Perspectivas sobre el código seguro

Una entrada de blog anterior describía el «operador bitwise vs booleano» de Java Gotcha.

• Java Gotchas: operador bit a bit frente a operador booleano

Hemos añadido una variante de esto, y algunos otros problemas de Java, a un pequeño y divertido cuestionario llamado «Desafía al sensei».

• scw.typeform.com/to/rgw7q7oe

Si has leído la entrada de blog anterior, estarás en una buena posición para responder al menos a una de las preguntas.

Pero es posible que tus amigos no, así que si el cuestionario te parece divertido, puedes compartirlo con ellos y ver si obtienen tan buenos puntajes como tú.

Ya que no queremos simplemente hacerte un cuestionario. Queremos intentar usar esto para ayudar a educar y codificar el conocimiento. Por eso, hemos creado un repositorio de Github que tiene ejemplos de código ejecutables para el problema y la solución.

• github.com/SecureCodeWarrior/Challenge-The-Sensei

Este es un Sensei repositorio habilitado.

Cuando clonas el repositorio y lo cargas en IntelliJ, suponiendo que tienes el Secure Code Warrior Sensei Instalado el complemento IntelliJ, verá automáticamente que tienes una carpeta .sensei y cargará las recetas de Sensei.

Cuando navegues por el código en el IDE, verás que IntelliJ te indica que el error existe en el código, y esto debería facilitar la comprensión del código:

• Pase el ratón sobre el código resaltado y verá un mensaje que le informará sobre el error
• Usa la tecla Mostrar acción contextual: alt+enter (Windows) opción+enter (macOS) y es posible que tengamos disponible una solución rápida que pueda corregir el código.

Se han agregado recetas de Sensei para:

• Operadores bit a bit
• Dirección IP dividida
• Afirmar pedido

Vamos a añadir más recetas y más texto explicativo para cubrir el resto del código en el futuro... pero no dejes que eso te impida echar un vistazo al código y detectar el error tú mismo.

Y recuerda probar el cuestionario y»Desafía al sensei«

Recientemente, un equipo de investigadores de seguridad anunciaron el hallazgo de un error de hace quince años en la funcionalidad de extracción de archivos tar de Python. La vulnerabilidad se reveló por primera vez en 2007 y se rastreó como CVE2007-4559. Se agregó una nota a la documentación oficial de Python, pero el error en sí no se corrigió.

Esta vulnerabilidad podría afectar a miles de proyectos de software, pero muchas personas no están familiarizadas con la situación ni con la forma de manejarla. Por eso, aquí en Secure Code Warrior, te damos la oportunidad de simular tú mismo la explotación de esta vulnerabilidad para ver el impacto de primera mano y obtener experiencia práctica en la mecánica de este error persistente, ¡para que puedas proteger mejor tu aplicación!

Prueba el simulado Misión ahora.

La vulnerabilidad: recorrido de ruta durante la extracción del archivo tar

El recorrido de rutas o directorios se produce cuando se utilizan entradas de usuario no desinfectadas para construir una ruta de archivo, lo que permite a un atacante acceder a los archivos y sobrescribirlos, e incluso ejecutar código arbitrario.

La vulnerabilidad existe en Python archivo de alquitrán módulo. Un archivo tar (archivo de cinta) es un archivo único, llamado archivo. Combina varios archivos junto con sus metadatos y, por lo general, se reconoce por tener el .tar.gz o .tgz extensión. Cada miembro del archivo puede estar representado por un Información del TAR objeto, que contiene metadatos, como el nombre del archivo, la hora de modificación, la propiedad, etc.

El riesgo proviene de la capacidad de los archivos para volver a extraerse.

Cuando se extrae, cada miembro necesita una ruta en la que escribir. Esta ubicación se crea uniendo la ruta base con el nombre del archivo:

Una vez que se crea esta ruta, se pasa a archivo tar.extract o archivo tar.extractall funciones para realizar la extracción:

El problema aquí es la falta de desinfección del nombre del archivo. Un atacante podría cambiar el nombre de los archivos para incluir caracteres que recorran rutas, como puntopunto/barra oblicua (../), lo que haría que el archivo saliera del directorio en el que estaba destinado y sobrescribiera archivos arbitrarios. Con el tiempo, esto podría conducir a la ejecución remota de código, lo que está listo para ser explotado.

La vulnerabilidad aparece en otros escenarios, si sabe cómo identificarla. Además de la gestión de los archivos tar por parte de Python, la vulnerabilidad existe en extracción de archivos zip. Es posible que esté familiarizado con esto con otro nombre, como vulnerabilidad zip slip, ¡que se ha manifestado en otros lenguajes además de Python!

ENLACE A LA MISIÓN 

¿Cómo puede mitigar el riesgo?

A pesar de que la vulnerabilidad se conoce desde hace años, los mantenedores de Python consideran que la funcionalidad de extracción está funcionando lo que se supone que debe hacer. En este caso, algunos pueden decir que «es una función, no un error». Desafortunadamente, los desarrolladores no siempre pueden evitar extraer archivos tar o zip de una fuente desconocida. Como parte de las prácticas de desarrollo seguro, son ellos los que tienen que desinfectar la información que no es de confianza para evitar que las vulnerabilidades se desvíen de rutas.

