Insights from experts shaping secure development

重要なインフラストラクチャ、自動車、医療技術、その他すべてを支えるコードに取り組むほとんどの開発者が、最初にセキュリティ能力を検証せずにそうしているのは不可解に思えます。一方で、物を安全に構築する方法を理解していることを繰り返し証明してきたセキュリティスキルのある開発者が、すべてのセキュリティゲートが原因で、常に速度が遅くなる開発パイプラインで他の開発者と一緒に列に並ぶ必要があるのはなぜでしょうか。

コードの脆弱性や技術的負債に対処するためのコストは高額であり、ソフトウェア開発チームの生産性を低下させ続けています。セキュアコードのためのアジャイル学習プラットフォームを実装することで、SDLCの早い段階で脆弱性を修正し、そもそも脆弱性を未然に防ぎ、大幅なコスト回避につながるセキュアコーディング技術について開発者をより効果的にトレーニングする方法をご紹介します。このブログでは、アジャイル学習プラットフォームの財務的影響と ROI について考える方法を概説しています。

シリーズCの資金調達ラウンドの終了を発表しました。これにより、より多くの先駆的な組織が共通の脆弱性を阻止するために開発コホートの力を活用できるよう支援するという私たちの使命の次の段階に向けて、5,000万米ドルを調達しました。

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

安全なコードのためのアジャイル学習プラットフォームを開発者のワークフローやツールに組み込む方法を学び、安全なコード学習の文化を築き始めましょう。

今年初め、PCIセキュリティ標準委員会はペイメントカード業界データセキュリティ標準（PCI DSS）のバージョン4.0を発表しました。組織は 2025 年 3 月まで 4.0 に完全に準拠する必要はありませんが、今回の更新はこれまでで最も大きな変革をもたらし、ほとんどの企業が複雑なセキュリティプロセスや自社の技術スタックの要素を評価 (そして場合によってはアップグレード) する必要があります。これに加えて、ロールベースのセキュリティ意識向上トレーニングや、開発者向けの定期的なセキュア・コーディング教育も実施することになります。

SDLCの左から始めることで、安全なコードのためのアジャイル学習プラットフォームがどのように開発者のスキルアップ、リスクの軽減、技術的負債の軽減につながるかを学びましょう。

アプリとソフトウェアの責任を厳密な階層の中で定義し、それらのポリシーを最小限の権限で適用できるようにすることで、さまざまな脅威環境があってもアプリやソフトウェアが存続し、繁栄できるようにすることができます。

CISAの国家サイバーセキュリティ戦略は、ソフトウェア標準を全面的に引き上げ、最終的にはセキュリティスキルのある開発者の新時代の到来を告げる絶好の機会です。

2023 年 3 月 20 日、2008 春春サクラン、VIN838で838性 CVE-2023-20860 始業者の皆さん。「MVCMatcher」Spring Devendesai、olunginafefea。セキュア・コード・ウォリアーズ（Secure Code Warrior2008）で、MVC リクエストマッチャーズ（Secure Code Warrior Warrior Warrior Warchers）

セキュア・コード・ウォリアーのCEO兼共同創設者であるピーター・ダンヒュー氏によるサイバーニュースに関する質疑応答

ソフトウェア開発ライフサイクルにおける最大のギャップの1つは、開発者がコードの保護方法を最初から学ぶ時間がないことです。開発者は手直しや修正に数え切れないほどの時間を浪費し、その結果、何百万ドルもの機会損失が発生しています。セキュアなコーディングを迅速に行うことで、こうしたギャップを埋め、生産性を向上させる方法をご紹介します。

Secure Code Warriorの新機能：コースを管理する新しい方法を体験し、追加コンテンツを探索してください。

現在のデジタル最愛の要素であるメタバースの出現により、コードレベルの脆弱性とソーシャルエンジニアリングの両方に新たな攻撃対象領域が加わりました。そして、私たちは煙と鏡の上で繁栄するこの新しい競争の場での戦いに備えていないだけです。

