Einblicke in sichere Codes

Extensible Markup Language (XML) ist eine Auszeichnungssprache, die für die Codierung von Dokumenten in einem Format verwendet wird, das sowohl für Maschinen einfach zu handhaben als auch für Menschen lesbar ist. Dieses häufig verwendete Format weist jedoch mehrere Sicherheitslücken auf. In diesem ersten Blogbeitrag zum Thema XML werde ich die Grundlagen des sicheren Umgangs mit XML-Dokumenten mithilfe eines Schemas erläutern.

OWASP unterteilt die verschiedenen Sicherheitslücken im Zusammenhang mit XML- und XML-Schemas in zwei Kategorien.

Falsch formatierte XML-Dokumente

Fehlerhafte XML-Dokumente sind Dokumente, die nicht den W3C-XML-Spezifikationen entsprechen. Einige Beispiele, die zu einem fehlerhaften Dokument führen, sind das Entfernen eines Endtags, das Ändern der Reihenfolge verschiedener Elemente oder die Verwendung verbotener Zeichen. All diese Fehler sollten zu einem schwerwiegenden Fehler führen und das Dokument sollte keiner weiteren Verarbeitung unterzogen werden.

Um Sicherheitslücken zu vermeiden, die durch fehlerhafte Dokumente verursacht werden, sollten Sie einen gut getesteten XML-Parser verwenden, der den W3C-Spezifikationen entspricht und nicht wesentlich länger dauert, fehlerhafte Dokumente zu verarbeiten.

Ungültige XML-Dokumente

Ungültige XML-Dokumente sind wohlgeformt, enthalten aber unerwartete Werte. Hier kann ein Angreifer Anwendungen ausnutzen, die ein XML-Schema nicht richtig definieren, um festzustellen, ob Dokumente gültig sind. Im Folgenden finden Sie ein einfaches Beispiel für ein Dokument, das, wenn es nicht korrekt validiert wird, unbeabsichtigte Folgen haben kann.

Ein Webshop, der seine Transaktionen in XML-Daten speichert:

<purchase></purchase>
<id>123</id>
<price>200</price>

Und der Benutzer hat nur die Kontrolle über den <id>Wert. Es ist dann möglich, dass ein Angreifer ohne die richtigen Gegenmaßnahmen etwas wie das Folgende eingibt:</id>

<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>

Wenn der Parser, der dieses Dokument verarbeitet, nur die erste Instanz der <id><price>Tags und liest, führt dies zu unerwünschten Ergebnissen</price></id>.

Es ist auch möglich, dass das Schema nicht restriktiv genug ist oder dass andere Eingabeüberprüfungen unzureichend sind, sodass negative Zahlen, spezielle Dezimalzahlen (wie NaN oder Infinity) oder übermäßig große Werte dort eingegeben werden können, wo sie nicht erwartet werden, was zu ähnlichem unbeabsichtigtem Verhalten führt.

Um Sicherheitslücken im Zusammenhang mit ungültigen XML-Dokumenten zu vermeiden, sollte ein genaues und restriktives XML-Schema definiert werden, um Probleme einer unsachgemäßen Datenvalidierung zu vermeiden.

Im nächsten Blogbeitrag werden wir uns mit einigen komplexeren Angriffen auf XML-Dokumente wie Jumbo Payloads und XXE, den gefürchteten OWASP Top Ten Nummer vier, befassen.

In der Zwischenzeit können Sie Ihre Fähigkeiten zur Validierung von XML-Eingaben verbessern oder herausfordern. auf unserem Portal.

Die Spezifikationen für XML und XML-Schemas enthalten mehrere Sicherheitslücken. Gleichzeitig bieten diese Spezifikationen die Tools, die zum Schutz von XML-Anwendungen erforderlich sind. Obwohl wir XML-Schemas verwenden, um die Sicherheit von XML-Dokumenten zu definieren, können sie für eine Vielzahl von Angriffen verwendet werden: Dateiabruf, serverseitige Anforderungsfälschung, Port-Scanning oder Brute-Forcing.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet

Diese Woche feiern wir offiziell acht Jahre Secure Code Warrior. Einerseits ist das die 350-fache Länge der Apollo-11-Mission und das Äquivalent von 45.000 Fußballspielen oder 5696 Spielen von Super Mario Odyssey bis zum Ende. Andererseits ist es nur ein Dreißigstel der Lebensdauer einer Riesenschildkröte (250 Jahre, falls Sie sich das fragen). In der Welt eines wachstumsstarken Startups ist es eine Reise mit vielen Wendungen, Lektionen und Errungenschaften, von denen viele unvorstellbar waren, als wir unseren Geschäftsplan zum ersten Mal verfassten.

