Informations sur le code sécurisé

Extensible Markup Language (XML) is a markup language used for encoding documents in a format that is both easy to handle for machines and human-readable. However, this commonly used format includes multiple security flaws. In this first XML related blog post, I will explain the basics of handling XML documents securely by using a schema.

OWASP divides the different vulnerabilities related to XML and XML schemas in two categories.

Malformed XML documents

Malformed XML documents are documents that do not follow the W3C XML specifications. Some examples that result in a malformed document are the removing of an ending tag, changing the order of different elements or the use of forbidden characters. All of these errors should result in a fatal error and the document should not undergo any additional processing.

In order to avoid vulnerabilities caused by malformed documents, you should use a well-tested XML parser that follows W3C specifications and does not take significantly longer to process malformed documents.

Invalid XML documents

Invalid XML documents are well formed but contain unexpected values. Here an attacker may take advantage of applications that do not properly define an XML schema to identify whether documents are valid. Below you can find a simple example of a document that, if not validated correctly, might have unintended consequences.

A web store which stores its transactions in XML data:

   <purchase></purchase>
     <id>123</id>
     <price>200</price>
   

And the user only has control over the <id> value. It is then possible, without the right counter measures, for an attacker to input something like this:</id>

   <purchase></purchase>
     <id>123</id>
     <price>0</price>
     <id></id>
     <price>200</price>
   

If the parser that processes this document only reads the first instance of the <id> and <price> tags this will lead to unwanted results. </price></id>

It is also possible that the schema is not restrictive enough or that other input validation is insufficient, so that negative numbers, special decimals (like NaN or Infinity) or exceedingly big values can be entered where they are not expected, leading to similar unintended behavior.

Avoiding vulnerabilities related to invalid XML documents should be done by defining a precise and restrictive XML Schema to avoid problems of improper data validation.

Next blog post we will go into some more advanced attacks on XML documents such as Jumbo Payloads and the feared OWASP Top Ten number four, XXE.

In the meantime you can hone or challenge your skills on XML input validation on our portal.

Specifications for XML and XML schemas include multiple security flaws. At the same time, these specifications provide the tools required to protect XML applications. Even though we use XML schemas to define the security of XML documents, they can be used to perform a variety of attacks: file retrieval, server side request forgery, port scanning, or brute forcing.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet

Cette semaine, nous célébrons officiellement les huit ans de Secure Code Warrior. D'une part, cela représente 350 fois la durée de la mission Apollo 11, et l'équivalent de 45 000 parties de football, soit 5 696 parties jouées à Super Mario Odyssey jusqu'à la fin. D'autre part, c'est juste un trentième de la durée de vie d'une tortue géante (250 ans, si vous vous demandez). Dans le monde d'une start-up à forte croissance, cela représente un parcours plein de rebondissements, de leçons et de réalisations, dont beaucoup étaient inimaginables lorsque nous avons rédigé notre plan d'affaires pour la première fois.

Entre la menace omniprésente de la récession, des conflits militaires et certaines des violations de données les plus perturbatrices que nous ayons connues à ce jour, 2022 n'a pas été l'année la plus positive pour beaucoup, y compris pour moi. Il serait malhonnête de ma part de dire que la ligne d'arrivée n'a pas été facile, mais je reste fière de notre résilience face aux défis mondiaux actuels. Nous disposons d'une équipe exceptionnelle et chacun d'entre nous est véritablement dévoué à la réussite des programmes de sécurité d'entreprise, en plaçant les développeurs au cœur d'une approche transformationnelle et défensive face à des problèmes qui existent depuis très longtemps. Nous avons tracé notre propre voie et nous l'avons emporté. Bien que nous ne soyons pas la seule option de formation à la cybersécurité « gamifiée » sur la planète, une chose est sûre : personne d'autre n'a notre vision, notre persévérance ou notre équipe fondatrice, et nous avons vécu beaucoup de choses ensemble.
‍

Les dates de notre anniversaire sont souvent utilisées pour évoquer les événements clés de l'année écoulée, mais cette fois, je tiens à souligner à quel point il est spécial que nous ayons atteint une telle croissance tout en conservant les six personnes que nous avions entassées dans un petit bureau le premier jour.

Nous avons trouvé notre créneau et travaillons ensemble chaque jour pour mettre en œuvre une vision qui, selon nous, changera la façon dont les développeurs envisagent leur rôle en matière de sécurité. C'est un gros travail, mais nous n'avons pas oublié nos racines et l'importance de nos liens.

‍

Nous avons encore un long chemin à parcourir, mais avec ce noyau et une équipe croissante composée de personnes enthousiastes, empathiques et dévouées, je suis convaincu que nous pouvons contribuer à changer le statu quo en matière de sécurité dans le développement de logiciels.

