Einblicke in sichere Codes

Cyberangriffe nehmen zweifellos zu. Laut dem Verizon Data Breach Investigations Report 2021 ist die Bedrohungslandschaft heute gefährlicher als je zuvor. Unternehmen aller Größen sind mit einem höheren Angriffsvolumen und einem höheren Grad an Raffinesse seitens der Bedrohungsakteure konfrontiert, die sie ins Visier nehmen. Und auch die Erfolgsraten der Angreifer steigen sprunghaft an.

Die Analyse der jüngsten Angriffe hilft dabei, einige der häufigsten Sicherheitslücken und Techniken aufzudecken, die von Hackern bei diesem beispiellosen Angriff gegen Cyberabwehr eingesetzt wurden. Einige der beliebtesten Angriffe, wie zum Beispiel diejenigen, die es ins Open Web Application Security Project (OWASP) geschafft haben Die 10 wichtigsten Sicherheitsrisiken und Sicherheitslücken für 2021, beinhaltete den Diebstahl oder die anderweitige Kompromittierung von Zugangsdaten. Und laut Sicherheitsforschung Die überwältigende Mehrheit, fast 75%, wurde von Akamai durchgeführt und zielte direkt auf die Anmeldeinformationen der APIs ab.

Der Aufstieg und der mögliche Ruin von APIs

Kein Wunder, dass Anwendungsprogrammierschnittstellen, meist nur APIs genannt, in den Netzwerken fast aller Unternehmen auf dem Vormarsch sind. Sie sind ein wichtiger Bestandteil der meisten Cloud-basierten Dienste, die in den meisten Unternehmen, Organisationen und Regierungsbehörden zunehmend die Funktionen der lokalen Ressourcen übernehmen. Ohne die Cloud können Sie heutzutage fast keine Geschäfte oder Aufgaben mehr ausführen, insbesondere solche, die öffentlich zugänglich sind. Und das bedeutet, dass APIs sicherlich der Klebstoff sein werden, der eine ganze Reihe von Diensten in jedem Netzwerk zusammenhält.

Das Erstaunliche an APIs ist, dass sie in Bezug auf die Zuweisung von Netzwerkressourcen meist klein und unauffällig sind. Und sie sind völlig flexibel, sodass sie mit fast allen Aufgaben beauftragt werden können. Im Kern sind APIs einzelne Softwareteile, die auf die Steuerung oder Verwaltung eines bestimmten Programms zugeschnitten sind. Sie können verwendet werden, um ganz bestimmte Funktionen auszuführen, z. B. den Zugriff auf Daten von einem Host-Betriebssystem, einer Anwendung oder einem Dienst aus.

Leider sind es genau diese Flexibilität und die Tatsache, dass sie oft klein sind und von Sicherheitsteams übersehen werden, die APIs zu attraktiven Zielen machen. Die meisten APIs wurden von Entwicklern so konzipiert, dass sie absolut flexibel sind, sodass sie beispielsweise auch dann weiter funktionieren können, wenn das von ihnen verwaltete Kernprogramm geändert oder geändert wird. Und es gibt nur wenige Standards. Fast wie Schneeflocken sind viele APIs insofern einzigartig, als sie so konzipiert sind, dass sie eine bestimmte Funktion mit einem einzigen Programm in einem bestimmten Netzwerk erfüllen. Wenn sie von Entwicklern programmiert werden, die nicht sehr sicherheitsbewusst sind oder sich nicht speziell auf Sicherheit konzentrieren, dann können und werden sie wahrscheinlich eine beliebige Anzahl von Schwachstellen die Angreifer finden und ausnutzen können.

Leider läuft das Problem schnell aus dem Ruder. Laut Gartner wird bis 2022 Sicherheitslücken im Zusammenhang mit APIs wird der häufigste Angriffsvektor in allen Cybersicherheitskategorien werden.

Der Hauptgrund, warum Angreifer APIs kompromittieren wollen, ist nicht, dass sie irgendeine spezifische Funktion übernehmen können, die die API ausführt, sondern darin, die damit verbundenen Anmeldeinformationen zu stehlen. Eines der größten Probleme mit APIs ist nicht nur reich an Sicherheitslücken, sondern auch, dass sie häufig viel zu viel erlaubt in Bezug auf ihre Kernfunktionalität. Der Einfachheit halber haben die meisten APIs nahezu Administratorzugriff auf ein Netzwerk. Wenn ein Angreifer die Kontrolle über ein Netzwerk erlangt, kann er dessen Berechtigungen häufig nutzen, um tiefere und substanziellere Eingriffe in ein Netzwerk zu starten. Und da die API die Erlaubnis hat, alle Aufgaben auszuführen, zu denen der Angreifer ihn umleitet, können seine Aktionen häufig die traditionelle Cybersicherheitsüberwachung umgehen, da die API dank ihres VIP-Backstage-Passes für alle Bereiche keine Regeln verstößt.

Wenn Unternehmen nicht vorsichtig sind, kann die Zunahme von APIs in ihrem Netzwerk und ihren Clouds auch große Probleme bereiten, wenn sie von Angreifern ins Visier genommen werden.

Verteidigung der APIs

So gefährlich die Situation mit APIs auch wird, sie ist alles andere als hoffnungslos. Durch Bewegungen entsteht ein großer Kraftaufwand wie DevSecOps um Entwicklern dabei zu helfen, das Sicherheitsbewusstsein zu stärken und Sicherheit und bewährte Verfahren in alle Aspekte der Softwareentwicklung einzubeziehen, von der Entwicklung über das Testen bis hin zur Bereitstellung. Die Einbeziehung der API-Sicherheit in diese Schulung wird für jedes Unternehmen, das sich bis 2022 und darüber hinaus dem Trend der API-Ausnutzung widersetzen will, von entscheidender Bedeutung sein.

Allerdings gibt es einige wirklich gute Best Practices, die derzeit in Bezug auf die API-Sicherheit implementiert werden können.

