ブログ

SSDLCの各段階で安全なコーディングスキルを身につける

マティアス・マドゥ博士
2020年10月08日発行

新しいGitHub Actionにより、業界標準のSARIFファイルに開発者中心のトレーニングを追加し、GitHubのコードスキャンワークフローに直接追加することができます。

9月30日、GitHubは「GitHubコードスキャン」の一般提供を正式に発表しました。GitHubコードスキャンは、開発者を優先し、GitHubネイティブなアプローチで、セキュリティ上の脆弱性が本番環境に到達する前に簡単に発見することができます。

コードスキャンは、GitHub Actionsや既存のCI/CD環境と統合することで、開発チームの柔軟性を最大限に高めます。コードが作成されると同時にコードをスキャンし、プルリクエスト内で実行可能なセキュリティレビューを表示し、GitHubのワークフローの一部としてセキュリティを自動化します。

開発者のためのセキュリティへのシームレスなアプローチ。

オープンなSARIF(Static Analysis Results Interchange Format)標準をベースに構築されたコードスキャンは、増え続ける組織のニーズに合わせて設計されており、オープンソースや商用の静的アプリケーションセキュリティテスト(SAST)ソリューションなどを同じGitHubネイティブ体験内に含めることができます。

サードパーティのコードスキャンツールは、プルリクエストなどのGitHub内のイベントに基づいて、GitHubアクションまたはGitHubアプリで起動することができます。結果はSARIFとしてフォーマットされ、GitHub Security Alertsタブにアップロードされます。アラートはツールごとに集約され、GitHubは重複するアラートを追跡して抑制することができる。これにより、開発者はGitHub上のすべてのプロジェクトで好きなツールを使うことができ、すべてGitHubのネイティブなエクスペリエンスで利用できるようになる。簡単に言うと、これは従来のセキュリティに対するいくつかのアプローチの混乱を断ち切り、開発者のワークフローを尊重するものである。

昨日、Secure Code Warrior は、GitHubのブログ記事「Third-Party Code Scanning Tools」の中で、唯一の開発者中心のトレーニングプロバイダーとして紹介されました。Static Analysis & Developer Security Training」で、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで紹介されました。

多くのSCA/SASTソリューションは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連するCWEへの参照を数多く提供していますが、すべての開発者がセキュリティの専門家ではありませんし、それを期待すべきでもありません。実用的で使いやすいアドバイスやツールこそが、実行可能な認識への鍵となります。

コンテクスト・マイクロ・ラーニング

開発者が脆弱性についての理解を深めれば深めるほど、リスクを理解し、最も差し迫った問題の修正を優先し、最終的には脆弱性の発生を未然に防ぐことができます。そこでSecure Code Warrior の出番です。私たちの使命は、楽しく、魅力的で、フレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。また、開発者がセキュリティマインドセットを持って考え、コードを書くことで、セキュリティコンプライアンス、一貫性、品質、開発スピードの迅速な向上を実現できるよう支援します。

言語固有のコーディング課題を用いてセキュアコーディングの意識を高めることで、脆弱性、再作業、修正コスト、遅延を削減できることを示したインフォグラフィックです。

GitHubコードスキャンの統合

Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。

Secure Code Warrior GitHub Actionは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクトのCWE参照に基づくコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは、脆弱性を発見するだけでなく、脆弱性の再発防止に役立つ実用的な知識でサポートされるSASTツールのレポートを充実させることができます。

GitHubコードスキャナ

自分で試してみる準備はできていますか?

このアクションは、GitHub Marketplaceから直接無料で入手できます。
Secure Code Warrior GitHub Action について詳しくは、こちらをご覧ください。

リソースを見る
リソースを見る

Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。

ご興味がおありですか?

Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者(Secure Code Warrior )。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。

Secure Code Warrior は、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする企業文化を創造するために、お客様の組織を支援します。AppSec マネージャー、開発者、CISO、またはセキュリティに関わるすべての人が、安全でないコードに関連するリスクを減らすことができるよう、支援します。

デモを予約する
シェアする
著者
マティアス・マドゥ博士
2020年10月08日発行

Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者(Secure Code Warrior )。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。

マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社(Sensei Security)などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング(courses )の講師も務めています。

Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。

シェアする

新しいGitHub Actionにより、業界標準のSARIFファイルに開発者中心のトレーニングを追加し、GitHubのコードスキャンワークフローに直接追加することができます。

9月30日、GitHubは「GitHubコードスキャン」の一般提供を正式に発表しました。GitHubコードスキャンは、開発者を優先し、GitHubネイティブなアプローチで、セキュリティ上の脆弱性が本番環境に到達する前に簡単に発見することができます。

コードスキャンは、GitHub Actionsや既存のCI/CD環境と統合することで、開発チームの柔軟性を最大限に高めます。コードが作成されると同時にコードをスキャンし、プルリクエスト内で実行可能なセキュリティレビューを表示し、GitHubのワークフローの一部としてセキュリティを自動化します。

開発者のためのセキュリティへのシームレスなアプローチ。

オープンなSARIF(Static Analysis Results Interchange Format)標準をベースに構築されたコードスキャンは、増え続ける組織のニーズに合わせて設計されており、オープンソースや商用の静的アプリケーションセキュリティテスト(SAST)ソリューションなどを同じGitHubネイティブ体験内に含めることができます。

サードパーティのコードスキャンツールは、プルリクエストなどのGitHub内のイベントに基づいて、GitHubアクションまたはGitHubアプリで起動することができます。結果はSARIFとしてフォーマットされ、GitHub Security Alertsタブにアップロードされます。アラートはツールごとに集約され、GitHubは重複するアラートを追跡して抑制することができる。これにより、開発者はGitHub上のすべてのプロジェクトで好きなツールを使うことができ、すべてGitHubのネイティブなエクスペリエンスで利用できるようになる。簡単に言うと、これは従来のセキュリティに対するいくつかのアプローチの混乱を断ち切り、開発者のワークフローを尊重するものである。

昨日、Secure Code Warrior は、GitHubのブログ記事「Third-Party Code Scanning Tools」の中で、唯一の開発者中心のトレーニングプロバイダーとして紹介されました。Static Analysis & Developer Security Training」で、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで紹介されました。

多くのSCA/SASTソリューションは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連するCWEへの参照を数多く提供していますが、すべての開発者がセキュリティの専門家ではありませんし、それを期待すべきでもありません。実用的で使いやすいアドバイスやツールこそが、実行可能な認識への鍵となります。

コンテクスト・マイクロ・ラーニング

開発者が脆弱性についての理解を深めれば深めるほど、リスクを理解し、最も差し迫った問題の修正を優先し、最終的には脆弱性の発生を未然に防ぐことができます。そこでSecure Code Warrior の出番です。私たちの使命は、楽しく、魅力的で、フレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。また、開発者がセキュリティマインドセットを持って考え、コードを書くことで、セキュリティコンプライアンス、一貫性、品質、開発スピードの迅速な向上を実現できるよう支援します。

言語固有のコーディング課題を用いてセキュアコーディングの意識を高めることで、脆弱性、再作業、修正コスト、遅延を削減できることを示したインフォグラフィックです。

GitHubコードスキャンの統合

Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。

Secure Code Warrior GitHub Actionは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクトのCWE参照に基づくコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは、脆弱性を発見するだけでなく、脆弱性の再発防止に役立つ実用的な知識でサポートされるSASTツールのレポートを充実させることができます。

GitHubコードスキャナ

自分で試してみる準備はできていますか?

このアクションは、GitHub Marketplaceから直接無料で入手できます。
Secure Code Warrior GitHub Action について詳しくは、こちらをご覧ください。

リソースを見る
リソースを見る

以下のフォームに記入し、レポートをダウンロードしてください。

弊社製品や関連するセキュアコーディングのトピックに関する情報をお送りする許可をお願いします。当社は、お客様の個人情報を細心の注意を払って取り扱い、マーケティング目的で他社に販売することは決してありません。

送信
フォームを送信するには、「Analytics」のCookieを有効にしてください。完了したら、再度無効にしてください。

新しいGitHub Actionにより、業界標準のSARIFファイルに開発者中心のトレーニングを追加し、GitHubのコードスキャンワークフローに直接追加することができます。

9月30日、GitHubは「GitHubコードスキャン」の一般提供を正式に発表しました。GitHubコードスキャンは、開発者を優先し、GitHubネイティブなアプローチで、セキュリティ上の脆弱性が本番環境に到達する前に簡単に発見することができます。