Et tu sais ce qui me rend si confiante ? Dès le début, nous avons mis l'accent sur la diversité et l'avons considérée comme l'un des piliers de l'équipe. Les meilleures organisations sont bâties grâce à la contribution de personnes d'origines, de cultures et de milieux sociaux variés. Nous avons ajouté plus d'une centaine de nouvelles personnes à l'équipe au cours de l'année écoulée, et je suis fier de dire que nous sommes un creuset d'approches qui aboutissent à un groupe d'êtres humains formidables et talentueux qui peuvent nous propulser dans la stratosphère proverbiale.

Si les trois dernières années nous ont appris quelque chose, c'est qu'il faut s'attendre à des imprévus, mais la constante sur laquelle je peux compter, c'est que nous nous soutenons mutuellement et que nous contribuons lentement mais sûrement à rendre les logiciels plus sûrs. Et nous le faisons sans perdre notre sens de l'aventure.

We recently sat down with Dimitri Vanderhaeghe, Software Engineer at Selligent Marketing Cloud, a highly integrated, AI-powered omnichannel marketing automation platform that enables ambitious B2C marketers to maximize every moment of interaction with today’s connected consumers.  For Selligent, a fast-paced B2C technology company scaling up and meeting the growing demands of their market is vital. Part of being able to meet these demands is an emphasis on cybersecurity and most crucially a developer-led, security skills program. 

Why is cybersecurity vital for scaling your business? 

A strong security strategy has to be high on your company's agenda if you want to scale your business, otherwise you leave yourselves open to vulnerabilities. A cybersecurity attack takes place every 39 seconds, and the cost of an attack on your business can be financially detrimental and ruin your reputation. We only have to look to the Equifax hack in 2017 for a prime example as their CEO resigned and made it clear that the hack was the reason for doing so. 

However, cybersecurity has to become a shared responsibility in order to scale, in particular within your developer community as Dimitri explains:

"The most important reason to train engineers is scalability, because we have a big product that almost 60 engineers are working on. If they don't care about security, all the vulnerability scans come back to the security specialists."

How do you create a developer-led security culture?

Dimitri and the Selligent team seem to have cracked a developer-led security culture, but from our recent research only 15% of developers see security as everyone’s responsibility within their organization. So, how do you start left and create a developer-led security culture?

Dimitri attributes this to an increase in security awareness generated through Secure Code Warrior® 's learning platform to upskill their developers. Dimitri says that without the platform they would have struggled to create security awareness. As a result, security is at the forefront of the developers’ minds when producing code. 

Another key aspect to creating a developer-led security culture is to make training relevant. Our recent study also showed that 40% of developers say that training is not hands-on and 30% say it’s also not relevant Dimitri notes that the granularity and real-world nature of Secure Code Warrior® tournaments make all the difference. The fun and competitive nature of the platform also leads to more engaged and aware developers. 

As Dimitri points out, without awareness the burden of cybersecurity falls back to the security specialists, which simply is not scalable. The answer is to scale your business and products effectively to ensure you’re protected against software vulnerabilities by focusing on hyper-relevant contextual training of your developer community with a developer-led security skills program. 

‍
Secure Code Warrior can offer your organization just that. Interested in a demo? Book one below. 

‍

The widespread adoption of AI coding tools is transforming software development. With 78% of developers¹ now using AI to increase productivity, the speed of innovation has never been greater. But this rapid acceleration comes with a critical risk.

Studies reveal that as much as 50% of functionally correct, AI-generated code is insecure². This isn’t a small bug; it’s a systemic challenge. It means every time a developer uses a tool like GitHub Copilot or ChatGPT, they could be unknowingly introducing new vulnerabilities into your codebase. The result is a dangerous mix of speed and security risks that most organizations are not equipped to manage.

The Challenge of “Shadow AI”

Without a way to manage AI coding tool usage, CISO, AppSec, and engineering leaders are exposed to new risks they can't see or measure. How can you answer crucial questions like:

• What percentage of our code is AI-generated?
• What MCPs are being used?
• What unapproved models are being used?
• What vulnerabilities are being generated by different models?

The lack of visibility and governance creates a new layer of risk and uncertainty. It’s the very definition of “shadow IT,” but for your codebase.‍‍

Our Solution – Trust Agent: AI

We believe you can have both speed and security. We're proud to launch Trust Agent: AI, a powerful new capability of our Trust Agent product that provides the deep observability and control you need to confidently embrace AI in your software development lifecycle.  Using a unique combination of signals, Trust Agent: AI provides:

• Visibility: See which developers are using which AI coding tools, LLMs and MCPs, and on what codebases. No more "shadow AI."
• Risk Metrics: Connect AI-generated code to a developer's skill level and introduced vulnerabilities to understand the true risk being introduced, at the commit level.
• Governance: Automate policy enforcement to ensure AI-enabled developers meet secure coding standards.

