SSDLCの各段階で安全なコーディングスキルを身につける
SSDLCの各段階で安全なコーディングスキルを身につける
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6022b68b30ab426193ae7876_601109cb6f32a39624f121ad_CCC-1.webp)
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6022b68b30ab426193ae7876_601109cb6f32a39624f121ad_CCC-1.webp)
新しいGitHub Actionにより、業界標準のSARIFファイルに開発者中心のトレーニングを追加し、GitHubのコードスキャンワークフローに直接追加することができます。
9月30日、GitHubは「GitHubコードスキャン」の一般提供を正式に発表しました。GitHubコードスキャンは、開発者を優先し、GitHubネイティブなアプローチで、セキュリティ上の脆弱性が本番環境に到達する前に簡単に発見することができます。
コードスキャンは、GitHub Actionsや既存のCI/CD環境と統合することで、開発チームの柔軟性を最大限に高めます。コードが作成されると同時にコードをスキャンし、プルリクエスト内で実行可能なセキュリティレビューを表示し、GitHubのワークフローの一部としてセキュリティを自動化します。
開発者のためのセキュリティへのシームレスなアプローチ。
オープンなSARIF(Static Analysis Results Interchange Format)標準をベースに構築されたコードスキャンは、増え続ける組織のニーズに合わせて設計されており、オープンソースや商用の静的アプリケーションセキュリティテスト(SAST)ソリューションなどを同じGitHubネイティブ体験内に含めることができます。
サードパーティのコードスキャンツールは、プルリクエストなどのGitHub内のイベントに基づいて、GitHubアクションまたはGitHubアプリで起動することができます。結果はSARIFとしてフォーマットされ、GitHub Security Alertsタブにアップロードされます。アラートはツールごとに集約され、GitHubは重複するアラートを追跡して抑制することができる。これにより、開発者はGitHub上のすべてのプロジェクトで好きなツールを使うことができ、すべてGitHubのネイティブなエクスペリエンスで利用できるようになる。簡単に言うと、これは従来のセキュリティに対するいくつかのアプローチの混乱を断ち切り、開発者のワークフローを尊重するものである。
昨日、Secure Code Warrior は、GitHubのブログ記事「Third-Party Code Scanning Tools」の中で、唯一の開発者中心のトレーニングプロバイダーとして紹介されました。Static Analysis & Developer Security Training」で、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで紹介されました。
多くのSCA/SASTソリューションは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連するCWEへの参照を数多く提供していますが、すべての開発者がセキュリティの専門家ではありませんし、それを期待すべきでもありません。実用的で使いやすいアドバイスやツールこそが、実行可能な認識への鍵となります。
コンテクスト・マイクロ・ラーニング
開発者が脆弱性についての理解を深めれば深めるほど、リスクを理解し、最も差し迫った問題の修正を優先し、最終的には脆弱性の発生を未然に防ぐことができます。そこでSecure Code Warrior の出番です。私たちの使命は、楽しく、魅力的で、フレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。また、開発者がセキュリティマインドセットを持って考え、コードを書くことで、セキュリティコンプライアンス、一貫性、品質、開発スピードの迅速な向上を実現できるよう支援します。
![言語固有のコーディング課題を用いてセキュアコーディングの意識を高めることで、脆弱性、再作業、修正コスト、遅延を削減できることを示したインフォグラフィックです。](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/62755efc34b5994e6aedcaf6_framework-specific-coding-challenges.png)
GitHubコードスキャンの統合
Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。
Secure Code Warrior GitHub Actionは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクトのCWE参照に基づくコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは、脆弱性を発見するだけでなく、脆弱性の再発防止に役立つ実用的な知識でサポートされるSASTツールのレポートを充実させることができます。
![GitHubコードスキャナ](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6022b68f9182435aa020a4c2_60110d85450b020919920951_GitHub-Code-Scanner_full.png)
自分で試してみる準備はできていますか?