Angesichts der allgegenwärtigen Gefahr einer Rezession, eines militärischen Konflikts und einiger der störendsten Datenschutzverletzungen, die wir bisher erlebt haben, war 2022 für viele, auch für mich, nicht das positivste Jahr. Es wäre unaufrichtig, wenn ich sagen würde, dass es alles andere als ein Kampf bis zur Ziellinie war, aber ich bin nach wie vor stolz auf unsere Widerstandsfähigkeit angesichts der anhaltenden globalen Herausforderungen. Wir haben ein außergewöhnliches Team, und jeder von uns setzt sich wirklich dafür ein, den Erfolg von Sicherheitsprogrammen für Unternehmen voranzutreiben, indem wir die Entwickler in den Mittelpunkt eines transformativen, defensiven Ansatzes für Probleme stellen, die schon sehr lange bestehen. Wir haben unseren eigenen Weg eingeschlagen und uns durchgesetzt. Wir sind zwar nicht die einzige „gamifizierte“ Cybersicherheits-Bildungsoption auf dem Planeten, aber eines ist sicher: Niemand sonst hat unsere Vision, Beharrlichkeit oder unser Gründerteam, und wir haben viel zusammen durchgemacht.
‍

Unsere Geburtstagsmeilensteine werden oft genutzt, um über wichtige Ereignisse des vergangenen Jahres nachzudenken, aber dieses Mal möchte ich hervorheben, wie besonders es ist, dass wir ein solches Wachstum erzielt haben und gleichzeitig dieselben sechs Mitarbeiter behalten, die wir am ersten Tag in einem winzigen Büro zusammengepfercht haben.

Wir haben unsere Nische gefunden und arbeiten jeden Tag zusammen an der Umsetzung einer Vision, von der wir glauben, dass sie die Art und Weise verändern wird, wie Entwickler ihre Rolle im Bereich Sicherheit betrachten. Es ist eine große Aufgabe, aber wir haben unsere Wurzeln und die Bedeutung unserer Verbundenheit nicht vergessen.

‍

Wir haben noch einen langen Weg vor uns, aber mit diesem Kern und einem wachsenden Team von begeisterten, einfühlsamen und engagierten Mitarbeitern glaube ich wirklich, dass wir dazu beitragen können, den Status Quo der Sicherheit in der Softwareentwicklung zu ändern.

Und weißt du, was mich so selbstbewusst macht? Von Anfang an haben wir Wert auf Vielfalt gelegt und sie als eine Säule der Stärke im Team betrachtet. Die besten Organisationen basieren auf den Beiträgen von Menschen mit unterschiedlichen Hintergründen, Kulturen und Gesellschaftsschichten. Wir haben das Team im vergangenen Jahr um über einhundert neue Mitarbeiter erweitert, und ich bin stolz darauf, sagen zu können, dass wir ein Schmelztiegel von Ansätzen sind, die in einer beeindruckenden, talentierten Gruppe von Menschen gipfeln, die uns in die sprichwörtliche Stratosphäre entführen können.

Wenn uns die letzten drei Jahre etwas gelehrt haben, dann das Unerwartete zu erwarten, aber die Konstante, auf die ich mich verlassen kann, ist, dass wir uns gegenseitig den Rücken freihalten und langsam, aber sicher dazu beitragen, Software sicherer zu machen. Und das tun wir, ohne unseren Sinn für Abenteuer zu verlieren.

Wir haben uns kürzlich mit Dimitri Vanderhaeghe, Software Engineer bei getroffen Selligent Marketing Cloud, eine hochintegrierte, KI-gestützte Omnichannel-Marketing-Automatisierungsplattform, die es ambitionierten B2C-Vermarktern ermöglicht, jeden Moment der Interaktion mit den vernetzten Verbrauchern von heute zu maximieren. Für Selligent, ein schnelllebiges B2C-Technologieunternehmen, ist es von entscheidender Bedeutung, zu skalieren und den wachsenden Anforderungen seines Marktes gerecht zu werden. Um diesen Anforderungen gerecht zu werden, muss der Schwerpunkt auf Cybersicherheit gelegt und vor allem ein von Entwicklern geleitetes Programm für Sicherheitskompetenzen durchgeführt werden.

Warum ist Cybersicherheit für die Skalierung Ihres Unternehmens von entscheidender Bedeutung?

Eine starke Sicherheitsstrategie muss ganz oben auf der Agenda Ihres Unternehmens stehen, wenn Sie Ihr Unternehmen skalieren wollen, sonst setzen Sie sich Sicherheitslücken aus. Alle 39 Sekunden findet ein Cybersicherheitsangriff statt, und Kosten eines Angriffs auf Ihr Unternehmen kann sich finanziell negativ auswirken und Ihren Ruf ruinieren. Wir müssen uns nur die ansehen Equifax-Hack im Jahr 2017 als Paradebeispiel, als ihr CEO zurücktrat und klarstellte, dass der Hack der Grund dafür war.

Cybersicherheit muss jedoch zu einer gemeinsamen Verantwortung werden, um skalieren zu können, insbesondere innerhalb Ihrer Entwickler-Community, wie Dimitri erklärt:

„Der wichtigste Grund für die Ausbildung von Ingenieuren ist die Skalierbarkeit, da wir ein großes Produkt haben, an dem fast 60 Ingenieure arbeiten. Wenn sie sich nicht um Sicherheit kümmern, gehen alle Schwachstellen-Scans an die Sicherheitsspezialisten zurück.“

Wie schafft man eine von Entwicklern geleitete Sicherheitskultur?

Dimitri und das Selligent-Team scheinen eine von Entwicklern geleitete Sicherheitskultur geknackt zu haben, aber von unserem aktuelle Forschungen Nur 15 Prozent der Entwickler betrachten die Sicherheit als Aufgabe aller Beteiligten in ihrem Unternehmen. Also, wie geht es Ihnen links beginnen und eine von Entwicklern geleitete Sicherheitskultur schaffen?