コードスキャンは、GitHub Actionsや既存のCI/CD環境と統合することで、開発チームの柔軟性を最大限に高めます。コードが作成されると同時にコードをスキャンし、プルリクエスト内で実行可能なセキュリティレビューを表示し、GitHubのワークフローの一部としてセキュリティを自動化します。

開発者のためのセキュリティへのシームレスなアプローチ。

オープンなSARIF(Static Analysis Results Interchange Format)標準をベースに構築されたコードスキャンは、増え続ける組織のニーズに合わせて設計されており、オープンソースや商用の静的アプリケーションセキュリティテスト(SAST)ソリューションなどを同じGitHubネイティブ体験内に含めることができます。

サードパーティのコードスキャンツールは、プルリクエストなどのGitHub内のイベントに基づいて、GitHubアクションまたはGitHubアプリで起動することができます。結果はSARIFとしてフォーマットされ、GitHub Security Alertsタブにアップロードされます。アラートはツールごとに集約され、GitHubは重複するアラートを追跡して抑制することができる。これにより、開発者はGitHub上のすべてのプロジェクトで好きなツールを使うことができ、すべてGitHubのネイティブなエクスペリエンスで利用できるようになる。簡単に言うと、これは従来のセキュリティに対するいくつかのアプローチの混乱を断ち切り、開発者のワークフローを尊重するものである。

昨日、Secure Code Warrior は、GitHubのブログ記事「Third-Party Code Scanning Tools」の中で、唯一の開発者中心のトレーニングプロバイダーとして紹介されました。Static Analysis & Developer Security Training」で、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで紹介されました。

多くのSCA/SASTソリューションは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連するCWEへの参照を数多く提供していますが、すべての開発者がセキュリティの専門家ではありませんし、それを期待すべきでもありません。実用的で使いやすいアドバイスやツールこそが、実行可能な認識への鍵となります。

コンテクスト・マイクロ・ラーニング

開発者が脆弱性についての理解を深めれば深めるほど、リスクを理解し、最も差し迫った問題の修正を優先し、最終的には脆弱性の発生を未然に防ぐことができます。そこでSecure Code Warrior の出番です。私たちの使命は、楽しく、魅力的で、フレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。また、開発者がセキュリティマインドセットを持って考え、コードを書くことで、セキュリティコンプライアンス、一貫性、品質、開発スピードの迅速な向上を実現できるよう支援します。

言語固有のコーディング課題を用いてセキュアコーディングの意識を高めることで、脆弱性、再作業、修正コスト、遅延を削減できることを示したインフォグラフィックです。

GitHubコードスキャンの統合

Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。

Secure Code Warrior GitHub Actionは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクトのCWE参照に基づくコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは、脆弱性を発見するだけでなく、脆弱性の再発防止に役立つ実用的な知識でサポートされるSASTツールのレポートを充実させることができます。

GitHubコードスキャナ

自分で試してみる準備はできていますか?

このアクションは、GitHub Marketplaceから直接無料で入手できます。
Secure Code Warrior GitHub Action について詳しくは、こちらをご覧ください。

リソースにアクセス

以下のリンクをクリックし、この資料のPDFをダウンロードしてください。

Secure Code Warrior は、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする企業文化を創造するために、お客様の組織を支援します。AppSec マネージャー、開発者、CISO、またはセキュリティに関わるすべての人が、安全でないコードに関連するリスクを減らすことができるよう、支援します。

レポートを見るデモを予約する
PDFをダウンロード
リソースを見る
シェアする
ご興味がおありですか?

シェアする
著者
マティアス・マドゥ博士
2020年10月08日発行

Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者(Secure Code Warrior )。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。

マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社(Sensei Security)などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング(courses )の講師も務めています。

Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。

シェアする

新しいGitHub Actionにより、業界標準のSARIFファイルに開発者中心のトレーニングを追加し、GitHubのコードスキャンワークフローに直接追加することができます。

9月30日、GitHubは「GitHubコードスキャン」の一般提供を正式に発表しました。GitHubコードスキャンは、開発者を優先し、GitHubネイティブなアプローチで、セキュリティ上の脆弱性が本番環境に到達する前に簡単に発見することができます。