¿Quieres obtener más información sobre cómo escribir código seguro y mitigar los riesgos con Python?

Prueba nuestro Python challenge gratis.

Si estás interesado en obtener más pautas de codificación gratuitas, consulta Entrenador de código seguro para ayudarlo a mantenerse al tanto de las prácticas de codificación seguras.

‍

‍

La industria de la ciberseguridad volvió a ponerse en alerta máxima tras el descubrimiento de un insidioso compromiso en la cadena de suministro de software. La vulnerabilidad, que afecta a la biblioteca de compresión de datos XZ Utils que viene incluida en las principales distribuciones de Linux, se registra con el código CVE-2024-3094 y se reduce a una puerta trasera insertada deliberadamente por un mantenedor del sistema voluntario que alguna vez confiaba en él. Permitir la ejecución remota de código (RCE) en algunos casos si se aprovecha correctamente, representa un problema muy grave, ya que puede causar graves daños en los procesos de creación de software establecidos.

Afortunadamente, otro mantenedor descubrió esta amenaza antes de que el código malicioso entrara en las versiones estables de Linux, pero sigue siendo un problema para quienes han empezado a ejecutar las versiones 5.6.0 y 5.6.1 de XZ Utils como parte de Fedora Rawhide, y las organizaciones instado a parchear es una prioridad de nivel de emergencia. Si este descubrimiento no se hiciera a tiempo, el perfil de riesgo lo convertiría en uno de los ataques a la cadena de suministro más devastadores de la historia, quizás incluso eclipsando a SolarWinds.

La dependencia de los voluntarios de la comunidad para mantener los sistemas críticos está ampliamente documentada, pero rara vez se discute hasta que salen a la luz temas de gran impacto, como este incidente. Si bien su incansable labor es esencial para el mantenimiento del software de código abierto, esto pone de manifiesto la necesidad de que los desarrolladores presten especial atención a las habilidades y la concienciación en materia de seguridad, por no hablar de reforzar los controles de acceso a los repositorios de software.

¿Qué es la puerta trasera de XZ Utils y cómo se mitiga?

El 29 de marzo, Red Hat publicó una alerta de seguridad urgente informar a los usuarios de Fedora Linux 40 y Fedora Rawhide de que las últimas versiones de las bibliotecas y herramientas de compresión «XZ» contienen código malicioso que parece estar diseñado específicamente para facilitar el acceso no autorizado de terceros. Es probable que la forma en que se inyectó este código malicioso sea objeto de un intenso estudio en el futuro, pero se trata de un ejercicio de ingeniería social sofisticado, paciente y de varios años por parte del actor de amenazas, un atacante seudónimo llamado «Jia Tan». Esta persona pasó incontables horas ganándose la confianza de otros mantenedores, haciendo contribuciones legítimas al proyecto y a la comunidad de XZ Utils durante más de dos años y, finalmente, obtuvo el estatus de «mantenedor de confianza» después de que varias cuentas de sockpuppet erosionaran la confianza en el propietario voluntario del proyecto, Lasse Collin:

‍

‍

Este escenario inusual es un excelente ejemplo de cómo una persona altamente técnica sigue siendo víctima de tácticas que normalmente se reservan para quienes tienen menos conocimientos, lo que demuestra la necesidad de una formación precisa y basada en funciones para concienciar sobre la seguridad. Fue solo por la curiosidad y rapidez de pensamiento del ingeniero de software de Microsoft y responsable del mantenimiento de PostgreSQL, Andrés Freund, que se descubrió la puerta trasera y se anularon las versiones, deteniendo así lo que podría haber sido el ataque a la cadena de suministro más devastador de los últimos tiempos.

La puerta trasera en sí misma está siendo rastreada oficialmente como una vulnerabilidad de la mayor gravedad posible en Registro del NIST. Inicialmente se pensó que permitía eludir la autenticación mediante SSH, pero una investigación posterior reveló que permitía la ejecución remota de código sin autenticar en sistemas Linux vulnerables, incluidos Fedora Rawhide, Fedora 41, Kali Linux, openSUSE microOS, openSUSE Tumbleweed y algunas versiones de Debian.

Jia Tan parece haber hecho todo lo posible para ocultar el paquete malicioso, que, cuando se activa para que se construya solo durante el proceso de creación, dificulta la autenticación en SSHd a través de systemd. Como Red Hat En detalle, en las circunstancias adecuadas, esta interferencia podría permitir a un atacante romper la autenticación SSHd y obtener acceso remoto no autorizado a todo el sistema.

‍

Microsoft, entre otros, ha guía completa publicada sobre el análisis de los sistemas en busca de casos de explotación y la mitigación de su efecto, y la acción inmediata recomendada por CISA es que los desarrolladores y usuarios afectados deberían cambiar XZ Utils a una versión sin compromisos, como XZ Utils 5.4.6 Stable.

Prevenir este tipo de ataque es increíblemente difícil, especialmente cuando se utilizan componentes de código abierto en el software, ya que hay muy pocas garantías y transparencia en lo que respecta a la seguridad de la cadena de suministro. Ya hemos combatido las fallas accidentales en la cadena de suministro de software, pero este riesgo se ha incrementado e incluye errores de seguridad creados deliberadamente con fines malintencionados para comprometer la seguridad del código abierto.