Dimitri führt dies auf das gestiegene Sicherheitsbewusstsein zurück, das durch die Lernplattform von Secure Code Warrior® zur Weiterbildung ihrer Entwickler generiert wurde. Dimitri sagt, dass sie ohne die Plattform Schwierigkeiten gehabt hätten, ein Sicherheitsbewusstsein zu entwickeln. Daher steht Sicherheit bei der Erstellung von Code im Vordergrund der Überlegungen der Entwickler.

Ein weiterer wichtiger Aspekt bei der Schaffung einer von Entwicklern geleiteten Sicherheitskultur besteht darin, Schulungen relevant zu gestalten. Unser aktuelle Studie zeigte auch, dass 40% der Entwickler sagen, dass das Training nicht praxisnah ist und 30% sagen, dass es auch nicht relevant ist. Dimitri stellt fest, dass die Granularität und der reale Charakter der Secure Code Warrior® -Turniere den entscheidenden Unterschied ausmachen. Der unterhaltsame und wettbewerbsorientierte Charakter der Plattform führt auch zu engagierteren und bewussteren Entwicklern.

Wie Dimitri betont, fällt die Last der Cybersicherheit ohne Bewusstsein den Sicherheitsspezialisten zu, was einfach nicht skalierbar ist. Die Antwort ist, Ihr Unternehmen und Ihre Produkte effektiv zu skalieren, um sicherzustellen, dass Sie geschützt sind Software-Sicherheitslücken indem Sie sich auf die hyperrelevante kontextuelle Schulung Ihrer Entwickler-Community mit einem von Entwicklern geleiteten Programm für Sicherheitskompetenzen konzentrieren.

‍
Secure Code Warrior kann Ihrer Organisation genau das bieten. Interessiert an einer Demo? Buchen Sie unten eine.

‍

The widespread adoption of AI coding tools is transforming software development. With 78% of developers¹ now using AI to increase productivity, the speed of innovation has never been greater. But this rapid acceleration comes with a critical risk.

Studies reveal that as much as 50% of functionally correct, AI-generated code is insecure². This isn’t a small bug; it’s a systemic challenge. It means every time a developer uses a tool like GitHub Copilot or ChatGPT, they could be unknowingly introducing new vulnerabilities into your codebase. The result is a dangerous mix of speed and security risks that most organizations are not equipped to manage.

The Challenge of “Shadow AI”

Without a way to manage AI coding tool usage, CISO, AppSec, and engineering leaders are exposed to new risks they can't see or measure. How can you answer crucial questions like:

• What percentage of our code is AI-generated?
• What MCPs are being used?
• What unapproved models are being used?
• What vulnerabilities are being generated by different models?

The lack of visibility and governance creates a new layer of risk and uncertainty. It’s the very definition of “shadow IT,” but for your codebase.‍‍

Our Solution – Trust Agent: AI

We believe you can have both speed and security. We're proud to launch Trust Agent: AI, a powerful new capability of our Trust Agent product that provides the deep observability and control you need to confidently embrace AI in your software development lifecycle.  Using a unique combination of signals, Trust Agent: AI provides:

• Visibility: See which developers are using which AI coding tools, LLMs and MCPs, and on what codebases. No more "shadow AI."
• Risk Metrics: Connect AI-generated code to a developer's skill level and introduced vulnerabilities to understand the true risk being introduced, at the commit level.
• Governance: Automate policy enforcement to ensure AI-enabled developers meet secure coding standards.

The Trust Agent: AI dashboard provides insights into AI coding tool usage, contributing developer, code repository, and more.‍

The Developer's Role: The Last Line of Defense

While Trust Agent: AI gives you unprecedented governance, we know that the developer remains the last, and most critical, line of defense. The most effective way to manage AI-generated code risk is to ensure your developers have the security skills to review, validate, and secure that code. This is where SCW Learning, part of our comprehensive Developer Risk Management platform, comes in. With SCW Learning, we equip your developers with the hands-on skills they need to safely leverage AI for productivity. The SCW Learning product includes:

• SCW Trust Score: An industry-first benchmark that quantifies developer security proficiency, enabling you to identify which developers are best equipped to handle AI-generated code.
• AI Challenges: Interactive, real-world coding challenges that specifically teach developers how to find and fix vulnerabilities in AI-generated code.
• Targeted Learning: Curated learning paths from 200+ AI Challenges, Guidelines, Walkthroughs, Missions, Quests, and Courses that reinforce secure coding principles and help developers master the security skills needed to mitigate AI risks.

By combining the powerful governance of Trust Agent: AI with the skill development of our learning product, you can create a truly secure SDLC. You’ll be able to identify risk, enforce policy, and empower your developers to build code faster and more securely than ever before.

Ready to Secure Your AI Journey?

The era of AI is here, and as a product manager, my goal is to build solutions that don't just solve today's problems but anticipate tomorrow's. Trust Agent: AI is designed to do just that, giving you the visibility and control to manage AI risks while empowering your teams to innovate. The early access beta is now live, and we'd love for you to be a part of it. This isn't just about a new product; it's about pioneering a new standard for secure software development in an AI-first world.

