ここ数年、市場投入までの時間を短縮するために、多くのものが犠牲になってきました。ネットワークセキュリティ、何テラバイトもの重要な顧客データ、そして貴重なブランドの評判などです。 新機能のリリースを急がなければならないという強いプレッシャーから、複雑に分散したチームが迅速な開発に集中するようになり、その結果、脆弱性の発生や大きなリスクをほとんど意識しなくなってしまいました。これまで以上に、新しい働き方が求められています。そこで、2020年、Secure Code Warrior は、Evans Data Corp.と協力して、セキュアコーディング、セキュアコードプラクティス、およびセキュリティオペレーションに対する開発者とそのマネージャーの意識に関する一次調査*を実施しました（ホワイトペーパーのダウンロードはこちらから こちら).

プロジェクト成功のためのパフォーマンス指標 - セキュリティはどこに当てはまるか？ 

開発者と管理者は、安全なコードを持つことは重要であると考えているが、他の要因ほど重要ではないと考えている。開発者と管理者に、ソフトウェア開発プロセスの中で最も重要な優先事項について尋ねたところ、以下のような回答が得られました。

• 76%がアプリケーション・パフォーマンスを指名 
• 62%が機能・特徴を選んだ
• そして、50％強の人がセキュアコードを選択
  

プロジェクトを成功させるための他のパフォーマンス指標と比較すると、安全なコーディングは現在3番目に位置しています。

現在、開発者はプロジェクトの成功を、プロジェクト終了後にコードを評価するだけのパフォーマンス指標で判断していますが、当然のことです。 

しかし、今後どのように変化していくのかと問われると、その様相は一変します。組織が成功の指標としてセキュリティに取り組む方法が変化しているのです。

今後、プロジェクトの成功を測る上で最も重要な優先事項について尋ねたところ、調査対象者の79％が、安全なコーディングの重要性が増すことに同意しています。驚くべきことに、他のパフォーマンス指標よりも大きな割合で、将来的にセキュリティの重要性が増すと考えています。 セキュアコーディングに対する認識は高まっており、「左にシフト」する動きも見られます。セキュアコーディングの実践は、その性質上、SDLCのかなり早い段階でセキュリティを考慮することを意味します。それは、後回しにするのではなく、最初からソフトウェアにセキュリティを積極的に組み込むことを意味します。 

CIOが組織をよりアジャイルにするために努力する中で、安全なコーディング能力は重要なイノベーションの武器となるでしょう。CIOとCISOは、開発チームがリスクの第一線なのか、それとも防御の第一線なのかを慎重に考えなければならない。 

この洞察は、組織が開発者をどのように教育するかに重大な影響を与えます。チームは、最近発見された脆弱性について学び、自分たちの言語やフレームワークで学ぶ必要があります。

セキュアコーディングにおける変革の担い手として、Secure Code Warrior は、開発者がセキュアコーディングのスキルを学び、構築することを積極的に支援する人間主導のアプローチをとっています。あなたのチームが、セキュリティに妥協することなく、安全なコードを迅速に作成し、出荷する能力に与える潜在的な影響を確認したい場合は、今すぐデモを予約してください。 今すぐデモをご予約ください。

‍

リアクションからプリベンションへの移行。The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020

この記事の一版は VMブログ.この記事は更新され、ここでシンジケートされています。

‍

いくら「サイバーセキュリティ意識向上月間」が過ぎても、エリート・セキュリティ・プロフェッショナルがパラシュートで送り込まれても、ブラックホールに消えたお金がいくらあっても、大規模なデータ侵害の問題は年々悪化しているように思えてなりません。あまりにも日常的に発生しているため、大惨事に至らない限り、最近ではほとんど主流のニュースにはなりません。2020年には、悪意のあるサイバー攻撃によって360億件以上の記録が流出し、2021年にはどれだけの記録が流出するのかが注目されています。

脅威となる人物は常に機会をうかがっており、すべての攻撃が大惨事になるわけではありませんが、平均して39秒ごとに発生しています。私たちはまだ戦いに勝利しているとは言えず、悪者は私たちのデータを守る者よりも圧倒的に有利な立場にあります。

しかし、バイデン政権がサイバーセキュリティを早期に優先事項とし、100億米ドルの追加資金を提供するなど、変化の兆しが見えてきました。これは間違いなく正しい方向への一歩ですが、頻度と巧妙さを増しているサイバー犯罪に実際に歯止めをかけることができるでしょうか？

サイバー脅威を解決するには（世界の）村が必要になる

ますます強力になるサイバー攻撃に対する効果的な防御は、一握りの国だけで行うものではありません。残念ながら、長い間、全体的に一貫した戦略が欠けていました。しかし、国家レベルの脅威が増加していることから、多くの政府が注目しています。 

米国政府に影響を与えたSolarWinds社の攻撃は、その可能性を明確に警告するものであり、重要なインフラが侵害された場合の潜在的な被害を示すものでした。最近、FBIはフロリダ州の水道システムが攻撃されたことを警告しました。脅威となる行為者は、遠隔操作で水道を汚染することができました。深刻な被害が発生する前に阻止されましたが、より高度な攻撃者であれば、人命を危険にさらすような大規模な破壊を引き起こした可能性があります。