Die erste Sache ist, strenge Identitätskontrollen für alle APIs einzuführen. Sie sollten sie bei der Vergabe von Berechtigungen fast als menschliche Benutzer betrachten. Nur weil eine API nur für eine bestimmte Funktion konzipiert ist, müssen Sie darüber nachdenken, was passieren könnte, wenn ein Angreifer sie kompromittieren kann. Erwägen Sie die Verwendung einer rollenbasierten Zugriffskontrolle. Im Idealfall sollten Sie letztendlich die Zero-Trust-Prinzipien auf Ihre APIs und Benutzer anwenden, aber das ist oft ein langer Weg. Ein gutes Identitätsmanagement ist ein guter Anfang. Achten Sie nur darauf, APIs als Teil dieses Programms einzubeziehen.

Sie sollten auch die verschiedenen Aufrufe, die von Ihren APIs getätigt werden, so genau wie möglich kontrollieren. Wenn Sie diese Aufrufe auf sehr kontextzentrierte Anfragen beschränken, wird es für einen Angreifer viel schwieriger sein, sie für schändliche Zwecke zu ändern. Sie können Ihre APIs sogar überlagern, wobei eine anfängliche API einen stark kontextbezogenen Aufruf an eine andere API tätigt, die genau weiß, wonach sie suchen und was zu ignorieren ist. Das kann eine effektive Methode sein, um die Funktionen einzuschränken, die einem Bedrohungsakteur zur Verfügung stehen, selbst wenn er in der Lage ist, eine API innerhalb dieser Kette auszunutzen und zu kompromittieren.

Die Bedrohungen gegen APIs können sicherlich überwältigend erscheinen. Aber durch die Implementierung von Best Practices und die Unterstützung und Belohnung von Entwicklern, die zu Sicherheitsexperten werden, kann die Situation viel weniger hoffnungslos erscheinen. Mit guter Schulung und Praxis können Sie ein robustes Sicherheitsprogramm aufstellen, das Angreifern wenig Spielraum lässt, selbst wenn sie eines Ihrer winzigen, aber wichtigen API-Arbeitspferde irgendwie gefährden sollten.

Als Experte für Anwendungssicherheit ist es Ihre Aufgabe, die Cybersicherheit der Anwendungen Ihres Unternehmens zu gewährleisten. Sie sind jedoch nicht dafür verantwortlich, den Code zu schreiben, auf dem die Anwendung ausgeführt wird. Ingenieure innerhalb des Entwicklungsteams sind es. Wie stellen Sie also sicher, dass sie diese Systeme unter Berücksichtigung der Sicherheit entwickeln?

Höchstwahrscheinlich machst du einige oder sogar alle der folgenden Dinge:

• Überprüfung des gesamten Codes auf Sicherheitslücken und Meldung dieser an das Entwicklungsteam zur Behebung.
• Durchsetzung eines strengen Peer-Review-Prozesses während Ihres gesamten sicheren Entwicklungslebenszyklus.
• Durchführung regelmäßiger Anwendungsbewertungen/Penetrationstests durch interne oder externe Sicherheitsteams.
• Implementierung von Scan-Tools zur Erkennung von Sicherheitslücken.
  

Dies sind großartige bewährte Methoden, aber sie sind auch teuer und ähneln der Einnahme einer Antibiotikarunde jedes Mal, wenn Sie krank werden. Das ist nicht nur mit hohen Kosten verbunden, es verliert auch an Wirksamkeit und kann Ihr Immunsystem im Laufe der Zeit schwächen.

Wie stellen Sie tatsächlich sicher, dass der Code, den Entwickler ausliefern, überhaupt sicher geschrieben ist?

Abgesehen von der sicheren Codierung sollten Sie zunächst darüber nachdenken, wie Menschen lernen. Die meisten von uns sind visuelle Lerner und lernen durch Handeln. Dennoch werden Schulungen zum Thema „Sicherheitscode“ oft als „Häkchen“ -Aktivität angeboten und sind für die tägliche Arbeit eines Entwicklers nicht relevant. Es soll nachweisen, dass Entwickler häufig Sicherheitsschulungen absolviert haben, um den Industriestandards zu entsprechen, und nicht, dass Entwickler dieses Wissen tatsächlich behalten, geschweige denn Spaß am Lernprozess haben.

Menschen neigen auch dazu, durch unsere Fehler zu lernen, auf die gleiche Weise wie unser Immunsystem. T-Zellen erinnern sich, auf welche Art von Krankheitserregern sie in der Vergangenheit gestoßen sind und die sie erfolgreich ausgerottet haben, sodass sie sich in Zukunft vor ihnen schützen können. Das ist genau die Rolle, die Entwickler in Ihrem sichern SDLC.

Es ist unrealistisch zu erwarten, dass sie keine Fehler machen, aber Sie können sie so vorbereiten, dass Sie Codierungsmuster erkennen können, die in Zukunft zu Sicherheitslücken führen werden.

Dies ist auch der Grund, warum ein robustes Peer-Review-Verfahren so mächtig wird. Nur weil ein Entwickler eine Sicherheitslücke nicht bemerkt, heißt das nicht, dass ein anderer nicht bemerkt. Und je besser das gesamte Entwicklungsteam geschult ist, desto wahrscheinlicher ist es, dass Sicherheitslücken im Nu erkannt werden und es nie in die Produktion schaffen.

Software-Sicherheitslücken sind wie Krankheitserreger

Software-Sicherheitslücken sind in dem Sinne wie Krankheitserreger, man muss sich an sie erinnern, um sie bekämpfen zu können. Bei Krankheitserregern muss unser Immunsystem oft mehrfach exponiert werden, bevor es sich daran erinnert, wie es sie bekämpfen kann, um schwere Krankheiten oder Schlimmeres zu vermeiden.

Ein erfolgreicher Cyberangriff von anfälliger Software kann ein Unternehmen ernsthaft lahmlegen oder zum Erliegen bringen. Wenn Entwickler jedoch zuerst in einer kontrollierten Umgebung mit Software-Sicherheitslücken vertraut gemacht werden, können sie daran arbeiten, eine Immunität gegen diese Bedrohungen aufzubauen, indem sie ihre Kenntnisse und Fähigkeiten im Bereich der sicheren Codierung erweitern und regelmäßig üben.