The Trust Agent: AI dashboard provides insights into AI coding tool usage, contributing developer, code repository, and more.‍

The Developer's Role: The Last Line of Defense

While Trust Agent: AI gives you unprecedented governance, we know that the developer remains the last, and most critical, line of defense. The most effective way to manage AI-generated code risk is to ensure your developers have the security skills to review, validate, and secure that code. This is where SCW Learning, part of our comprehensive Developer Risk Management platform, comes in. With SCW Learning, we equip your developers with the hands-on skills they need to safely leverage AI for productivity. The SCW Learning product includes:

• SCW Trust Score: An industry-first benchmark that quantifies developer security proficiency, enabling you to identify which developers are best equipped to handle AI-generated code.
• AI Challenges: Interactive, real-world coding challenges that specifically teach developers how to find and fix vulnerabilities in AI-generated code.
• Targeted Learning: Curated learning paths from 200+ AI Challenges, Guidelines, Walkthroughs, Missions, Quests, and Courses that reinforce secure coding principles and help developers master the security skills needed to mitigate AI risks.

By combining the powerful governance of Trust Agent: AI with the skill development of our learning product, you can create a truly secure SDLC. You’ll be able to identify risk, enforce policy, and empower your developers to build code faster and more securely than ever before.

Ready to Secure Your AI Journey?

The era of AI is here, and as a product manager, my goal is to build solutions that don't just solve today's problems but anticipate tomorrow's. Trust Agent: AI is designed to do just that, giving you the visibility and control to manage AI risks while empowering your teams to innovate. The early access beta is now live, and we'd love for you to be a part of it. This isn't just about a new product; it's about pioneering a new standard for secure software development in an AI-first world.

Join the Early Access Waitlist today!

Une série de vidéos gratuites de 12 semaines pour aider les développeurs à coder en toute sécurité grâce à l'IA

Les assistants de codage basés sur l'IA et les grands modèles de langage (LLM) transforment la façon dont les logiciels sont conçus. Ils promettent rapidité, flexibilité et innovation, mais ils introduisent également de nouveaux risques de sécurité que les développeurs ne peuvent se permettre d'ignorer.

C'est pourquoi Secure Code Warrior lance une série de vidéos d'introduction à la sécurité AI/LLM gratuites d'une durée de 12 semaines sur YouTube. Chaque court épisode se concentre sur la présentation d'un risque de sécurité clé lié à l'IA/LLM ou d'un concept que les développeurs doivent connaître pour adopter en toute sécurité le développement assisté par l'IA et éviter d'introduire des vulnérabilités dans leurs applications.

Regardez le premier épisode dès maintenant : Risques liés au codage de l'IA : dangers liés à l'utilisation des LLM

Ne manquez aucun épisode. Abonnez-vous sur YouTube.

‍
Rejoignez notre communauté de développeurs et de responsables de la sécurité — inscrivez-vous ici pour recevoir les dernières vidéos, ressources et mises à jour directement dans votre boîte de réception.

Pourquoi nous avons créé cette série

Le codage assisté par l'IA est en train de réécrire les règles du développement logiciel. Des outils tels que GitHub Copilot, Cursor et d'autres permettent aux développeurs de publier du code plus rapidement que jamais, mais sans une solide compréhension de la sécurité de l'IA, les équipes risquent d'introduire des vulnérabilités cachées et des comportements incohérents que les tests traditionnels risquent de ne pas détecter.

Un développement sûr à l'ère de l'IA nécessite d'abord une prise de conscience. Cette série est conçue pour réduire le bruit et donner aux développeurs une introduction aux concepts de sécurité AI/LLM afin qu'ils puissent innover en toute confiance sans compromettre la sécurité.

À quoi s'attendre

Pendant 12 semaines, nous explorerons à la fois les opportunités et les risques liés au développement assisté par l'IA, notamment :

• Les avantages et les dangers de l'utilisation de l'IA et des LLM dans le codage
• Injection rapide et manière dont les entrées malveillantes manipulent les sorties de l'IA
• Divulgation d'informations sensibles et protection des secrets dans les flux de travail alimentés par l'IA
• Risques liés à la chaîne d'approvisionnement liés à l'utilisation de modèles et d'API tiers
• Fuites rapides du système, faiblesses vectorielles et vulnérabilités de récupération
• Nouveaux défis tels que la désinformation, le libre arbitre et la consommation illimitée
• Et bien plus encore !

Vous voulez un endroit pour vous ressourcer ou vous retrouver ? Ajoutez notre Hub vidéo — nous le mettrons à jour avec les derniers épisodes et résumés.

