セキュリティコードインサイト

ソフトウェアを保護するために積極的なアプローチを取るには、最新の標準とコンプライアンス要件の最前線を維持する必要があります。結局のところ、サイバーセキュリティの状況は、特に新しい技術が登場するにつれて、新しい脅威や脆弱性で常に動いています。特に新しい技術が登場するにつれて、新たな脅威や脆弱性が生じてきます。このことが今日ほど真実である時代はありません。 

これらの課題に対処するため、OWASP財団は最近、大規模言語モデル（LLM）アプリケーションのためのOWASPトップ10の更新版を発表した。そして私たちSecure Code Warrior は、この最新版の変更と更新がすでに実装され、私たちの安全なコードlearning platform で利用可能であることを発表できることを嬉しく思います。これらの新しく利用可能になり、更新された資料により、私たちのすべてのユーザーは、LLMを利用する際のリスク軽減の最前線にとどまることができます。

今回のアップデートの新機能は？

OWASPは、前回のトップ10から2つの項目を削除した：

• 安全でないプラグインの設計- LLMがプラグインとどのように相互作用するか、プラグインが外部のストレージやサービスとどのように相互作用するかに関連する。 
• モデル窃盗- 機械学習モデルやAIシステムの不正な複製や取得を指す。

OWASP Top 10 の以前のバージョンに従い、Secure Code Warrior 、LLM Top 10 コースの一部として、これらの脆弱性に関連するガイドラインが用意されていました。これらのガイドラインは、わかりやすく読みやすい形式で、脆弱性とセキュリティの概念に関する消化可能な情報を提供するものですが、その後、コースのカリキュラムから削除されました。しかし、このガイドラインは、私たちが提供する他のすべての学習教材とともに、Exploreでは引き続きご利用いただけます。 

OWASPは、トップ10を正式な10にとどめ、新たに2つの項目を追加した：

• システムプロンプトの漏えい - モデルの行動を導く、通常は隠されているプロンプトがユーザーに公開される。
• ベクターとエンベッディング - 一般には公開されていない特定の、独自の、またはリアルタイムの情報を公開することができます。

これらの脆弱性に関するガイドラインはLLMトップ10コースに追加され、削除されたガイドラインと同様に、この2つも自分のペースで学習したいユーザーのためにエクスプローラーでアクセスできるようになっている。

最後に、OWASP は、既存の脆弱性カテゴリのリストにも若干の変更を加え、いくつかのカテゴリの名称をより拡大 的または具体的に変更し、その定義を修正しました。これらのトピックをサポートする私たちのガイドラインは、OWASP のガイダンスからの小さな変更と新しい命名規則の両方を反映するように更新されました。さらに、優先順位のリストは、OWASP LLM Top 10 で設定された順序と一致するように更新されました。

Secure Code Warrior では、ユーザーの皆様が常に時代の最先端を走り続けられるよう、全力でサポートしています。OWASPの最新アップデートはすでに当社のアジャイルlearning platform に反映されており、当社のユーザーが最新の脆弱性をカバーする最新のトレーニング教材に簡単にアクセスできるようにし、LLMとGenerative AIテクノロジーを展開する際のリスクを軽減しています。新たに導入された脅威であるシステムプロンプト漏えいやベクターとエンベッディングをナビゲートする場合でも、誤情報とアンバインド消費に関する理解を更新する場合でも、私たちのプラットフォームは、セキュリティ態勢を向上させるこれらの重要な概念を習得するために必要なリソースを提供します。

개발자의 67% 가 취약점이 있는 코드를 배송한다고 인정한다는 사실을 알고 계셨나요?건설 노동자로 구성된 팀이 집을 짓는 일을 맡았다고 상상해 보세요.필요한 자재와 도구는 모두 갖추고 있지만 설계도와 건축 법규를 따르는 데 어려움을 겪고 있습니다.그 결과 그들은 실수를 저지르고 있고 집은 코딩에 맞게 지어지지 않고 있습니다.

이 비유는 개발자가 보안 코딩을 연습하려고 할 때 직면하는 문제를 설명하는 데 사용할 수 있습니다.건설 노동자가 주택의 안전을 보장하기 위해 청사진과 건축 법규를 준수해야 하는 것처럼 개발자들도 소프트웨어 애플리케이션의 보안을 보장하기 위해 보안 코딩 관행을 따라야 합니다.

보안 코딩이 어려운 데에는 여러 가지 이유가 있습니다.여기에는 다음이 포함됩니다.