Join the Early Access Waitlist today!

Eine kostenlose, 12-wöchige Videoserie, die Entwicklern hilft, sicher mit KI zu programmieren

KI-Programmierassistenten und große Sprachmodelle (LLMs) verändern die Art und Weise, wie Software gebaut wird. Sie versprechen Geschwindigkeit, Flexibilität und Innovation — bringen aber auch neue Sicherheitsrisiken mit sich, die Entwickler nicht ignorieren können.

Aus diesem Grund veröffentlicht Secure Code Warrior eine kostenlose, 12-wöchige AI/LLM-Sicherheits-Einführungsvideoserie auf YouTube. Jede kurze Episode konzentriert sich auf die Vorstellung eines wichtigen KI/LLM-Sicherheitsrisikos oder -konzepts, das Entwickler kennen müssen, um KI-gestützte Entwicklungen sicher zu nutzen und das Einbringen von Sicherheitslücken in ihren Anwendungen zu vermeiden.

Schau dir jetzt die erste Folge an: Risiken bei der KI-Codierung: Gefahren der Verwendung von LLMs

Verpasse keine Folge. Abonniere auf YouTube.

‍
Treten Sie unserer Community von Entwicklern und Sicherheitsführern bei — melde dich hier an um die neuesten Videos, Ressourcen und Updates direkt in Ihren Posteingang zu erhalten.

Warum wir diese Serie kreiert haben

KI-gestütztes Programmieren schreibt die Regeln der Softwareentwicklung neu. Tools wie GitHub Copilot, Cursor und andere ermöglichen es Entwicklern, Code schneller als je zuvor auszuliefern. Ohne ein fundiertes Verständnis der KI-Sicherheit riskieren Teams jedoch, versteckte Sicherheitslücken und inkonsistente Verhaltensweisen einzuführen, die herkömmliche Tests möglicherweise nicht erkennen.

Eine sichere Entwicklung im Zeitalter der KI erfordert zunächst Bewusstsein. Diese Reihe wurde entwickelt, um sich von der Masse abzuheben und Entwicklern eine Einführung in KI/LLM-Sicherheitskonzepte zu bieten, damit sie selbstbewusst Innovationen entwickeln können, ohne die Sicherheit zu gefährden.

Was ist zu erwarten

Über einen Zeitraum von 12 Wochen werden wir sowohl Chancen als auch Risiken der KI-gestützten Entwicklung untersuchen, darunter:

• Die Vorteile und Gefahren der Verwendung von KI und LLMs beim Programmieren
• Prompt Injection und wie böswillige Eingaben KI-Ausgaben manipulieren
• Offenlegung vertraulicher Informationen und Schutz von Geheimnissen in KI-gestützten Workflows
• Lieferkettenrisiken, wenn Sie sich auf Modelle und APIs von Drittanbietern verlassen
• Sicherheitslücken bei der Systemabfrage, Vektorschwächen und Sicherheitslücken beim Abrufen
• Neue Herausforderungen wie Fehlinformationen, übertriebene Entscheidungsfreiheit und grenzenloser Konsum
• Und vieles mehr!

Willst du einen Ort zum Bingen oder Nachholen? Setze ein Lesezeichen für unsere Videohub — wir werden es mit den neuesten Folgen und Zusammenfassungen aktualisieren.

Gehe zum Hub: AI/LLM-Sicherheitsvideoserie: Alle Folgen, wöchentlich aktualisiert.

Wie kann man mitmachen

• Abonniere auf YouTube um jede Episode zu erhalten, sobald sie veröffentlicht wird
• Treten Sie unserer Community von Entwicklern und Sicherheitsführern bei — melde dich hier an um die neuesten Videos, Ressourcen und Updates direkt in Ihren Posteingang zu erhalten.
• Setze ein Lesezeichen Videohub-Blog für den schnellen Zugriff auf jede Episode
• Wenn Sie über diese Einführungslektionen hinaus tiefer eintauchen möchten, erkunden Sie die gesamte KI/LLM-Sammlung auf der Secure Code Warrior-Plattform oder fordern Sie eine Demo an wenn Sie noch kein Kunde sind.

Wir setzen den Standard für sichere KI-gestützte Entwicklung

KI verändert die Art und Weise, wie wir Software entwickeln, rasant. Innovation ohne Sicherheit ist jedoch nicht nachhaltig. Entwickler benötigen praktische Anleitungen, bei denen die Entwickler an erster Stelle stehen, um KI-gestützte Risiken zu verstehen und sichere Programmiergewohnheiten zu implementieren, die skalierbar sind.

Diese kostenlose Videoserie ist Teil des Engagements von Secure Code Warrior, der Entwickler-Community zu helfen, in dieser neuen Ära erfolgreich zu sein. Aus unserem öffentlich zugänglichen KI-Sicherheitsregeln auf GitHub Neben unserer wachsenden KI/LLM-Lernsammlung statten wir Teams mit den Tools und dem Wissen aus, die sie für sichere Innovationen benötigen.

Organizations understand that secure by design principles are only successfully implemented through developer driven security. After all, developers are the ones designing, building, and ultimately committing the code that powers an organization's software. Ensuring that these invaluable contributors have the knowledge and skills to implement secure code best practices is absolutely critical.  However, the challenge of achieving this goal comes down to aligning developer secure coding knowledge and skills with the programming languages they use when actually building software. Not an easy task for even the most mature organizations.

