Insights from experts shaping secure development

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

2021年は、サイバー脅威から銀河を守る、新しい種類の宇宙開発競争が主流になる年になると予測しています。

この脆弱性は、より人的または管理上の問題であり、古い API をより安全な新しいバージョンに置き換えるべきだった後も、長期間そのままで残ってしまいます。

廃止されたパターンを特定し、今後使用する修正を促すことで、Senseiがどのように移行を支援できるかをご覧ください。

ペネトレーションテストと静的分析スキャンツール（SASTとしてよく知られています）は、セキュリティリスクを軽減するためのプロセス全体の一部に過ぎず、もちろんコードがホットフィックスのためにバウンスバックされるまでは、私たちが行っていることとはかなり独立して動作します。

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

新しい働き方の未知数や少しの不信感、あるいはリモートワークを信じないことから不快感が生じたとしても、それに抵抗する企業は、優秀な人材の誘致、グローバルなリーチの維持、率直に言って、時代とともに動くという点で遅れをとる傾向があることがわかりました。

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

ロギングと監視が不十分な欠陥は、ほとんどの場合、失敗した認証試行、アクセス拒否、入力検証エラーをすべてログに記録するというサイバーセキュリティ計画が失敗したために発生します。

Senseiクックブックを共有し、チーム全員がコードの品質と生産性を向上させる方法を学びましょう。

セキュア・コード・ウォリアー第四節第四節第四節第一。サーヴィン・ニュー・フリンは、ダーウィックフォーク、ディーナーナーナーナーナー・サモナーナーナーナーナーナー・サバイザーン。

APIでなにかみだっけ、厚くなりなりなりなりなりなりなりなりなりなりなりなりなりますかぎりぎらぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎら。194ALULGか、RCINALIDI API API API、VIGALUMIN楽輪。

Learn how Sensei can help onboard developers and adopt new libraries.

Learn all about the latest updates to Sensei.

Senseiを使って問題のあるコードパターンをマッチさせ、アノテーションマッチングの例を使って合意された実装に修正する方法を学びましょう。

大量代入の脆弱性は、多くの最新のフレームワークが、開発者がクライアントからの入力をコード変数や内部オブジェクトに自動的にバインドする関数の使用を奨励した結果生まれました。

オーストラリア政府がサイバーセキュリティに真剣に取り組んでいることから、サイバーセキュリティが国家レベルで主要なリスク領域として特定されていることは明らかですが、その戦略は十分に行き渡っているのでしょうか。

The Sensei plugin provides an easy way to find specific code patterns in your source code, and then apply rewrite rules to amend the matching code. All within the Intellij IDE, and in real-time.

Secure Code Warriorは、GitHubコードスキャンにコンテキスト学習をもたらすGitHubアクションを構築しました。つまり、開発者は Snyk Container Action のようなサードパーティーのアクションを使って脆弱性を発見し、その結果を CWE 特有で関連性の高い学習で補強できるということです。

欠落している機能レベルのアクセス制御の脆弱性により、ユーザーは制限すべき機能を実行したり、保護すべきリソースにアクセスしたりできるようになります。

すべての組織がサイバーセキュリティ啓発月間を活用してセキュリティ意識をリフレッシュできます。今年は、コーディングコミュニティ向けの新しい無料アプリもリリースします。

この脆弱性は、同時に受信するリクエストが多すぎて、それらのリクエストを処理するための十分なコンピューティングリソースが API にない場合に発生します。そうすると、API が使用できなくなったり、新しいリクエストに応答しなくなったりする可能性があります。

セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。

この脆弱性の背後にある実際のメカニズムは他の脆弱性と似ていますが、この場合の過剰なデータ漏洩とは、法的に保護されたデータまたは機密性の高いデータが関与することと定義されています。

認証は、多くの場合、アプリケーションへのゲートウェイとしてだけでなく、ネットワークの他の部分へのゲートウェイとしても機能するため、攻撃者にとって魅力的な標的です。認証プロセスが壊れていたり脆弱だったりすると、攻撃者がその弱点を発見して悪用する可能性が高くなります。