徐々にではありますが、確実に、世界中の政府がサイバー防衛への投資を強化しています。英国は、サイバーセキュリティ分野で記録的な投資を行い、新しいタスクフォースを設立しました。オーストラリアは、サイバーセキュリティ戦略（特にインフラ）を強化し、イスラエルやデンマークなどは、サイバープログラムで最高レベルとされています。日本は、サイバー防衛分野で5位にランクされています。これは、2018年に桜田義孝サイバーセキュリティ担当大臣（当時）が「コンピュータを使ったことがない」と発言したことを受けて、自信を持って発表したものです。シンガポール政府の最近の発表では、将来の通信インフラにおけるAIとサイバーセキュリティの研究に5,000万ドルを投資することが約束され、デジタルの安全性と完全性を強固にするための先進的な動きとなっています。

未来のテクノロジーに向けて急速に前進するためには、世界的に協調した強力なサイバーセキュリティ対応が不可欠であり、すべての政府機関はこれを重要な焦点として照らすべきです。

お金があれば問題が減るわけではない

米国、英国、オーストラリアを例にとると、いずれも過去2、3年の間に政府主導のサイバーセキュリティや専門知識への投資を増やしており、セキュリティがようやく優先され、「善人」が戦いに勝つために必要なものを手に入れているように見えるかもしれません。 

しかし、それはより大きな問題の一部にすぎません。このような資金があれば、（バイデン氏の資金投入で実現したように）専門家のスーパーチームや、包括的なバグ報奨プログラム、そして悲惨な侵害が発生した場合の一流のインシデント対応と被害軽減を行うことができます。そして、このようなサイバー防衛へのアプローチがあるからこそ、タスクフォースや脅威対応にどれだけ資金を投入しても、最小限の進展しか得られないのです。

すべての政府は、事後的なセキュリティ対策に留まらず、より予防的な戦略に真剣に取り組んでいく必要があります。サイバー攻撃を未然に防ぐための対策ではなく、攻撃を受けた後の対応に重点を置いていては、いくら資金を投入してもリスクの増大を抑えることはできません。真のプロアクティブなセキュリティアプローチでは、インフラの強化に予算を配分し、効果的なセキュリティトレーニングやスキルアップを展開することで、最初から攻撃対象をできる限り減らすことを目指します。

サイバーセキュリティのスキルギャップは解消されないが、無駄な可能性もある

高度な訓練を受けたセキュリティの専門家は、世界中で非常に需要が高く、サイバーの専門家が過剰になることはないでしょう。しかし、このような状況だからこそ、政府や組織は、自由に使えるリソースをよりクリエイティブに、より賢く使いこなす必要があるのではないでしょうか。

真の意味でのサイバー防御のためのアプローチは、ソフトウェア開発とインフラストラクチャのプロセスに関わるすべての人が、それぞれの役割に応じて可能な限りセキュリティを意識することから始まります。特に開発者には、セキュリティに関する適切なスキルアップと適切なツールが必要であり、安全なコーディングをプロセスに組み込むことができます。これは、一般的な脆弱性が日の目を見る前に対処できるようにするために大いに役立ちます。これだけでも、ソフトウェア開発のライフサイクルにおけるプレッシャーや手戻りを軽減する強力なステップとなり、コスト削減にもつながります。 

サイバーセキュリティのベストプラクティスには、人間主導のアプローチを強化する必要があります。自動化やツールに過度に依存し、すでに組み込まれて発見された問題に対応するよりも、より良い結果を得ることができます。この戦略は、今日発生している侵害の数を見れば、明らかに機能していません。

開発者向けのセキュア・コード・トレーニングに関しては、教育の成果には多くの課題があります。多くの企業が多額の費用を投じても、実際には最小限の利益しか得られないのが現状です。それも不思議ではありません。 現在の調査*によると、開発者は、セキュアコードの学習は退屈で、セキュアコードの実装方法を学ぶのは難しいと考えています。そこで、2020年、Secure Code Warrior は、Evans Data Corp.と協力して、開発者のセキュアコーディング、セキュアコードの実践、およびセキュリティ運用に対する態度についての一次調査を実施しました（ホワイトペーパーをダウンロードしてください。 こちら).