安全でないコードとその後の技術的負債に対処するためのコストは、今日のテクノロジーが直面している最大の障害の1つです。スケーラブルで安全なコードトレーニングプログラムを実装することで、不適切なコーディングパターンに対処し、ソフトウェア開発サイクルの早い段階で脆弱性を検出することで、技術的負債を減らすのにどのように役立つかをご覧ください。

何がセキュアコーディング行為を構成するのかという認識については、議論の余地があります。Evans Dataと共同で行った最近の調査によると、この感情は白黒で明らかになっています。開発者主導型セキュリティ2022の現状調査では、1,200人のアクティブな開発者の主要な洞察と経験を掘り下げ、セキュリティ分野における彼らの態度と課題を明らかにしています。

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

今週、treux-a・ウォアーの8周年という祝福の日。どうも、このアフロ11の350倍の時間、45,000ウォット、またはろろくろパロプスイーイと5696回輪輪輪輪輪輪輪輪輪輪車。他人、ジャイ・タイ・サスの福301（新生、250年）。グラプラズズズズスイブラ、ププシーラー、レヴニオン、教訓、大金大人、.、、、

Secure Code Warriorでは、開発者や組織が今日の絶え間なく変化するセキュリティ課題に取り組むための適切なスキルを身に付けることができるように、常に革新を続けています。ソフトウェア開発サイクルの開始時に、開発者主導のセキュリティを通じて組織がソフトウェアを保護できるように、プラットフォームの主な機能と更新、および今年公開されたリソースとガイドラインをまとめました。

テクノロジースタックや追加のトレーニングプログラムへの投資に関しては、誰もが投資収益率を高めたいと考えていますが、セキュリティに関しては、単純な ROI の計算にとどまらない長い時間をかけて取り組む必要があります。開発者が主導するセキュリティに投資することで、高額な情報漏えい、生産性の低下、蓄積された技術負債の費用を節約できるだけでなく、今日の脅威環境の一歩先を行くための積極的で費用対効果の高い戦略を構築する方法を学びましょう。

多くのトップ企業や政府機関を含む人気のOrion管理ソフトウェアの18,000人以上のユーザーにソフトウェア更新プロセスを利用して感染させたSolarWindsキャンペーンのような大規模なセキュリティ侵害への対応として、開発者主導のより効果的なセキュリティ対策を求める声が高まっています。あらゆる規模の組織が、自社の「ソフトウェアサプライチェーン」に疑問を持ち始めており、ソフトウェアを開発する開発者には検証済みのセキュリティスキルと知識を持っていることを求めています。

堅牢な技術スタックの重要性は誰もが知っています。コード内の脆弱性の発見と修正に関しては、平均修復時間を短縮し、信頼できる堅牢なソリューションを使用することが、Secure Code Warriorの統合の目標です。マイクロラーニングの瞬間を開発者のワークフローに統合することが、より良い学習と迅速な修復の鍵です。

最近のほとんどすべての開発者チームは、企業が業界の枠組みや政府規制の範囲内にとどまっていることを確認するために使用される最初の認定プロセスの一部であるか、年次要件またはレビューの一部であるかにかかわらず、何らかの形のコンプライアンストレーニングを採用しています。これは重要なステップです。なぜなら、組織が基本的なコンプライアンス要件を満たせなければ、その従業員は現実的に職務を遂行できないからです。

開発者は、脆弱性の仕組み、なぜ危険なのか、どのようなパターンが脆弱性を引き起こすのか、どのような設計やコーディングパターンが脆弱性を修正するのかを理解していなければ、脆弱性の軽減にプラスの影響を与えることはできません。足場型のアプローチにより、知識を重ねることで、安全にコーディングすることの意味の全体像を把握し、コードベースを守り、セキュリティを意識した開発者として立ち上がることができます。

開発者のセキュリティスキルの重要性は、2022年のガートナー社の「ソフトウェアエンジニアリングにおけるクールベンダー」で強調されています。詳細を読み、レポート全文を入手してください。