Accédez au Hub : Série de vidéos sur la sécurité AI/LLM : tous les épisodes, mis à jour chaque semaine.

Comment suivre

• Abonnez-vous sur YouTube pour obtenir chaque épisode au fur et à mesure de sa sortie
• Rejoignez notre communauté de développeurs et de responsables de la sécurité — inscrivez-vous ici pour recevoir les dernières vidéos, ressources et mises à jour directement dans votre boîte de réception.
• Ajoutez le Blog Video Hub pour un accès rapide à tous les épisodes
• Si vous souhaitez aller plus loin que ces leçons d'introduction, explorez la collection complète AI/LLM sur la plateforme Secure Code Warrior ou demander une démo si vous n'êtes pas encore client.

Établir la norme en matière de développement sécurisé assisté par l'IA

L'IA est en train de modifier rapidement la façon dont nous créons des logiciels. Mais l'innovation sans sécurité n'est pas durable. Les développeurs ont besoin de conseils pratiques, axés sur les développeurs, pour comprendre les risques liés à l'IA et mettre en œuvre des habitudes de codage sécurisées et évolutives.

Cette série de vidéos gratuites s'inscrit dans le cadre de l'engagement de Secure Code Warrior à aider la communauté des développeurs à prospérer dans cette nouvelle ère. À partir de notre site accessible au public Règles de sécurité de l'IA sur GitHub à notre collection de formations sur l'IA et le LLM en pleine expansion, nous dotons les équipes des outils et des connaissances dont elles ont besoin pour innover en toute sécurité.

Les entreprises comprennent que les principes de sécurité dès la conception ne sont mis en œuvre avec succès que par le biais d'une sécurité pilotée par les développeurs. Après tout, ce sont les développeurs qui conçoivent, élaborent et, en fin de compte, valident le code qui alimente les logiciels d'une organisation. Il est absolument essentiel de s'assurer que ces précieux contributeurs possèdent les connaissances et les compétences nécessaires pour mettre en œuvre les meilleures pratiques en matière de code sécurisé. Cependant, le défi pour atteindre cet objectif consiste à aligner les connaissances et les compétences des développeurs en matière de codage sécurisé avec les langages de programmation qu'ils utilisent lors de la création de logiciels. Ce n'est pas une tâche facile, même pour les organisations les plus matures.

Ce défi est encore aggravé par le volume et la diversité des langages de programmation utilisés dans la base de code d'une organisation, souvent à l'insu des équipes de sécurité. Alors, comment les responsables de la sécurité informatique, de la sécurité des applications et de l'ingénierie peuvent-ils s'assurer que le code produit et validé est soutenu par les connaissances et les compétences d'un développeur en matière de code sécurisé dans le langage de programmation spécifique de ce commit ?

Présentation de SCW Trust Agent

Secure Code Warrior a lancé SCW Trust Agent pour répondre à cette question difficile. SCW Trust Agent offre aux responsables de la sécurité la visibilité et le contrôle nécessaires pour faire évoluer la sécurité pilotée par les développeurs, permettant ainsi aux développeurs et aux équipes de fournir du code plus rapidement tout en maintenant et en améliorant la sécurité de ce qui est engagé.

Comment fonctionne SCW Trust Agent ?

SCW Trust Agent découvre et se connecte à vos référentiels de code pour évaluer les métadonnées présentes dans chaque validation de code. Il inspecte le développeur qui a effectué la validation, le langage ou le framework utilisé et l'horodatage exact de la validation du code. Il associe ensuite cette analyse aux données et aux informations issues de la plateforme d'apprentissage leader du secteur de SCW afin de déterminer si le développeur possède des connaissances suffisantes en matière de sécurité dans ce langage de programmation spécifique. Sur la base de ces informations, il renvoie une note sur l'état de santé de ce commit, en fonction de la politique définie par l'organisation. Ces politiques sont personnalisables et configurables, ce qui permet aux équipes de définir des directives et des exigences spécifiques pour les commits dont le seuil de connaissance du code sécurisé par les développeurs peut être supérieur ou inférieur en fonction de la sensibilité globale du projet ou du référentiel.

Gouvernance et contrôle de niveau supérieur

S'appuyant sur cette puissante visibilité, Trust Agent propose une gouvernance intégrée à grande échelle grâce à ses fonctionnalités flexibles de régulation des politiques. Cette fonctionnalité innovante permet aux organisations et aux équipes d'appliquer et de respecter de manière proactive leurs normes de codage sécurisé directement au niveau de la validation. Si un développeur tente de valider du code dans un langage ou un framework où ses compétences en matière de codage sécurisé ne répondent pas aux exigences prédéfinies de l'organisation, Trust Agent peut automatiquement déclencher une action configurable, en enregistrant l'événement pour examen, en émettant un avertissement direct ou même en bloquant complètement la pull request.