This challenge is further complicated by the sheer volume and mix of programming languages that are being used in an organization’s codebase, often completely unbeknownst to security teams. So how do CISOs, AppSec and Engineering leaders ensure that the code that is being produced and committed is backed by a developer’s secure code knowledge and skills in that commit’s specific programming language?

Introducing SCW Trust Agent

Secure Code Warrior launched SCW Trust Agent to answer this difficult question. SCW Trust Agent gives security leaders the visibility and control needed to scale developer driven security, empowering developers and teams to deliver code faster while maintaining and improving the security of what is committed.

How Does SCW Trust Agent Work?

SCW Trust Agent discovers and connects to your code repositories to assess the metadata present in every code commit. It inspects the developer that made the commit, the language or framework used, and the exact timestamp when the code was committed. It then pairs this analysis alongside data and insights from SCW’s industry-leading Learning Platform to determine if the developer has sufficient security knowledge in that specific programming language. Based on this information, it returns a rating on the health of that commit, based on the policy set by the organization. These policies are customizable and configurable, enabling teams to set specific guidelines and requirements for commits that can have a higher or lower threshold of developer secure code knowledge based on that project or repository’s overall sensitivity.

Next-Level Governance and Control

Building on this powerful visibility, Trust Agent offers integrated governance at scale through its flexible policy gating capabilities. This innovative feature allows organizations and teams to proactively apply and uphold their secure coding standards directly at the commit level. If a developer attempts to commit code in a language or framework where their secure coding skills do not meet an organization's predefined requirements, Trust Agent can automatically trigger a configurable action—logging the event for review, issuing a direct warning, or even blocking the pull request entirely.

These adaptable policy gates can be applied across any Git-based repository, offering a vital control point, especially for business-critical applications or those with stringent compliance demands, such as PCI-DSS 4.0 that prescribes language-specific security training in requirement 6.2.2. By precisely defining commit trust levels based on an organization's risk appetite, Trust Agent ensures that only code from developers with validated secure coding skills enters their most important repositories, fundamentally strengthening security posture.

Optimizing The Development Lifecycle

This proactive approach enabled by SCW Trust Agent not only improves an organization’s overall security posture, but also drives optimizations in the development lifecycle. By ensuring developers have secure code knowledge and skills in the language of their commit can greatly reduce the number of introduced vulnerabilities that would later need to be identified and remediated. Remediation and rework tend to be a large time drain for developers, interrupting their workflow and impacting their velocity. Reducing vulnerabilities through a proactive approach minimizes these remediation cycles keeping development teams focused on delivery of high value features.

Scaling Developer Driven Security

SCW Trust Agent gives organizations the tools they need to scale their developer driven security programs. CISOs and Appsec teams have the visibility and control they need to apply proper governance, meet and even exceed compliance standards with detailed insights into policy design, application and adherence. And developers are empowered to deliver secure code faster with secure code training that is specific to the languages they utilize in the code that they deliver.

SCW Trust Agent works with any Git-based source code management tool and connecting your code repository is easy with multiple connectivity options including on-premises, cloud based, and manual upload. To learn more visit www.scwtrustagent.com or contact us, we’d love to discuss how we can help your organization strengthen its security posture and scale developer driven security.

Editor’s Note: This post was originally published by Kyle Riordan and published on July 23, 2024. It has been updated with new information and research by Andrew Johnson, Sr. Product Marketing Manager at Secure Code Warrior.

Wir freuen uns, das Gespräch über die neueste Erweiterung der SCW-Plattform — den SCW Trust Score — fortzusetzen. Diese bahnbrechende Funktion wurde im Mai offiziell eingeführt und stellt einen entscheidenden Fortschritt in unserer Mission dar, Entwicklern und Organisationen die Tools an die Hand zu geben, die sie zum Schreiben von sicherem Code benötigen.

Im Kern bietet der SCW Trust Score unschätzbare Einblicke in die Sicherheitslage Ihres Unternehmens und die Wirksamkeit Ihrer sicheren Codierungspraktiken. Lassen Sie uns die wichtigsten Vorteile und Vorteile von SCW Trust Score durchgehen.

• Sichtbarkeit: Teamübergreifend entstehen vielfältige Fähigkeiten und Kompetenzen durch Lern- und Bildungsprogramme, die auf verschiedenen Erfolgsfaktoren beruhen. Obwohl Teams identische Sicherheitscode-Programme durchlaufen, verfügen sie oft über ein breites Spektrum an Fachwissen, das Leistungsträger, durchschnittliche Leistungsträger und Personen umfasst, die zusätzliche Unterstützung benötigen. Der SCW Trust Score bietet Unternehmen eine datengestützte Messung der Effektivität ihres Sicherheitsschulprogramms, indem die Sicherheitslage einzelner Entwickler bei der Verwendung von Secure Code Warrior zusammengefasst wird.
  