• 보안 코딩 관행에 대한 인식 부족. 개발자의 86% 는 보안 코딩을 연습하는 것이 어렵다고 말합니다.‍
• 시간과 자원이 부족합니다. 설문조사에서 24% 의 응답자가 '시간이 충분하지 않음'이 보안 코드 통합의 가장 큰 장애라고 답했습니다.‍
• 보안 코딩의 복잡성. 개발자의 63% 는 취약점이 없는 보안 코드 작성이 어렵다고 평가합니다.‍
• 도구에 대한 과도한 의존. 애플리케이션 보안 팀의 57% 가 DevSecOps 라이프사이클 동안 취약점을 발견하기 위해 6개 이상의 도구를 활용하고 있습니다.(깃랩, 2023년)

그러나 이러한 어려움에도 불구하고 보안 코딩은 필수적입니다.보안 코딩 관행을 따르면 개발자는 공격자가 악용할 수 있는 취약점으로부터 애플리케이션을 보호하는 데 도움을 줄 수 있습니다.잘 지은 집이 무너질 가능성이 적은 것처럼, 잘 코딩된 애플리케이션은 해킹을 당할 가능성이 적습니다.

다음은 보안 코딩 관행을 개선하려는 개발자를 위한 몇 가지 팁입니다.

• 보안 코딩에 대한 교육 및 교육을 받으십시오.개발자가 보안 코딩 관행에 대해 배우는 데 도움이 되는 다양한 리소스가 있습니다.
• 정적 분석 도구를 사용하여 코드의 취약점을 식별합니다.정적 분석 도구는 수동으로 찾기 어려울 수 있는 코드의 취약점을 식별하는 데 도움이 될 수 있습니다.
• 검토하고 이해하기 쉬운 코드를 작성하세요.검토하고 이해하기 쉬운 코드가 보안 코드일 가능성이 높습니다.
• 코드를 철저하게 테스트하세요.코드를 테스트하면 취약점이 악용되기 전에 취약점을 식별하고 수정할 수 있습니다.

더 자세히 알아보고 싶으신가요?당사를 통해 민첩한 보안 코딩 전략을 개발하는 비결을 알아보세요 보안 코드 학습 청사진.

‍

‍

‍

‍

この記事のバージョンは セキュリティ・ブールバード.

今年の初め、PCIセキュリティ基準評議会はPayment Card Industry Data Security Standard（PCI DSS）のバージョン4.0を発表した。組織が4.0に完全に準拠する必要があるのは2025年3月までですが、今回の更新はこれまでで最も大きな変革であり、ほとんどの企業は複雑なセキュリティプロセスや技術スタックの要素を評価（およびおそらくアップグレード）する必要があります。これに加えて、役割ベースのセキュリティ意識向上トレーニングや、開発者向けのセキュアコーディング教育を定期的に実施する必要がある。

これは、BFSI分野の企業にとって、セキュリティ・プログラムを本格的に強化し、人材主導のサイバー回復力の新時代を切り開く絶好の機会となる。 

PCI DSS 4.0に対応するための最大の課題は何ですか？

組織のセキュリティプログラムが、そのビジネスニーズと利用可能なリソースに固有の複雑さを伴う包括的なものであるように、PCI DSS の新基準は多くの分野をカバーしています。ツール、脅威、戦略、およびコンプライアンス対策が瞬時に変化する可能性のある業界において、これは重要なことです。

PCI DSS 4.0 は、厳密なセキュリティのベストプラクティスという同じ目標を達成するために多くの方法があるという概念を取り入れています。assessment これは事実ですが、高度なセキュリティ成熟度を持つ組織に最も適しているように思われ、特に、社内の真のセキュリティ成熟度について現実的でない組織にとっては、多くのエラーの余地が残されています。結局のところ、企業は、一度限りの「セット・アンド・フェザー」ではなく、継続的かつ進化するプロセスとしてセキュリティに取り組む覚悟が必要である。強固なセキュリティ文化が必須であり、組織全体でセキュリティ意識向上に取り組む必要がある。 

また、コードレベルのツール、つまり開発集団は、デジタル資産やトランザクションを扱うあらゆるビジネス環境で、コンプライアンスに準拠した安全なソフトウェアを提供できるようにしなければならない。 

開発者は、コンプライアンスに準拠したソフトウェアを提供する準備ができていますか？

開発者は、ソフトウェアセキュリティの卓越した状態を実現するために不可欠な存在であり、これは特に、形だけの PCI DSS コンプライアンスにとどまりません。開発者が PCI DSS 4.0 の全体像を理解し、管理できることを理解し、ソフトウェア構築の既定のアプロー チの一部として統合することが極めて重要です。 

開発チームにとって最も重要な変更点は3つある：

• 認証：アクセス制御の実行可能な計画は、常に PCI コンプライアンスの重要な部分でしたが、バージョン 4.0 では、社内外での慎重な実装が必要となる方法で、これを一段と強化します。多要素認証（MFA）が標準となり、パスワードの複雑さやタイムアウトに関するルールも強化される。
  
  認証とアクセス・コントロールのセキュリティ問題は、平均的な開発者が直面する可能性のある最も一般的な問題であるため、実際のコードでこれらの問題を特定し、修正できるよう、正確なトレーニングを実施することが不可欠である。
  