Ces portes politiques adaptables peuvent être appliquées à n'importe quel référentiel basé sur Git, offrant un point de contrôle essentiel, en particulier pour les applications critiques ou celles soumises à des exigences de conformité strictes, telles que la norme PCI-DSS 4.0 qui prescrit une formation à la sécurité spécifique à un langage dans l'exigence 6.2.2. En définissant avec précision les niveaux de confiance des engagements en fonction de l'appétit pour le risque de l'entreprise, Trust Agent garantit que seul le code provenant de développeurs possédant des compétences validées en matière de codage sécurisé entre dans ses référentiels les plus importants, renforçant ainsi fondamentalement la posture de sécurité.

Optimisation du cycle de vie du développement

Cette approche proactive rendue possible par SCW Trust Agent améliore non seulement la posture de sécurité globale de l'entreprise, mais favorise également l'optimisation du cycle de vie du développement. En veillant à ce que les développeurs disposent de connaissances et de compétences en matière de code sécurisé dans la langue de leur commit, ils peuvent réduire considérablement le nombre de vulnérabilités introduites qui devront ensuite être identifiées et corrigées. La correction et le remaniement ont tendance à représenter une perte de temps importante pour les développeurs, interrompant leur flux de travail et affectant leur rapidité. La réduction des vulnérabilités grâce à une approche proactive permet de minimiser ces cycles de correction, ce qui permet aux équipes de développement de se concentrer sur la fourniture de fonctionnalités à forte valeur ajoutée.

Développement de la sécurité pilotée par les développeurs

SCW Trust Agent fournit aux entreprises les outils dont elles ont besoin pour développer leurs programmes de sécurité pilotés par les développeurs. Les RSSI et les équipes Appsec disposent de la visibilité et du contrôle dont ils ont besoin pour appliquer une gouvernance appropriée, respecter et même dépasser les normes de conformité grâce à des informations détaillées sur la conception, l'application et le respect des politiques. Et les développeurs sont en mesure de fournir du code sécurisé plus rapidement grâce à une formation au code sécurisé spécifique aux langages qu'ils utilisent dans le code qu'ils fournissent.

SCW Trust Agent fonctionne avec n'importe quel outil de gestion de code source basé sur Git et la connexion de votre référentiel de code est facile grâce à de multiples options de connectivité, notamment sur site, dans le cloud et le téléchargement manuel. Pour en savoir plus, visitez www.scwtrustagent.com ou contactez-nous, nous serions ravis de discuter de la manière dont nous pouvons aider votre organisation à renforcer sa posture de sécurité et à développer une sécurité pilotée par les développeurs.

Note de l'éditeur : Ce billet a été initialement publié par Kyle Riordan et publié le 23 juillet 2024. Il a été mis à jour avec de nouvelles informations et recherches par André Johnson, responsable principal du marketing produit chez Secure Code Warrior.

Nous sommes ravis de poursuivre la discussion sur la dernière amélioration apportée à la plateforme SCW : le SCW Trust Score. Cette fonctionnalité révolutionnaire a été officiellement lancée en mai et représente une avancée cruciale dans notre mission qui consiste à fournir aux développeurs et aux organisations les outils dont ils ont besoin pour écrire du code sécurisé.

À la base, le SCW Trust Score fournit des informations précieuses sur la posture de sécurité de votre organisation et l'efficacité de vos pratiques de codage sécurisé. Passons en revue les principaux avantages et bénéfices du SCW Trust Score.

• Visibilité : Des aptitudes et des compétences diversifiées émergent au sein des équipes grâce à des programmes d'apprentissage et de formation, qui s'appuient sur divers facteurs de réussite. Bien qu'elles suivent des programmes de code sécurisé identiques, les équipes fournissent souvent un éventail d'expertise, comprenant les plus performants, les personnes les plus performantes et celles qui ont besoin d'une assistance supplémentaire. SCW Trust Score fournit aux entreprises une mesure basée sur des données de l'efficacité de leur programme d'apprentissage de la sécurité en agrégeant la posture de sécurité de chaque développeur lorsqu'il utilise Secure Code Warrior.
  
  
• Mesures d'analyse comparative : Les entreprises ont besoin d'un point de référence pour définir la courbe en cloche de la position de leurs développeurs en matière de sécurité et identifier les domaines à optimiser afin de créer une équipe logicielle réellement prête à la sécurité, performante et productive. Grâce au SCW Trust Score, les entreprises sont en mesure d'évaluer leur niveau de sécurité par rapport aux benchmarks et aux meilleures pratiques du secteur. En tirant parti de cette métrique complète, les parties prenantes peuvent identifier les points forts et les opportunités d'amélioration avec une précision inégalée.
  