  
• Benchmarking-Metriken: Unternehmen benötigen einen Benchmark, um die Glockenkurve der Sicherheitslage ihrer Entwickler zu definieren und Bereiche zu identifizieren, die optimiert werden müssen, um wirklich ein sicherheitsbereites, leistungsstarkes und produktives Softwareteam zusammenzustellen. Mit dem SCW Trust Score erhalten Unternehmen die Möglichkeit, ihre Sicherheitslage im Vergleich zu branchenspezifischen Benchmarks und Best Practices zu beurteilen. Mithilfe dieser umfassenden Kennzahl können Stakeholder Stärken und Verbesserungsmöglichkeiten mit beispielloser Präzision identifizieren.
  
  
• Datengestützt: SCW Trust Score nutzt das Potenzial von 20 Millionen Lerndatenpunkten, die von über 600 Unternehmen und 250.000 Entwicklern stammen. Durch die Analyse aller auf unserer Plattform abgeschlossenen Lernaktivitäten generiert unser Algorithmus einen umfassenden Score. Bei dieser Bewertung werden Faktoren wie Umfang und Tiefe der Lernaktivitäten, das Verständnis der Aktivitäten, die Aktualität des Lernens, die Stellenbeschreibung, der Onboarding-Lebenszyklus und die Gesamtzahl der geschulten Entwickler berücksichtigt.
  
  

Wir sind stolz darauf, unsere Gespräche mit Kunden und Interessenten vor Kurzem auf der RSAC fortgesetzt zu haben, wo sie bei Kunden, Partnern und Branchenführern gleichermaßen großes Interesse geweckt haben.

Wir freuen uns, Ihnen mitteilen zu können, dass wir eine veranstalten werden Webinar am 12. Juni, in dem unser Chief Technology Officer und Mitbegründer Matias Madou einen umfassenden Überblick über den SCW Trust Score und seine praktischen Anwendungen in realen Szenarien geben wird. Wir freuen uns darauf, Sie dort zu sehen.

Schließlich möchten wir jedem Mitglied der Kunden- und Partnergemeinschaft, das zur Entwicklung und Verbesserung des SCW Trust Score beigetragen hat, unsere Anerkennung aussprechen. Gemeinsam begeben wir uns auf eine Reise, um zu verstehen, wie eine gute Sicherheitslage in Unternehmen aussieht

Wir freuen uns, Ihnen heute mitteilen zu können, dass SAP:ABAP-Schulungsinhalte in Secure Code Warrior verfügbar sind! Sie können sicherstellen, dass Ihre ABAP-Entwicklungsteams die Unterstützung erhalten, die sie benötigen, um den Qualitätscode schneller, mit weniger Nacharbeit und weniger Sicherheitslücken bereitzustellen, und zwar durch:

• Training im eigenen Tempo
• Gezielte Lernwege
• Unterhaltsame Programmierwettbewerbe
• Secure reviews of coding competence
• Personalisierte Berichte über Stärken und Schwächen bei sicheren Programmierkenntnissen

ABAP (EINFortgeschritten BGeschäft EINbewerbung PProgrammieren) is the main language for more as 19.000 companies to programming their business applications on SAP platforms. Total generate this company to 87% des gesamten Welthandels — das entspricht 46 Milliarden USD. Also ist die Absicherung von ABAP heute wichtig, denn je.

In Secure Code Warrior bemühen wir uns, Developers the security all geschäftskritischer Anwendungen zu ermöglichen, einschließlich solcher, die in Nischsprachen wie ABAP geschrieben sind, und gängigere Anwendungen wie Java.

‍

‍

If you already customer, you can now access training, courses and turniers on the content. Tue not to speak with your Customer Success Manager, if you have questions 🙂.

How Secure Code Warrior for Protection geschäftskritischer ABAP-Anwendungen

Da ABAP eine Nischensprache ist, sind sie selten in Trainingsplattformen enthalten. If company try to schools, their Developer to schools, they also with over the hard and inefficient programs, like z. B. unique workshops.

With Secure Code Warrior you receive a continuous and efficient training solution.

Our training content are provided in the selected format of the Developer — codefragments and examples. So can you safe, that they are use and enjoy the content.

Darüber hinaus erhalten ABAP-Entwickler dank der Tiefe und Breite unserer Inhalte und unserer mehrstufigen Lernsysteme die kontinuierliche Unterstützung, die sie benötigen, um ihre Fähigkeiten im Bereich der sicheren Codierung schrittweise zu verbessern. This progressive learning experience provides safe that Developer your muscle memory, and that you can implement in their projects in the practice.

‍

You learn, security lücken zu erkennen und das Codemuster anhand der Codierungsherausforderungen zu sichern

‍

Wir wissen, dass Entwickler am besten in Umgebungen arbeiten, mit denen sie vertraut sind. Deshalb präsentieren wir unsere Herausforderungen beim Programmieren in einer Code-Editor-ähnlichen Oberfläche.

Developer can navigate through files and code lines to find, identify and fix ABAP-schwachstellen in funktionierenden Codebasen. When the training Developer learn, vulnerable code patterns to detect and find the correct correctures, was to an early detection of security lücken and an quickly behebung.

ABAP is the neueste extension our language gebots, the same benefits there for alle anderen 57 Sprachen (und es werden immer mehr), die wir auf der Plattform abdecken.