現在提供されているトレーニングを批判する機会を与えられた開発者たちは、現在のセキュアコードトレーニングは次のように主張しました。  

• 真空状態で教えられる - 40 
• 理論的すぎる、自分の仕事に関係ない、「実践」が足りない - 40 
• 頻繁ではない、仕事とは関係ない、魅力的ではない - 30%。
  

これらの統計は深刻で、現在のセキュアコードトレーニングは、開発者が日々行っていることとは無関係で、意味のないものであることを物語っています。 

また、学んだことを職場で生かすことができないことも少なくありません。これでは、多くのセキュリティトレーニングが時間とお金の無駄になってしまいます。 

開発者が求めるトレーニングを構築するための5つの方法

開発者がどのようなトレーニングを望んでいるかについては、5つのことが明確になりました。 

1. 75％の開発者は、構造化されたオン・ザ・ジョブ・トレーニングを好んでおり、それが最も効果的で満足のいく学習方法であると考えている。
   
   また、そのトレーニングが何を含むべきかについては、開発者は非常に明確で具体的な要求を持っている。 
2. 65%が言語固有の脆弱性に関するトレーニングの強化が必要と回答
3. 65%がOWASP トップ 10のトレーニングを増やしたいと考えている。
4. また、NIST（58％）、CIS（52％）、PCI DSS（50％）など、コンプライアンス・セキュリティ・フレームワークへの注力を望む声も多い。
5. 78% は、トレーニングの一環として、非公式のピアコーチングやガイダンスを求めています。

しかし、何よりも開発者が求めているのは、日々の業務に根ざした実践的なセキュアコードトレーニングです。開発者は、座って講師の話を聞くのではなく、実際に手に取って自分で試してみたいのです。彼らが求めているのは実践的なアプリケーションであり、現在のトレーニングプログラムにはその点が大きく欠けています。私たちが調査した開発者によると、優れたトレーニングの特徴は次の5つです。 

• より実践的なトレーニング、実際の仕事のシナリオを示す（30%）。 
• 特定のコードや脆弱性に焦点を当てたガイド活動（24%）。
• Inclusion of more examples or use cases (24%) Provides some concrete advantage to taking the training (<20%) Incorporates more team-building exercises (<20%). 
• トレーニングを受けることで、何らかの具体的なメリットがある。 
• より多くのチームビルディングのためのエクササイズを取り入れています。
  

開発者は、基本的なスキルを習得し、真の評価を得られるセキュアコードトレーニングを求めています。セキュアコーディングスキルは雇用主から高く評価されているため、開発者は、特に新しい仕事に応募する際に、同業者との差別化を図ることに熱意を示しています。技術的な熟練度や専門的なスキルを証明しようとする開発者は、長い間、正式な認定プログラムを利用してきました。資格取得のために体系的なトレーニングプログラムを求めているかどうかを尋ねたところ、70%がこうしたプログラムを求めていることが明らかになった。その大きな動機は、身につけたスキルを公的に認められたい、仕事の効率を上げたい、会社にとってかけがえのない存在になりたい、などであった。

教育の成果を上げるためには、開発者を中心としたトレーニングが重要です。 構造化されたセキュアコードトレーニングは、開発者にとって望ましいものですが、それは開発者が望むものを提供している場合のみです。この課題に取り組み、開発者のニーズに合わせてセキュアコードトレーニングを再構成した企業は、繰り返し発生する脆弱性の減少、コードの迅速な提供、そしてそれに伴う高い評価というメリットを得ることができます。

開発者が望んでいるのは、関連するプログラミング言語やフレームワークを用いた、実社会で直面する課題に即した実践的な教育であることは明白な証拠です。Secure Code Warrior は、安全なコーディングに変化をもたらすチャンピオンとして、開発者の要望を実現するために人間主導のアプローチを取っています。あなたのチームが安全なコードをより早く出荷できるようになることへの潜在的な影響を確認したい場合は、, 今すぐデモを申し込む.

リアクションからプリベンションへの移行。The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020

データ漏洩とそのコストが増加し続ける中、世界で生産されるコードの量は、セキュリティ専門家が単独で処理するには大きすぎるものとなっています。企業は安全なコーディングスキルを持つ開発者を必要としており、開発者もキャリアアップのためにこれらのスキルが必要であることを知っています。しかし、現在のセキュア・コード・トレーニングは開発者を失望させています。では、開発者はセキュア・コード・トレーニングに何を求めているのでしょうか？この疑問に答えるために、Secure Code Warrior が Evans Data Corp* と共同で実施した、セキュアコーディング、セキュアコードの実践、およびセキュリティ運用に対する開発者の意識に関する最新の調査からいくつかの洞察を見てみましょう。(ホワイトペーパーのダウンロード こちら).

開発者がどのようなトレーニングを望んでいるかというと、その答えは明確です。75%の開発者は、構造化されたオン・ザ・ジョブ・トレーニングを好み、それが最も効果的で満足のいく学習方法であると考えています。そして、そのトレーニングには何が含まれるべきかというと、開発者は非常に明確で具体的な要求を持っています。 

• 65%が言語別の脆弱性に関するトレーニングが必要と回答
• 65% が OWASP トップ 10 のトレーニングを増やしたいと考えている
• また、多くの人が、NIST（58％）、CIS（52％）、PCI DSS（50％）などのコンプライアンス・セキュリティ・フレームワークに注目しています。
• 78%がトレーニングの一環として、非公式のピアコーチングやガイダンスを求めている。
  

しかし、開発者は非構造的な学習よりも構造的なコースワークを強く望んでいますが、コースワークの提供方法は非常に重要です。もちろん、これにはもう一つの重要な問題があります。

