Sprachen für ihre Spiele, und fast ein Viertel der Entwickler verwendete drei oder mehr Sprachen.

Laut Stack Overflow gelten Entwickler, die Produktcode in zwei oder mehr Sprachen einreichen, als Full-Stack-Entwickler.

Stellt Ihr Schulungsprogramm sicher, dass Entwickler in allen Technologien geschult werden, die sie für die Einreichung ihres Codes benötigen? Mit 63 verschiedenen Sprachen undSecure Code Warrior die nötige Sicherheit.

‍

41% der Spieler, die in 2+ Sprachen angetreten sind, gegenüber 23% der Spieler, die in 3+ Sprachen angetreten sind

‍

Technologie-Stack-Trends

In öffentlich zugänglichem Code ist sicherer Code von entscheidender Bedeutung.

In allen Branchen nutzen Entwickler Netzwerke oder API-Sprachen für Spiele.

Java Spring und Docker Basic waren die am häufigsten verwendeten Sprachen in diesem Wettbewerb und belegten die ersten Plätze.

‍

Web oder API waren die beliebtesten Sprachtypen. Java Spring & Docker Basic waren die meistgespielten Einzelsprachen

‍

Sicherheitswächter-Community

Die besten Teilnehmer nahmen an den diesjährigen Devlympics teil – die meisten von ihnen sind bereits Kunden von Secure Code Warrior – und die Ergebnisse spiegeln dies wider! In allen Branchen schnitten die Devlympics-Teilnehmer deutlich besser ab als die von Secure Code Warrior in seiner Plattformbewertung angegebenen Branchenbenchmarks.

Mit dem weiteren Secure Code Warrior einer Community aus engagierten Entwicklern für die Sicherheit Secure Code Warrior erwarten wir, dass diese Zahlen jedes Jahr vielversprechender werden!

Kritische Schwachstellen – Web und API

Die an den Devlympics teilnehmenden Entwickler haben in den zehn wichtigsten Kategorien von OWASP-Injektionsfehlern und anfälligen Komponenten von Drittanbietern ein hohes Kompetenzniveau gezeigt. Wir sind zuversichtlich, dass diese Schwachstellen im Laufe der Zeit aus den Top 10 der OWASP-Liste verschwinden werden.

Die groß angelegte Verteilung bleibt ein Hauptproblem. Das Qualifikationsniveau der Entwickler ist eines der niedrigeren in Bezug auf diese spezifische Schwachstelle. Angesichts des Mangels an Automatisierungstools und Tests in diesem Bereich ist dies in der Tat besorgniserregend und sollte genau beobachtet werden. Eine verstärkte Aufklärung in diesem Bereich würde ebenfalls dazu beitragen, den Druck auf die Sicherheitsteams im Umgang mit dieser speziellen Schwachstelle zu verringern.

Die höchste Punktzahl nach Anfälligkeit war die folgende: XMLExternal Entities XXE 92%, anfällige Komponenten 90%, Injection Flaws 89%. Die niedrigste Punktzahl nach Schwachstellen lautete wie folgt: Cross-Site Request Forgery 70%, Mass Assignement 71%, File Upload Vulnerability 71%.

‍

CWE Top 25 der gefährlichsten Software-Schwachstellen

Die Liste der 25 gefährlichsten Software-Schwachstellen (Common Weakness Enumeration, CWE) bietet Entwicklern eine jährliche Übersicht über die derzeit häufigsten und folgenschwersten Software-Schwachstellen.

#1 CWE-787 Speicherbeschädigung, #9 CWE-352 Cross-Site-Request-Forgery und #10 CWE-434 Datei-Upload sind die Mindestgenauigkeitswerte während der Entwicklung der Olympischen Spiele.

#3 SWE-89 SQL-Injection, #5 CWE-78 Betriebssystem-Befehlsinjection und #8 CWE-22 Pfadüberlauf sowie andere injizierungsbezogene Schwachstellen gehören zu den CWEs mit den höchsten Punktzahlen während der Devlympics. Wir gehen davon aus, dass diese Schwachstellen mit zunehmender Kompetenz der Entwickler allmählich aus den Branchenlisten wie den Top 25 der CWEs oder den Top 10 der OWASP verschwinden werden.

‍

Schwächen in der Reihenfolge

‍

Schlussfolgerung

Die Devlympics 2023 zeigen, dass Entwickler aus aller Welt an Turnieren teilnehmen und dabei lernen. Der Einfluss beschränkt sich nicht nur auf den Stolz, den sie aus dem Wettbewerb ziehen, sondern auch auf reale Szenarien, die es ihnen leicht machen, Wissen zu behalten und es in der Praxis anzuwenden.

Secure Code Warrior die branchenführende agile Lernplattform für sicheren Code, die Entwicklern ermöglicht, die für das Schreiben von sicherem Code erforderlichen Fähigkeiten zu erwerben.

Mit dem Security Code Warrior können Sie Ihre eigenen Wettbewerbe veranstalten, beispielsweise die Devlympics für Ihr Entwicklerteam. Bringen Sie Ihr Team zusammen und nehmen Sie an einem unterhaltsamen, spielerischen Wettbewerb teil, bei dem Ihre Mitarbeiter alles über das Aufspüren, Erkennen und Beheben von Software-Schwachstellen lernen.

‍

Werden Sie Teil einer wachsenden Community

Unsere Vision ist es, die weltweite Entwickler-Community mit Sicherheitskompetenzen zu einer präventiven und sicheren Programmierkultur zu motivieren. Unser Schwerpunkt liegt auf der Stärkung der Sicherheitsresilienz durch die Minimierung von Angriffen, Bedrohungen und Risiken, damit Sie Veränderungen, Innovationen und Beschleunigungen vorantreiben können. Wir glauben, dass Mentoring und Anleitung ein unverzichtbarer Bestandteil unserer Entwickler-Community sind!

Melden Sie sich für die Olympischen Spiele 2024 an und folgen Sie uns auf X, um über alle Ankündigungen auf dem Laufenden zu bleiben.

‍

Fallstudien

Devlympics 2023: Rückblick

Sehen Sie sich die Ergebnisse der Olympischen Spiele 2023 in diesem Bericht an. Erhalten Sie einen detaillierten Einblick in die Entwicklerbeteiligung, die Technologie-Stacks und Sprachtrends in jeder beteiligten Branche sowie die wichtigsten Schwachstellen und CWEs, die Secure Code Warrior behandelt wurden.

28. November 2023