Insights from experts shaping secure development

OS コマンドインジェクション攻撃は、初級レベルの熟練度の低いハッカーが実行する可能性があり、セキュリティチームが経験する最も一般的な弱点の 1 つとなっています。ありがたいことに、攻撃を阻止するための非常に効果的な方法は数多くあります。

セッションは、Web を使用する際の優れたユーザーエクスペリエンスの鍵です。ただし、セッションを誤って管理すると、攻撃者が悪用できるセキュリティホールが発生する可能性があります。

そろそろ警備のイメージチェンジをする時だと思わない？会話を変えて、すべてがもう少しポジティブになるのと同じくらい簡単です (楽しいことは言うまでもありません!)双方にとって、特に開発チームにとって。

Padding Oracleは、オルタナティブ・ロック・バンドとしては非常に悪い名前のように聞こえますが、実際には攻撃者が暗号鍵を知らなくても情報を復号化するために悪用できる脆弱性です。

悪意のあるユーザーが LDAP クエリを操作できると、問題が発生する可能性があります。これを行うと、受信側のサーバーを騙して、通常は許可されないような無効なクエリを実行させたり、パスワードなしで無効なユーザーやセキュリティレベルの低いユーザーに高レベルまたは管理者アクセスを許可したりする可能性があります。

私たちが直面している本当の戦いは、スクリプト小僧や危険な組織化されたサイバー犯罪シンジケートに対するものではありません。データ侵害が起こっていることを、より多くの人々に気にかけてもらうことです。

サイバーセキュリティでは、攻撃者は無制限のファイルアップロードをサポートすることが許可されているアプリケーションやプログラムをすぐに悪用できます。そして、その結果は壊滅的なものになる可能性があります。

NoSQL データベースはますます人気が高まっています。そのスピードと非構造化データの扱いやすさは否定できませんが、利用が広まるにつれ、より多くの脆弱性が表面に出てくることは避けられません。

CSRF 攻撃はかなり複雑で、成功するには複数のレイヤーが必要です。言い換えると、攻撃者に有利に働かせるためには、多くのことを突破しなければならないということです。それにもかかわらず、これらは非常に人気があり、収益性の高い攻撃ベクトルです。

攻撃者はSQLインジェクションを使用しています。SQLインジェクションは最も古いものの1つです（1998年以降！）そして、最も厄介なデータ脆弱性は、世界中の何百万ものデータベースにある機密情報を盗み、改ざんすることです。

オンラインプライバシーがセキュリティなしで存在しようとすると、混乱が支配します。ロス・ウルブリヒトに聞いてみてください。

Wox: requéén

ゴキブリは基本的に何にでも生き残ることができるというよく知られた理論があります。核爆発でさえも。

コードの脆弱性を発見するソリューションは数多くありますが、セキュリティでは、そもそもミスを防ぐためのセキュリティガイドラインに従うよう開発者に教えることに重点を置く必要があります。

私たちは話題を変え、セキュリティをすべての開発者の仕事に欠かせないものにするよう努めなければなりません。そのための最善の方法の 1 つは、ゲーミフィケーションなどを通じて開発者にセキュリティに関する権限を与え、関与させることだと思います。

セキュリティを企業のイノベーションの道における苛立たしい障害と考えるのはやめなければなりません。

．．．．．じじじずずらずずずつ。

開発者が最初から安全なコードを書けるようにすることは、CISOにとってセキュリティの苦境からある程度プロアクティブなコントロールをつかむ機会であり、セキュリティチームと開発チームの両方にとって、迅速、簡単、かつ測定可能な改善の機会でもあります。

捜査官によると、爆発を防いだのは攻撃者のコンピューターコードの間違いだけだという。

クマエビは、ちびっくり、あくまでも、あくまでも、あくまでも。

安全なコードがなぜ重要なのか、安全でないコードがもたらす影響、そして最も重要なのは、そもそもこれらの脆弱性をそれぞれのプログラミングフレームワークに書き込まないようにする方法について、誰も教えてくれなかったら、開発者はどのようにして安全なコードを書くべきなのでしょうか。

XML および XML スキーマの仕様には、複数のセキュリティ上の欠陥があります。同時に、これらの仕様は XML アプリケーションを保護するために必要なツールも提供します。XML スキーマは XML 文書のセキュリティを定義するのに使用しますが、さまざまな攻撃に利用される可能性があります。

名前の先頭に「」が付いた zip にファイルを挿入できます。

航空電子機器のコード1行を変更するコストは100万ドルで、実装には1年かかります。ボーイング737をベースとした機材を保有するサウスウエスト航空にとっては「破産」することになります。

Show 139: Matias Madouがセキュア開発トレーニングとソフトウェアセキュリティテストの研究について語る

Android のフルデバイス暗号化はすべてのデータを保護してストレージに書き込み、デバイスのロックが解除された後にのみ表示されます。セキュア・コード・ウォリアーから学びましょう。