La mayoría de los desarrolladores no podrán detener un ataque de esta naturaleza a menos que tengan una fuerte conciencia de seguridad, conocimientos de seguridad sólidos y una pizca de paranoia. Es casi un caso en el que se requiere una mentalidad de actor de amenazas. Sin embargo, una consideración principal siempre debe centrarse en los repositorios de código fuente que somos controlado internamente (es decir, no de código abierto). Solo deberían ser accesibles para personas que tengan habilidades de seguridad relevantes y verificadas. Los profesionales de AppSec podrían plantearse una configuración similar a la de los controles de seguridad a nivel de sucursal, que solo permita a los desarrolladores expertos en seguridad introducir cambios en la última rama maestra.

Los mantenedores voluntarios son héroes, pero (debería) hacer falta un pueblo para mantener un software seguro

Para quienes están fuera del ámbito de la ingeniería de software, la idea de que una comunidad animada de voluntarios mantenga minuciosamente los sistemas críticos en su tiempo libre es un concepto difícil de entender, pero esta es la naturaleza del desarrollo de código abierto y sigue siendo un área de riesgo crítico para los profesionales de la seguridad que protegen la cadena de suministro.

El software de código abierto es una parte vital del ecosistema digital de prácticamente todas las empresas, y los responsables de su mantenimiento (la mayoría de los cuales actúan de buena fe) son verdaderamente heroicos en su búsqueda desinteresada del progreso tecnológico y la integridad, pero es absurdo mantenerlos funcionando de forma aislada. En estos tiempos centrados en DevSecops, la seguridad es una responsabilidad compartida, y todos los desarrolladores deben contar con los conocimientos y las herramientas adecuadas para resolver los problemas de seguridad con los que es probable que se enfrenten en su jornada laboral. El conocimiento de la seguridad y las habilidades prácticas no deberían ser negociables en el proceso de desarrollo de software, y corresponde a los líderes de seguridad influir en el cambio a nivel empresarial.
‍

‍Cree hoy mismo una cultura de seguridad próspera en su organización con información exhaustiva Cursos de Secure Code Warrior.

A medida que las brechas de datos y sus costos siguen aumentando, el volumen de código producido en nuestro mundo es demasiado grande para que los expertos en seguridad lo manejen solos. Las empresas necesitan desarrolladores con habilidades de codificación segura, y los desarrolladores saben que necesitan estas habilidades para avanzar en sus carreras. Sin embargo, la formación actual en código seguro las está decepcionando. Entonces, ¿qué quieren los desarrolladores en lo que respecta a la formación sobre código seguro? Para responder a esta pregunta, analicemos algunas ideas de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior con Evans Data Corp* . (Descargar el documento técnico aquí).

Cuando se trata del tipo de formación que desean los desarrolladores, la respuesta es muy clara. El 75% de los desarrolladores prefirió la formación estructurada en el puesto de trabajo, considerándola la forma más eficaz y satisfactoria de aprender. Y en lo que respecta a lo que debe incluir esa formación, los desarrolladores tienen algunas preguntas muy claras y específicas:

• El 65% afirma que necesita formación sobre las vulnerabilidades específicas del idioma
• El 65% quiere más formación en el Top 10 de OWASP
• Muchos también quieren centrarse en los marcos de seguridad de cumplimiento, incluidos el NIST (58%), el CIS (52%) y el PCI DSS (50%)
• El 78% quiere orientación y orientación informales entre pares como parte de esa capacitación
  

Sin embargo, si bien los desarrolladores prefieren los cursos estructurados al aprendizaje no estructurado, la forma en que se imparten los cursos es crítica. Por supuesto, esto plantea otra pregunta crucial:

¿Cómo prefieren aprender los desarrolladores?

Los desarrolladores no quieren quedarse sentados escuchando a los profesores, quieren hacerse con las cosas y probarlas por sí mismos. Quieren centrarse en las aplicaciones prácticas, algo de lo que carecen en gran medida los programas de formación actuales. Cuando se les pidió que identificaran cómo podría mejorar la formación impartida por la empresa, el 30% de los encuestados respondió que preferiría que la formación se centrara en las aplicaciones prácticas, especialmente en escenarios laborales auténticos.

La formación de desarrolladores necesita un enfoque dirigido por personas que ofrezca vías de aprendizaje guiadas que incluyan desafíos de codificación «gamificados» que sean tanto prácticos como específicos del lenguaje: marco. La formación «gamificada» específica por roles hace que los desarrolladores se involucren al máximo, con módulos de aprendizaje configurables que permiten a la organización orientar el aprendizaje de los desarrolladores hacia vulnerabilidades específicas.

Para saber cómo hacer que la seguridad del software sea una parte intrínseca de su proceso de desarrollo con itinerarios estructurados y basados en habilidades que brinden la capacitación que desean los desarrolladores, solicitar una demostración ahora.