  
• Alimenté par les données : SCW Trust Score exploite la puissance de 20 millions de points de données d'apprentissage provenant de plus de 600 entreprises et 250 000 développeurs. En analysant toutes les activités d'apprentissage réalisées sur notre plateforme, notre algorithme génère un score complet. Ce score prend en compte des facteurs tels que l'étendue et la profondeur des activités d'apprentissage, la compréhension des activités, la récence de l'apprentissage, la description du poste, le cycle de vie d'intégration et le nombre total de développeurs formés.
  
  

Nous sommes fiers d'avoir récemment poursuivi nos conversations avec nos clients et prospects au RSAC, où cela a suscité un intérêt considérable de la part des clients, des partenaires et des leaders du secteur.

Nous avons le plaisir de vous annoncer que nous organiserons un webinaire le 12 juin, dans lequel notre directeur de la technologie et cofondateur Matias Madou fournira un aperçu complet du SCW Trust Score et de ses applications pratiques dans des scénarios réels. Nous avons hâte de vous y voir.

Enfin, nous exprimons notre reconnaissance à chaque membre de la communauté de clients et de partenaires qui a contribué au développement et à l'amélioration du SCW Trust Score. Ensemble, nous nous engageons à comprendre à quoi ressemble une bonne posture de sécurité dans les organisations

Aujourd'hui, nous sommes ravis d'annoncer que le contenu de formation SAP:ABAP est disponible dans Secure Code Warrior ! Vous pouvez vous assurer que vos équipes de développement ABAP bénéficient de l'assistance dont elles ont besoin pour livrer du code de qualité plus rapidement, avec moins de retouches et moins de vulnérabilités grâce à :

• Entraînement à votre propre rythme
• Parcours d'apprentissage ciblés
• Compétitions de codage amusantes
• Évaluations sécurisées des compétences en matière de codage
• Rapports personnalisés sur les forces et les faiblesses des compétences de codage sécurisé

ABAP (UNEavancé Bentreprise UNEcandidature PProgrammation) est le langage principal utilisé par plus de 19 000 entreprises pour coder leurs applications métier sur les plateformes SAP. Au total, ces entreprises génèrent jusqu'à 87 % du commerce mondial total, soit 46 billions de dollars américains. Par conséquent, la sécurisation de l'ABAP est plus importante que jamais.

Chez Secure Code Warrior, nous nous efforçons de permettre aux développeurs de sécuriser toutes les applications critiques pour l'entreprise, y compris celles écrites dans des langages de niche comme ABAP et des langages plus courants comme Java.

‍

‍

Si vous êtes déjà client, vous pouvez désormais accéder au contenu dans les rubriques Entraînement, Cours et Tournois. N'hésitez pas à contacter votre Customer Success Manager si vous avez la moindre question 🙂.

Comment Secure Code Warrior contribue à sécuriser les applications ABAP critiques pour l'entreprise

L'ABAP étant un langage de niche, il est rarement inclus dans les plateformes de formation. Par conséquent, lorsque les entreprises essaient de former leurs développeurs, elles le font par le biais de programmes trop coûteux et inefficaces, tels que des ateliers ponctuels.

Avec Secure Code Warrior, vous bénéficiez d'une solution de formation continue et efficace.

Notre contenu de formation est diffusé dans le format préféré des développeurs : extraits de code et exemples. Vous pouvez donc être sûr qu'ils utiliseront et apprécieront le contenu.

De plus, grâce à la profondeur et à l'étendue de notre contenu et à notre système d'apprentissage par niveaux, les développeurs ABAP bénéficient du soutien continu dont ils ont besoin pour améliorer progressivement leurs compétences en matière de codage sécurisé. Cette expérience d'apprentissage progressive permet aux développeurs de développer leur mémoire musculaire et de mettre en pratique ce qu'ils apprennent dans leurs projets.

‍

Apprenez à identifier les vulnérabilités et à sécuriser les modèles de code grâce à des défis de codage

‍

Nous savons que les développeurs travaillent mieux dans des environnements qu'ils connaissent bien. C'est pourquoi nous vous présentons notre défis de codage dans une interface semblable à un éditeur de code.

Les développeurs peuvent parcourir les fichiers et les lignes de code pour localiser, identifier et corriger les vulnérabilités ABAP dans les bases de code fonctionnelles. Au cours de la formation, les développeurs apprennent à reconnaître les modèles de code vulnérables et à identifier les correctifs appropriés, ce qui permet de détecter les vulnérabilités plus tôt et d'accélérer le temps de correction.

ABAP est le plus récent ajout à nos offres linguistiques, les mêmes avantages sont disponibles pour toutes les 57 autres langues (et ce n'est pas fini) que nous couvrons sur la plateforme.

