セキュリティ意識の高い開発者は、現代の脅威に常に立ち向かうことでサイバー防御を支えることができる、膨大かつ未開発のリソースであることをご紹介します。

Courses の基礎となるものです。Secure Code Warrior learning platformこの教材は、サイバーセキュリティプログラム全体の中でコーディングの意識と能力を高めるためのフレームワークに特化した学習経路を提供するものだからです。
新しいWalkthroughsとMissionsアクティビティにより、開発者は、実世界のアプリケーションのハンズオンコーディングシミュレーションで、不適切なコーディングプラクティスの影響を経験し、コンテキストを獲得し、攻撃的なスキルを練習することができます。
成人学習で実績のある足場固めのアプローチで、安全なコーディングスキルを 徐々に身につけることで、教育効果と開発者の関与を高めることができます。さらに、これらの最新の機能強化は、開発者のセキュアコーディングの知識とスキルをテストする幅広い攻撃的でインタラクティブなコーディングmissions 、プレーヤーの疲労に対処します。

主なトピックは以下の通りです。 

• ウォークスルーのライブデモとMissions でCourses
• OWASP Top 10 2021, NIST/US Government Executive Order, Certification Level 4/5をカバーする新しいテンプレートです。
• 足場付き学習と、それがどのようにチームの安全なコーディングスキルを段階的に構築するかについて

2021年、OWASPトップ10は新たな時代を迎える。インジェクションの欠陥がついに首位から陥落し、アクセス制御違反の脆弱性が上位にランクインしました。安全でない設計」や「ソフトウェアとデータの完全性の失敗」のような全く新しいエントリは、単独のセキュリティ・バグではなく、脆弱性のカテゴリに向かう傾向を示しており、最も一般的なバグからの脅威のランドスケープと潜在的な攻撃対象領域が広がっていることを証明しています。

OWASPは、私たちが毎日使用しているソフトウェアに見られる最も一般的で陰湿なセキュリティ問題に関する権威であり、組織が努力すべき基準値があるとすれば、それはセキュリティ訓練を受けた開発者の助けを借りて、このトップ10を征服することです。多くの企業がこのことを認識している一方で、サイバーセキュリティ・スキルの格差が縮小し、コードに対する異常な需要に直面するソフトウェアの安全性に好影響を与えるようになるには、開発者のスキルアップにもっと広い網を張る必要がある。

このホワイトペーパーでは、新しいOWASPトップ10について、次のような内容を解説する：

• 脆弱性のカテゴリーと個々の問題の影響
• 建築セキュリティが再注目されている理由
• ベースラインとしての OWASP Top 10 の価値と、企業が開発者のスキルアップの優先順位を独自に計画する必要がある理由
• 脆弱性を減らすための人間中心のソリューションが、ツールベースの防御よりも総合的なアプローチである理由。

‍

Secure Code Warrior は、開発者がソフトウェア・セキュリティ・スキルを向上させる際に、セキュア・コーディングを積極的かつ魅力的な体験にします。当社は、ソフトウェア開発プロセスの最も効率的な段階でセキュリティを向上させることにより、お客様のチームが高品質なコードをより早く出荷できるよう支援します。当社は、開発者を中心としたlearning platform とインテリジェントな開発者ツールを用いた開発者トレーニングとスキルアップを通じて、ソフトウェアをより安全にするための人間主導のホリスティックなアプローチを提供しています。 

このビデオでは、learning platform の中で利用可能なさまざまなモジュールを紹介しています。 

tournaments を皮切りに、チームで対戦型のコーディングイベントに参加し、開発者のスキルのベースラインを設定しながら、防御と攻撃のテクニックを練習します。プレイヤーは、実際のコードに基づいた一連のコーディングチャレンジとmissions を提示され、脆弱性を特定し、見つけ、修正するために互いに競い合います。tournament を通じて、開発者はポイントを獲得し、リーダーボードのトップに立つことで、開発チーム内の潜在的なセキュリティチャンピオンを見出すことができます。 