«Las simulaciones interactivas ayudan a identificar las vulnerabilidades de seguridad en el código, lo desafían a pensar críticamente y a encontrar la solución o varias soluciones. He visto el código desde una nueva perspectiva, ¡y ponerme manos a la obra me ha dado muchísimas alegrías!»
‍Ingeniero de software, servicios financieros‍

‍
*Pasar de la reacción a la prevención: la cara cambiante de la seguridad de las aplicaciones. Secure Code Warrior y Evans Data Corp. 2020

Hace poco más de nueve años, tuve varias conversaciones con amigos, familiares, antiguos colegas y posibles inversores sobre mi intención de crear una empresa. Todos me apoyaron, algunos se convirtieron en los ángeles que necesitábamos para abrirnos camino y otros, bueno, actuaron como la voz de la razón, citando estadísticas aleccionadoras como El 90% de las startups acaban fracasando, y uno de cada cinco sucumbe a la basura en los dos primeros años.

El camino recorrido hasta la fecha no ha estado exento de obstáculos, obstáculos económicos impredecibles y riesgos significativos, pero la verdad es que, con mi cofundador Matías y un equipo increíble a mi lado, creo que podemos soportar casi cualquier obstáculo que se nos presente.

Hoy es nuestro noveno cumpleaños, y me siento inmensamente orgulloso y agradecido por nuestros logros y nuestro lugar perdurable en el mundo de la ciberseguridad, ya que el panorama sigue cambiando rápidamente.

‍

Nuevos clientes, nuevas oportunidades

No es fácil crecer en este clima económico, pero seguimos encontrando formas de mejorar la velocidad y la eficiencia y ofrecer más valor a nuestra creciente base de clientes. Si bien en 2023 añadimos una gran cantidad de logotipos de primer nivel a nuestra lista de clientes, la verdadera ventaja fue comprobar su disposición a probar nuevos enfoques para garantizar el desarrollo de software, incluso en entornos antiguos, donde este proceso puede resultar mucho más difícil de implementar.

Estos grandes actores de la industria pueden ser fundamentales para impulsar el cambio que debemos ver si queremos presenciar una transformación en los resultados de seguridad.

Y en 2023, estuvimos encantados de observar:

>> Crecimiento del 100% para nuestro torneo anual de codificación segura global Devolympics. Guarda la fecha y registra tu interés para nuestro torneo de 2024, ¡que comienza el 15 de octubre!

>> Más de 400 000 desarrolladores utilizan la plataforma de aprendizaje Secure Code Warrior.

>> Los datos analizados del 30% de nuestra base de usuarios (casi 75 000 personas) revelan que los desarrolladores que aprenden y aplican prácticas de codificación seguras con Secure Code Warrior presentan 53% menos de vulnerabilidades en su organización más que sus pares. ¡Impresionante!

La IA está dominando los titulares y las salas de juntas, pero estamos preparados

El año pasado, la expectación en torno a la IA, el aprendizaje automático y la tecnología de modelos de grandes lenguajes (LLM) era inevitable y, en tan solo doce meses, una avalancha de herramientas de codificación y seguridad de la IA ha empezado a cambiar la forma en que muchos desarrolladores abordan la escritura de código.

Las tecnologías emergentes que logran captar el espíritu de la época y exigen una adopción masiva son increíblemente poderosas, y las herramientas de codificación de asistencia de inteligencia artificial han llegado para quedarse. Sin embargo, como lo hemos hecho discutido en última instancia, esta tecnología, si acaso, ha ampliado el abismo entre el desarrollo seguro del software y la eficiencia. Los desarrolladores expertos en seguridad son más demandados que nunca, ya que las organizaciones se enfrentan a la necesidad de equilibrar la velocidad con el conocimiento del contexto y la detección de vulnerabilidades, algo que es mejor realizar con una supervisión humana experimentada. En cierto modo, es el futuro de la programación en parejas, y las herramientas en sí mismas representan una frontera nueva y única en la creación de software.

Puedes juega un desafío interactivo para comprobar con sus propios ojos el impacto de las herramientas de inteligencia artificial y LLM en la seguridad y comprobar la inmensa oportunidad que ofrecen estas herramientas de hacer hincapié en la mejora de las habilidades de seguridad de los desarrolladores cuanto antes. Y estamos preparados para asociarnos con organizaciones que buscan velocidad y eficiencia con la seguridad como prioridad.

Estar al lado de los líderes en ciberseguridad para crear resultados de seguridad positivos e impulsados por los desarrolladores

Durante nueve años, hemos defendido a los ingenieros de software como el corazón de un programa de seguridad y, al entrar en una década en este ámbito, 2024 se perfila como un año revolucionario en nuestra historia.

Nuestra hoja de ruta de productos está repleta de increíbles funciones nuevas que estamos ansiosos por compartir con ustedes, y sé que los líderes de seguridad estarán especialmente interesados en lo que podemos ayudarlos a lograr con su grupo de desarrollo.

Estén atentos y gracias por acompañarnos.

El aprendizaje ágil para un código seguro en el SDLC vale la pena

Este es el tercero de una serie de blogs de tres partes que analiza los atributos y beneficios de una plataforma de aprendizaje ágil para código seguro. En parte 1 presentamos el concepto de aprendizaje ágil y cómo la plataforma de Secure Code Warrior ejemplifica varios principios ágiles. En parte 2 exploramos cómo una plataforma de aprendizaje ágil reemplaza la capacitación tradicional en seguridad orientada al cumplimiento.