Setzen Sie Entwickler Sicherheitslücken in einer kontrollierten Umgebung aus

Wir können uns nie vollständig davor schützen, krank zu werden, aber es gibt Dinge, die wir tun können, um unser Immunsystem zu stärken und so gesund wie möglich zu bleiben. Dinge wie regelmäßige Bewegung, gesunde Ernährung und viel Schlaf gehören zu den Lebensgewohnheiten, die häufig mit einem starken Immunsystem in Verbindung gebracht werden. Aber all diese Dinge erfordern ein wenig Aufwand und müssen kontinuierlich sein. Eine Woche lang jeden Tag joggen oder einen Monat lang auf das Trinken verzichten, wird Ihre allgemeine Gesundheit kaum beeinträchtigen. Es ist auch nicht ratsam, am ersten Tag, an dem wir mit dem Laufen beginnen, rauszugehen und 10 km zu laufen. Wir müssen zuerst unser Herz und unsere Muskeln der Übung aussetzen. Wir wissen auch, dass es ein bisschen Experimentieren erfordert, bis wir ein gutes Gleichgewicht zwischen unserem Körper und gesunden Lebensmitteln und Übungen, die wir lieben, gefunden haben.

Es ist nicht so anders, wenn es um sichere Softwareentwicklung geht. Das Lernen erfolgt im Laufe der Zeit und mit der Praxis, und Entwickler benötigen dieselbe fortlaufende Schulung, um ihre Fähigkeiten im Bereich der sicheren Codierung regelmäßig zu verbessern. Ganz zu schweigen davon, dass sich die Softwareentwicklung ständig weiterentwickelt und sich anpasst, was auch die Sicherheitslücken bedeutet. Deshalb reicht eine einfache Schulung nicht aus. Entwickler müssen regelmäßig geschult werden, um mit potenziellen Bedrohungen vertraut genug zu sein, um angemessen gegen sie gewappnet zu sein.

Ziel ist es, innerhalb des Entwicklungsteams eine Herdenimmunität zu erreichen

Eine einzelne Person kann nicht alle Sicherheitsprobleme verhindern. Es ist toll, Sicherheitsexperten im Team zu haben, aber um den besten Schutz zu erhalten, gilt: Je mehr Mitarbeiter über Sicherheitslücken und deren Vermeidung erfahren haben, desto bessere Chancen hat Ihr Unternehmen, sie zu verhindern. Auch hier ist es nicht viel anders als die Tatsache, dass das Immunsystem verschiedene Typen von T-Zellen für unterschiedliche Zwecke verwendet. Jeder einzelne Entwickler ist Teil eines Teams, das für Sicherheit sorgt. Wenn sie befähigt sind, Verantwortung zu übernehmen, es gut zu machen und sogar Spaß daran haben, dann können Sie innerhalb des Entwicklungsteams eine Herdenimmunität gegen Cyberbedrohungen schaffen.

Behalten Sie die Sicherheit bei wiederholter Exposition im Auge

Unser Gehirn lernt auf ähnliche Weise, wie unser Immunsystem funktioniert. Deutscher Psychologe Herman Ebbinghaus war ein Pionier auf dem Gebiet des Gedächtnisses und Lernens. Er folgerte daraus, dass Lernen im Laufe der Zeit und mit mehreren Lernsitzungen erfolgen muss. Wenn wir in der Schule sind, wird von uns nie erwartet, dass wir nach der ersten Einführung neues Wissen beibehalten. Zuerst werden uns die Informationen präsentiert, dann üben wir sie unter Anleitung und dann üben wir sie selbst. Und selbst wenn wir es gut genug gelernt haben, um eine Prüfung zu bestehen, neigen die Informationen dazu, kurz darauf vergessen zu werden, wenn wir das Wissen, für das wir Zeit und Mühe aufgewendet haben, nicht regelmäßig anwenden. Wie viele von uns können von sich behaupten, dass sie sich an ihr Highschool-Französisch erinnern?

Wie können wir also glauben, dass ein einziger Tag, an dem wir uns Folien ansehen und jemandem zuhören, der über Sicherheit spricht, tatsächlich dazu führen würde, dass die anwesenden Entwickler sicherer programmieren?

Muster wiederkehrender Sicherheitslücken zeigen uns, dass dies einfach nicht funktioniert.

Wie erreicht man eine sichere Entwicklungsimmunität?

Die Antwort liegt in unserer Natur. Unser Körper und unser Geist funktionieren auf die gleiche Weise und sie bieten wunderbare Lösungen für Probleme, solange wir mit ihnen und nicht gegen sie arbeiten.

Um sicherzustellen, dass Ihre Anwendungen sicher sind, müssen Sie zunächst Entwickler darin schulen, sicheren Code zu schreiben. Andernfalls wird AppSec weiterhin ihre gesamte Zeit damit verbringen, den gesamten Code auf Sicherheitslücken zu überprüfen und dieselben wiederkehrenden Sicherheitslücken an die Entwicklung zurückzumelden, nur um schnell behoben zu werden, ohne dass etwas gelernt wurde. Und dann machen Sie alles noch einmal für die nächste Version.

Lassen Sie uns das noch einmal wiederholen.

Wenn Sie dabei mit Ihren Entwicklungsmanagern zusammenarbeiten, implementieren Sie nicht nur ein sicheres SDLC und kreuzen das Kästchen für die Einhaltung der Sicherheitsschulungen an, sondern Sie werden auch einen realen Einfluss auf den Entwicklungsprozess haben. Um dem Ganzen noch einen drauf zu setzen: AppSec wird nicht mehr auf Sicherheitslücken stoßen und diese den Entwicklungsteams melden und Entwickler werden weniger Zeit damit verbringen, sie zu beheben. Das bedeutet, dass sie mehr Zeit damit verbringen können, die fantastische Software zu entwickeln und zu verbessern, die unsere Welt besser macht.