開発者はどのように学習したいのでしょうか？ 

開発者は、座って講師の話を聞くのではなく、実際に手を動かして自分で試してみたいと思っています。彼らは、現在のトレーニングプログラムに欠けている、実践的なアプリケーションに焦点を当てたいと考えています。会社が提供するトレーニングをどのように改善すべきかを尋ねたところ、回答者の30％が、実践的なアプリケーション、特に本物の仕事のシナリオに焦点を当てたトレーニングを望んでいると答えました。 

開発者のトレーニングには、実践的で言語やフレームワークに特化した「ゲーミフィケーション」によるコーディング課題を含むガイド付きの学習経路を提供する、人間主導のアプローチが必要です。役割を特定した「ゲーミフィケーション」によるトレーニングは、開発者を積極的に参加させ、設定可能な学習モジュールにより、組織は開発者の学習を特定の脆弱性に絞ることができます。

開発者が求めるトレーニングを提供する、構造化されたスキルベースのパスウェイにより、ソフトウェアセキュリティを開発プロセスの本質的な一部にする方法をご覧ください。 デモを申し込む 今すぐご連絡ください。

"インタラクティブなシミュレーションは、コードのセキュリティ脆弱性を特定するのに役立ち、批判的に考え、解決策または複数の解決策を見つけることに挑戦します。新しいレンズを通してコードを見ることができ、ハンズオンすることで多くの喜びを得ることができました！"
ソフトウェア・エンジニア、金融サービス

*反応から予防へのシフト。The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020

つまらない、つまらない、つまらない！」。セキュアコードのトレーニングについて言及されると、開発者からはこのような声が聞かれます。Secure Code Warrior では、もっと良い方法があるはずだと考え、Evans Data Corp.の協力を得て、セキュアコーディング、セキュアコードの実践、およびセキュリティ運用に対する開発者の意識について一次調査を行いました（ホワイトペーパーはこちらからダウンロードできます）。 こちら).

もうすぐ発売されるShifting from reaction to prevention:The changing face of application security」では、開発者に現行のセキュアコードトレーニングの主な問題点を尋ねたところ、その答えが明らかになりました。

開発者を挫折させるトレーニング

調査対象となった開発者の40％は、安全なコーディングが漠然と教えられていると感じていました。また、別の40％の開発者は、トレーニングが理論的すぎたり、業務に関連していなかったり、十分に「実践的」ではないと感じていました。また、30％の開発者は、日常的に使用している言語やフレームワークに関するトレーニングが不足していると回答しています。これは、現在の安全なコードのトレーニングが、文脈的に無関係であり、開発者が日常的に行っていることとは意味のない関係にあるということを物語っているので、深刻です。 

多くの開発者にとって、主な課題は、効果的でもなく、セキュリティを最優先に考えるきっかけにもならない、退屈で手のかからない作業中に眠らないことです。

漠然としたトレーニングでは、開発者は実験室と実世界の間の認知的なリンクを作ることができません。

開発者がセキュアコードトレーニングに求める3つのこと。 

1. 開発者は、より実践的で、日常業務に即したトレーニングを求めているという意見が圧倒的に多い。 
2. 65%の開発者が、言語固有の脆弱性やOWASP Top 10について、より多くのトレーニングが必要だと回答しています。 
3. 調査対象となった開発者の75％は、体系的なOJTを希望しています。 

開発者を引き上げるトレーニング

OJTでは、開発者はある程度の経験と既存の知識を持っています。そのため、「足場のある」学習が必要となります。これは、開発者がすでに知っていることを土台にして、構造化されたトレーニング、つまり足場を組んだトレーニングです。足場付きの教育は、それまでの経験を活性化し、強化すると同時に、一口サイズの新しいスキルを構築し続けます。そのため、現場での学習に最適な手段と言えます。

定着力のあるスキルを身につける

開発者向けのセキュリティトレーニングでは、開発者は理論に基づいた静的な学習よりも、実際にやってみることで学ぶ方法を好むことがわかっています。その意味で、関連性の高い、文脈に沿った環境で安全なコーディングを学ぶことは重要です。Secure Code Warrior は、安全なコーディングに変革をもたらすものとして、開発者が実社会で直面する課題を模した、関連するプログラミング言語やフレームワークの文脈に沿った実践的な教育を提供しています。学習コンテンツには、5,500以上の課題が含まれており、重要なOWASPトップ10、OWASPモバイルトップ10、OWASP APIセキュリティトップ10、CWE/SANSトップ25を含む147種類以上の異なる脆弱性をカバーするmissions 。 

あなたのチームや、安全なコードをより早く提供する能力への潜在的な影響を確認したい場合は デモを予約する今すぐご連絡ください。

セキュアコーディングについて学ぶ際、開発者の主な動機は何でしょうか。また、アプリケーションセキュリティプログラムの設計と実装を成功させるために、それらをどのように活用できるでしょうか。2020年、Secure Code Warrior は、Evans Data Corp.と協力して、開発者のセキュアコーディングに対する態度、セキュアコードの実践、およびセキュリティ運用に関する一次調査を実施しました（ホワイトペーパーをダウンロードする こちら).