Una plataforma de aprendizaje ágil ofrece una experiencia de aprendizaje que permite al alumno internalizar y utilizar las nuevas habilidades de manera más eficaz, mediante una combinación de educación práctica y contextual que está verdaderamente integrada en su trabajo diario, como parte del trabajo. Este enfoque del aprendizaje, tal como SCW lo ha aplicado a los desarrolladores que adquieren habilidades de codificación seguras, diferencia al SCW de las modalidades de aprendizaje tradicionales y nos diferencia. En este tercer y último blog de la serie, explicamos el retorno de la inversión que las organizaciones pueden esperar de una plataforma de aprendizaje ágil sobre código seguro y cómo modelar los números para su organización.

Impacto empresarial

Las organizaciones que adoptan un enfoque ágil para el aprendizaje seguro del código ven entre el doble y el triple de impacto empresarial gracias a dos palancas: la capacidad de corrija las vulnerabilidades más rápido y reducción de costes de reelaboración. 

‍

‍

Cuanto antes se aborden las vulnerabilidades en el SDLC, menos daño pueden causar y es menos costoso solucionarlas. Según el experto en seguridad Jim Routh, que anteriormente se desempeñó como director de seguridad en Aetna y director de TI en MassMutual, el costo por defecto durante las fases del SDLC aumenta a más de 14 000 dólares si se realiza durante el modo de mantenimiento una vez que el software entra en producción. Los costos se pueden reducir a la mitad si se abordan durante las pruebas y pueden ser 14 veces más baratos si se abordan durante la fase de codificación.

‍

‍

Cuanto mejor equipados estén los desarrolladores para corregir las vulnerabilidades más rápido o para evitarlas por completo, menores serán los costos y riesgos que una organización debe aceptar en sus productos de software y aplicaciones internas. Las organizaciones que desean invertir en la prevención de vulnerabilidades y en la calidad del software proporcionan a los desarrolladores una plataforma de aprendizaje ágil que ofrece experiencias flexibles y múltiples vías de aprendizaje, diseñada específicamente para lograr un impacto empresarial inmediato.

‍

Investigación de NIST indica que las horas necesarias para corregir una vulnerabilidad varían, pero las estimaciones de la tabla siguiente se han identificado en situaciones reales con clientes de grandes empresas.

‍

‍

Una vez que los equipos desarrollan nuevas habilidades de codificación segura, los clientes de SCW han observado que sus desarrolladores corrigen las vulnerabilidades entre un 50 y un 60% más rápido y producen un 50% menos de vulnerabilidades de alto riesgo en el código de producción. La experiencia de cada organización varía, pero estos resultados se han observado en grandes empresas con más de 5000 desarrolladores. El aumento de la productividad de los desarrolladores ha tenido un impacto en los resultados finales.

Reducción de costos operativos: corrija las vulnerabilidades más rápido

Para comprender el impacto financiero de un proceso de desarrollo de software más seguro y cómo una inversión en una plataforma de aprendizaje ágil ayuda a los desarrolladores a corregir las vulnerabilidades con mayor rapidez, utilice el siguiente modelo y sustituya las variables en azul por sus propios números:

 Base de referencia:

‍

Beneficio supuesto de la plataforma de aprendizaje ágil en MTTR (Mean Time To Remediate)

‍

Valor de prevención: reducción de costos de reelaboración

Una plataforma de aprendizaje ágil ayuda a los desarrolladores a escribir código seguro desde el principio. El modelo para determinar este impacto financiero se presenta a continuación.

‍

El enfoque de aprendizaje ágil marca la diferencia

La plataforma de aprendizaje ágil SCW para código seguro es superior a los enfoques alternativos de formación en seguridad para desarrolladores. Los clientes de SCW han obtenido unos resultados sobresalientes que, por supuesto, varían en función de los costes individuales y los indicadores de vulnerabilidad de cada situación particular. ¿Uno gran empresa de servicios financieros, Envestnet, descubrió que los desarrolladores formados en SCW corrigieron 2,7 veces más vulnerabilidades que sus pares. Además, un grupo de 1200 desarrolladores formados en SCW incrementaron en un 120% las tasas de corrección de sus listas de espera.

Como ocurre con cualquier inversión en soluciones empresariales, es importante evaluar sus circunstancias únicas. Nuestro equipo puede colaborar con usted para evaluar su estado actual y desarrollar un modelo de negocio personalizado. Si quieres evaluar el impacto por tu cuenta, utiliza los modelos descritos en este blog y echa un vistazo a seminario web reciente para clientes con Sage, la empresa de software de contabilidad y ERP con sede en el Reino Unido, que analiza una reducción del 82% del MTTR en caso de vulnerabilidades como parte de un sólido programa para crear una cultura de seguridad.