  
• 暗号化と鍵の管理私たちは、オンライン・バンキングなど、複数のアクセス・ポイントから最も機密性の高い情報にアクセスできる世界で活動しています。このような高価値のデータを危険にさらすため、暗号化と強力な暗号技術の実践は必須です。開発者は、情報がどこに送信され、ユーザーがどのようにアクセスできるのか、そして万が一情報が悪人の手に渡ったとしても、脅威行為者によって読み取られないようにするための最新の知識を確実に身につけなければなりません。
  
  
• 悪意のあるソフトウェア： 以前のガイドラインでは、悪意のあるコードからのソフトウェア保護に関するセキュリティ管理は「ウイルス対策ソフトウェア」と呼ばれていたが、これはウイルスだけでなく、はるかに多くのものから保護する多層的なアプローチであるべきものを単純化しすぎている。アンチマルウェア・ソリューションは必要なところに適用されなければならず、継続的なロギングとモニタリングは必須である。
  
  また、開発者が脆弱なコンポーネントを特定するための学習経路を持つことも不可欠であり、特に、ほとんどのコードベースが少なくとも部分的にはサードパーティのコードに依存している現状ではなおさらである。

開発者にとって「十分な」トレーニングとは何か？  

以前の推奨事項と同様に、PCI DSS 4.0 では、開発者は「少なくとも」毎年トレーニングを受けることが提案されています。しかし、セキュアなソフトウェアを作成するためのタッチポイントが年に 1 回で十分であるという意味であれば、それは十分とは言えず、より安全で準拠したソフトウェアを作成することにはつながらないでしょう。 

開発者教育は、OWASP トップ 10 のほか、言語に関連する脆弱性やビジネス上重要な脆弱性についての基礎教育から始めるべきである。この教育は、継続的なプログラムの一環として実施し、スキルを継続的に向上させ、セ キュリティを当初からソフトウエア開発に組み込むだけでなく、開発者の考え方や役割に対す るアプローチにも組み込むようにする。さらに、開発要員とその上司に対して、役割と責任を明確に示す必要がある。セキュリティは共有責任であるべきだが、期待されることを文書化し、それが適切に満たされるようにするのは当然のことである。

PCI DSS 4.0 準拠の準備にかかるリードタイムがあれば、セキュリティ文化の改善を組織全体で大きく前進させることができます。

‍

Secure Code Warrior에서는 개발자와 조직이 오늘날의 끊임없이 변화하는 보안 문제를 해결하는 데 적합한 기술을 갖추도록 돕기 위해 끊임없이 혁신하고 있습니다.우리는 참여도가 높고 유연하며 관리하기 쉬운 보안 코드 지원을 통해 이를 실현합니다.

누구나 기술 스택이나 추가 교육 프로그램에 투자할 때 좋은 투자 수익을 원합니다.하지만 보안과 관련해서는 긴 게임을 해야 합니다.개발자 주도 보안에 투자하면 비용이 많이 드는 보안 침해, 생산성 손실, 누적된 기술 부채의 위험을 완화할 수 있을 뿐만 아니라 오늘날의 위협 환경에 미리 대비하기 위한 사전 예방적이고 비용 효율적인 전략을 수립할 수 있습니다.

지난 분기, 시큐어 코어 워리어스는 코딩 랩을 통해 새로운 학습 방법을 구현했습니다. 코딩 랩은 이제 모든 시큐어 코드 워리어 고객이 이용할 수 있습니다.참여 관리 및 교육 과정 버전 관리에 대한 개선 사항을 발표하게 되어 매우 기쁩니다. 그리고 가이드라인과 같은 새로운 과정 활동을 만들었습니다!

詳しく見ていきましょう！

SCWプラットフォームの幅と深さの拡大

セキュアコードウォリアは、新たなコンテンツを継続的に拡充することで、今日のサイバーセキュリティ環境において知っておくべき事項に合わせてモジュールを関連性が高く、タイムリーでカスタマイズされた状態に保つのに役立ちます。55以上の言語で業界最高水準の幅と深さを提供するため、多くの言語やフレームワークで開発者を教育するプログラムを容易に構築・拡張できます。

코스에서 사용할 수 있는 코딩 지침

가이드라인을 추가하면 개발자들은 주로 보안 완화를 다루는 상황에 맞는 자기 주도형 학습을 할 수 있습니다.가이드라인은 동영상보다 심층적이며 특정 언어나 프레임워크에 초점을 맞춥니다.챌린지, 미션, 워크스루와 같은 기타 공격 기반 활동에는 개발자가 이미 취약점을 이해하고 있어야 합니다.우리는 방어적 관점에서 이러한 활동을 보완하기 위한 가이드라인을 만들었습니다.