調査によると、開発者は安全なコードトレーニングに価値を見出していると言います。また、開発マネージャーの80％が、セキュア・コーディングのスキルを持つ開発者を採用する可能性が高いと答えています。では、このようなスキルが求められているにもかかわらず、なぜセキュリティトレーニングを受けた開発者が不足しているのでしょうか。 

開発者のモチベーションの低さは、本質的な問題ではないようです。開発者はモチベーションが高く、セキュアコードトレーニングを学ぶモチベーションの源について尋ねたところ、次のように答えてくれました。

• 回答者の35%は、会社関連の懸念から
• 24%が個人的な理由で動機づけられた
• 41%は個人的な動機と会社の動機の両方を持っていました。 
  

そして、もう少し掘り下げてみると、セキュアコードトレーニングを受ける個人的な動機付けのトップ5が見つかりました。

1. 生産性・効率性の向上
2. 好奇心・個人的な興味
3. 安全でないコードに起因する問題の回避
4. キャリアアップの可能性
5. 人的資源の有効活用

会社を中心とした動機を考えると、開発者は安全なコードの実践を学ぶことで生産性が向上することを理解します。管理者は、安全なコードを実践することで、人的資源をより効率的に利用できるようになると考えます。また、地域によって動機は異なりますが、世界的に見れば、生産性と効率性の向上を求める気持ちは変わらないものです。

‍

とはいえ、開発者が安全なコーディングを学ぼうとするのは、雇用者の要求などの外的要因によるものとは限らない。多くの場合、開発者は自らの意思で決断します。開発者は、自分が作ったものに関心を持ち、自分の仕事に誇りを持っています。それは、開発者が安全なコーディングを学ぶことに魅力を感じる理由のトップ4を見ても明らかです。25%の開発者が「自分の会社のために価値を生み出したい」と答えている一方で、同じ割合で「自分のコードの品質を高めたい」と答えています。他の人にとっては、職場での称賛、知名度、認知度が重要です。70%が、安全なコードが書かれていると、会社から認められると答えています。また、先に述べたように、開発マネージャーの80％は、セキュアなコーディングスキルを持つ開発者を採用する可能性が高いとしています。

開発者はやる気があるのに、なぜもっとエンゲージメントがないのか？ 

セキュリティスキルの高い開発者がこれほど評価され、学ぶ意欲があるならば、なぜ彼らはこれほど不足しているのでしょうか。

これまで見てきたように、開発者には安全なコーディングスキルを向上させたいという明確な理由がありますが、現在あるセキュリティトレーニングの多くには抵抗があります。また、トレーニングを受けようとする人もほとんどいません。今回の調査に基づき、私たちはその答えは比較的簡単だと考えています。現在提供されているセキュアコーディングのトレーニングは、開発者がそもそもセキュアコーディングに興味を持つような重要な要因に十分に対応していないため、不十分なのです。

それぞれの要素を見てみましょう。 

価値と効率を高め、コードの品質を向上させるためには、開発者は、安全なコーディングを日常的なプロセスに組み込むトレーニングが必要です。開発者には、コードを書くときに、最初から脆弱性を特定して修正するスキルが必要です。最大限の関連性と即効性を持たせるためには、開発者が日常的に使用している特定の言語やフレームワークを使ってトレーニングを行う必要があります。

セキュアコーディングに変革をもたらす者として、Secure Code Warrior は、セキュアコーディングを開発者にとってポジティブで魅力的な体験にします。私たちは、開発者が学びたいと思うような方法でトレーニングを提供しなければならないと考えています。そのためには、「ハンズオンで、インタラクティブで、仕事に関連したシミュレーションやチャレンジを行い、参加者が最初からコードにセキュリティ機能を組み込むように仕向ける」ことが必要です。この高度にインタラクティブな開発者中心のトレーニング手法は、開発者の学習意欲をアプリケーション・セキュリティ・プログラムの中心に据えます。このトレーニングがどのように行われるかを知りたい方は、今すぐデモを予約してください。

‍

この記事の一版は ダークリーディング.この記事はDark Readingに掲載されたものを更新し、ここにシンジケートされています。

‍

サイバーセキュリティ業界のクリスマスを台無しにするものといえば、米国政府に影響を与えた過去最大のサイバースパイ活動になりそうな、壊滅的なデータ侵害でしょう。

SolarWindsの攻撃は広範囲に及んでおり、脅威の行為者は2019年半ばの時点で最初にソフトウェアに侵入していました。この数ヶ月に及ぶ強盗は、2020年12月に著名なサイバーセキュリティ企業であるFireEye社への侵入に使用されたことで発見され、そこから悪夢が解き明かされました。侵入の全容は現在も調査中ですが、主な侵入先には、米国の国務省、国土安全保障省、商務省、財務省のほか、国立衛生研究所などが含まれています。