場合によっては、ユーザーの十分な知識と同意を得てアクションが実行されていることをアプリケーションで検証できることが不可欠です。

カスタム権限を定義することで、アプリはそのリソースと機能を他のアプリと共有できます。

約95,000のアプリケーションにまたがる約30万人の開発者が、ソフトウェア・セキュリティ・イニシアチブ（SSI）の計画、実行、測定にBSIMM8を使用しています。

ユーザー名の列挙とは、ハッカーがブルートフォース攻撃を利用してユーザー名とパスワードの情報を取得することです。セキュア・コード・ウォリアーでユーザー名の列挙を回避する方法を学びましょう。

効果的な開発者セキュリティトレーニングを展開する方法に関する5つの重要な教訓

この研究の意義は、これまで報告されていなかった、多くの憂慮すべきセキュアコーディングの問題について、経験的証拠を提供したことです。

バグはまだ残っています。これはすぐに直せるものではない。過去数か月にわたって、バグ報奨金プログラムの一環として、何十もの企業や影響を受けたベンダーに連絡を取り、セットアップを修正してもらいました。

CIOが企業のアジャイル能力を積極的に構築するにつれて、安全なコーディングスキルはイノベーションの武器となり、持たないことは破壊の手段となるでしょう。

サイバーセキュリティについて経営幹部のトレーニングを行う場合でも、JAVA や C# の開発者がコーディングスキルを確保できるよう支援する場合でも、創造性、ゲーミフィケーション、そして楽しみの場があります。

開発者がJavaScriptでコーディングしているときにクロスサイトスクリプティングエラーを記述し、その欠陥を作成してから数分以内にそれを検出できる場合

卒業生であろうとベテランであろうと、すべての開発者が尋ねるべき質問があります。そして、その答えは重要です。

先週、セキュア・コーディング・ガイドラインを最新のものにするために、Java Springの脆弱性を調査していました。

x0rzという名前の研究者のツイートによると、2016年に話を進めると、セキュリティ研究者がEquifaxのメインWebサイトでクロスサイトスクリプティング（XSS）と呼ばれる一般的な脆弱性を発見しました。

この脆弱性は、Strutsがそのようなデータを解析して、Javaプログラミング言語で解釈できる情報に変換する方法に関係しています。

データ残留とは、何らかの方法で消去されたデータが物理的に残っている状態のことです。

繰り返しになりますが、Equifaxのハッキングの根本原因はWebアプリの脆弱性です。この種の脆弱性は10年以上前から存在していますが、今日でもなお重大な問題です。

Post-quantum cryptography (PQC) is critical for protecting data from quantum computing threats. Learn how “harvest now, decrypt later” exposes risk and how developers can prepare for quantum-safe security.

Recently we interviewed some of the future leaders in the secure development or “DevSec” world and found their individual career paths into cybersecurity fascinating. For those of you out there wishing to become a security champion, jump into the elusive AppSec realm, or even just learn more about secure coding, here are the stories from three security professionals with a background in development, about how they got interested in security and the security lessons they wish every organization would follow.

Kamer van Koophandel shares how it embedded secure coding into everyday development through role-based certifications, Trust Score benchmarking, and a culture of shared security ownership.

See how Paysafe's partnership with Secure Code Warrior led to a 45% boost in developer productivity and a major reduction in code vulnerabilities.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Explore the Devlympics 2023 results in this report. Dive into developer engagement, tech stack and languages trends in each industry that participated, and key vulnerabilities and CWEs covered in the annual global event hosted by Secure Code Warrior.

Discover how Sage enhanced security with a flexible, relationship-focused approach, creating 200+ security champions and achieving measurable risk reduction.

Discover how Workday transformed developer training with agile learning through Secure Code Warrior. By empowering developer with hands-on, language-specific education, Workday reduced vulnerabilities early in the SDLC. See their impressive results and key takeaways to build a secure code culture.

In this case study, learn how Thales has developed people, process, and technology approaches for an agile secure code learning program in order to engage developers to become active security champions.

Discover how retail giant Colgate-Palmolive reshaped its application security during its digital transformation journey. Facing challenges in secure coding, they innovated their approach by integrating bite-sized, in-context learning into the developer workflow.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG Group is the name behind many of the leading insurancecompanies in the Asia-Pacific region, underwriting policies formillions of customers to the tune of approximately AUD $11.4 Billionin premiums per annum.

Learn how they created an in-house technology education initiative, aimed at supporting thousands of employees to learn practical, cutting-edge skills in a number of disciplines, including machine learning and cybersecurity.

Explore this comprehensive case study to learn more about how they utilized Secure Code Warrior's tournaments to engage developers, increase awareness of key vulnerabilities affecting automotive software, and gain metrics across multiple languages and frameworks.

AI's proficiency at creating software code won't put developers out of a job, but the job will change to one focused on security, collaboration, and "mentoring" AI models.