개발자는 코스에서 가이드라인을 읽고 관리자는 코스 템플릿에서 가이드라인을 사용할 수 있습니다.가이드라인은 OWASP Top 10 2021에 나열된 취약점을 다루며 C#, 자바, 자바스크립트, 파이썬, 의사코드 및 PHP로 작성된 코드 스니펫을 포함합니다.

새로운 챌린지 콘텐츠

Secure Code Warrior는 관련성이 높고 시기적절하며 조직의 요구 사항에 맞게 조정된 새로운 과제를 정기적으로 업데이트하고 생성합니다.다음 언어로 제공되는 확장된 챌린지를 발표하게 되어 기쁩니다.

• Dart: Flutter - 안드로이드 및 iOS에서 원활한 크로스 플랫폼 앱을 빌드하기 위한 모바일 언어
• 테라폼: GCP - Google 클라우드 제공자를 위한 코드 개발 언어로서의 인프라입니다.

개발자는 코드를 분석하고, 취약점을 찾고, 비판적 사고를 적용하여 나열된 취약점을 방지하는 데 가장 적합한 보안 구현을 선택할 수 있습니다.

곧 출시 예정: 새로운 프론트엔드 개발자 콘텐츠

프론트엔드 개발자에게도 안전한 코드 지원이 필요합니다!그래서 미션 앤 워크스루에서 프론트엔드 취약점을 추가로 공개할 예정입니다.또한 프론트엔드 개발자는 코스에서 프론트엔드 관련 미션에 액세스할 수 있습니다.

이러한 업데이트는 DOM 기반 XSS와 같은 일반적인 취약점부터 CSS Injection과 같이 자주 발생하지 않는 취약성에 이르기까지 프론트엔드별 취약성을 포괄적으로 다루기 위해 노력하고 있습니다.

단계별 안내는 프런트 엔드 개발자에게 취약점이 악용되는 방식에 대한 신뢰할 수 있는 지침을 제공합니다.또한 고급 개발자는 토너먼트의 프런트 엔드 미션에서 자신의 실력을 테스트할 수 있습니다.

管理者および開発者の体験を簡素化

プラットフォームの主要なユーザビリティ改善により、拡張性が高く参加率の高いセキュリティコード教育プログラムを構築することが、これまで以上に容易になりました。

‍

교육 과정 버전 관리, 보관 및 참여 관리

이제 기존 프로그램을 편집하는 새로운 방법을 통해 끊임없이 변화하는 조직 프로그램 요구 사항을 충족하세요.코스 버전 관리를 통해 관리자는 완전히 새로운 코스를 생성하지 않고도 기존 코스를 수정할 수 있습니다.또한 관리자는 개발자가 등록하지 않은 테스트 코스 또는 관련 없는 코스를 삭제할 수 있으므로 아카이브를 깔끔하게 정리할 수 있습니다.

또한 코스 관리 페이지에서 추가 필터를 적용할 수 있으므로 관리자는 작업하려는 코스로 필터링하기가 훨씬 쉬워집니다.코스 상태, 종료일, 등록한 팀과 같은 다양한 속성으로 코스를 필터링할 수 있습니다.예를 들어 관리자는 시간 제한이 있거나, 과정 종료 평가가 첨부되어 있거나, 강좌가 초안 또는 미리 보기 상태인 경우 모든 코스를 쉽게 찾을 수 있습니다.

관리자는 코스의 버전 관리 및 필터링 외에도 필요에 따라 코스 참가자를 일괄적으로 다시 초대하고 코스에서 제거할 수 있습니다.이를 통해 관리자는 “초대된” 상태로 개발자를 다시 초대할 수 있는 원클릭 솔루션을 제공하므로 플랫폼으로 돌아와 학습을 시작하도록 상기시키는 데 필요한 귀중한 시간과 에너지를 절약할 수 있습니다!

‍

이로써 이번 분기의 새로운 기능을 마무리할 수 있습니다!팔로우하기 트위터의 시큐어 코드 워리어 최신 릴리스 및 개선 사항에 대한 업데이트를 받을 수 있습니다.

시큐어 코드 워리어를 사용해 보고 싶지만 아직 계정이 없으신가요?에 가입하세요 무료 평가판 계정 오늘 시작하세요.