私たちの専門家の一人、オスカー・キンタスにスポットライトを当てたいと思います。彼は当社のプロダクトコンテンツチームの一員で、シニアセキュリティリサーチャーとして働いています。また、コードとしてのインフラストラクチャ (IaC) のすべてに関する、当社の常駐ソーサラーでもあります。

一般に、ユーザーからの入力を使用してデータソースにアクセスするすべての関数にオブジェクトレベルの認証チェックを含める必要があります。そうしないと、大きなリスクが伴います。

サイバー攻撃はますます頻繁になり、Linuxベースのインフラストラクチャに影響を与える脅威もますます一般的になっています。最終目標は、クラウドに保存されている機密データの宝庫を開ける機会を得ることです。

組織を念頭に置いて、自分の役割の文脈でこれらの質問について考えてみてください。DevSec のテストを受けるとどうなるでしょうか?

開発者が習熟度を示す必要のあるモジュールを正確に含む厳選されたコースは大きな効果をもたらし、日常業務におけるセキュリティのベストプラクティスをすぐに使いこなせるようになります。

1 日の仕事でやるべきことが多すぎることはすでにわかっています。では、開発者が急いで教室に行ったり、コンテキストを切り替えて静的な理論ベースのトレーニングを受ける 5 つのステップを踏む必要があるのでしょうか。

コンタクトトレーシングアプリの背後にある考え方は健全です。このテクノロジーがうまく機能すれば、ホットスポットを迅速に発見し、包括的な検査を実施できるようになります。どちらも伝染性ウイルスの蔓延と戦うために不可欠な要素です。

必要なときにトレーニングを受けるための障壁を減らすために何ができるか、マイクロラーニングをよりシームレスにワークフローに実装する方法について考え始めました。

6月23日は、国際女性工学デーを記念するオタクカレンダーの特別な日です。これは、ソフトウェア開発における女性の貢献に光を当てるチャンスです。

この脆弱性は、コーダーがビジネスロジックルールを適切に実装できない場合に発生する可能性があり、悪意のあるユーザーがそれらを悪用した場合、アプリケーションがさまざまな種類の攻撃に対して脆弱になる可能性があります。

Rustには、一般的に使用されている言語の既知の機能要素を取り入れ、パフォーマンスと安全性を導入しながら、複雑さを排除するという異なる考え方に基づいています。

ここで焦点を当てる脆弱性を誘発する動作は、信頼できないソースからのコードを使用することです。これは一見無害な行為であり、大きな問題を引き起こしています。

医療上の問題を診断し、治療を提供し、生命を維持する機械そのものを犯罪者が攻撃する中、医療は次の「大きな」サイバーセキュリティの戦場となる可能性があります。

セキュリティの設定ミス、特に不適切な権限の設定は、開発者がタスクを実行するために新しいユーザーを作成したり、ツールとしてアプリケーションに権限を付与したりする場合に発生することがほとんどです。

時々、アプリケーションは全体的なワークロードの一部として他のプログラムとデータを共有することもあります。トランスポート層が保護されていない限り、外部からの覗き見や不正な内部閲覧の両方に対して脆弱になります。

最近では、パスワード、個人情報、財務記録などの重要なデータを保存中にハッシュ化することが、あらゆるサイバーセキュリティ防御の基礎となっています。

レガシーCOBOLは古いコンピュータ言語ですが、今日でもまだ有効です。セキュア・コード・ウォリアーで、COBOLのセキュア・アプリケーション開発について詳しく学んでください。

最近のほとんどのコンピュータセキュリティの鍵はパスワードです。二要素認証や生体認証など、他のセキュリティ方法を採用したとしても、ほとんどの組織では、保護の 1 つの要素としてパスワードベースのセキュリティを採用しています。

セキュリティが組織全体、そしてSDLC全体で共通の責任と見なされる段階に到達する必要があります。これは、全面的で支援力の高いDevSecOps環境にコミットすれば確実に実現できます。