Acerca de Secure Code Warrior

Secure Code Warrior brinda a sus desarrolladores las habilidades necesarias para escribir código seguro. Nuestra plataforma de aprendizaje es la solución de codificación segura más eficaz porque utiliza métodos de aprendizaje ágiles para que los desarrolladores aprendan, apliquen y conserven los principios de seguridad del software. Más de 600 empresas confían en Secure Code Warrior para implementar programas de seguridad de aprendizaje ágiles, ofrecer software seguro con rapidez y crear una cultura de seguridad impulsada por los desarrolladores. ¿Está listo para obtener más información? Solicita una demostración.

El tiempo es dinero, ¿por qué lo desperdiciamos?

Gerentes de ingeniería: es hora de ser realistas. ¿Cuántas horas dedican sus desarrolladores a programar? No, no queremos que admitan que están todo el día en pijama comiendo patatas fritas y viendo Netflix. En lugar de eso, pregúntate: ¿cuántas horas al día crees que dedican tus equipos a un trabajo significativo?

Ahora, observa el tiempo que tus desarrolladores dedican a programar por semana. ¿Cuánto de ese tiempo se dedica a reelaborar el código heredado, a encontrar y corregir errores o a solucionar problemas técnicos? Probablemente mucho.

Conocemos la sensación. Los desarrolladores suelen sentirse frustrados por su incapacidad para progresar cuando se enfrentan a desafíos y brechas insuperables en el ciclo de vida actual del desarrollo de software.

• De media, un equipo de desarrollo de software reelabora alrededor del 26% de su código antes del lanzamiento.
• Un desarrollador dedica una media de 13,5 horas a la semana solo a deudas técnicas. Eso equivale a dedicar más de 700 horas al año a corregir errores del pasado.
• Los desarrolladores dedican cuatro horas a la semana a trabajar en «código incorrecto». En un año, esto equivale a una pérdida de 85 000 millones de dólares en costos de oportunidad.
• El 41% de los desarrolladores afirma que la funcionalidad y la seguridad tienen la misma importancia en su organización.
• El 63% de los desarrolladores considera que escribir código seguro sin vulnerabilidades es muy difícil.

Fuente: Stripe Report, el coeficiente de desarrollador; Encuesta sobre el estado de la seguridad impulsada por los desarrolladores de 2022

Piense en la última vez que realizó una revisión de código en la que su equipo de AppSec identificó el código como inseguro. Tenga en cuenta la paralización a la que tuvo que enfrentarse su equipo cuando tuvo que corregir esas vulnerabilidades. Lo más probable es que hayan tenido que meterse en la madriguera del conejo para encontrar una solución viable al problema y, luego, tomarse un tiempo extra para averiguar dónde diablos lo habían dejado antes de tener que abordar el problema.

Fuente: Informe Stripe, el coeficiente de desarrollador

Este ciclo interminable de paros y reprocesos no solo es disruptivo, sino que acaba con la productividad y desmoraliza.

Hay una forma mejor de programar de forma segura y ahorrar tiempo en el proceso

Todos desearíamos tener más horas en el día para hacer las cosas. Pero a veces solo tenemos que encontrar una manera de trabajar de manera más inteligente, no más ardua, con las horas que tenemos.

En lugar de perder el tiempo buscando soluciones, pasando horas y horas revisando código que puede que ni siquiera sea tuyo en busca de defectos y vulnerabilidades, ¿no sería más sencillo escribir mejor el código desde el principio?

La tecnología se encuentra hoy en un punto muerto, y los gerentes de ingeniería buscan reducir los costos de todas las formas posibles. Las licencias de software, los gastos discrecionales e incluso los salarios están en el punto de mira. Pero, ¿y si no fuera necesario llegar a eso? Las ineficiencias en el proceso de desarrollo de software son más difíciles de cuantificar pero, en última instancia, son más costosas y difíciles de abordar.

Con la seguridad impulsada por los desarrolladores, los desarrolladores pueden crear una mayor eficiencia y productividad dentro del SDLC al ser propietarios de la seguridad en cada paso del proceso.

Reducir el tiempo dedicado a la reelaboración del código vulnerable es algo más que una medida de ahorro de costes: es una oportunidad de reinvertir en su departamento. El tiempo perdido se puede utilizar para crear nuevas funciones innovadoras o mejoras significativas en su aplicación. Los desarrolladores que antes se sentían frustrados por no poder progresar se sentirán motivados por la oportunidad de añadir valor.

Los desarrolladores consideran que los mayores impactos negativos en sus cargas de trabajo se deben a la sobrecarga de trabajo, a los cambios de prioridades que provocan el descarte de código o a la pérdida de tiempo, y a la falta de tiempo suficiente para corregir el código de mala calidad. Si a esto le sumamos la falta de conocimientos y una solución heterogénea para abordar las vulnerabilidades, nos enfrentamos a una pérdida de tiempo aún mayor y a unos costes cada vez mayores.

Fuente: Encuesta sobre el estado de la seguridad impulsada por los desarrolladores de 2022

La tecnología avanza a la velocidad de la luz, por lo que es importante dar a los desarrolladores las herramientas necesarias para mantenerse al día y no quedarse atrás. Si dotas a los desarrolladores de los conocimientos necesarios para programar de forma segura desde el principio y corregir las vulnerabilidades con rapidez, tu equipo tendrá una ventaja a la hora de afrontar los quebraderos de cabeza que supone reelaborar el código y solventar la deuda técnica a largo plazo.