全米サイバーセキュリティ意識向上月間は、サイバーセキュリティ専門家にとって年に一度の最も華やかな機会であり、多くの企業が組織全体のセキュリティ意識の高揚を振り返り、評価するために活用しています。また、2018年だけでも62％の企業がフィッシング攻撃やソーシャルエンジニアリング攻撃を経験しており、セキュリティの役割を担っているかどうかにかかわらず、企業内のすべての個人が適切なサイバーセキュリティ意識向上トレーニングを受けられるようにすることの重要性は、いくら強調してもし過ぎることはありません。

この月は、ますますグローバル化するイベントとして、ベストプラクティスを議論するためのキャッチボールの場となっており、その取り組みは意図的に表面的なものとなっています。しかし、強固なセキュリティプログラムを持ち、社内に専門家がいる組織であっても、この期間を利用して、より技術的なチームがそれぞれの役割に応じてセキュリティ意識を高めるために必要なことを評価することができます。

AppSecのスペシャリスト、開発チームのリーダー、そしてよりセキュリティに精通したエンジニア集団にとっては、卵の吸い方を教わっているような気分になるかもしれません。しかし、企業内のチャンピオンこそが、セキュリティと安全性を全社的に新たな高みへと押し上げることができるのです。

Cybersecurity Awareness Monthを盛り上げるには

これは、セキュリティチームが開発チームにオリーブの枝を差し伸べる絶好の機会である。おそらく、チーム間の活動やプログラムの形で、開発者が自分たちの仕事の中でセキュリティについて前向きに考えることができるようにするのであろう。

キックオフのアイデアとしては、以下のようなものがあります。

1. 開発者が安全なコーディングを学ぶために必要なサポートを受けることができます。仕事に適したツールを持っていないことは、タスクを「難しすぎるバスケット」に入れてしまうことを正当化しているように感じられます。
   
   今月は、開発技術スタックに何が欠けているのか、どのマネージャーが協力してコミュニケーションを改善し、セキュリティの可視性を高めることができるのか、そして誰が今後もセキュリティを擁護し続けることができるのかを理解するための月です。
   
2. ランチ＆ラーン」というイベントを開催する。一般的に、サイバーセキュリティや開発のコミュニティには、自分の専門知識を喜んで共有してくれる非常に寛大な人々が溢れています。カンファレンスの講演者や他社の技術者仲間、あるいは地元のOWASP支部に連絡を取り、チームに来ておしゃべりしたり、組織の誰かとウェビナーを録画したりできる人を探してみましょう。比較的短期間で成果を上げることができますし、新進気鋭の開発者にとっては、さまざまなセキュリティのキャリアパスを目の当たりにすることで、大きなメリットを得ることができます。
   
3. 集まって切磋琢磨しましょう。少し変わった特別なことをすれば、セキュリティについての学習はもっと楽しくなります。セキュアコーディングtournaments は、開発者が自分のセキュアコーディングのスキルを試したり、ゲーム性のある環境で仲間と競い合ったりするのに最適な方法です。仮装をテーマにして、チームごとに工夫を凝らしてみましょう（開発者対マネージャーなんてどうでしょう）。ピザや飲み物を注文して、エネルギッシュな音楽を流せば、組織全体にとって忘れられないイベントになるでしょう。

コミュニティへの還元Secure Code Bootcamp アプリを無料でダウンロード

私自身も開発者ですが、昔から無料で共有・利用できるものを探すのが常でした。他の人の役に立つようなフリーウェアを作ることは誇りであり、今月は私たちのルーツを振り返り、コミュニティに何を提供できるかを考える良い機会です。

そのために、新しい無料アプリSecure Code Bootcamp を発表します。これは、いつでもどこでもセキュリティ意識を高めながら、自分自身に挑戦したいコーダーのためのポケット・セキュア・コーディング・コンパニオンです。

iOSとAndroid用のアプリを今すぐダウンロードして、Node.JS、Python:Django、Java:Spring、C# .NETにおけるOWASPの脆弱性を見つけ、特定する方法を学びましょう。MVCです。

私たちの主な使命は、ソフトウェアとその開発を安全なものにすることであり、制作の初期段階からセキュリティを考慮して作られていることは周知の通りです。私たちのビジョンは、ソフトウェア開発の新しい基準を設定することです。開発者がスキルと知識を身につけることで、脆弱なコードを作成プロセス中に検出し、問題が発生する前に修正することができるようになります。

そういった意味では、世界中の企業に新たなデータ漏洩、サイバー攻撃、コードの不正利用が発生したというニュースは喜ばしいことだと思われるかもしれませんが、このような事件は、様々な分野における当社のサービスの必要性を明らかにするものです。しかし、実際のところ、これは非常にもどかしいことです。なぜなら、ほとんどのセキュリティ教育は、リスクを最小限に抑え、これらの侵害を阻止するのに十分な強度を持っていないからです。

最新のデータ漏洩の被害者はTicketmaster社です。被害に遭った数千人のお客様の中には、事件の発生とパスワードの変更を通知するメールを受け取った方もいらっしゃるでしょう。コンサートやスポーツイベントのチケットを購入しただけで個人情報が侵害されるとは誰も思っていませんが、このような事態になってしまいました。

これは誰にとっても最悪の事態であり、Ticketmaster社の評判を落とすことになり、まさに腐った顧客体験となりました。しかし、一つ問題があります。それは、完全に彼らのせいではないということです。

同社は、Inbenta Technologies社のカスタマーサポートアプリケーションを利用していました。Ticketmaster UKは、この製品に悪意のあるコードが含まれていることを発見し、全世界の顧客データの5％が侵害されました。