定番組、プロ、プラ、プラ、コープサン、懐かしくなった、ぎょうwebサイト＆noldg＆nold＆nold＆gula、（）

きょう、パシフィックパークは、Pythonのタータールグラダに15年前のおかしい。2007 年秋新聞、CVE-2007-4559 まで。Python のリビングニニニニププププサダママス。

セキュア・コード・ウォリアー新型：コーディング・ラボでクンフククニニニニセセセセセコード・ウォリアー新型、コードミスターと合成。

ハードコーディングされた認証情報やソーシャルエンジニアリングに関連するリスクについて、Uber の最近のセキュリティインシデントや、組織が左にシフトして開発者が安全なコーディングのベストプラクティスを常に把握しておくことがなぜそれほど重要なのかを説明しているので、詳細をご覧ください。

ソフトウェア開発はもはや孤島ではなく、クラウド、電化製品や車両に組み込まれたシステム、重要なインフラストラクチャ、すべてをつなぐAPIなど、ソフトウェアを原動力とするリスクのあらゆる側面を考慮すると、攻撃対象領域は境界がなく、制御不能になります。

オープンソース・ソフトウェア・セキュリティ・モビリゼーション・プランは、開発者主導のセキュリティにとって前向きな一歩です。しかし、私たちは皆、最新かつ最高の防御戦略を実装するのに十分なほど組織内で成熟しているかどうか、そして開発チームが適切なレベルのセキュリティ意識とスキルを持っているかどうかを評価し、正直に評価する必要があります。

左にシフトする取り組みには、開発チーム内でセキュリティの知識とスキルを集団的かつ継続的に改善する必要があります

API セキュリティは厳しいものですが、十分なトレーニング、計画、ベストプラクティスへの注力があれば、どんなに厄介な脆弱性でも軽減できます。

より簡単でパワフルなコース作成フロー、早期アクセスの切り替え、SAP ABAPトレーニングコンテンツ

ABAP開発者向けの実践的かつ効果的なセキュア・コーディング・トレーニング。

Psychic Signatureの脆弱性は、認証などの重要なタスクでシステムを保護するECDSA署名の暗号にあります。この脆弱性により、ハッカーはあらゆる署名チェックを回避できます。この投稿では、その内容と軽減方法について説明します。

最近、NGINXはゼロデイ脆弱性を公開しました。同じ頃、マイクロソフトは Windows RPC RCE の脆弱性というもう 1 つの重大な脆弱性を公開しました。この投稿では、この 2 つの問題が発生するリスクに誰がさらされているのか、またそのリスクを軽減する方法について説明しています。

ゼロデイ攻撃は、当然のことながら、攻撃者が最初に侵入するため、開発者が悪用される可能性のある既存の脆弱性を発見してパッチを適用する時間がまったくありません。被害が発生したら、ビジネスに対するソフトウェアと評判の低下の両方を修正しようとすると、狂ったような争いが繰り広げられます。攻撃者は常に有利な立場にあり、そのエッジをできる限り塞ぐことが重要です。

2年目となる今回は、Evans Data Corp. と提携して、セキュアコーディング手法に関するスキル、認識、行動、およびそれらがソフトウェア開発ライフサイクル（SDLC）に与える影響と関連性について、世界の開発者コミュニティを対象に包括的な調査を実施しました。結果は多くの点で非常に驚くべきものでした。

最近、Java コミュニティで最も人気のあるライブラリの 1 つである Spring ライブラリが、リモートコード実行 (RCE) に関連する 2 つの脆弱性を公開しました。「Spring4Shell」と「Spring Cloud Function」の既知の詳細を分類して、リスクにさらされているかどうか、またリスクにさらされている場合の対処方法を理解しやすくしました。

サイバー犯罪者との戦いに関しては、予防的な考え方でサイバー犯罪者の遊び場を先取りし、できる限り彼らと歩調を合わせる必要があります。来年、彼らが波を起こし始めるかもしれないと思うのは次の点です。

サイバーセキュリティアプローチで目標を掲げている企業の多くは、公式のセキュリティチャンピオンプログラムを実施し、そのような役割に適性と情熱を示す個人に、チーム間の連絡や一般的なチアリーディングからベストプラクティスの監督まで、主要なセキュリティ責任を課しています。