Las empresas necesitan movilizar mejor el talento de sus desarrolladores actuales si quieren avanzar más rápido, mantenerse ágiles y aprovechar las tendencias nuevas y emergentes. Motivar a los desarrolladores para que se centren más en la seguridad no debería centrarse únicamente en los costes y los resultados. Mejorar las habilidades e integrar la seguridad en cada paso del SDLC no solo es una ventaja para el equipo, sino también una victoria profesional para los desarrolladores individuales. Los desarrolladores que tengan las habilidades necesarias para programar de forma segura serán muy apreciados en los próximos años, ya que programar de forma segura significa que tendrán menos problemas que resolver en el futuro.

Empezar por la izquierda no solo significa avanzar con rapidez, sino permitir que los desarrolladores compartan la responsabilidad de la seguridad sin sacrificar la velocidad. Cuando se hace bien, los desarrolladores expertos en seguridad mejoran la productividad al reducir las vulnerabilidades que generan reprocesos, mantener la velocidad de lanzamiento del software y garantizar la calidad del código sin obstaculizar la innovación.

Codificación más inteligente, rápida y segura

Secure Code Warrior crea una cultura de desarrolladores impulsados por la seguridad al brindarles las habilidades necesarias para programar de forma segura. Nuestra plataforma de aprendizaje insignia ofrece itinerarios relevantes basados en habilidades, misiones prácticas y herramientas contextuales para que los desarrolladores aprendan, desarrollen y apliquen rápidamente sus habilidades para escribir código seguro con rapidez.

Hay una pregunta que todos los desarrolladores deben hacerse, ya sea un graduado o un veterano. Y la respuesta es importante. Se ha vuelto aún más importante en un mundo ágil, ya que tendrá un impacto directo en el éxito que tendrá en la ingeniería de software y en lo valioso que será para su próximo empleador.

Es la pregunta del millón de dólares. En realidad, ¡es la pregunta multimillonaria!

¿Te comprometes a ayudarme a programar de forma segura?

El coste medio de una violación de datos ahora es de 3,6 millones de dólares. Las probabilidades de que su empresa sea violada este año son de una de cada cuatro. Teniendo en cuenta estos datos, comparto la frustración de muchos por el hecho de que los desarrolladores no se están graduando de la universidad con las competencias en codificación segura y seguridad integradas en su ADN.

¿Por qué? La ingeniería de software es todavía una profesión relativamente joven. Se ha hecho hincapié en enseñar a las personas cómo crear código rápidamente, hacerlo elegante y funcional, pero con un enfoque muy limitado en hacer que el código sea seguro. El ritmo del cambio en las metodologías, las tecnologías, los lenguajes y las oportunidades solo agrava estas brechas de habilidades clave.

No vamos a cambiar el sistema académico rápidamente, por lo que tanto los desarrolladores como las empresas deben esperar que los desarrolladores necesiten aprender habilidades de codificación seguras en el trabajo. En algunas profesiones, puedes aprender cometiendo errores, pero para otras, no es una opción. Lo mismo ocurre con la ciberseguridad.

Los hechos muestran que tampoco nos ha ido muy bien con la formación en seguridad para desarrolladores en el puesto de trabajo. La mayoría de las principales brechas de seguridad del mundo se deben a errores de codificación que permiten a los piratas informáticos obtener privilegios en las redes informáticas, lo que les permite acceder a datos valiosos y recopilarlos. Informe de investigación de violación de datos de Verizon (DBIR) de 2017, muestra que el 30% de todas las infracciones se deben directamente a debilidades en la seguridad de las aplicaciones web y esta conclusión ha sido constante en el informe del DBIR desde 2013.

El Encuesta global de habilidades de DevSecOps de 2017 publicado en agosto de 2017, confirmó lo que ya sabíamos: si bien el 65 por ciento de los profesionales de DevOps cree que es muy importante tener conocimientos de DevSecOps al ingresar a TI, el 70 por ciento considera que no está recibiendo la formación necesaria a través de la educación formal para tener éxito en el mundo actual de DevSecOps.

Casi el 40 por ciento de los gerentes de contratación encuestados informaron que los empleados más difíciles de encontrar son los desarrolladores multiusos de alta gama con conocimientos suficientes sobre las pruebas de seguridad. El 70 por ciento de los encuestados dijo que la educación en seguridad que habían recibido no era adecuada para sus puestos actuales. De hecho, menos del 4% afirmó que se le ofrecía alguna oportunidad.

Lo vi de primera mano cuando pasé casi una década trabajando con varios equipos de hackers profesionales de sombrero blanco. Con trágica regularidad, irrumpimos en grandes empresas, empresas emergentes y departamentos gubernamentales, encontrando siempre las mismas debilidades.

Esta es la razón por la que los desarrolladores deben alzar la voz cuando te contratan. Si tu posible empleador no se está tomando en serio tu formación en seguridad para desarrolladores, deberías pensar en el tipo de empresa a la que te estás planteando unirte.