Sind Sie bereit, Ihr Entwicklungsteam weiterzubilden? Mach weiter und eine Demo buchen bei uns.

Obwohl es für jeden, der außerhalb der Softwareentwicklung arbeitet, kontraintuitiv erscheinen mag, haben viele der im Laufe der Jahre im Bereich Anwendungssicherheit beschäftigten Experten in diesen wichtigen Rollen mit wenig oder keiner Programmiererfahrung gearbeitet. Diese AppSec-Experten sind Teil des Teams, das dafür verantwortlich ist, sicherzustellen, dass sich keine Sicherheitslücken in die Anwendungen einschleichen, die zum Lebenselixier vieler Branchen und Organisationen geworden sind, und dennoch können nur wenige von ihnen den Code tatsächlich direkt selbst evaluieren oder reparieren.

Viele Sicherheitsexperten kommen nicht aus dem Bereich Programmieren, sondern betrachten ihre Rollen aus der Perspektive von Schlüsselkenntnissen über Angriffsvektoren, Bedrohungen, Exploits und Geschäftsrisiken. Sie haben einen begrenzten Überblick über Code. Zwar verfügt nicht jeder AppSec-Experte über die gleichen Fähigkeiten, aber ein typischer Arbeitsalltag für viele beinhaltet die Zusammenarbeit mit Code-Reviewern und Scan-Tools, um sicherzustellen, dass Programme und Systeme gemäß den Unternehmensstandards oder den relevanten Branchen- und Regierungsvorschriften geschützt sind. Anschließend verfassen sie Berichte über ihre Ergebnisse und senden Informationen über den Angriffsvektor zurück, der den Code knacken könnte. Es liegt dann an den Entwicklern, die notwendigen Korrekturen vorzunehmen, unabhängig davon, wie störend das für die aktuelle Arbeit sein mag.

Der Grund, warum sich die Situation so entwickelt hat, ist, dass die vorherrschende Logik im Laufe der Jahre war, dass die Aufgabe, Netzwerke und Anwendungen zu schützen, so umfangreich war, dass es keinen Sinn machte, zu erwarten, dass jeder, der im Bereich Cybersicherheit arbeitet, jede Rolle wahrnimmt. Tiefgehende Programmierkenntnisse blieben den Entwicklern überlassen, und es wurde wenig Wert auf die Fähigkeit gelegt, Code weiter unten in der Entwicklungspipeline zu schreiben oder zu bearbeiten.

Diese Denkweise ändert sich schnell, und das ist eine einzigartige Gelegenheit für Entwickler, den lukrativen Sprung und den Karrierewechsel zu AppSec zu wagen. Nicht jeder Entwickler wird sich der sogenannten dunklen Seite zuwenden wollen, und viele Entwickler stehen AppSec-Teams nicht besonders positiv gegenüber. Aber für diejenigen, die das tun, gab es nie einen besseren Zeitpunkt, um sich diesen immer verlockender werdenden Messingring zu schnappen.

DevSecOps treibt fast jede Branche an

Einer der wichtigsten Faktoren bei der Steigerung des Nutzens sicherheitsbewusster Programmierer und Entwickler in jeder Organisation ist der fast allumfassende Schritt hin zu agileren Entwicklungspraktiken. wie DevSecOps. Wenn Entwicklung, Sicherheit und Betrieb kombiniert werden, wird Cybersicherheit zu einer gemeinsamen Verantwortung, die von Anfang bis Ende in die Entwicklung neuer Software integriert wird. In dieser Umgebung wird die Fähigkeit zum Programmieren zunehmend auf der ganzen Linie als wertvolles Gut angesehen, und dies gilt insbesondere für Ingenieure, die sich auch von Natur aus mit Sicherheit auskennen.

Ein AppSec-Experte, der nicht nur Cybersicherheit auf hohem Niveau versteht, sondern auch den Code, der dafür sorgt, dass alles funktioniert, ist für jedes Unternehmen von Natur aus wertvoller als jemand, dessen Wissen sich auf die Theorie konzentriert. Die Fähigkeit, im Code gefundene Sicherheitslücken schnell zu entdecken und zu bewerten und diese Probleme dann zu mindern, ist der Hauptgrund, warum DevSecOps so beliebt ist.

Entwickler, die in AppSec arbeiten, bieten jedem Unternehmen, das sie beschäftigt, einen weiteren großen Vorteil. Da sie aus der Entwicklungsabteilung des Hauses kommen, ist es für sie einfach, mit Entwicklern über Sicherheit und Sicherheitslücken zu sprechen. Es macht es auch viel einfacher, Coaches für die Entwicklungsteams zu werden, was ihnen hilft, bessere Programmierer zu werden. Im Laufe der Zeit werden sie möglicherweise sogar in der Lage sein, das Stigma der „dunklen Seite“ von AppSec zu entfernen und dabei zu helfen, Teams innerhalb der Softwareentwicklung im gesamten Unternehmen zu vereinheitlichen.

Der Fachkräftemangel im Bereich Cybersicherheit wird immer schlimmer

Shakespeare überlegte, dass es ein böser Wind ist, der niemanden gut weht. Er meinte damit, dass selbst die dunkelste Situation wahrscheinlich jemandem nützt. Der Fachkräftemangel im Bereich Cybersicherheit ist ein gutes Beispiel dafür.

Der Personalmangel ist fast überall akut zu spüren. In einem aktuelle Umfrage In einer vom Center for Strategic and International Studies durchgeführten Studie gaben 82 Prozent der IT-Entscheidungsträger an, dass ihre Unternehmen unter einem Mangel an Cybersicherheitskompetenzen litten, und 71 Prozent gaben an, dass der Mangel zu direkten und messbaren Schäden für ihre Unternehmen geführt hat. Um diese Krise in ein noch besseres Licht zu rücken, wies der Bericht darauf hin, dass allein in den Vereinigten Staaten im Jahr 2020 allein in den Vereinigten Staaten mehr als 520.000 unbesetzte Stellen im Bereich Cybersicherheit in einem Bereich, in dem nur etwa 940.000 beschäftigt sind, unbesetzt waren.