では、ハッカーたちはどのようにしてこのシステムを悪用したのでしょうか？Inbenta Technologies社がTicketmaster社の要求に合わせてカスタマイズした、1行のJavaScriptコードを操作したのです。Inbenta社によると、このコードは同社が対応していないページで使用されていたため、知っていればセキュリティ上の脆弱性として認識していただろうとのことです。

この脆弱性は、基本的にはファイルのアップロード/保存ライブラリのセキュリティ問題であり、たった1つの違反が、同じコードがロードされているすべてのサイトに影響を与える可能性があります。このコードは、個人情報を収集し、攻撃者に転送するように変更することができます。これは、広範囲に被害を及ぼす可能性のある単純な脆弱性であり、私たちは開発者向けにプラットフォーム内での様々なトレーニングを実施して、この問題に対する防御に取り組んでいます。

もちろん、サードパーティのアプリケーションに頼らずにビジネスを展開することは事実上不可能です。しかし、サードパーティがどのようにソフトウェアを構築しているかを管理することはできませんし、コードのセキュリティ強度についても基本的には見えません。これは信頼の問題です。もしサードパーティのパートナーが安全なコーディングを怠っていたら、あなたの会社にもセキュリティ侵害の可能性があるかもしれません。

では、その解決策とは？簡単に言えば、私たち全員がもっとうまくやらなければならないということです。私たちは、セキュリティを企業の革新の道を阻む厄介な障害物と考えるのをやめなければなりません。

開発チームに適切なツールと知識を与えてセキュリティを導入し、不正なコードを阻止することは、思ったよりも簡単です。私たちは、世界的に有名な金融、通信、小売、ハイテク企業の多くがこの新しいアプローチを採用していることを嬉しく思っていますが、セキュリティ教育に取り組むのはフォーチュン100社の企業だけではありません。しかし、セキュリティ教育に取り組むのはFortune 100企業だけではありません。開発者をスタッフに抱えるすべての企業は、チームが安全にコーディングできるようなトレーニングを実施する必要があります。

最近発表されたホワイトペーパーでは、CTOのMatias Madouと共同で執筆し、組織内にセキュリティ文化を構築することの利点を紹介しています。このホワイトペーパーでは、セキュリティ文化を構築することが、イノベーションを生み出し、アジャイル性を維持し、安全でないコードがもたらす財務上の影響を軽減するための鍵となる理由を詳しく説明しています。

などのヒントを見つけることができます。

セキュリティトレーニングを開発者にとって適切で魅力的なものにする方法

開発者が自分で問題を発見して解決する方法を教える方法

開発者が自らのコードを安全に構築するためにはどうすればよいか。

この資料をダウンロードして、組織内でセキュリティを擁護し、チームのスキルを高め、より高い水準のコードを設定するための第一線で活用してください。

私たちは、セキュリティを企業の革新の道を阻む厄介な障害物と考えるのをやめなければなりません。

すでに稼働している機器のコンピュータコードを1行だけ変更するのに、どれくらいの費用がかかるかと聞いたら、どんな数字が思い浮かぶだろうか。数百ドル？数千ドルかな？

Aviation Todayによると、民間航空会社が飛行機のコードを1行更新するのに100万ドルかかるという。これだけの費用がかかるのだから、飛行機のシステムを更新するために必要なステップを踏むには、それなりの理由が必要だろう。私は、さまざまな要因について考えさせられた。

コストの内訳

この記事では、100万ドルのコストを構成するものの概要は説明されていませんが、私はこの数字は実行可能なものだと思います。私は航空会社のソフトウェアアップデートに特化した専門家ではありませんが、この状況下で航空会社が取らざるを得ない手順のいくつかは想定できます。

まず、航空会社がアップデートを必要とする欠陥や脆弱性を発見する必要があります。例として挙げられているのは、米国国土安全保障省（DHS）がボーイング757型機を対象に行った調査です。わずか2日間の作業で遠隔操作によるハッキングが可能になったという結果は、航空会社が注意を払うには十分すぎるほど説得力がある。

その後、ソフトウェア開発者は調査結果を分析し、新しいコードを書き、安全な環境でテストを行い、問題が修正されていることを確認する必要があります。ここからが厄介なところです。航空会社は、脆弱性や欠陥のある各航空機を着陸させ、新しいコードを適用し、その航空機で確実に機能するかどうかをテストし、その計画を商業飛行のために再認証する必要があります。

airfleets.netによると、サウスウエスト航空は現在、499機のボーイング737-700を保有しています。もし、この機種にセキュリティ上の欠陥があった場合、時間とお金をかけて対応する必要があります。