J'ai constaté que la correction des vulnérabilités était le résultat direct du déploiement de la formation Secure Code Warrior®, car mes développeurs disent des choses comme « Je me souviens avoir appris « ceci » lors de la formation Secure Code Warrior®, alors je suis en train de créer un ticket pour résoudre le problème de sécurité ici. »

Nicole Smith, responsable de la sécurité, Komodo Health

Devenez un développeur féru de sécurité grâce à des simulations immersives dans le monde réel

‍

Une fois que les développeurs ABAP se seront familiarisés avec les pratiques de base du codage sécurisé. Ils peuvent se lancer le défi de devenir des champions de la sécurité en jouant Missions.

Les missions sont nos terrains de jeu simulés qui permettent aux développeurs d'exploiter une vulnérabilité spécifique. En observant en temps réel l'impact d'un exploit sur une application qui fonctionne, ils peuvent mettre en pratique des compétences offensives en matière de codage sécurisé et les reprendre pour protéger leurs projets.

Essayez les défis de codage ABAP

Grâce au contenu le plus récent d'ABAP, vous pouvez proposer un programme de formation progressif aux développeurs de manière simple et efficace.

Les clients existants de Secure Code Warrior peuvent accéder au contenu de la formation via Entraînement, Cours, Tournoi, et Évaluation modes de jeu.

Si votre équipe n'a pas encore intégré notre solution, pourquoi ne pas l'essayer ? nos défis en matière de codage ABAP aujourd'hui ?

ABAP est l'une des nombreuses langues disponibles

Nous proposons du contenu de formation pour 57 autres langues, y compris les plus populaires (Java et C++) et les étoiles montantes (GO et Typescript). Consultez notre liste complète des langages pris en charge et testez les défis de codage dans le framework de votre choix dès aujourd'hui.

Secure Code Warrior et Okta lancent une nouvelle méthode pour sécuriser les flux de travail des développeurs

Les développeurs sont censés fournir du code de qualité plus rapidement que jamais, mais il ne fait aucun doute que des délais irréalistes peuvent entraîner une mauvaise qualité logicielle et un code vulnérable. Il n'est pas surprenant que 67 % des développeurs pensent qu'ils fournissent du code présentant des vulnérabilités, en partie à cause de délais serrés (État de la sécurité pilotée par les développeurs en 2022). Alors que les menaces et les violations continuent d'augmenter, la sécurité ne peut plus être une question secondaire, elle doit plutôt être intégrée à l'ensemble du cycle DevSecOps.

Nous sommes ravis d'annoncer le connecteur Secure Code Warrior pour Okta Workflows, qui permet aux entreprises et aux développeurs d'écrire du code sécurisé dès le début du cycle de développement logiciel. Cette nouvelle collaboration entre SCW et Okta, le principal fournisseur indépendant d'identité, crée un contrôle de compétence en matière de sécurité qui permettra aux responsables AppSec de s'assurer que l'équipe utilise du code sécurisé pour réduire les vulnérabilités, le tout sans déplacer les développeurs de leur flux de travail. De plus, nous avons ajouté l'authentification unique pour Secure Code Warrior et Okta afin de simplifier encore plus l'utilisation de cette nouvelle solution géniale.

Réduisez le risque d'introduction de vulnérabilités

Les équipes de développement se sont traditionnellement appuyées sur des processus réactifs ou lents intervenant plus tard dans le cycle de développement, tels que des plugins, des outils d'analyse ou des révisions de code pour localiser et résoudre les problèmes de sécurité. Bien que ces approches présentent de nombreux avantages, elles présentent tout simplement trop de risques pour le code vulnérable et les retouches futures. Nous sommes là pour aider les entreprises à déplacer la sécurité vers la gauche et à adopter une position de sécurité proactive, et non réactive. Le nouveau connecteur Secure Code Warrior pour Okta Workflows intègre la notion de sécurité à l'ensemble du cycle de développement en garantissant que chaque développeur possède les compétences de codage sécurisé nécessaires pour obtenir l'accès au dépôt pour le code de validation. Cette intégration permettra aux développeurs de se familiariser avec les dernières pratiques en matière de sécurité via la plateforme hautement attrayante de SCW et de réduire certaines des tâches liées aux révisions manuelles du code, libérant ainsi des heures d'ingénierie pour proposer davantage de fonctionnalités sans sacrifier la qualité.

Les responsables de l'AppSec et de l'ingénierie tirent parti de la vaste plateforme d'apprentissage de SCW pour créer des évaluations et des parcours personnalisés afin de s'assurer que les développeurs se concentrent sur vos besoins prioritaires en matière de codage sécurisé et disposent de l'expertise requise pour être sûrs de pouvoir enregistrer le code. Grâce à l'étendue et à la profondeur du contenu, à plus de 6 500 défis de codage interactifs, à plus de 56 langages : frameworks et à plus de 150 catégories de vulnérabilités, vous pouvez être sûr que pratiquement tous les besoins de votre organisation peuvent être satisfaits.