このトレーニングでは、開発者がコードを書く際にセキュリティ上の問題を特定して修正し、ベストプラクティスに従い、安全なソフトウェアを迅速に作成することができるようになります。フレームワークに特化したハンズオン形式のコーディングチャレンジは、開発者が脆弱性を特定し、その仕組みを理解し、コードレビューでコード内の脆弱性を見つけ、コード内の脆弱性を緩和・修正するための伝達可能なスキルを身につけるのに役立ちます。 

courses は、重要な欠陥に的を絞り、サイバーセキュリティプログラム全体の中でコンピテンシーを構築する、厳選された学習パスウェイで、再作業や繰り返し発生する脆弱性を削減します。courses を設定して割り当てることで、NIST や PCI DSS などのコンプライアンス要件の達成を支援します。また、コードベースの特定の脆弱性をターゲットにして、再発を防ぐことができます。

アセスメントは、開発者、請負業者、新入社員のセキュアコーディングスキルを簡単に測定し、改善することができます。コードのセキュリティに関して開発者が基本的なレベルの能力を持っていることを確信し、コンプライアンス要件を迅速かつ簡単に証明することができます。

豊富な学習リソース。セキュリティの基礎、モバイルやWebアプリケーションのセキュリティの弱点を網羅したビデオやプレゼンテーションリソースを使って、セキュリティの基礎やアプリケーションセキュリティのコンセプトをウォークスルーします。 

データとインサイトにより、組織全体のトレーニングの進捗状況を追跡・監視するためのレポートを提供します。役割に応じたダッシュボード、事前に作成されたレポート、レポートAPIにより、チームや会社の業績、個人のスキルアップを簡単に測定・分析することができます。 

ソフトウェア開発とセキュリティの分野で私たちが直面している課題の一つは、過去20年間、同じような、あるいは現在のソフトウェアの脆弱性を目にしてきたことだと思います。静的なコード解析を行っても、脆弱性評価や侵入テストを行っても、同じ問題が異なる技術やコードの異なる部分で繰り返し発生しています。 

静的コード解析にしても、脆弱性評価や侵入テストにしても、これらの技術は問題点を指摘するだけで、実際に手を動かして解決する方法を教えてくれないことが多いというのが、2つ目の課題だと思います。ソフトウェアのセキュリティ問題の再発を防ぐだけでなく、ソフトウェア開発サイクルの中で迅速に解決したいと考えているからです。 

Secure Code Warrior では、開発者の開発プロセスやツールに統合しようとしています。それは、ソフトウェア開発者との関連性を高め、文脈に沿ったものにしたいからです。私たちは、開発者が実際の問題を解決するために、コーチングやガイドをする手助けをしたいと考えています。また、チケッティングシステムへの統合もその一例です。静的コード解析ツールやペンテストによってセキュリティバグが発見されたとき、私たちは開発者と一緒になって、関連するコーディングパターンや、特定のコーディング言語でこの問題を迅速に解決する方法についての情報を提供したいと考えています。このように、私たちは、開発者が実際に必要とするときに、私たちを本当にコンテクストに沿った存在にしたいのです。sensei のような技術を使えば、開発者のIDEの中でコンテクストに沿ったサービスを提供することができます。新入社員や若手の開発者が、セキュリティの脆弱性につながるようなコーディングを行っていることに気づいたとき、私たちは実際にそこにいて、問題を検出してその場でトレーニングを行うだけでなく、その問題を迅速に解決するためのガイダンスを提供し、さらにはIDE内で自動的にコードを書き換えることができるようにしたいと考えています。このようにして、私たちは関連性の高いコンテクストを提供するとともに、開発者が自分のチームで安全なコードを作成するための修正方法を、彼らのコーディング言語でソリューションとして提供したいと考えています。 

ですから、私たちの最終的な目標は、開発者のDNAにセキュリティを組み込むことです。私たちは左にシフトしたいのではなく、左からスタートしています。私たちは開発者を助け、最初から安全なコードを書けるようにしたいのです。そのために、開発者が使用しているコーディングや言語に特化した、実践的なゲーミフィケーションや楽しい学習体験を提供する環境を構築しているのです。開発者が安全なコードを迅速に書けるように、セキュリティを構築的で前向きな楽しい経験にしたいのです。

では、なぜ開発者はSecure Code Warrior が好きなのでしょうか？リアクトでコーディングするフロントエンド開発者、Javaやswiftでコーディングするモバイル開発者、あるいはCOBOLやRPG、JavaやC#に注力する昔ながらの開発者など、基本的にはそれぞれのコーディング言語やフレームワークでのスキルアップを支援していますので、実践的な方法でセキュリティを理解し、怖くない、学ぶのが楽しいものにすることができます。