コードスキャンは、GitHub Actionsや既存のCI/CD環境と統合することで、開発チームの柔軟性を最大限に高めます。コードが作成されると同時にコードをスキャンし、プルリクエスト内で実行可能なセキュリティレビューを表示し、GitHubのワークフローの一部としてセキュリティを自動化します。

開発者のためのセキュリティへのシームレスなアプローチ。

オープンなSARIF(Static Analysis Results Interchange Format)標準をベースに構築されたコードスキャンは、増え続ける組織のニーズに合わせて設計されており、オープンソースや商用の静的アプリケーションセキュリティテスト(SAST)ソリューションなどを同じGitHubネイティブ体験内に含めることができます。

サードパーティのコードスキャンツールは、プルリクエストなどのGitHub内のイベントに基づいて、GitHubアクションまたはGitHubアプリで起動することができます。結果はSARIFとしてフォーマットされ、GitHub Security Alertsタブにアップロードされます。アラートはツールごとに集約され、GitHubは重複するアラートを追跡して抑制することができる。これにより、開発者はGitHub上のすべてのプロジェクトで好きなツールを使うことができ、すべてGitHubのネイティブなエクスペリエンスで利用できるようになる。簡単に言うと、これは従来のセキュリティに対するいくつかのアプローチの混乱を断ち切り、開発者のワークフローを尊重するものである。

昨日、Secure Code Warrior は、GitHubのブログ記事「Third-Party Code Scanning Tools」の中で、唯一の開発者中心のトレーニングプロバイダーとして紹介されました。Static Analysis & Developer Security Training」で、Synk、Checkmarx、Fortify On Demand、Synopsis、Veracodeと並んで紹介されました。

多くのSCA/SASTソリューションは、発見された各脆弱性の詳細や、公開されているアドバイザリや関連するCWEへの参照を数多く提供していますが、すべての開発者がセキュリティの専門家ではありませんし、それを期待すべきでもありません。実用的で使いやすいアドバイスやツールこそが、実行可能な認識への鍵となります。

コンテクスト・マイクロ・ラーニング

開発者が脆弱性についての理解を深めれば深めるほど、リスクを理解し、最も差し迫った問題の修正を優先し、最終的には脆弱性の発生を未然に防ぐことができます。そこでSecure Code Warrior の出番です。私たちの使命は、楽しく、魅力的で、フレームワークに特化したトレーニングを通じて、開発者が最初から安全なコードを書けるようにすることです。また、開発者がセキュリティマインドセットを持って考え、コードを書くことで、セキュリティコンプライアンス、一貫性、品質、開発スピードの迅速な向上を実現できるよう支援します。

言語固有のコーディング課題を用いてセキュアコーディングの意識を高めることで、脆弱性、再作業、修正コスト、遅延を削減できることを示したインフォグラフィックです。

GitHubコードスキャンの統合

Secure Code Warrior は、GitHubのコードスキャンにコンテクスト学習をもたらすGitHubアクションを構築しました。つまり、開発者はSnyk Container Actionのようなサードパーティのアクションを使って脆弱性を発見し、CWEに特化した、関連性の高い学習によって出力を増強することができます。

Secure Code Warrior GitHub Actionは、業界標準のSARIFファイルを処理し、SARIFルールオブジェクトのCWE参照に基づくコンテキスト学習を追加します。これにより、開発チームとセキュリティチームは、脆弱性を発見するだけでなく、脆弱性の再発防止に役立つ実用的な知識でサポートされるSASTツールのレポートを充実させることができます。

GitHubコードスキャナ

自分で試してみる準備はできていますか?

このアクションは、GitHub Marketplaceから直接無料で入手できます。
Secure Code Warrior GitHub Action について詳しくは、こちらをご覧ください。

目次

PDFをダウンロード
リソースを見る
ご興味がおありですか?

Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者(Secure Code Warrior )。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。

Secure Code Warrior は、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする企業文化を創造するために、お客様の組織を支援します。AppSec マネージャー、開発者、CISO、またはセキュリティに関わるすべての人が、安全でないコードに関連するリスクを減らすことができるよう、支援します。

デモを予約するダウンロード
シェアする
リソース・ハブ

始めるためのリソース

その他の記事
リソース・ハブ

始めるためのリソース

その他の記事