私たちの誕生日のマイルストーンは、私たちの努力の成果を振り返り、チームを祝い、自信を持って次の年に取り組むことを思い出させる素晴らしい機会です。そして、設立から7年が経過した今、私は疑問に思っています。私たちはそれを成し遂げたのか？これはもう本物の会社なの？もちろん、成熟には至りましたが、創業以来持っていた好奇心、情熱、マニアックさを決して失わないことを願っています。

業界として、開発者がセキュリティの専門家になることを期待すべきではありませんが、組織はより高品質のソフトウェアを作成できるように、開発者支援のための新しい標準を採用することができます。

2021 年 12 月、Java ライブラリー Log4j に性 Log4Shell の公開日。有、Log4Shell の銀種種種

現代のサイバーセキュリティという絶え間ない猛攻撃に対抗するための現実的なアドバイスも、最速の解決策も得られていません。もちろん、侵害はそれぞれ独自の方法で異なり、脆弱なソフトウェアに悪用される可能性のある攻撃ベクトルは数多くあります。実行可能な一般的なアドバイスは限られていますが、ベストプラクティスのアプローチは、時間ごとに欠陥が増えていくものです。

事後対応型ではなく予防型のアプローチに重点を置くことは、特に大規模で重大なセキュリティインシデントが発生していない場合、セキュリティチーム以外ではあまり理解されない可能性があります。

Implement unit test coding guidelines uniformly and consistently

API セキュリティを偶然に任せることは、後で問題を起こす確実な方法であり、最悪の場合は壊滅的な結果を招き、やり直しはイライラさせられ、せいぜいパフォーマンスが低下します。

Joda-Time を便利な方法で java.time に移行する方法

サイバーセキュリティが重要であることは明らかですが、サプライチェーンの観点から見ると、サイバーセキュリティは実際には何を意味するのでしょうか。

開発者は、AppSecに有利な形で参入できる絶好の立場にあります。

時ごろろろろろと、いしみみっけいっこうこうもりん、つるとみずず、みずずずずず。、利、。、。

プロの開発者はDevSecOpsを採用して安全なコードを書きたいと考えていますが、その取り組みを拡大したいのであれば、組織はこの大きな変化をサポートする必要があります。

10月の初めに、Apacheはパストラバーサルとリモートコード実行の脆弱性を修正するバージョン2.4.49をリリースし、修正が不完全だったという事実に対処するバージョン2.4.50をリリースしました。私たちは、現実の環境におけるリスクを実証するという使命を掲げました。今すぐ試してみてください。

Micha Martinezは、Nelnetのサイバーセキュリティアナリスト兼撮影監督です。セキュアコーディングに関する開発者向けトレーニングプログラムの作成を任されたとき、彼はチームを巻き込むための創造的な方法を採用しました。彼がどのようにセキュアコードトレーニングプログラムを運営しているかに感銘を受けたので、私たちは彼に話を聞いて詳細を学びました。

悪名高い脆弱性の王様であるインジェクション攻撃（カテゴリー別）は、アクセス制御の破れによる最悪の攻撃としてトップの座を失っており、開発者は注意が必要です。

開発者は、セキュリティ設定やアクセス制御に加えて、コードを最も詳しく扱っています。彼らのセキュリティスキルを養う必要があり、NISTが概説しているような高い基準を達成するには、特に大規模な開発コホートでは、実践的なコース構成が効率的な方法かもしれません。

Web ベースのソフトウェア、API、モバイルデバイスと同様に、組み込みシステム内の脆弱なコードが、攻撃者によって実際に発見されれば悪用される可能性があります。

アプリケーションセキュリティの専門家として、組織のアプリケーションのサイバーセーフティを確保するのがあなたの仕事です。ただし、アプリケーションを実行するコードを書く責任はあなたにはありません。開発チーム内のエンジニアが担当します。では、セキュリティを念頭に置いてシステムを開発していることを確認するにはどうすればよいでしょうか。