Une fois que vous avez créé la bonne stratégie d'apprentissage pour votre équipe, les notes d'évaluation, ainsi que le statut d'achèvement d'un cours, peuvent être utilisés pour déterminer si les développeurs possèdent les compétences nécessaires pour créer des logiciels selon une approche axée sur la sécurité. Grâce à la nouvelle intégration avec Okta, vous pouvez désormais automatiser les autorisations pour chaque développeur en fonction de ses résultats d'évaluation, afin d'adapter facilement le degré d'approbation de chaque développeur à la validation du code ou d'identifier les opportunités permettant d'améliorer ses compétences.

Grâce à l'expérience d'apprentissage flexible et interactive de la plateforme SCW, les développeurs prennent toujours du plaisir à apprendre et peuvent constater une évolution dans leur approche de l'apprentissage, passant d'une case à cocher de conformité à une approche convaincante et intéressante.

Comment ça marche

Le connecteur Secure Code Warrior pour Okta Workflows est facile à créer avec Okta Workflows, sans automatisation de l'identité de code ni configuration d'orchestration, en utilisant une logique si-then. Le connecteur utilise un ensemble d'actions qui vous aident à effectuer des tâches de flux de travail sans vous soucier des complexités sous-jacentes des appels d'API et de la configuration.

Une conception simple pour sécuriser le flux de travail de votre développeur ressemble à ceci :

Voici un aperçu de la conception complète du flux de travail :

‍

Passons en revue les étapes suivantes :

1. Configurez l'ID d'évaluation utilisé pour déterminer les compétences d'un développeur en matière de sécurité. Ajoutez également des informations sur GitHub, telles que l'organisation et le référentiel, dans le cadre de la configuration.

2. À l'aide de l'action intitulée Vérifier la fin de l'évaluation pour l'utilisateur, le flux de travail vérifie si un développeur a réussi une évaluation particulière.

‍

3. Si le cours/l'évaluation souhaité est terminé ou si un score particulier a été obtenu, utilisez le connecteur GitHub pour autoriser l'accès au référentiel. Si l'exigence n'est pas remplie, une notification peut être générée ou un autre flux de travail Okta peut être déclenché pour prendre les mesures appropriées.

‍

Ce qui précède peut être conçu pour être exécuté comme une vérification ponctuelle, périodique ou continue afin de continuer à n'admettre que les développeurs éligibles dans le flux de travail sécurisé.

Certaines des autres actions possibles du connecteur SCW sont les suivantes :

• Répertorier les tentatives d'évaluation pour l'utilisateur : répertorie toutes les tentatives d'un utilisateur pour une évaluation particulière
• Vérifier l'achèvement du cours pour l'utilisateur : détermine si un utilisateur a terminé un cours spécifié
• Répertorier les inscriptions aux cours pour l'utilisateur : répertorie toutes les inscriptions d'un utilisateur pour un numéro de cours particulier
• Action d'API personnalisée : pour exécuter tout appel d'API autre que ce qui est possible via les actions disponibles

Publiez du code sécurisé de haute qualité plus rapidement et en toute confiance

SCW Connector permet de réduire le risque d'introduction de vulnérabilités au début du cycle de développement logiciel. Tout comme les outils de révision de code et d'analyse, il joue le rôle d'un Quality Gate pour garantir que les développeurs écrivent du code sécurisé dès le départ. Par conséquent, moins de temps est consacré à la révision du code et à la résolution des problèmes évitables, et l'accent est mis sur l'expédition plus rapide du code de qualité. En outre, le Connector contribue également à promouvoir une culture axée sur la sécurité en encourageant les développeurs à utiliser de manière proactive la plateforme d'apprentissage de SCW afin de maintenir leurs compétences en matière de sécurité. Au fur et à mesure que les développeurs apprennent et améliorent leur maturité en matière de sécurité, les vulnérabilités continuent de diminuer dans le nouveau code. Cela allège la charge de l'assistance à la correction de la part de l'équipe AppSec, ce qui lui permet de se concentrer davantage sur le renforcement de la posture de sécurité globale des organisations.

Le connecteur Secure Code Warrior pour les flux de travail Okta, ainsi que notre plateforme d'apprentissage, peut aider les entreprises à atteindre leur objectif de déplacer la sécurité vers la gauche, plus rapidement en améliorant les compétences de sécurité des équipes de développement.

Contactez planifier une démonstration ou consultez le documentation pour en savoir plus sur l'installation et la configuration.

‍