インフラストラクチャレベルのアクセス制御が完璧な順序でなければ、企業全体が攻撃者に危険にさらされ、攻撃者はこの脆弱性を不正なスヌーピングや全面攻撃のゲートウェイとして利用する可能性があります。

攻撃者は常に悪用されやすい脆弱性を最初に見つけようとしますが、スクリプトを使用して一般的な弱点を突き破ることもあります。泥棒が道路を走っているすべての車をチェックして、ドアのロックが解除されていないか確認するのと何ら変わりはありません。窓を壊すよりもはるかに簡単です。

これは、組織内のPCI-DSSコンプライアンスに関するミニシリーズのパート2です。この最終章では、サイバーリスクを軽減し、プロセスをシームレスで成功させるために、CTOとCISOがトップからどのように指導できるかを詳しく説明します。開発者にとってはちょっと楽しいかもしれません。

これは、組織内でのPCI-DSSコンプライアンスの成功に関する2部構成のシリーズの第1部です。この章では、AppSecスペシャリストが開発マネージャーと緊密に連携して開発者を支援し、SSDLCを強化し、一般法制から具体的な成果を得る方法を詳しく説明します。

私たちの業界では、多くのセキュリティ専門家が、今年発生する可能性のある問題の予測を開始していますが、2019年には50億件を超える機密データレコードが盗まれたことを踏まえ、近い将来、サイバーセキュリティで何が起こらないかを予測する方が正確であることがわかりました。

「左へのシフト」、つまり開発プロセスのかなり早い段階でセキュリティを導入するというイニシアチブの多くは、針を十分に動かすことができません。

GDPRの到来と、ドイツ連邦政府のサーバーだけでなく、多くの著名人の機密データが漏洩した後の戦略の改訂により、サイバーセキュリティの認識と行動がDACH地域のリーダーにとって最優先事項であることは明らかです。

世界はウォーターフォール、アジャイル、そして今はDevOpsに移行し始めています。では、次の解決策は何でしょうか？そして、こうしたアプローチの変化に遅れずについていく上で、開発者としてのあなたの役割は何でしょうか？

昨年末にかけて、MITREの素晴らしいコミュニティが、2019年に世界に影響を与えたCWEの最も危険なソフトウェアエラートップ25のリストを公開しました。そして、そのほとんどは驚くべきことではありませんでした。

この記事を始めるにあたり、急成長を遂げつつあるスタートアップ企業を示すあらゆる事実と数字から始めることもできたでしょう。それらは紛れもなく印象的であり、当社の継続的な企業動向は堅調です。しかし、私にとって、これらの数字は私が2019年に最も誇りに思っていることを反映したものではありません。

DevOpsの実装で本当に成功している企業はほとんどありません。しかし、ビジネス全体にわたる適切なサポート、育成、理解があれば、プロセスを変えることができます。

米国国立標準技術研究所（NIST）は、ソフトウェアの脆弱性とサイバーリスクを軽減するためのいくつかのアクションプランを詳述した最新のホワイトペーパーを発表しました。

開発者に焦点を当てたこれらのイベントは、カレンダーの中で私のお気に入りの1つです。ソフトウェアエンジニアやスペシャリストの教育と支援にたゆまぬ努力を続けているコミュニティのことを謙虚に思い出させてくれます。

規制イニシアティブは時間の経過とともに改善され拡大することは間違いありませんが、組織がすでにパニックに陥り、今すぐトレーニングを開始している場合、将来に向けた準備が整っていないことに気付くかもしれません。

あらゆる階層のあらゆるタイプの開発者がおり、私たちが行うすべてのことには常にコミュニティ意識がありました。

安全なコーディングは、高等教育レベルでのソフトウェアエンジニアリングの必須コンポーネントになる必要がありますが、一部の大学では、開発プロセスの一部として一流のトレーニングを提供し、最初からセキュリティを優先させることを主導しています。p