Der Personalmangel im Bereich Cybersicherheit ist eine schlechte Nachricht für Unternehmen, die versuchen, ihre Infrastruktur, ihr Geschäft und ihre Daten vor einer zunehmend gefährlichen Bedrohungslandschaft zu schützen. Es ist jedoch eine gute Gelegenheit für Entwickler, die sich mit AppSec und Sicherheit befassen möchten. Die Chancen stehen gut, dass Stellen in den Bereichen Cybersicherheit und AppSec fast überall verfügbar sind. Und die Zahl der Stellen im Bereich Cybersicherheit beträgt im Durchschnitt 21% mehr Zeit Um diese Tage zu füllen, steigen die Gehälter auf breiter Front.

Der Sprung zu AppSec

Es gibt vielleicht nie einen besseren Zeitpunkt für Entwickler, um den lukrativen Sprung auf die sonnige Sicherheitsseite des Lebens zu wagen. Sicherheitsbewusste Entwickler werden nicht mehr nur als Teil einer provisorischen Sicherheitsmethode angesehen, sondern nehmen stattdessen eine umfassende und respektierte Rolle als Verteidiger der Cybersicherheit ein. Dies gilt insbesondere für Unternehmen, die DevSecOps und andere agilere Entwicklungsmethoden eingeführt haben. Und der Mangel an Talenten im Bereich Cybersicherheit bedeutet, dass Stellen in fast jedem Unternehmen, jeder Regierungsbehörde oder Organisation verfügbar sind. Wer über die richtigen Fähigkeiten verfügt, kann sich aussuchen, wo er arbeiten möchte.

Die Umstellung auf AppSec ist vielleicht nicht jedermanns Sache, und natürlich werden sich die meisten Entwickler weiterhin darauf konzentrieren, tolle Funktionen zu entwickeln. Aber für diejenigen, die erwägen, den Sprung zu wagen, kann die Investition in Sicherheitsschulungen zur Erweiterung ihrer vorhandenen Programmierkenntnisse viele Türen öffnen. Die besten AppSec-Mitarbeiter kommen aus dem Ingenieurwesen, weil sie die Technologie sehr gut verstehen und Empathie für die Notlage ihrer Entwicklerkollegen haben. DevSecOps bedeutet, dass jetzt sowieso jeder für die Sicherheit verantwortlich ist. Warum also nicht den aktuellen Fachkräftemangel nutzen, um Ihre Karriere im Bereich Anwendungssicherheit voranzutreiben? Es gab noch nie einen besseren Zeitpunkt, um einen positiven Schritt für sich, Ihre Familie und Ihre Karriere zu unternehmen.

A side-channel attack is when a hacker can gather information from the physical implementation of a software system rather than a theoretical weakness in the algorithm or bug in the code of the software.

An example I like to use to make this more clear is a way to do username enumeration. If you want to know what username enumeration is or why it is bad, visit our website for a video explanation or play a challenge to see if you can identify it in code.

Now in order to understand how username enumeration can be done through a side-channel attack, you need to have some understanding of how passwords are (or at least should be) handled in modern web applications. A good web application doesn't know your password, it doesn't save or store your password anywhere. So how does it know that what you typed is correct and in fact your password? Well, your password is hashed.

A hashing function is a mathematical operation that is easy to perform one way (although somewhat computationally expensive) but very difficult to reverse and for good hashing algorithms, the output is unique depending on the input. When you register on a website, that hash is stored safely, not your password itself. That means that every time you log-in, the web application hashes your input and compares the hashed results to the stored hash. If you want to learn more about secure password storage, you can do that on our platform.

Hashing input takes some time on a computer and developers always try to optimize everything they write in order for the users to have a smooth experience. One thing that speeds up the program is to skip the hashing when it is not needed. For example, when the username does not exist (and so no password needs to be checked) they can respond to the user immediately. This way they can skip the slow computation of hashing the password. If the username was correct they will hash the password input and compare that to the stored hash.

At this point, you might have guessed where things can go wrong. Even though in reality the hashing takes only a few milliseconds, a hacker can use this added delay to find out if the username he entered was correct or not since a wrong username will have a slightly faster response because no hashing was done. This type of side-channel attack is called a timing attack and it is a good example for how different non-functional requirements can counteract each other. Sometimes code cannot be fast and secure at the same time.

So even though the passwords are handled perfectly, and the message that is displayed is generic and does not advise whether the password or username was incorrect, the system is still vulnerable. The solution is easy, always hash the password or delay sending the reply the time it would take to hash.

The information obtained can be used by an attacker to gain a list of users on system. This information can be used to attack the web application, for example, through a brute force or default username/password attack.

https://www.owasp.org/index.php/Testing_for_User_Enumeration_and_Guessable_User_Account_(OWASP-AT-002)

The importance of developer security skills is highlighted in the 2022 Gartner Cool Vendors in Software Engineering. Read the full report here.

Secure Code Warrior has been recognized as one of four ‘Cool Vendors in Software Engineering: Enhancing Developer Productivity’, by Gartner. According to Gartner, the “definition of a Cool Vendor is a small company offering a technology or service that is innovative, impactful or intriguing." The three elements of a Cool Vendor include:

Innovative — Enables users to do things they could not do before.

Impactful — Has or will have a business impact, not just technology for its own sake.

Intriguing — Has caught Gartner’s interest during the past six months.

As outlined in the report, “Software engineers struggle to navigate complex code environments and to improve security of the systems they build while remaining productive. These Cool Vendors offer innovative solutions that help software engineering leaders boost developer productivity and mitigate security risks.”

As the only company listed that focuses on developer-driven security, this recognition is a testament to our strategy to enable developers with the right security skills and contextual tools so they can rapidly learn, build and apply their skills to deliver secure code at speed, for improved software security.

While the virtues of shifting left have been extolled for some time now, many organizations still struggle to ensure that security is considered at the start of the software development lifecycle. Our recent ‘State of developer-driven security survey’ highlighted that a lack of time is the biggest hurdle to be overcome when adopting secure coding practices, which is also reflected in this recent Gartner report. With a significant shortage of skilled engineers, combined with vast and complex code repo’s and over half of the runtime stack consisting of open-source software, developers barely have enough time to maintain existing code - never mind ensure its security.