この記事では、組み込みシステムのセキュリティ保護の概要について説明します。基本的な定義から始めて、組み込みセキュリティにおける課題、代表的な解決策、足りないパズルは何かについて説明します。

アポリ、MISRA C 2012 とC2 ヴァングインプラシ、WERGVING CODOWLISISISSA。ABINARKNALTたりMISRAのせいせいせいでもうなずく。

この投稿では、組み込みデバイスと組み込みシステム開発の概要を説明します。

Contrast SecurityのLarry Maccherone氏に、コンテキスト学習がセキュアコーディングの開発者のトレーニングにどのように役立つかについて説明しました。以下では、組織が日々の責任やワークフローを中断することなく、開発者に重要なセキュリティトレーニングを提供する方法をご紹介します。

最近、会長兼CEOのピーター・ダンヒューによるフォーブス・テクノロジー・カウンシルの最初の投稿が公開されたことを非常に嬉しく思います。この投稿では、より安全なコードを作成するために開発者のスキルを向上させることが、サイバー攻撃やデータ漏えいを防ぐための鍵となることを詳しく説明しました。

API セキュリティは、ほとんどのセキュリティ専門家が気にする問題であり、対処するための知識を身に付ける必要があります。

バイデン政権による最近のサイバーセキュリティ大統領令により、セキュリティ業界、特に日常業務にセキュアコーディングのベストプラクティスを適用することの重要性を開発者に理解してもらいたいと考えているセキュリティ業界は注目を集めています。

最近、Selligent Marketing CloudのソフトウェアエンジニアであるDimitri Vanderhaegheに話を聞きました。Selligent Marketing Cloudは、高度に統合されたAIを活用したオムニチャネルマーケティング自動化プラットフォームで、野心的なB2Cマーケターが今日のネット接続された消費者とのあらゆるやり取りを最大限に活用できるようにします。ペースの速いB2Cテクノロジー企業にとって、規模を拡大し、市場の高まる需要に応えることは極めて重要です。これらの要求に応えるためには、サイバーセキュリティに重点を置くことが挙げられます。最も重要なのは、開発者主導のセキュリティスキルプログラムです。

これは地味な統計としてどうだ？中小企業の 60% は、サイバー攻撃が成功してから6か月以内に廃業します。大企業は何百万（あるいは数十億！）もの大企業が大量倒産しています。一方、ブランドの評判は薄れていきました。安全なコーディング手法を採用する組織が増えるにつれ、「シフトレフト」が起こっています。DevSecOps の台頭に伴い、SDLC が始まった当初から安全なコードが焦点になりつつあります。

Discover more about the most loved features of Sensei.

IBMの調査によると、リリース後に脆弱性を修正する方が、最初に脆弱性を発見して修正する場合の30倍の費用がかかります。このことを念頭に置けば、将来を見据えたCIOがセキュア・コーディング・プラクティスを導入しているのは当然のことです。つまり、最初からより安全なコードを書けるように開発者を訓練し、身につけること、つまり開発者を組織の「最前線」にすることを意味します。

質の高い安全なコードトレーニングが組織に与える潜在的な影響はどのようなものですか？また、投資する価値はありますか？

高度に接続されたこの世界では、ほぼすべての組織が共通のアキレス腱を共有しています。コード内の 1 つの脆弱性が悪用されるだけで、顧客データの盗難、評判の低下、および重大な経済的損失を引き起こす可能性があります。安全なコーディングに関する組織の連携はかつてないほど必要不可欠ですが、それを達成することは口で言うほど簡単ではありません。

米国連邦政府からの最新の大統領令は、機能的なサイバーセキュリティの多くの側面に触れていますが、開発者の影響と、開発者が検証済みのセキュリティスキルと認識を持つ必要性を具体的に概説したのは初めてです。

現在、安全なコードの実践は全員の責任であるべきだと回答した開発者はわずか 15% です。セキュリティ上の脅威が増大する世界では、それだけでは十分ではありません。何かしなくてはいけない。健全なアプリケーションセキュリティ文化を築くための鍵の 1 つは、主要な影響力 (およびインフルエンサー) を理解することです。プレイ中。