Ich habe gesehen, dass das Verhalten von Sicherheitslücken eine direkte Folge der Einführung der Secure Code Warrior® -Schulung ist, weil meine Entwickler sagen, wie „I remember me, that I have learning in the Secure Code Warrior® -Training, also erstelle ich hier ein Ticket, um das Sicherheitsproblem anzugehen. “

Nicole Smith, Sicherheitschefin, Komodo Health

Sie werden durch immersive Simulationen aus der realen Welt ein sicherheitsbewusster Entwickler

‍

Sobald sie ABAP-Entwickler mit grundlegenden sicheren Codierungspraktiken vertraut gemacht haben. Sie können selbst herausfordern, Sicherheitsmeister werden, indem sie spielen Missionen.

Missions are our simulated toys, on which Developer can use a specific safety gap. Wenn sie in Echtzeit miterleben, wie sich ein Exploit auf einer funktionstüchtigen App auswirkt, können sie anstößige Fähigkeiten beim sicheren Programmieren anwenden und diese zum Schutz ihrer Projekte zurücknehmen.

Probiere ABAP-Coding-Herausforderungen aus

With the latest content for ABAP can you can offer a advanced training program easy and efficient.

Bestehende Secure Code Warrior-Kunden können auf die Schulungsinhalte zugreifen Training, Teaching events, Turnier, und Valutazione Spielmodi.

Wenn Ihr Team unsere Lösung noch nicht integriert hat, probieren Sie es doch aus unsere ABAP-Codierungsanforderungen heute?

ABAP is one of many available languages

We offer training content for 57 more languages, including the most most (Java and C++) und die aufgehenden Sterne (GO and Typescript). Schauen Sie sich unsere an complete list of supported languages and probiere today the programming challenges in your selected framework from.

Secure Code Warrior und Okta starten eine neue Methode zur Sicherung von Entwickler-Workflows

Von Entwicklern wird erwartet, dass sie Qualitätscode schneller als je zuvor bereitstellen, aber es besteht kein Zweifel, dass unrealistische Fristen zu schlechter Softwarequalität und anfälligem Code führen können. Es ist kaum überraschend, dass 67% der Entwickler glauben, Code mit Sicherheitslücken auszuliefern, was teilweise auf enge Fristen zurückzuführen ist (Stand der entwicklerorientierten Sicherheit 2022). Da Bedrohungen und Sicherheitslücken weiter zunehmen, darf Sicherheit nicht länger eine Nebensache sein, sondern muss in den gesamten DevSecOps-Zyklus integriert werden.

Wir freuen uns, den Secure Code Warrior Connector für Okta Workflows ankündigen zu können, der es Unternehmen und Entwicklern ermöglicht, von Beginn des Softwareentwicklungszyklus an sicheren Code zu schreiben. Durch diese neue Zusammenarbeit zwischen SCW und Okta, dem führenden unabhängigen Identitätsanbieter, wird eine Sicherheitsüberprüfung eingeführt, die es AppSec-Managern ermöglicht, darauf zu vertrauen, dass das Team sicheren Code zur Reduzierung von Sicherheitslücken bereitstellt, ohne dass Entwickler ihren Arbeitsablauf verlassen müssen. Außerdem haben wir Single Sign-On für Secure Code Warrior und Okta hinzugefügt, um die Nutzung dieser großartigen neuen Lösung noch einfacher zu machen.

Reduzieren Sie das Risiko der Einführung von Sicherheitslücken

Entwicklungsteams haben sich traditionell auf reaktive oder langsame Prozesse verlassen, die sich später im Entwicklungszyklus befinden, wie Plugins, Scan-Tools oder Code-Reviews, um Sicherheitsprobleme zu lokalisieren und zu beheben. Diese Ansätze haben zwar viele Vorteile, bergen aber einfach ein zu großes Risiko für anfälligen Code und zukünftige Überarbeitungen. Stattdessen sind wir hier, um Unternehmen dabei zu helfen, die Sicherheit nach links zu verlagern und eine proaktive, nicht reaktive Sicherheitspolitik einzunehmen. Der neue Secure Code Warrior Connector für Okta Workflows integriert Sicherheitsdenken in den gesamten Entwicklungszyklus, indem sichergestellt wird, dass jeder einzelne Entwickler über die notwendigen Fähigkeiten zur sicheren Codierung verfügt, um Repo-Zugriff auf Commit-Code zu erhalten. Diese Integration stellt sicher, dass Entwickler über die äußerst ansprechende Plattform von SCW die neuesten Sicherheitspraktiken kennenlernen und dass einige der Belastungen durch manuelle Code-Reviews reduziert werden, sodass Entwicklungsstunden frei werden, um mehr Funktionen ohne Qualitätseinbußen bereitzustellen.

AppSec und führende Techniker nutzen die umfangreiche Lernplattform von SCW, um personalisierte Bewertungen und Pfade zu erstellen, um sicherzustellen, dass sich die Entwickler auf Ihre wichtigsten Anforderungen an sichere Codierung konzentrieren und über das richtige Fachwissen verfügen, um sicher zu sein, dass sie Code einchecken können. Mithilfe der Breite und Tiefe des Inhalts, der über 6500 interaktiven Programmierherausforderungen, mehr als 56 Sprachen:Frameworks und über 150 Schwachstellenkategorien können Sie sicher sein, dass praktisch alle Anforderungen Ihres Unternehmens erfüllt werden können.