単なる航空会社の挑戦ではない

明らかに、航空会社は最初から健全なセキュアコーディングの原則を採用することに興味を持っているはずです。少し考えてみると、同様のコストが適用される業界や状況が数多くあることがわかりました。ハッキングされた脆弱性によって飛行機が空から落ちてくることを心配する代わりに、ペースメーカーのような医療機器はどうでしょうか。50万個もの命に関わる電子機器をリコールしてアップデートするには、どれだけのコストがかかるでしょうか。

自動車業界では、自動運転車に関する話題やセキュリティへの懸念が続いています。しかし、典型的な自動車であっても、インターネットへの接続性はこれまで以上に重視されており、それが安全性に関する問題に直結しています。

本番環境にリリースされた後、あるいは大量生産される前のデバイスやシステムをアップデートするには、開発プロセスにセキュリティを組み込むよりも、はるかに多くの費用と労力、時間がかかるというのは単純な事実です。しかし、今もなお、予防可能なソフトウェアの欠陥やサイバーセキュリティの脆弱性が毎日のように発生しており、企業は開発文化の中に安全なソフトウェア開発を組み込む方法を模索する必要があることを示しています。

アビオニクス機器のコードを1行変更するのにかかる費用は100万ドルで、実施には1年を要するという。ボーイング社の737を使用しているサウスウエスト航空にとって、737に搭載されているシステムに特定のサイバー脆弱性があった場合、それは「破産」を意味します

‍

이번 달 초에 저는 참석할 기회가 있었습니다 OWASP 앱섹 데이 2019 아름다운 멜버른에서개발자 중심의 이러한 이벤트는 일정에서 제가 가장 좋아하는 행사 중 하나입니다. 소프트웨어 엔지니어와 전문가를 교육하고 역량을 강화하여 업무의 보안을 옹호하기 위해 끊임없이 노력하는 커뮤니티를 겸손하게 상기시켜줍니다.

게스트 라인업은 놀라울 정도로 다양하다는 것은 말할 것도 없고, 놀라울 정도로 다양했습니다. 업계에서 몇 년을 보낸 후에도 저도 영감을 받을 수 있다는 것이 정말 좋은 느낌입니다.다음과 같은 타냐 얀카, 토니 제임스 과 테리 라디첼 놀라운 프레젠테이션을 제공하면서 와이어구울“Eldar Marcussen Eldar는 현장 보안 코딩 과제에 대해 강당 전체를 테스트했지만 참석자들 사이에서 보안 의식이 깊어지는 것을 목격할 수 있어서 정말 좋았습니다.

올해 시큐어 코드 워리어는 이 행사의 플래티넘 스폰서였습니다.불과 4년 전만 해도 OWASP AppSec Day를 만든 팀이 무료 부스와 프로모션을 통해 부트스트랩 스타트업을 도왔다는 사실을 떠올리며 미소를 지을 수밖에 없었습니다.회사로서 우리가 얼마나 발전했는지 보는 것은 자랑스러운 순간이었고, 놀라운 사람들로 구성된 관대한 커뮤니티가 존재한다는 것에 감사할 수 있는 시간이었습니다.

토니 제임스: 개발자 관점에서의 보안

이 세상에서 우리가 더 키워야 할 것이 하나 있다면 바로 공감입니다.소프트웨어를 전반적으로 더 안전하게 만들기 위해서는 개발자가 처한 곤경을 이해하는 것이 필수적입니다.

Toni의 프레젠테이션이 정말 즐거웠고, 모든 개발자들이 즉시 공감할 수 있었을 거라고 확신합니다.이 이야기에는 단순히 “보안 코드 작성” 외에도 훨씬 더 많은 내용이 담겨 있습니다. 보안 교육을 효과적으로 받은 개발자들이 취약점을 퇴치할 수 있는 가장 좋은 기회라고 생각하긴 하지만, 그들이 매일 겪는 어려움을 반드시 고려해야 합니다.

소프트웨어 개발자의 작업은 수백만 명의 사용자에게 전시될 수 있고, 중요한 인프라를 지원하며, 우리가 당연하게 여기는 서비스의 원동력이 될 수 있습니다.기능 구축, 비즈니스 혁신 실행, 간결한 납품 기한 준수 등은 엄청난 압박을 가중시킵니다. 이는 AppSec 팀이 대규모로 자리를 잡고 각자의 힘든 일을 골라내기 전입니다.Toni는 이러한 환경에서의 삶이 어떠한지, 그리고 모든 측면에서 충분한 공감이 얼마나 더 나은 프로세스와 보안 결과로 이어질 수 있는지에 대해 이야기했습니다.개발자와 AppSec 팀 간의 격차를 해소하기 위해 이렇게 건강한 진전이 이뤄지는 것을 보게 되어 매우 기쁩니다. 결국 이는 긍정적이고 번성하는 보안 문화의 중요한 요소이며, Toni는 이러한 프로세스가 놀라울 정도로 잘 작동하는 대표적인 예입니다.