サイバーセキュリティのベストプラクティスに対する人間主導のアプローチを強化する必要があります。そうすれば、自動化やツール、すでに埋め込まれて発見されている問題への対応に大きく依存するよりも、より良い結果が得られるでしょう。

安全でないコードは企業に何百万ドルもの損害を与えます。では、安全なコーディング慣行の採用を妨げるものは何でしょうか。ほとんどすべてがソフトウェアに依存している世界では、コードの安全性を確保することが極めて重要です。ブランドの評判と財務的存続可能性はソフトウェアにかかっています。とはいえ、セキュアコーディングには多くの懸念事項があり、完全かつ効果的に導入するには多くの障壁があります。これまで以上に、新しい働き方が求められています。

ここ数年、ネットワークセキュリティ、数テラバイトに及ぶ機密性の高い顧客データ、貴重なブランド評判など、市場投入までの時間を短縮するために、多くのことが犠牲になっています。

サイバーセキュリティ業界でクリスマスを台無しにする何かがあったとしたら、それは壊滅的なデータ侵害であり、米国政府に影響を及ぼした記録上最大のサイバースパイ活動になる見込みです。

開発者向けのセキュアなコードトレーニングに関しては、教育上の成果にはまだまだ多くの課題があります。多くの企業が多額の費用を費やしても、実際には最小限の利益しか得られません。そして、少し不思議ではありません。

データ漏えいとそのコストが増え続ける中、世界で生成されるコードの量は、セキュリティの専門家だけでは処理できないほど大きくなっています。企業には安全なコーディングスキルを持つ開発者が必要であり、開発者はキャリアアップのためにこれらのスキルが必要であることを知っています。しかし、現在のセキュア・コード・トレーニングは彼らを失望させています。では、セキュア・コード・トレーニングに関して、開発者は何を求めているのでしょうか。

つまらない、つまらない、つまらない！これは、セキュア・コード・トレーニングについて言及されるたびに、開発者からよく聞く回答の 1 つです。セキュア・コード・ウォリアーでは、もっと良い方法があるはずだと考えています。

AppSecツールが予想どおりに利用されていない理由はいくつかありますが、それはツールとその機能ではなく、セキュリティプログラム全体との統合方法に関するものです。

セキュアコーディングについて学ぶ場合、開発者の主な動機は何か。また、それらを活用して成功するアプリケーションセキュリティプログラムを設計および実装するにはどうすればよいか。

サイバー脅威の数が増え続ける中、組織はセキュリティ、実用性、スピードの間で日々トレードオフを行っており、その過程でリスクにさらされています。

サイバー脅威が増え続けている世界で、コーダーはステップアップしていますか？セキュアコーディングの人的要素、つまり最も重要な開発者が、私たちのコネクテッドワールドのセキュリティ保護において果たすべき役割を果たす準備はできていますか？この質問に答えるために、Secure Code WarriorがEvans Data Corp. と共同で実施した、安全なコーディング、安全なコードプラクティス、およびセキュリティ運用に対する開発者の態度に関する最近の調査から得られた洞察を見てみましょう。

過去20年以上にわたり、同じ10件のソフトウェアの脆弱性が、他のどの脆弱性よりも多くのセキュリティ侵害を引き起こしています。それでも、多くの企業はいまだに侵害後や事後からの修復を選択しており、そのすべてがもたらす人的影響とビジネス上の影響に悩まされています。しかし今、新しい調査研究により、人間が主導する新しい方向性が示されました。

SQL インジェクションは 22 周年を迎えました。この脆弱性は十分に古くから存在していますが、私たちはこの脆弱性を永久に潰すのではなく、弱体化させています。

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

不信という不安定な基盤の上に築かれた関係は、まあ、期待を低くして取り組むのが一番です。残念なことに、これは組織内の開発者とアプリケーション・セキュリティ・チームとの協力関係の状態かもしれません。