Sobald Sie die richtige Lernstrategie für Ihr Team entwickelt haben, können Sie anhand der Bewertungsergebnisse sowie des Abschlussstatus eines Kurses feststellen, ob Entwickler über die richtigen Fähigkeiten verfügen, um Software zu entwickeln, bei der Sicherheit an erster Stelle steht. Dank der neuen Integration mit Okta können Sie nun die Berechtigungen für jeden Entwickler auf der Grundlage seiner Bewertungsergebnisse automatisieren, sodass die Zustimmung jedes einzelnen Entwicklers, Code zu veröffentlichen oder Möglichkeiten zur Weiterentwicklung seiner Fähigkeiten zu identifizieren, auf einfache Weise skaliert werden kann.

Dank der flexiblen und interaktiven Lernerfahrung auf der SCW-Plattform haben Entwickler durchweg Spaß beim Lernen und können feststellen, dass sich ihr Lernansatz von einem Compliance-Kontrollkästchen zu einem überzeugenden und lohnenden Lernansatz verändert hat.

So funktioniert's

Der Secure Code Warrior Connector für Okta Workflows lässt sich einfach mit Okta Workflows ohne Automatisierung der Codidentität und Orchestrierung mithilfe der Wenn-Dann-Logik erstellen. Der Connector verwendet eine Reihe von Aktionen, mit denen Sie Workflow-Aufgaben ausführen können, ohne sich Gedanken über die zugrundeliegende Komplexität von API-Aufrufen und Konfigurationseinstellungen machen zu müssen.

Ein einfaches Design zur Sicherung Ihres Entwickler-Workflows sieht so aus:

Hier ist ein Überblick über das vollständige Workflow-Design:

‍

Gehen wir die Schritte durch:

1. Konfigurieren Sie die Assessment-ID, mit der die Sicherheitskompetenz eines Entwicklers ermittelt wird. Füge außerdem GitHub-Details wie die Organisation und das Repository als Teil des Setups hinzu.

2. Mithilfe der Aktion „Abschluss der Bewertung für Benutzer überprüfen“ überprüft der Workflow, ob ein Entwickler eine bestimmte Bewertung erfolgreich bestanden hat.

‍

3. Wenn der gewünschte Kurs/Test abgeschlossen oder eine bestimmte Punktzahl erreicht wurde, verwenden Sie den GitHub-Connector, um Zugriff auf das Repository zu gewähren. Wenn die Anforderung nicht erfüllt ist, kann eine Benachrichtigung generiert oder ein anderer Okta-Workflow ausgelöst werden, um entsprechende Maßnahmen zu ergreifen.

‍

Das oben Genannte kann so konzipiert werden, dass es als einmalige, regelmäßige oder kontinuierliche Überprüfung durchgeführt wird, sodass weiterhin nur berechtigte Entwickler in den sicheren Workflow aufgenommen werden.

Einige der anderen möglichen SCW-Connector-Aktionen sind:

• Bewertungsversuche für Benutzer auflisten — listet alle Versuche auf, die ein Benutzer für eine bestimmte Bewertung hat
• Kursabschluss für Benutzer überprüfen — bestimmt, ob ein Benutzer einen bestimmten Kurs abgeschlossen hat
• Kursanmeldungen für Benutzer auflisten — listet alle Anmeldungen auf, die ein Benutzer für eine bestimmte Kurs-ID hat
• Benutzerdefinierte API-Aktion — um jeden API-Aufruf auszuführen, der nicht über die verfügbaren Aktionen möglich ist

Veröffentlichen Sie sicheren Code von hoher Qualität schneller und mit Zuversicht

SCW Connector trägt dazu bei, das Risiko der Einführung von Sicherheitslücken zu Beginn des Softwareentwicklungszyklus zu reduzieren. Genau wie Code-Reviews und Scan-Tools erfüllt es die Rolle eines Quality Gates, das sicherstellt, dass Entwickler von Anfang an sicheren Code schreiben. Infolgedessen wird weniger Zeit für die Überprüfung von Code und die Behebung vermeidbarer Probleme aufgewendet, und der Schwerpunkt verlagert sich auf den schnelleren Versand von Qualitätscode. Darüber hinaus trägt der Connector auch zur Förderung einer Kultur bei, bei der Sicherheit an erster Stelle steht, indem er Entwickler ermutigt, sich proaktiv mit der Lernplattform von SCW zu beschäftigen, um ihre Sicherheitskompetenzen aufrechtzuerhalten. Da Entwickler ständig dazulernen und ihren Reifegrad im Bereich Sicherheit verbessern, nehmen die Sicherheitslücken in neuem Code weiter ab. Dies entlastet das AppSec-Team von der Unterstützung bei der Problembehebung und ermöglicht es ihnen, sich stärker auf die Stärkung der allgemeinen Sicherheitslage der Unternehmen zu konzentrieren.

Der Secure Code Warrior Connector für Okta Workflows, zusammen mit unserem Lernplattform, kann Unternehmen dabei helfen, ihr Ziel, die Sicherheit nach links zu verlagern, schneller zu erreichen, indem die Sicherheitskompetenz der Entwicklungsteams verbessert wird.

Wenden Sie sich an vereinbaren Sie eine Demo oder schauen Sie sich das an Dokumentation um mehr Details über die Einrichtung und Konfiguration zu erfahren.

‍