CISOs are under the microscope to prove they can reduce vulnerabilities in the software development life cycle -- particularly, that they can do so from the start of code creation. As such, CISOs are searching for the most effective way to ensure the security awareness of their developers before they take on the responsibility of writing and introducing code.

The Federal Government’s recent mandate, PSPF Direction 002-2024, aims to significantly bolster cybersecurity measures within Australian Government entities by requiring them to identify and actively manage risks tied to vulnerable technologies. The announcement has sparked reactions from key figures in the cybersecurity industry, who have shared their insights on its implications and potential impacts.

CISA’s Secure by Design movement has gained significant momentum, with governments around the world—like Australia, New Zealand, Canada, Singapore, Japan, Germany and the U.K.—contributing to its creation or following it directly as part of their own publicized cybersecurity strategies.

Developers, it appears, will not be replaced by artificial intelligence – at least not yet, anyway. What they will need to do is learn or improve their skills in providing templates for AI, become masters of fixing problems in AI-generated code, and actually learn the best uses for AI in software development.

Cyber threats remain high, but demand for cybersecurity workers in Australia has dipped.

New SCW Trust Agent facilitates a Secure-by-Design approach for enterprises; equips security leaders with unparalleled visibility into their organisations’ software security posture.

New SCW Trust Agent facilitates a Secure-by-Design approach for enterprises; equips security leaders with unparalleled visibility into their organizations’ software security posture.

Secure Code Warrior introduced SCW Trust Agent – a solution that assesses the specific security competencies of developers for every code commit.

The SCW Trust Agent can be deployed on any Git-based code repository, including Github, Gitlab and Atlassian Bitbucket to ensure that only developers that have only developers that have attained a specific security rating are allowed to make a commit. Those ratings are based on more than 20 million data points collected from 250,000 developers around the world.

Secure Code Warrior unveils technology designed to help CISOs and AppSec teams ensure their projects remain safe and free of coding errors and vulnerabilities – a big issue following the CrowdStrike incident.

The cybersecurity industry has responded to the Australian Government’s Protective Security Policy Framework (PSPF) Direction 002-2024, issued on July 8, 2024. The directive requires Australian Government entities to identify and actively manage the risks associated with vulnerable technologies they manage for themselves and others.

Running a successful SME requires juggling many hats. But one area that can’t be overlooked is cybersecurity. Data breaches and cyberattacks are on the rise, and even small businesses are attractive targets.

Software is the foundation of virtually every modern enterprise, yet our reliance on potentially vulnerable open-source components in critical systems represents an extreme risk in the software supply chain. It’s an ailment for which we must find an appropriate cure.

One of the most challenging aspects of integrating AI tools into business operations is determining which outputs are trustworthy, which tools you can trust to become part of your tech stack, the strengths and weaknesses of each tool, and how you can ensure consistent results if different tools or processes are being used.

AI coding tools can assist the defence capabilities of developers, enabling an easier pathway to a ‘security-first’ mindset. However, like any new and potentially impactful innovation, they also raise potential questions that teams and organisations need to explore.

When it comes to enterprise cybersecurity, nothing is set in stone. With a constantly shifting threat landscape on one hand and evolving tools on the other, security teams can often feel overworked and overwhelmed.

Few technological advances have captured widespread attention as quickly as Artificial Intelligence (AI). In less than two years, AI has evolved from being a technical novelty into a powerful tool, and its rate of evolution shows no sign of slowing.

Demand is high for professionals with knowledge of AI, but do such talents really get implemented on the job?

The 2024 SD Times 100: 'Best in Show' in Software Development, Developer Experience category featuring Secure Code Warrior.

Here’s a look at the most interesting products from the past month.

IBRS analysis sheds light on the importance of continuous measurement of secure coding skills and industry benchmarks for cybersecurity readiness.

Pieter Danhieux on the Benefits of Trust Score for CISOs and Developers.

Peter Danhieux shares three best practices to consider when developing an internal upskilling programme.

Industry pundits across retail and technology have welcomed the Australian Federal Budget for 2024-25 and its particular focus on easing cost-of-living pressures as well as digital and cyber investments - even though several were hoping for more action.

Code created by AI can be rife with vulnerabilities and flaws, but AI-assisted coding tools can still be helpful if paired with security-aware, human developers.

As AI becomes an integral part of code delivery in banks and other FSIs, the volume of code produced will increase, and so will the number of errors, flaws and vulnerabilities – unless these are corrected early in the software development lifecycle. The responsibility to run those quality checks will initially fall squarely on development teams to execute.

The Australian government announced its 2024-25 federal budget and CSO has selected highlights that indicate how much will go towards cybersecurity and in what areas.

Secure Code Warrior has announced the introduction of its SCW Trust Score, the industry's first benchmark that gauges the security posture of organisations' developer teams.

Secure Code Warrior, the global, developer-driven security leader, today unveiled SCW Trust Score, the industry’s first benchmark that quantifies the security posture of organisations’ developer teams.

New benchmark leverages over 20 million learning data points from more than 250,000 developers around the world