At Secure Code Warrior, our solutions are driven by the need to improve productivity at the same time as ensuring software security. Despite citing a lack of time to adopt secure coding practices in the aforementioned survey, 76% of respondents agreed that good training in secure coding would actually improve productivity with fewer security tickets and rework to manage. When armed with the right security skills and tools, developer teams can easily mitigate risk and consistently ship secure, quality code at speed, with innovative features and functionality. 

So thank you Gartner for the recognition - not just for Secure Code Warrior but for highlighting the important role that security-skilled developers can play in cybersecurity.
‍

Access the Gartner Cool Vendors in Software Engineering: Enhancing Developer Productivity report now. 

‍

Extensible Markup Language (XML) ist eine Auszeichnungssprache, die für die Codierung von Dokumenten in einem Format verwendet wird, das sowohl für Maschinen einfach zu handhaben als auch für Menschen lesbar ist. Dieses häufig verwendete Format weist jedoch mehrere Sicherheitslücken auf. In diesem ersten Blogbeitrag zum Thema XML werde ich die Grundlagen des sicheren Umgangs mit XML-Dokumenten mithilfe eines Schemas erläutern.

OWASP unterteilt die verschiedenen Sicherheitslücken im Zusammenhang mit XML- und XML-Schemas in zwei Kategorien.

Falsch formatierte XML-Dokumente

Fehlerhafte XML-Dokumente sind Dokumente, die nicht den W3C-XML-Spezifikationen entsprechen. Einige Beispiele, die zu einem fehlerhaften Dokument führen, sind das Entfernen eines Endtags, das Ändern der Reihenfolge verschiedener Elemente oder die Verwendung verbotener Zeichen. All diese Fehler sollten zu einem schwerwiegenden Fehler führen und das Dokument sollte keiner weiteren Verarbeitung unterzogen werden.

Um Sicherheitslücken zu vermeiden, die durch fehlerhafte Dokumente verursacht werden, sollten Sie einen gut getesteten XML-Parser verwenden, der den W3C-Spezifikationen entspricht und nicht wesentlich länger dauert, fehlerhafte Dokumente zu verarbeiten.

Ungültige XML-Dokumente

Ungültige XML-Dokumente sind wohlgeformt, enthalten aber unerwartete Werte. Hier kann ein Angreifer Anwendungen ausnutzen, die ein XML-Schema nicht richtig definieren, um festzustellen, ob Dokumente gültig sind. Im Folgenden finden Sie ein einfaches Beispiel für ein Dokument, das, wenn es nicht korrekt validiert wird, unbeabsichtigte Folgen haben kann.

Ein Webshop, der seine Transaktionen in XML-Daten speichert:

<purchase></purchase>
<id>123</id>
<price>200</price>

Und der Benutzer hat nur die Kontrolle über den <id>Wert. Es ist dann möglich, dass ein Angreifer ohne die richtigen Gegenmaßnahmen etwas wie das Folgende eingibt:</id>

<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>

Wenn der Parser, der dieses Dokument verarbeitet, nur die erste Instanz der <id><price>Tags und liest, führt dies zu unerwünschten Ergebnissen</price></id>.

Es ist auch möglich, dass das Schema nicht restriktiv genug ist oder dass andere Eingabeüberprüfungen unzureichend sind, sodass negative Zahlen, spezielle Dezimalzahlen (wie NaN oder Infinity) oder übermäßig große Werte dort eingegeben werden können, wo sie nicht erwartet werden, was zu ähnlichem unbeabsichtigtem Verhalten führt.

Um Sicherheitslücken im Zusammenhang mit ungültigen XML-Dokumenten zu vermeiden, sollte ein genaues und restriktives XML-Schema definiert werden, um Probleme einer unsachgemäßen Datenvalidierung zu vermeiden.

Im nächsten Blogbeitrag werden wir uns mit einigen komplexeren Angriffen auf XML-Dokumente wie Jumbo Payloads und XXE, den gefürchteten OWASP Top Ten Nummer vier, befassen.

In der Zwischenzeit können Sie Ihre Fähigkeiten zur Validierung von XML-Eingaben verbessern oder herausfordern. auf unserem Portal.

Die Spezifikationen für XML und XML-Schemas enthalten mehrere Sicherheitslücken. Gleichzeitig bieten diese Spezifikationen die Tools, die zum Schutz von XML-Anwendungen erforderlich sind. Obwohl wir XML-Schemas verwenden, um die Sicherheit von XML-Dokumenten zu definieren, können sie für eine Vielzahl von Angriffen verwendet werden: Dateiabruf, serverseitige Anforderungsfälschung, Port-Scanning oder Brute-Forcing.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet

Diese Woche feiern wir offiziell acht Jahre Secure Code Warrior. Einerseits ist das die 350-fache Länge der Apollo-11-Mission und das Äquivalent von 45.000 Fußballspielen oder 5696 Spielen von Super Mario Odyssey bis zum Ende. Andererseits ist es nur ein Dreißigstel der Lebensdauer einer Riesenschildkröte (250 Jahre, falls Sie sich das fragen). In der Welt eines wachstumsstarken Startups ist es eine Reise mit vielen Wendungen, Lektionen und Errungenschaften, von denen viele unvorstellbar waren, als wir unseren Geschäftsplan zum ersten Mal verfassten.