今回の事件は、今後も余震が続くと思われますが、その巧妙さには驚かされます。技術的なレベルでは、カスタムの悪意のあるツール、バックドア、隠蔽されたコードを含む多層的な侵入であり、明らかなエラーを悪用するスクリプトキディのスキルをはるかに超えています。

最悪のコードロンダリング

CrowdStrike社は、さらに天才的な手法でこの不正プログラムを解析し、その結果を詳細に発表しました。その結果、ソーラーウインズは、システムアップデートに悪意のあるコードを注入することで、少なくとも4つの別々のマルウェアツールを使用して、脅威の行為者に前例のないアクセスを許してしまったということが明らかになっています。

この方法は秘密裏に行われ、ジェイソン・ボーンの小説に出てくるような戦略的な正確さを可能にしました。これにより、ソーラーウインズのネットワーク外にいる被害者の情報を収集し、計画を立て、必要なときに攻撃するという、包括的なサプライチェーン攻撃を行うことができました。しかも、これらはすべて、見た目にはまったく問題のないコードで実行されました。 

サイバー攻撃は、多くの場合、単純でありながらコストのかかるミスの結果として起こります。例えば、ネットワークの設定が不十分であったり、パスワードが平文で保存されていたり、パッチが適用されていないソフトウェアが既知のエクスプロイトに対して脆弱であったりすることです。今回のケースでは、開発者やセキュリティエンジニアだけでなく、コードも全く目立ちませんでした。開発者やセキュリティエンジニアだけでなく、高価で複雑なさまざまなセキュリティ技術でも、このコードを検知することはできませんでした。  

セキュリティモニタリングやペネトレーションテストのツールがほとんど使えなくなった

セキュリティの専門家は、馬の排泄物のように希少な存在です。そのため、膨大な量の企業データ、ソフトウェア、インフラのセキュリティを確保するためには、ビジネスのセキュリティニーズに合わせてカスタマイズされた技術スタックが必要となります。これは通常、ネットワーク・ファイアウォール、自動化されたペネトレーション・テスト、モニタリング、スキャン・ツールなどのコンポーネントの形をとっており、後者はソフトウェア開発プロセスにおいて多くの時間を費やしています。これらのツールはすぐにスパイラル化し、管理や実行が困難になり、多くの企業が300以上の異なる製品やサービスを使用しています。

ソーラーウインズは、コードのセキュリティバグ、不正なネットワークアクセスの試み、インフラのあらゆる部分における潜在的な危険性を発見して強調し、さらに検出回避の兆候を拾うための目を見張るようなツールを備えています。このような脅威の担い手が、最先端のセキュリティスタックでも発見されない悪意のあるコードを注入できたことは前例がありません。 

インフラの堅牢化、特にアクセス制御は、一般的なサイバーセキュリティのベストプラクティスの基本的な要素ですが、攻撃者がわずかな機会を静かに利用することができれば、ネットワークは、スタンドアロンのソフトウェアの脆弱性と同様に侵害される可能性があります。 

今回の問題は、一般的に、ネットワークインフラやソフトウェアのセキュリティをツールだけに頼る企業は、非常に大きなリスクを負っていることを示しています。コードを保護するだけでは十分ではなく、コードを保存し、実行し、コンパイルするすべてのものを同様に保護する必要があります。理想的な状態は、ツールと人材のバランスを取り、潜在的な攻撃対象を深く評価して削減する強固な戦略を実行することです。

チームを超えたセキュリティ意識が脅威のモデル化を促進する

ソーラーウインズ社の情報漏えい事件は、特に政府レベルでのセキュリティ対策に大きな影響を与え始めています。専門家の間では、これによってサイバーセキュリティのあり方が永遠に再構築される可能性があると喧伝されています。

私たちの生活を支えているのは、ますます増加するデジタルインフラです。細心の注意を払って管理しなければ攻撃を受けてしまう可能性がありますが、私たちの一般的な戦略には欠陥があります。私たちは、セキュリティに関する専門知識を持つ人材が圧倒的に不足しているにもかかわらず、そのギャップを埋めるために多くの努力をしていません。人が主体となってセキュリティを意識することは、サイバーセキュリティにおいて十分に活用されていない要素であり、対応ではなく予防を優先させることが重要です。 

インフラのセキュリティは、様々な要素が絡み合う複雑な作業ですが、ソフトウェア開発における開発者の位置づけと同様に、適切なトレーニングを受けてセキュリティ意識を高めれば、構造的なリスクを軽減するための資産となります。 

この種の攻撃は、現在の技術では防ぐことが難しい重要なリスクであることが2012年の時点で指摘されていたにもかかわらず、脅威モデルではサプライチェーン攻撃がほとんど考慮されておらず、多くの企業が十分な備えをしていません。ソフトウェア開発者は、予防に絶対的な役割を果たすことができます。そのためには、開発者がスキルアップし、コードの完全性を内側から評価できるようにすることから始めます。アップデートの仕組みは安全に構築されているか？ソフトウェアは、悪意のある侵入を容易にするような不必要な接続を行っていないか？

セキュリティがソフトウェアの品質と同義であるとすれば、セキュリティを意識したエンジニアがもたらす価値は計り知れないものがあります。

サイバー脅威の数が増え続ける中、企業はセキュリティ、実用性、スピードの間で日々トレードオフを繰り返し、その過程でリスクにさらされています。そこでSecure Code Warriorは、Evans Data Corp.と協力して、開発者のセキュアコーディングに対する意識、セキュアコードの実践、およびセキュリティ運用に関する一次調査を実施 しました。 ここで).