カスタマーサクセス担当副社長のFatemah Beydounは最近、「未来のためのメンタリング：女性のサイバーセキュリティ人材を育成するために、私たち全員がもっとうまくやれる方法」という講演を、非常に好意的な聴衆に向けて発表しました。彼女はサイバーセキュリティ業界に前向きな変化をもたらす上で欠くことのできない存在です。

アプリケーションが逆シリアル化中のデータを信頼できるものとして扱うと、安全でない逆シリアル化が発生する可能性があります。ユーザーが新しく再構築されたデータを変更できれば、コードインジェクション、DoS 攻撃、権限の昇格など、あらゆる種類の悪意のあるアクティビティを実行する可能性があります。

多くの場所が、新しい取り組みで最善を尽くすために、まだ教室、乾いた教科書、気が遠くなるようなビデオトレーニングに頼っているのは本当に驚きです。特に、はるかに優れた、より魅力的で価値のある学習方法、つまりコンテクストトレーニングがある場合はなおさらです。

ソフトウェアセキュリティ業界は、温かくぼんやりとした気持ち、気まぐれな観察、人生観でよく知られているわけではありませんが、年をとるにつれて、私たち全員が世界にもたらす影響について考えていることに気づきます。

機密データの漏洩は、許可された閲覧のみを目的とした情報が、暗号化されていない、保護されていない、または保護が不十分な状態で、権限のない人に公開される場合に発生します。

10代のセキュリティ研究者、ビル・デミルカピは、学校で使われているソフトウェアの重大な脆弱性を暴露したことで、確かにいくつかの思い出がよみがえりました。好奇心旺盛な子供の頃、ソフトウェアのボンネットを持ち上げてその内部をのぞき見して、すべてがどのように機能するか、そしてそれを壊すことができたらどうかを確認したのを覚えています。

VxWorksは平均的な消費者にはあまり知られていませんが、このソフトウェア製品は、あなたや私と同じように、毎日多くの人々にメリットをもたらしています。そして今、私たちは何億台ものVxWorks搭載デバイスが危険にさらされている可能性に直面しています。

XML External Entity Injection 攻撃は、単に XXE インジェクションと略されることもありますが、比較的新しい攻撃ですが、現在、ハッキングコミュニティの間で非常に人気があり、成功を収めるにつれてその人気はさらに高まっています。

攻撃者が既存のアプリケーションに CR または LF コードを挿入できれば、その動作を変更できることがあります。ほとんどの攻撃に比べて、その影響を予測するのは簡単ではありませんが、標的となる組織にとっても同様に危険です。

創造的で刺激的なCISOやCIOには、デジタル世界を革新して形作る力がありますが、組織のセキュリティ文化を変革する上でも重要な役割を果たすことができます。

多くの点で、リモートファイルインクルージョンの脆弱性は、ローカルファイルインクルード脆弱性よりもはるかに危険であり、悪用も簡単です。そのため、できるだけ早く発見して修正する必要があります。

今年、PCI Security Standards Councilは、PCIソフトウェア・セキュリティ・フレームワークの一環として、まったく新しいソフトウェア・セキュリティ・ガイドラインを発表しました。この更新は、ソフトウェア・セキュリティのベスト・プラクティスを最新のソフトウェア開発と一致させることを目的としています。

多くの脆弱性とは異なり、ローカルファイルインクルージョンとパストラバーサルプロセスを悪用して悪用するには、十分なスキルを持つ攻撃者、かなりの時間、そしておそらく少しの運が必要です。

アプリケーションサーバーとそれが使用するバックエンドシステムを完全に保護したとしても、トランスポート層の保護が不十分だと、通信がスヌーピングの危険にさらされる可能性があります。

XMLインジェクション攻撃は、ハッカーがXMLデータベースをホストするシステムを侵害するために考案した厄介な小さなエクスプロイトです。これには、従来のデータベース、つまり医薬品から映画まであらゆる情報の詳細な保存場所について考えるときに思い浮かぶようなことが含まれます。

英国のファーウェイサイバーセキュリティ評価センターからの最近の報告では、ファーウェイのソフトウェアエンジニアリングプロセスにおける主要なセキュリティ問題が特定されました。しかし、これは解決できる問題です。