La segunda pregunta que debes hacerte es cómo planean entregarlo. ¿Será práctico e interactivo? Es poco probable que la formación de seguridad para desarrolladores sobre vulnerabilidades mediante el uso de slideware, vídeos, animaciones en las que se pueda hacer clic o debates abstractos le ayude directamente a programar. ¿Se asegurarán de que estés continuamente al día de las vulnerabilidades más recientes? ¿Hay algún gremio o comunidad de seguridad del que puedas aprender? ¿Hay expertos en seguridad a los que puedas recurrir si necesitas ayuda?

El compromiso con sus habilidades de codificación segura requiere un aprendizaje continuo a través de desafíos prácticos en marcos de codificación específicos y enfrentarse a diferentes vulnerabilidades en múltiples escenarios. Simplemente no puede aprender sobre las inyecciones de SQL con un solo ejemplo. Es necesario estar expuesto a varios ejemplos de diversos tipos para aprender a reconocer estos peligrosos patrones de codificación.

Uno de nuestros clientes exigió a sus desarrolladores que jugaran un solo desafío (5 minutos) todos los días durante dos meses. Probó sus habilidades antes y después del período de formación y observó un aumento del 60% en la capacidad de codificación segura en comparación con un grupo de cientos de desarrolladores. Esto significa gastar menos recursos en encontrar y corregir errores de seguridad más adelante en el ciclo de vida y un ahorro significativo a largo plazo. Esto significa que los piratas informáticos no usarán tu código para comprometer los datos de tu empresa.

Según una investigación de IDC, había 11 millones de desarrolladores profesionales en el mundo en 2014. En 2015, Burning Glass descubrió que había hasta 7 millones de ocupaciones que requerían conocimientos de programación y que los trabajos de programación crecían, de media, un 12% más rápido que el mercado.

Hay muchos trabajos de software por ahí. Por lo tanto, tome una posición y elija empleadores que se comprometan a cuidar su seguridad, la suya y la de sus clientes. Por extensión, elige empresas que inviertan en ti.

Hay una pregunta que todos los desarrolladores deben hacerse, ya sea un graduado o un veterano. Y la respuesta es importante. Se ha vuelto aún más importante en un mundo ágil, ya que tendrá un impacto directo en el éxito que tendrá en la ingeniería de software y en lo valioso que será para su próximo empleador.

Es la pregunta del millón de dólares. En realidad, ¡es la pregunta multimillonaria!

¿Te comprometes a ayudarme a programar de forma segura?

La mayoría de las organizaciones siguen esforzándose por hacer hincapié en la seguridad como un elemento fundamental del ciclo de vida del desarrollo de software (SDLC), y pocas son capaces de superar el sólido enfoque de DevSecOps. Para muchas, la priorización de las funciones y los plazos de lanzamiento sigue teniendo prioridad sobre la seguridad. Esto tiene repercusiones, como el aumento del riesgo de una costosa filtración de datos y la reducción de la productividad a medida que los equipos revisan las solicitudes de seguridad y vuelven a trabajar.

Porque los desarrolladores son la primera línea de defensa cuando se trata de eliminar el riesgo de vulnerabilidades de software, es importante que las organizaciones piensen en aumentar la madurez de sus equipos de desarrollo. Pero esto plantea una serie de preguntas.

¿Cómo evalúa una organización la madurez de seguridad de sus equipos de desarrollo? ¿Cómo es posible que establecer una hoja de ruta para alcanzar la madurez de la seguridad no parezca una tarea imposible? ¿Cómo puede mantener a sus desarrolladores comprometidos y motivados para mejorar su madurez en materia de seguridad?

Hemos utilizado la información de Secure Code Warrior Encuesta sobre el estado de la seguridad impulsada por los desarrolladores para entender las respuestas a estas preguntas y utilizamos nuestros equipos de servicio al cliente de primer nivel para descubrir qué están haciendo otras organizaciones para encontrar las respuestas. ‍

¿Cómo puede aumentar la madurez de seguridad de los equipos de desarrollo?

No hay dos organizaciones iguales cuando se trata de mejorar la madurez de la seguridad, y hay muchas variables a tener en cuenta que pueden afectar el éxito de una empresa en sus esfuerzos por cambiar a la izquierda. Quienes lo hacen tienen muchas ventajas, entre las que se incluyen la creación y la publicación más rápidas del código, con menos cantidad o sin ella vulnerabilidades, lo que a su vez reduce los costosos reprocesos y, en última instancia, reduce el riesgo.

Las organizaciones que progresan tienen un plan definido con el apoyo de la administración y un enfoque coherente para mejorar continuamente la madurez de la seguridad a lo largo del tiempo que abarca (entre otras cosas):

• Definición de una línea base de madurez de seguridad
• Evaluación de la madurez de los equipos en materia de seguridad
• Identificación de las principales debilidades de seguridad
• Creación de una cultura de seguridad positiva

Consulte nuestro nuevo documento técnico La importancia de la madurez de la seguridad en los equipos de desarrollo para analizar en profundidad:

• ¿Qué es la madurez de seguridad en los equipos de desarrollo y por qué es importante?
• ¿Cuáles son las diferentes etapas y características de la madurez de la seguridad para los equipos de desarrollo?
• ¿Qué se necesita para desarrollar la madurez en materia de seguridad en los equipos de desarrollo?