Pour que les développeurs puissent terrasser la cybercriminalité, la formation se divise en deux quêtes.

Une version de cet article a été publiée sur DevOps.com. Il a été mis à jour et syndiqué ici.

Le rapport de force entre les héros et les méchants de la cybersécurité est notoirement déséquilibré. Les données sensibles sont le nouvel or, et les attaquants s'adaptent rapidement pour contourner les défenses, exploitant les failles de sécurité, petites ou grandes, pour décrocher le gros lot.

Le volume de code produit est trop important pour que les experts en sécurité — une denrée de plus en plus rare — puissent y faire face, et le coût croissant des violations de données prouve que la situation doit changer. Heureusement, pour notre sécurité numérique et la tranquillité d'esprit des RSSI, le mouvement DevSecOps aide à intégrer les développeurs dans la démarche de sécurité dès le début du processus de développement logiciel. Ils sont désormais reconnus comme la première ligne de défense contre les cyberattaquants, avec le pouvoir d'éliminer les vulnérabilités courantes du bout des doigts.

Cependant, leurs capacités défensives ne valent que ce que vaut leur formation, ce qui représente un défi supplémentaire pour les équipes de sécurité. Pour de nombreux développeurs formés au codage sécurisé sur le tas, le principal obstacle est de rester attentif lors d'activités passives et soporifiques qui ne sont ni efficaces, ni motivantes pour garder la sécurité à l'esprit. Les cours vidéo sans âme ne mènent nulle part, les formations annuelles symboliques sont une perte de temps, et personne ne gagne contre l'attaquant malveillant qui attend la moindre faille pour frapper.

À ce stade de notre industrie, nous avons compris qu'une éducation contextuelle et pratique, dispensée dans les langages et frameworks de programmation pertinents, avec des défis qui imitent ceux qu'un développeur pourrait rencontrer dans le monde réel, est une approche bien plus engageante.

Ceci constitue la première phase de la quête du développeur pour aider les gourous de l'AppSec à éliminer les vulnérabilités courantes, mais la deuxième phase exige des scénarios réalistes pour créer une force défensive surpuissante et sensibilisée à la sécurité.

L'apprentissage étayé est essentiel dans la formation des adultes

Lorsqu'il s'agit de cours extrascolaires ou de formation en entreprise, on oublie souvent que les adultes apportent avec eux un certain niveau d'expérience et de connaissances préalables. Une bonne formation s'appuie sur ces bases et est structurée de manière à permettre une compréhension plus profonde et une autonomie plus rapide dans le processus d'apprentissage.

L'éducation étayée est une méthode d'apprentissage puissante et positive qui cherche à activer et à améliorer l'expérience préalable, tout en continuant à construire de nouvelles compétences — par étapes gérables — qui permettent à l'apprenant d'aborder des tâches de plus en plus difficiles avec davantage de confiance. Il s'agit généralement d'une méthodologie qui s'accompagne idéalement de démonstrations, de supports visuels et d'une exploration dirigée par l'étudiant.

Si l'on applique cette approche à la formation des développeurs en sécurité, il n'est pas surprenant que la méthode dynamique « apprendre en faisant » ait longtemps été préférée à la corvée de l'apprentissage théorique statique. Ils sont libres d'être maîtres de leur domaine et doivent sentir que leur temps est bien investi.

En ce sens, apprendre à coder de manière sécurisée dans un environnement hyper-pertinent et contextuel est essentiel, mais le niveau supérieur consiste à voir une exploitation de code vulnérable en action. Avec une vue comparative du frontend et du backend, le lien devient tangible entre les actions effectuées lors du codage et ce qu'un attaquant peut potentiellement faire des raccourcis, des erreurs de configuration ou des oublis qui ne sont ni détectés ni corrigés.

Passer de la mémorisation à l'application pour une approche de sécurité véritablement préventive

Faire l'expérience directe de l'impact des vulnérabilités de sécurité est une pièce maîtresse du puzzle éducatif, et c'est une chose assez rare, même avec les options de formation en sécurité les plus modernes pour les développeurs. Le travail fondamental consacré à l'affinement des compétences pour repérer et corriger les vulnérabilités, et à la mémorisation de cette expérience pour éliminer les mêmes bugs lors de l'écriture du code, est extrêmement important, mais ce n'est pas tout. Voir comment un code vulnérable est exploité par un acteur malveillant ajoute une couche de contexte puissante, qui souligne vraiment l'importance de sécuriser le code et d'appliquer des connaissances en sécurité durement acquises pour fermer chaque porte dérobée.

Il est généralement admis que les développeurs n'aiment pas la sécurité, et qu'ils ont encore moins d'affection pour la formation en sécurité. Leurs expériences avec les spécialistes de l'AppSec peuvent être très froides, et le travail supplémentaire causé par l'équipe de sécurité qui renvoie du code vulnérable aux développeurs pour correction est le fléau de leur existence. Pour une équipe d'ingénierie déjà surchargée, la sécurité est le problème de quelqu'un d'autre, pas leur priorité, et un obstacle à leur créativité naturelle et à leur objectif principal : créer des fonctionnalités. Cependant, il y a tout simplement trop de code, trop de violations et trop de risques pour les données mondiales pour que cet état d'esprit perdure.

Un processus DevSecOps fonctionnel implique que les développeurs travaillent en harmonie avec les équipes de sécurité dès le début du cycle de vie du développement logiciel (SDLC). L'opportunité d'un apprentissage appliqué, où ils peuvent interagir avec une exploitation simulée et constater l'impact d'un code mal sécurisé, contribue grandement à mettre les développeurs sur la même longueur d'onde que ces fameux experts AppSec (qui ne sont finalement pas si terribles).

L'apprentissage interactif prépare les développeurs au combat final

Au moment de la rédaction de cet article, deux violations majeures ont été signalées en l'espace de 7 jours : Razer a annoncé que plus de 100 000 enregistrements de données sensibles avaient été exposés, tandis que la chaîne de fournitures de bureau Staples a également signalé une fuite de données similaire. Plus d'un milliard d'enregistrements sensibles ont été exposés jusqu'à présent en 2020, et cette tendance inquiétante ne montre aucun signe de ralentissement. En clair, les acteurs malveillants ont l'avantage, et des développeurs sensibilisés à la sécurité sont cruellement nécessaires pour servir de première ligne de défense.

Des défis interactifs axés sur la simulation de telles failles permettent aux développeurs de passer d'une mémorisation passive, à la mise en pratique de compétences qui ont un impact réel sur le combat final : stopper net les attaquants.

‍