今回のレポートで明らかになったのは、「旧態依然とした」反応型の考え方が依然として主流である一方で、開発者自身を第一の防御線とするような、よりプロアクティブなソリューションの必要性に対する認識が高まっているということです。  

安全なコーディング手法の導入を検討する際には、まず、導入に関わる人間、人間の認識、人間の能力を理解することから始める必要があります。このことは、パズルの最も重要な部分につながります。つまり、どのようにすれば、最初からより安全なコーディングを行うことができ、自信を持って高品質のコードをより早く出荷することができるのか、ということです。 

セキュアコーディング - 現在の状況と、何を変えなければならないか？ ダウンロード インフォグラフィック「The Human Element」を今すぐダウンロードしてください。

現在の展望 - リアクティブとプロアクティブ

開発者と開発マネージャーに、安全なコーディングに関連する活動について尋ねたところ、トップ3の回答が得られました。

• 配置されたアプリケーションでのスキャンツールの使用
• 脆弱性がないかコードを手動で確認する。
• 脆弱性から保護されたソフトウェアを作成するための積極的かつ継続的な取り組み。

このように、上位3つの回答のうち、2つの回答は依然としてリアクティブなアプローチに焦点を当てています。1つ目はツール（スキャナ）に依存し、2つ目は開発者（つまり人間）が手動でチェックを行うことです。

同時に、指名された3つの活動のうち2つは人間の要素に依存している。これは、セキュリティが人間の問題であるという認識が高まっていることを示しています。しかし、ノミネートされた活動の中で最も示唆に富んでいるのは、第3位の「そもそも脆弱性から保護されたソフトウェアを書くための人的要素」である。これは、SDLCの最初の段階からソフトウェアにセキュリティを組み込むという積極的かつ予防的なアプローチという、左からのスタートへのシフトを示しています。 

SDLCの中でセキュリティはどこに位置するのか？ 

開発者と開発マネージャに、SDLC のどこにセキュアコードの実践が組み込まれているかを尋ねたところ、意見が分かれました。管理者の55%は、安全なコードが開発プロセス全体に統合されていると考えていますが、開発者は43%にとどまりました。この違いは、SDLC におけるこれら 2 つのグループの役割の違いを反映しているのかもしれません。管理者は、一般的にコーディングの実際の作業にはあまり関与せず、より高いレベルの見解を持つ傾向があります。一方、開発者は、より本質的な部分に関心を持っているかもしれません。

しかし、全体的なセキュリティとコード品質の観点から見ると、憂慮すべきことは、開発者の13％と管理者の10％だけが、セキュアなコードプラクティスを設計段階、つまりSDLCの最初の段階で統合すべきだと答えていることです。これは、実現されていない大きなチャンスです。IBMの調査によると、リリース後のコードの脆弱性を修正するには、最初から脆弱性を発見して修正した場合に比べて、30倍のコストがかかるという結果が出ています。ソフトウェアセキュリティは、ツールに頼るだけでは解決できません。 

人的要素は準備されていますか？

調査対象となった開発者の97％は、安全なコーディングに関する十分なトレーニングを受けたと考えており、95％は安全なコーディングに関するトレーニングが自分のキャリアにとって価値があったと考えています。しかし、これらの主張を鵜呑みにする前に、次のような疑問を持つ必要があります。「コードの脆弱性はなぜこれほどまでに蔓延しているのか？開発者が安全なコードの専門家であると主張するのは、人間のエゴなのでしょうか？確かに、証拠はこの方向を示しています。また、開発管理者の91％が、安全なコーディングの実施は難しいと回答しています。セキュアコードの実装に関する個人的な関心事を尋ねたところ、28％の開発者が学習プロセスを困難だと感じ、24％が学習プロセスを退屈だと感じています。これは、開発者のトレーニングを改善する必要があることを示しています。 

人的要素には何が必要か？ 

この「困難」な要素を克服するために、価値のあるセキュアなトレーニングには、開発者が段階的にセキュアなコーディングスキルを身につけられるようにサポートする「足場」のプロセスが必要です。関連性を高め、すぐに適用できるようにするためには、そのトレーニングは、開発者が日常的に使用している特定の言語やフレームワークで行われるべきです。