Angesichts der allgegenwärtigen Gefahr einer Rezession, eines militärischen Konflikts und einiger der störendsten Datenschutzverletzungen, die wir bisher erlebt haben, war 2022 für viele, auch für mich, nicht das positivste Jahr. Es wäre unaufrichtig, wenn ich sagen würde, dass es alles andere als ein Kampf bis zur Ziellinie war, aber ich bin nach wie vor stolz auf unsere Widerstandsfähigkeit angesichts der anhaltenden globalen Herausforderungen. Wir haben ein außergewöhnliches Team, und jeder von uns setzt sich wirklich dafür ein, den Erfolg von Sicherheitsprogrammen für Unternehmen voranzutreiben, indem wir die Entwickler in den Mittelpunkt eines transformativen, defensiven Ansatzes für Probleme stellen, die schon sehr lange bestehen. Wir haben unseren eigenen Weg eingeschlagen und uns durchgesetzt. Wir sind zwar nicht die einzige „gamifizierte“ Cybersicherheits-Bildungsoption auf dem Planeten, aber eines ist sicher: Niemand sonst hat unsere Vision, Beharrlichkeit oder unser Gründerteam, und wir haben viel zusammen durchgemacht.
‍

Unsere Geburtstagsmeilensteine werden oft genutzt, um über wichtige Ereignisse des vergangenen Jahres nachzudenken, aber dieses Mal möchte ich hervorheben, wie besonders es ist, dass wir ein solches Wachstum erzielt haben und gleichzeitig dieselben sechs Mitarbeiter behalten, die wir am ersten Tag in einem winzigen Büro zusammengepfercht haben.

Wir haben unsere Nische gefunden und arbeiten jeden Tag zusammen an der Umsetzung einer Vision, von der wir glauben, dass sie die Art und Weise verändern wird, wie Entwickler ihre Rolle im Bereich Sicherheit betrachten. Es ist eine große Aufgabe, aber wir haben unsere Wurzeln und die Bedeutung unserer Verbundenheit nicht vergessen.

‍

Wir haben noch einen langen Weg vor uns, aber mit diesem Kern und einem wachsenden Team von begeisterten, einfühlsamen und engagierten Mitarbeitern glaube ich wirklich, dass wir dazu beitragen können, den Status Quo der Sicherheit in der Softwareentwicklung zu ändern.

Und weißt du, was mich so selbstbewusst macht? Von Anfang an haben wir Wert auf Vielfalt gelegt und sie als eine Säule der Stärke im Team betrachtet. Die besten Organisationen basieren auf den Beiträgen von Menschen mit unterschiedlichen Hintergründen, Kulturen und Gesellschaftsschichten. Wir haben das Team im vergangenen Jahr um über einhundert neue Mitarbeiter erweitert, und ich bin stolz darauf, sagen zu können, dass wir ein Schmelztiegel von Ansätzen sind, die in einer beeindruckenden, talentierten Gruppe von Menschen gipfeln, die uns in die sprichwörtliche Stratosphäre entführen können.

Wenn uns die letzten drei Jahre etwas gelehrt haben, dann das Unerwartete zu erwarten, aber die Konstante, auf die ich mich verlassen kann, ist, dass wir uns gegenseitig den Rücken freihalten und langsam, aber sicher dazu beitragen, Software sicherer zu machen. Und das tun wir, ohne unseren Sinn für Abenteuer zu verlieren.

Wir haben uns kürzlich mit Dimitri Vanderhaeghe, Software Engineer bei getroffen Selligent Marketing Cloud, eine hochintegrierte, KI-gestützte Omnichannel-Marketing-Automatisierungsplattform, die es ambitionierten B2C-Vermarktern ermöglicht, jeden Moment der Interaktion mit den vernetzten Verbrauchern von heute zu maximieren. Für Selligent, ein schnelllebiges B2C-Technologieunternehmen, ist es von entscheidender Bedeutung, zu skalieren und den wachsenden Anforderungen seines Marktes gerecht zu werden. Um diesen Anforderungen gerecht zu werden, muss der Schwerpunkt auf Cybersicherheit gelegt und vor allem ein von Entwicklern geleitetes Programm für Sicherheitskompetenzen durchgeführt werden.

Warum ist Cybersicherheit für die Skalierung Ihres Unternehmens von entscheidender Bedeutung?

Eine starke Sicherheitsstrategie muss ganz oben auf der Agenda Ihres Unternehmens stehen, wenn Sie Ihr Unternehmen skalieren wollen, sonst setzen Sie sich Sicherheitslücken aus. Alle 39 Sekunden findet ein Cybersicherheitsangriff statt, und Kosten eines Angriffs auf Ihr Unternehmen kann sich finanziell negativ auswirken und Ihren Ruf ruinieren. Wir müssen uns nur die ansehen Equifax-Hack im Jahr 2017 als Paradebeispiel, als ihr CEO zurücktrat und klarstellte, dass der Hack der Grund dafür war.

Cybersicherheit muss jedoch zu einer gemeinsamen Verantwortung werden, um skalieren zu können, insbesondere innerhalb Ihrer Entwickler-Community, wie Dimitri erklärt:

„Der wichtigste Grund für die Ausbildung von Ingenieuren ist die Skalierbarkeit, da wir ein großes Produkt haben, an dem fast 60 Ingenieure arbeiten. Wenn sie sich nicht um Sicherheit kümmern, gehen alle Schwachstellen-Scans an die Sicherheitsspezialisten zurück.“

Wie schafft man eine von Entwicklern geleitete Sicherheitskultur?

Dimitri und das Selligent-Team scheinen eine von Entwicklern geleitete Sicherheitskultur geknackt zu haben, aber von unserem aktuelle Forschungen Nur 15 Prozent der Entwickler betrachten die Sicherheit als Aufgabe aller Beteiligten in ihrem Unternehmen. Also, wie geht es Ihnen links beginnen und eine von Entwicklern geleitete Sicherheitskultur schaffen?

Dimitri führt dies auf das gestiegene Sicherheitsbewusstsein zurück, das durch die Lernplattform von Secure Code Warrior® zur Weiterbildung ihrer Entwickler generiert wurde. Dimitri sagt, dass sie ohne die Plattform Schwierigkeiten gehabt hätten, ein Sicherheitsbewusstsein zu entwickeln. Daher steht Sicherheit bei der Erstellung von Code im Vordergrund der Überlegungen der Entwickler.