このアクションは、GitHub Marketplaceから直接無料で入手できます。
Secure Code Warrior GitHub Action について詳しくは、こちらをご覧ください。
始めるためのリソース
信託代理人Secure Code Warrior
SCW Trust Agentは、開発者のセキュアコードに関する知識とスキルを、開発者がコミットする作業と整合させることで、セキュリティを強化するように設計された革新的なソリューションです。SCW Trust Agentは、開発者のセキュアコードプロファイルに照らし合わせて各コミットを分析し、組織のコードリポジトリ全体にわたって包括的な可視化と制御を提供します。SCW Trust Agentにより、企業はセキュリティ体制を強化し、開発ライフサイクルを最適化し、開発者主導のセキュリティを拡大することができます。
始めるためのリソース
SSDLCの各段階で安全なコーディングスキルを身につける
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6022b68b30ab426193ae7876_601109cb6f32a39624f121ad_CCC-1.webp)
新しいGitHub Actionにより、業界標準のSARIFファイルに開発者中心のトレーニングを追加し、GitHubのコードスキャンワークフローに直接追加することができます。
9月30日、GitHubは「GitHubコードスキャン」の一般提供を正式に発表しました。GitHubコードスキャンは、開発者を優先し、GitHubネイティブなアプローチで、セキュリティ上の脆弱性が本番環境に到達する前に簡単に発見することができます。
コードスキャンは、GitHub Actionsや既存のCI/CD環境と統合することで、開発チームの柔軟性を最大限に高めます。コードが作成されると同時にコードをスキャンし、プルリクエスト内で実行可能なセキュリティレビューを表示し、GitHubのワークフローの一部としてセキュリティを自動化します。
開発者のためのセキュリティへのシームレスなアプローチ。
オープンなSARIF(Static Analysis Results Interchange Format)標準をベースに構築されたコードスキャンは、増え続ける組織のニーズに合わせて設計されており、オープンソースや商用の静的アプリケーションセキュリティテスト(SAST)ソリューションなどを同じGitHubネイティブ体験内に含めることができます。
サードパーティのコードスキャンツールは、プルリクエストなどのGitHub内のイベントに基づいて、GitHubアクションまたはGitHubアプリで起動することができます。結果はSARIFとしてフォーマットされ、GitHub Security Alertsタブにアップロードされます。アラートはツールごとに集約され、GitHubは重複するアラートを追跡して抑制することができる。これにより、開発者はGitHub上のすべてのプロジェクトで好きなツールを使うことができ、すべてGitHubのネイティブなエクスペリエンスで利用できるようになる。簡単に言うと、これは従来のセキュリティに対するいくつかのアプローチの混乱を断ち切り、開発者のワークフローを尊重するものである。
昨日、Secure Code Warrior は、GitHubのブログ記事「Third-Party Code Scanning Tools」の中で、唯一の開発者中心のトレーニングプロバイダーとして紹介されました。Static Analysis & Developer Security Training」で、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで紹介されました。
多くのSCA/SASTソリューションは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連するCWEへの参照を数多く提供していますが、すべての開発者がセキュリティの専門家ではありませんし、それを期待すべきでもありません。実用的で使いやすいアドバイスやツールこそが、実行可能な認識への鍵となります。
コンテクスト・マイクロ・ラーニング
開発者が脆弱性についての理解を深めれば深めるほど、リスクを理解し、最も差し迫った問題の修正を優先し、最終的には脆弱性の発生を未然に防ぐことができます。そこでSecure Code Warrior の出番です。私たちの使命は、楽しく、魅力的で、フレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。また、開発者がセキュリティマインドセットを持って考え、コードを書くことで、セキュリティコンプライアンス、一貫性、品質、開発スピードの迅速な向上を実現できるよう支援します。
![言語固有のコーディング課題を用いてセキュアコーディングの意識を高めることで、脆弱性、再作業、修正コスト、遅延を削減できることを示したインフォグラフィックです。](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/62755efc34b5994e6aedcaf6_framework-specific-coding-challenges.png)
GitHubコードスキャンの統合
Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。
Secure Code Warrior GitHub Actionは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクトのCWE参照に基づくコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは、脆弱性を発見するだけでなく、脆弱性の再発防止に役立つ実用的な知識でサポートされるSASTツールのレポートを充実させることができます。
![GitHubコードスキャナ](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6022b68f9182435aa020a4c2_60110d85450b020919920951_GitHub-Code-Scanner_full.png)
自分で試してみる準備はできていますか?
このアクションは、GitHub Marketplaceから直接無料で入手できます。
Secure Code Warrior GitHub Action について詳しくは、こちらをご覧ください。