退屈」という要素を克服するためには、セキュアコードトレーニングを実践的な方法で提供する必要があります。これは、時代遅れの教室や「このビデオを見る」モデルよりも、はるかに開発者の興味を引くことが証明されています。これらのトレーニングには、開発者が安全な環境で、時には危険なセキュリティ上の課題に取り組むことができるライブ・シミュレーションが含まれます。その目的は、開発者が作業中にコードの脆弱性を発見して修正する方法を教え、安全なコーディングを日々のフローの一部にすることです。もう一つの重要な要素は、IDE内でのリンティングとコーチングです。これにより、開発者はコードを書きながら常に学習し、スキルアップすることができ、作業中に脆弱性を防ぎ、排除することができます。

開発者を中心としたこの新しいレベルのツールとトレーニングを開発者に提供する方法を知りたい方は、今すぐこちらをご覧ください。 デモの予約

ご覧ください。 資料のダウンロード ホワイトペーパー「Shifting from Reaction to Prevention」をご覧ください。The changing face of application security.

‍

サイバー脅威が増大し続ける世界で、貴社のコーダーはステップアップしていますか？セキュアコーディングの人間的要素である重要な開発者は、接続された世界の安全性を確保するための役割を果たす準備ができているのでしょうか？この疑問に答えるために、Secure Code Warrior と Evans Data Corp.が実施した、セキュアコーディング、セキュアコードの実践、およびセキュリティ運用に対する開発者の態度に関する最近の調査から、いくつかの洞察を見てみましょう。

開発者の安全なコーディングスキル - 認識と現実

まもなく発表されるShifting from reaction to prevention:また、調査対象となった開発者の97％は、セキュアコーディングに関する十分なトレーニングを受けたと考えており、95％はセキュアコーディングのトレーニングが自分のキャリアにとって有益であったと考えています。しかし、これらの主張を鵜呑みにする前に、いくつかの重要な質問をしてみる必要があります。なぜコードの脆弱性は未だに蔓延しているのか？「開発者がこれほどまでに安全なコーディングのトレーニングを受けているにもかかわらず、なぜ同じ古い脆弱性が何度も何度も出てくるのでしょうか？過去20年以上にわたり、セキュリティ侵害の大半を引き起こしているのは、同じ10個のソフトウェア脆弱性なのです。

本当はどうなんだろう？ 

開発者は、自分はセキュリティに関して十分な訓練を受けていると言うが、これは過信だろうか。重要なのは、このポジティブな自己紹介assessment が、セキュアコーディングの難しさに対する開発者自身の見解と矛盾していることです。ほとんどの開発者が、貴重で十分なトレーニングを受けたと答えているにもかかわらず、ほとんどの開発者と開発マネージャは、安全なコードの実践が少なからず難しいと感じています。 

• 開発マネージャーの91％以上が、セキュアなコードプラクティスの導入は難しいと答えています。 
• 88%以上の開発者が、安全なコーディングは難しいと感じています。セキュアコーディングの重要な「人的要素」として、開発者は必要なセキュアコードのトレーニングを受けていません。このことは、開発者の思考方法にセキュリティを本質的に組み込む、より優れたセキュアコードのトレーニングと スキルアップが必要であることを示しています。 

セキュアコードの実装はなぜ難しいのでしょうか？

これにより、28%が学習プロセスにやりがいを感じており、24%が学習プロセス自体が退屈だと感じていることが明らかになりました。

これらの関心事には、関連する意味があります。学習プロセスが難しいため、より魅力的なトレーニングが必要である。また、学習プロセスが退屈なので、開発者に関連したトレーニングが必要であり、開発者に焦点を当てた成人向け学習の必要性が強調されている。

"私は何かを学び、それを定着させ、他のシナリオに適切に適用できるようにしたいのです。それはSecure Code Warrior でしょう。"

シニア・スタッフ・ソフトウェア・エンジニア @ ForgeRock

ミッシングリンク

Secure Code Warrior は、安全なコーディングに変化をもたらすチャンピオンとして、安全なコーディングスキルを身につけることが前向きでやりがいのある経験となるよう、人間主導のアプローチをとっています。私たちは、100％ハンズオンの楽しくインタラクティブなトレーニングを通じて、開発者に安全なコーディングの実践を十分に理解してもらい、コーディング中にセキュリティ問題を特定して修正できるようにします。このようにして、明日のニュースになる前に脆弱性を防ぐことで、コストとリリースまでの時間を削減します。 

しかし、その言葉を鵜呑みにしてはいけません。

"Secure Code Warrior®ポータルは、複数の技術にまたがるセキュリティの脆弱性について学べる素晴らしいプラットフォームです。興味深いし、インタラクティブでもある。"

セキュリティテスター、中小企業小売会社
TVID 5AC-3CA-F68

"Secure Code Warriorのゲーミフィケーションの利用により、新鮮で楽しく魅力的な方法で安全なコーディングの重要性を強調することができました。"

ソフトウェアエンジニア、グローバル500金融サービス会社
TVID B0D-73D-BE3

他にもまだまだあります。セキュアコードトレーニングの新しいアプローチを間近でご覧になりたい方、開発者が真のセキュリティスーパーヒーローになる様子をご覧になりたい方は、ぜひご連絡ください。