Ein weiterer wichtiger Aspekt bei der Schaffung einer von Entwicklern geleiteten Sicherheitskultur besteht darin, Schulungen relevant zu gestalten. Unser aktuelle Studie zeigte auch, dass 40% der Entwickler sagen, dass das Training nicht praxisnah ist und 30% sagen, dass es auch nicht relevant ist. Dimitri stellt fest, dass die Granularität und der reale Charakter der Secure Code Warrior® -Turniere den entscheidenden Unterschied ausmachen. Der unterhaltsame und wettbewerbsorientierte Charakter der Plattform führt auch zu engagierteren und bewussteren Entwicklern.

Wie Dimitri betont, fällt die Last der Cybersicherheit ohne Bewusstsein den Sicherheitsspezialisten zu, was einfach nicht skalierbar ist. Die Antwort ist, Ihr Unternehmen und Ihre Produkte effektiv zu skalieren, um sicherzustellen, dass Sie geschützt sind Software-Sicherheitslücken indem Sie sich auf die hyperrelevante kontextuelle Schulung Ihrer Entwickler-Community mit einem von Entwicklern geleiteten Programm für Sicherheitskompetenzen konzentrieren.

‍
Secure Code Warrior kann Ihrer Organisation genau das bieten. Interessiert an einer Demo? Buchen Sie unten eine.

‍

Eine kostenlose, 12-wöchige Videoserie, die Entwicklern hilft, sicher mit KI zu programmieren

KI-Programmierassistenten und große Sprachmodelle (LLMs) verändern die Art und Weise, wie Software gebaut wird. Sie versprechen Geschwindigkeit, Flexibilität und Innovation — bringen aber auch neue Sicherheitsrisiken mit sich, die Entwickler nicht ignorieren können.

Aus diesem Grund veröffentlicht Secure Code Warrior eine kostenlose, 12-wöchige AI/LLM-Sicherheits-Einführungsvideoserie auf YouTube. Jede kurze Episode konzentriert sich auf die Vorstellung eines wichtigen KI/LLM-Sicherheitsrisikos oder -konzepts, das Entwickler kennen müssen, um KI-gestützte Entwicklungen sicher zu nutzen und das Einbringen von Sicherheitslücken in ihren Anwendungen zu vermeiden.

Schau dir jetzt die erste Folge an: Risiken bei der KI-Codierung: Gefahren der Verwendung von LLMs

Verpasse keine Folge. Abonniere auf YouTube.

‍
Treten Sie unserer Community von Entwicklern und Sicherheitsführern bei — melde dich hier an um die neuesten Videos, Ressourcen und Updates direkt in Ihren Posteingang zu erhalten.

Warum wir diese Serie kreiert haben

KI-gestütztes Programmieren schreibt die Regeln der Softwareentwicklung neu. Tools wie GitHub Copilot, Cursor und andere ermöglichen es Entwicklern, Code schneller als je zuvor auszuliefern. Ohne ein fundiertes Verständnis der KI-Sicherheit riskieren Teams jedoch, versteckte Sicherheitslücken und inkonsistente Verhaltensweisen einzuführen, die herkömmliche Tests möglicherweise nicht erkennen.

Eine sichere Entwicklung im Zeitalter der KI erfordert zunächst Bewusstsein. Diese Reihe wurde entwickelt, um sich von der Masse abzuheben und Entwicklern eine Einführung in KI/LLM-Sicherheitskonzepte zu bieten, damit sie selbstbewusst Innovationen entwickeln können, ohne die Sicherheit zu gefährden.

Was ist zu erwarten

Über einen Zeitraum von 12 Wochen werden wir sowohl Chancen als auch Risiken der KI-gestützten Entwicklung untersuchen, darunter:

• Die Vorteile und Gefahren der Verwendung von KI und LLMs beim Programmieren
• Prompt Injection und wie böswillige Eingaben KI-Ausgaben manipulieren
• Offenlegung vertraulicher Informationen und Schutz von Geheimnissen in KI-gestützten Workflows
• Lieferkettenrisiken, wenn Sie sich auf Modelle und APIs von Drittanbietern verlassen
• Sicherheitslücken bei der Systemabfrage, Vektorschwächen und Sicherheitslücken beim Abrufen
• Neue Herausforderungen wie Fehlinformationen, übertriebene Entscheidungsfreiheit und grenzenloser Konsum
• Und vieles mehr!

Willst du einen Ort zum Bingen oder Nachholen? Setze ein Lesezeichen für unsere Videohub — wir werden es mit den neuesten Folgen und Zusammenfassungen aktualisieren.

Gehe zum Hub: AI/LLM-Sicherheitsvideoserie: Alle Folgen, wöchentlich aktualisiert.

Wie kann man mitmachen

• Abonniere auf YouTube um jede Episode zu erhalten, sobald sie veröffentlicht wird
• Treten Sie unserer Community von Entwicklern und Sicherheitsführern bei — melde dich hier an um die neuesten Videos, Ressourcen und Updates direkt in Ihren Posteingang zu erhalten.
• Setze ein Lesezeichen Videohub-Blog für den schnellen Zugriff auf jede Episode
• Wenn Sie über diese Einführungslektionen hinaus tiefer eintauchen möchten, erkunden Sie die gesamte KI/LLM-Sammlung auf der Secure Code Warrior-Plattform oder fordern Sie eine Demo an wenn Sie noch kein Kunde sind.

Wir setzen den Standard für sichere KI-gestützte Entwicklung

KI verändert die Art und Weise, wie wir Software entwickeln, rasant. Innovation ohne Sicherheit ist jedoch nicht nachhaltig. Entwickler benötigen praktische Anleitungen, bei denen die Entwickler an erster Stelle stehen, um KI-gestützte Risiken zu verstehen und sichere Programmiergewohnheiten zu implementieren, die skalierbar sind.

Diese kostenlose Videoserie ist Teil des Engagements von Secure Code Warrior, der Entwickler-Community zu helfen, in dieser neuen Ära erfolgreich zu sein. Aus unserem öffentlich zugänglichen KI-Sicherheitsregeln auf GitHub Neben unserer wachsenden KI/LLM-Lernsammlung statten wir Teams mit den Tools und dem Wissen aus, die sie für sichere Innovationen benötigen.