타냐 얀카와 테리 라디첼: 보안 슈퍼히어로

대회라는 것은 아니지만, 타냐 얀카와 테리 라디첼이 컨퍼런스에 기여한 것 중 하나는 제가 가장 좋아하는 것 중 하나였습니다.DIY 클라우드 보안 평가에 대한 튜토리얼을 시작한 지 10분 만에 놀라울 정도로 폭넓은 경험, 자격 및 전문성을 드러냈을 뿐만 아니라 지식을 공유하고 개발자 커뮤니티를 지원하려는 진정한 따뜻함과 열망도 드러났습니다.이들은 함께 보안 정책 설정 및 최소 권한 조치에 대한 실질적인 조언을 포함하여 Azure 구현의 보안을 보장하기 위한 현실적이고 실행 가능한 조치를 제시했습니다.

Google에서 빠르게 검색하면 소프트웨어 보안의 재미있고 매력적인 측면을 홍보할 수 있는 풍부한 무료 리소스, 멘토링 기회, 인터뷰를 통해 풀뿌리 차원에서 개발자를 지원하기 위한 노력에 대해 알아야 할 모든 것을 알 수 있습니다.그들은 우리 커뮤니티에서 영감을 주고 중요한 역할을 하는 챔피언입니다. 여러분이 참석하는 다음 보안 컨퍼런스에서 그들이 연설을 한다면 그들의 세션을 놓치게 되면 화가 날 것입니다.

큰 무대에 선 고객들

많은 고객이 참석했을 뿐만 아니라 무대를 소유하고 청중과 엄청난 보안 지식을 공유하는 모습을 볼 수 있어서 정말 기뻤습니다.

우리는 그럭저럭 잡을 수 있었습니다. 텔스트라앤드류 베일리가 “DevOps에 “섹션 추가”라는 중요한 강연을 하고 있습니다.선임 소프트웨어 엔지니어로 일한 풍부한 경험을 바탕으로 현재는 애플리케이션 보안 및 보안 코딩에 초점을 맞추고 있다는 점은 강조할 만한 훌륭한 관점이었습니다.그는 SDLC의 모든 단계에 보안을 주입하는 방법에 대한 포괄적인 팁을 제공했습니다 (물론 처음부터 보안 코딩에 대해 더 많은 개발자를 교육하는 것도 포함됨).

켄 존슨은 의 일원입니다 깃허브의 보안 팀, 그리고 컨퍼런스가 끝날 무렵 그가 전문가 패널에 합류하는 것을 보게 되어 기뻤습니다.그는 다른 패널들과 함께 미디어에서 마땅히 받아야 할 관심을 받지 못하는 사람들을 포함하여 청중의 긴급한 질문에 너무 기쁜 마음으로 대답했습니다.그는 패널로 하여금 여러 업계 인사이트와 함께 개발자 번아웃의 시대에 매우 중요한 웰빙과 일과 삶의 균형의 중요성에 대해 이야기하도록 했습니다.

또 다른 멋진 컨퍼런스에 대해 줄리안 버턴과 OWASP 멜버른 팀 전체에게 큰 감사를 표하고 싶습니다.내년에 만나요 (스티커 추가 포함).

저는 최근에 인터뷰를 받았습니다. 실버 불릿 팟캐스트Gary McGraw가 주최한 이 자리에서는 학술 연구에 비해 산업이 갖는 이점, 유럽에서 사업을 시작하는 것이 쉬운 이유, 애플리케이션 보안 산업이 미래에 나아갈 방향에 대해 논의했습니다.

창업을 하려는 의도는 전혀 없었지만, 같은 문제로 어려움을 겪고 있는 회사가 너무 많아서 창업하게 되었습니다. 보안 코드를 작성하는 것은 대부분의 개발자에게 어려운 일입니다.업계 전체가 코드의 보안 문제를 찾는 데 집중하고 있는데, 이런 문제들은 계속 쌓여가고 있습니다.

발견된 문제를 해결하는 데 어려움을 겪는 조직과 개발 팀을 효율적으로 돕는 데 초점을 맞춘 솔루션은 거의 없으며, 코드에 더 많은 문제가 유입되는 것을 방지하는 데에는 더더욱 초점을 맞추고 있습니다.점점 더 많은 조직에서 이러한 악순환을 인식하고 있으며 개발 팀은 처음부터 보안 코드 작성에 대한 교육을 받아야 하며 이를 가능하게 하는 도구와 프로세스를 갖추어야 한다는 사실을 깨닫고 있습니다.

Gary McGraw와 제가 이 업계의 발전을 어떻게 보고 있는지 더 알고 싶다면 다음 사이트를 확인해 보세요. 실버 불릿 팟캐스트!

쇼 139: Matias Madou가 보안 개발 교육 및 소프트웨어 보안 테스트 연구에 대해 이야기합니다.

https://www.synopsys.com/software-integrity/resources/podcasts/show-139.html