AppSecのリーダーパネルは、組織のAppSec予算を最大限に活用する方法などの話題の多い問題や、聴衆から寄せられたいくつかの素朴な質問に取り組み、セキュリティスペシャリストが組織内で実行可能なプログラムを構築するのに役立つ、まさに朝礼のような内容でした。

ロギングとモニタリングが不十分だと、アプリケーションの防御構造の中で発生しうる最も危険な状態の 1 つです。このような脆弱性や状態が存在すれば、それに対する高度な攻撃はほとんどすべて最終的に成功します。

未検証のリダイレクトや転送を処理できるようにウェブサイトやアプリケーションをコーディングすることは、ユーザーと組織の両方にとって非常に危険です。

公式発表です。私たちはBugcrowdと協力して、安全なコーディングに関する開発者の教育、能力強化、啓発に取り組んでいます。

コードインジェクション攻撃は、多くの Web サイトやアプリケーションが遭遇する最も一般的で最も危険なものの 1 つです。攻撃は、巧妙さという点でも危険性という点でも多岐にわたりますが、ユーザー入力を受け入れるほとんどすべてのサイトやアプリが脆弱になる可能性があります。

最近のGitHubリポジトリへの攻撃は、セキュリティ業界でよく知られている問題を浮き彫りにしました。それは、ほとんどの開発者がセキュリティを十分に認識しておらず、貴重なデータがいつでも危険にさらされる可能性があるということです。

ビジネスアプリケーションを構築する場合、内部使用か顧客による外部使用かにかかわらず、すべてのユーザーにすべての機能を実行させることはおそらくありません。そうすると、アクセス制御が破られやすくなる可能性があります。

サイバー攻撃は増加の一途をたどり、あらゆる業種のあらゆるタイプの組織に影響を及ぼしています。高額で恥ずかしいだけでなく、収益にも影響を及ぼすデータ漏洩の脅威は非常に現実的です。問題は小さくなっているのではなく、腫瘍のように大きくなっていることです。

ウェブアプリがあまりにも多くの情報を公開すると、攻撃者が侵入しやすくなる可能性があります。この記事では、情報漏えいとは何か、なぜ危険なのか、そしてそれを防ぐ方法について説明します。

すべてのアプリケーションはコンポーネントを使用しますが、そのほとんどはまだ作成していないため、使用するコンポーネント内の脆弱性が負債になる可能性があります。既知の脆弱性を持つコンポーネントを使用する意味、その危険性、解決方法について説明しましょう。

私は、セキュリティ・ベスト・プラクティスを守るうえで、開発チームとアプリケーション・セキュリティ・スペシャリストの間に生じる緊張関係について、両者の立場に立ってきたことをよく知っています。しかし、もっと良いアプローチはあります。

ここでは、ウェブサイトを運営している組織や、従業員がコンピューターリソースにリモートアクセスできるようにする組織が直面する最も一般的な問題の 1 つを取り上げます。これはほぼ全員の問題です。さて、これから認証について話すのはお察しのとおりです。

アプリケーションの自動化対策チェックが不十分だと、攻撃者は一致するものが見つかるまでパスワードを推測し続けることができます。攻撃を阻止する方法は次のとおりです。

コーディングの問題が問題の一部かもしれませんが、ビジネスロジックのエラーは、ほとんどの場合、設計上の欠陥や、アプリを最初に作成したときの誤った論理的仮定が原因です。

サイバーセキュリティでは、私たちはしばしばハンターのようです。私たちの目は地平線にしっかりと釘付けになり、次のブレイクアウトの脆弱性を探しています。しかし、このように将来を見据えた視点は、セキュリティ意識全体を弱めるという意外な効果をもたらす可能性があります。

Webサイトやアプリケーションでは、ユーザーが電子メールを使用してアプリケーションを通じてフィードバックやその他のさまざまな情報を送信できるのが一般的です。また、ほとんどの人は、潜在的なセキュリティリスクという観点からは考えていません。